Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 9 replies
  • Subscribers 2 subscribers
  • Views 3667 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

WAN Interfaced Maxed Inbound, But Nothing Show on Inside Interfaces

Breakingcustom
Had a client say their Internet has been iffy all day.  Remoted into the UTM and saw the External (WAN) interface was showing 18-19MBit/s (their Internet is 20Mbit/s down).  When looking at the Internal interfaces (there are 3 sub-interfaces / eth0.40, eth0.41, eth0.45).

None of those interfaces showed anything above 100+kbit/s.

When looking at the Flow Control chart, the traffic was listed as unclassified and they two bandwidth suckers were from Akamai.  Did a tcpdump on eth1 and saw the Akamai entires, but the source was the UTM.  Figured that was the case because it TCP/80 traffic.  So I did tcpdumps on the sub-interfaces and barely saw any traffic.

It's definitely only happening during business hours because the WAN isn't show hardly any traffic.

Would it best to disable the Web Proxy and monitor via the firewall logs?

I just wish the reporting was more accurate because while it says there was 30-35GB transferred that day, if you look at the Top 10 users it's nowhere near that.


This thread was automatically locked due to age.
Parents
  • 0
    srcport="80" dstport="49309" tcpflags="ACK PSH FIN"

    That's probably not what you're looking for, or do you mean that all of the traffic is
    srcip="23.72.83.51" dstip="10.41.1.155"
    ?

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson
    The 23.72.83.51 was the Top Server yesterday.  Almost 99% of the Top Servers were Apple related.  After looking up about the FWRULE number, some people mentioned that it went away once they changed the firewall rule for that specific interface to ANY.

    After I changed it to Any, the "Unclassified" traffic was now being shown as iTunes under Web Protection.

    Just to verify, I completely blocked iTunes under Application Control and rebooted the box.  After reboot, the bandwidth on the external interface was back to normal.  Literally, it would stay at 20Mbit/s for 6-8 hours straight before the change.

    My only concern is, even if I setup a rule in QoS, will it even make a difference if once their iPad can talk back to iTunes, it will try syncing or whatever it was doing?  So basically would that be considered traffic coming inbound, which in turn wouldn't make any difference because the rules would be for traffic going outbound?
Reply
  • 0 in reply to BAlfson
    The 23.72.83.51 was the Top Server yesterday.  Almost 99% of the Top Servers were Apple related.  After looking up about the FWRULE number, some people mentioned that it went away once they changed the firewall rule for that specific interface to ANY.

    After I changed it to Any, the "Unclassified" traffic was now being shown as iTunes under Web Protection.

    Just to verify, I completely blocked iTunes under Application Control and rebooted the box.  After reboot, the bandwidth on the external interface was back to normal.  Literally, it would stay at 20Mbit/s for 6-8 hours straight before the change.

    My only concern is, even if I setup a rule in QoS, will it even make a difference if once their iPad can talk back to iTunes, it will try syncing or whatever it was doing?  So basically would that be considered traffic coming inbound, which in turn wouldn't make any difference because the rules would be for traffic going outbound?
Children
No Data
Share Feedback
×

Submitted a Tech Support Case lately from the Support Portal?