Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 30 replies
  • Subscribers 2 subscribers
  • Views 49501 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

FW dropping ACK, RST/ACK & FIN/ACK packets though packets are from valid sessions

Jim Tagert
Does the ASG function in this manner?

When the firewall receives a TCP RST for an existing session it immediately clears the session from the session table. This means there is no longer a valid session for the TCP RST/ACK to pass through. Hence, the firewall will treat the TCP RST/ACK as a non-SYN first packet and drop it.



Thanks,

Jim


This thread was automatically locked due to age.
Parents
  • 0
    Hi Bob,
    Although both situations have the solution of adding a packetfilter rule, this wasn't really the same problem.

    In this case, these are VALID http sessions, but Astaro's tcp connection tracker times out the session before the browser does, and when the browser tries to do another http request, it tries to 'renew' the same tcp connection, but Astaro's connection tracker already forgot about it, so Astaro logdrops the packet.
    For me, this was causing Astaro's logs to fill up with over 300,000 entries per day!

    Barry
Reply
  • 0
    Hi Bob,
    Although both situations have the solution of adding a packetfilter rule, this wasn't really the same problem.

    In this case, these are VALID http sessions, but Astaro's tcp connection tracker times out the session before the browser does, and when the browser tries to do another http request, it tries to 'renew' the same tcp connection, but Astaro's connection tracker already forgot about it, so Astaro logdrops the packet.
    For me, this was causing Astaro's logs to fill up with over 300,000 entries per day!

    Barry
Children
No Data