Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 26 replies
  • Subscribers 2 subscribers
  • Views 16902 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

7.501 Strange Packet Filter behaviour

Suppentrulli
Hi Astaro,

i have a strange packet filter behaviour, maybe you can help me.

I'm trying to use my directly connected LDAP-server (ssl, port 636) for user-authentication in Astaro, but astaro always filters the packets.

ASG: 192.168.1.1
LDAP: 192:168.1.2

Rule #1:
Source:
192.168.0.0/24
192.168.1.0/24
192.168.2.0/24

Destination:
192.168.1.2/32
etc.

Service:
ICMP, 443, 53(tcp/udp), 636 etc.

Logfile: 
19:52:20 Default DROP TCP 192.168.1.1 : 42467 → 192.168.1.2 : 636 [SYN] len=60 ttl=64 tos=0x00 srcmac=00:30:18:aa:aa:aa dstmac=00:00:00:00:00:00

19:52:22 Default DROP TCP 192.168.1.1 : 42467 → 192.168.1.2 : 636 [SYN] len=60 ttl=64 tos=0x00 srcmac=00:30:18:aa:aa:aa dstmac=00:00:00:00:00:00  

 
With a dedicated rule with the firewall-interface 192.168.1.1 as source it is working, but not with 192.168.1.0/24. WHY?


This thread was automatically locked due to age.
  • 0 in reply to BAlfson
    ehm, well...
    Thanks for your help Bob
  • 0
    Geholfen? Ich habe da ja gar nix jemacht! [;)]

    Have you allowed ping and traceroute to transit the firewall ('ICMP' tab in 'Network Security >> Packet Filter')?

    Cheers - Bob
  • 0 in reply to BAlfson
    yes, your hint was very helpful.
    The service i tried to use seems to make a ICMP-ping before...
  • 0 in reply to Suppentrulli
    Ok guys, i have to reactivate my post. Again i have some problems with inter-site communication starting from an ASG.

    My configuration:

    ASG1 (local site):
    eth0: 172.16.0.1 (172.16.0.0/24)
    eth1: 172.16.1.1 (172.16.1.0/24)
    eth2: 172.16.2.1 (172.16.2.0/24)
    eth3: internet via PPPoE

    ASG2 (remote site):
    eth0: 172.17.0.1 (172.17.0.0/24)
    eth1: 172.17.1.1 (172.17.1.0/24)
    eth2: 172.17.2.1 (172.17.2.0/24)
    eth3: internet via PPPoE

    Both sites are connected with IPSec-tunnels including all subnets.

    From time to time it is not possible to reach remote destinations from a local ASG, clients on the local site do work.

    Example:
    172.16.0.10 => 172.17.1.10 works
    172.16.0.1 => 172.17.1.10 does not work

    The reason is, that SOMETIMES packets leaving ASG1 going across the VPN with the source-address of my PPPoE-interface, i.e. 217.83.***.***, and for that reason routing on the remote site does not work.

    If the source is a local nic, i.e. eth1, connections do work.

    My questions:
    - which adapter does ASG choose as source-address or is it chosen randomly?
    - is there a solution for my problem?
  • 0
    From time to time it is not possible to reach remote destinations from a local ASG, clients on the local site do work.

    Example:
    172.16.0.10 => 172.17.1.10 works
    172.16.0.1 => 172.17.1.10 does not work

    The reason is, that SOMETIMES packets leaving ASG1 going across the VPN with the source-address of my PPPoE-interface, i.e. 217.83.***.***, and for that reason routing on the remote site does not work.

    If the source is a local nic, i.e. eth1, connections do work.

    I don't understand how you would have traffic originating from one of the Astaro local interfaces unless you have a NAT rule.  Have you checked those?  That sounds like the same thing with the 217.83.***.*** problem.

    If you can't find it, then it seems like you've found a bug, and I would suggest submitting a ticket to Astaro Support.

    Cheers - Bob
    PS You might want to edit the subnets in the remote site above - you put 16 instead of 17.
  • 0 in reply to BAlfson
    Hi BAlfson,

    i'm not sure if i got you right: i have masquerading-rules for each of the local networks eth0,eth1,eth2 for the internet-nic eth3. No further NAT-rules.

    The problem is, that outgoing connections (via vpn) have random source-addresses.

    In my packet-filter i see only 217.83.***.*** => 172.17.2.2:636
  • 0
    The problem is, that outgoing connections (via vpn) have random source-addresses.

    In my packet-filter i see only 217.83.***.*** => 172.17.2.2:636

    I guess it's not clear to me where you see these things.

    Cheers - Bob
  • 0 in reply to BAlfson
    I see it in my packetfilter-logfile or live-log:

    Yesterday: 
    19:49:44 Default DROP TCP 217.83.x.x : 49647 

     → 172.17.2.2 : 636 

     [SYN] len=56 ttl=64 tos=0x10 srcmac=00:00:00:00:00:00 dstmac=00:00:00:00:00:00 

    19:49:47 Default DROP TCP 217.83.x.x: 49647 

     → 172.17.2.2 : 636 

     [SYN] len=56 ttl=64 tos=0x10 srcmac=00:00:00:00:00:00 dstmac=00:00:00:00:00:00 

    19:49:53 Default DROP TCP 217.83.x.x: 49647 

     → 172.17.2.2 : 636 

     [SYN] len=56 ttl=64 tos=0x10 srcmac=00:00:00:00:00:00 dstmac=00:00:00:00:00:00 

    19:50:05 Default DROP TCP 217.83.x.x: 49647 

     → 172.17.2.2 : 636 

     [SYN] len=56 ttl=64 tos=0x10 srcmac=00:00:00:00:00:00 dstmac=00:00:00:00:00:00 

    19:50:29 Default DROP TCP 217.83.x.x: 49647 

     → 172.17.2.2 : 636 

     [SYN] len=56 ttl=64 tos=0x10 srcmac=00:00:00:00:00:00 dstmac=00:00:00:00:00:00


    Today: 
    20:24:55 Packet filter rule #2 TCP 172.16.2.1 : 33451 

     → 172.17.2.2 : 636 

     [SYN] len=56 ttl=64 tos=0x10 srcmac=00:00:00:00:00:00 dstmac=00:00:00:00:00:00


    As you can see, today everything is working fine, yesterday not.
  • 0
    OK, but I still don't understand where these files come from - ASG1 or ASG2?  Also, please post the full packet filter log entries as they contain more information.

    Cheers - Bob
  • 0 in reply to BAlfson
    Hi BAlfson,

    the entries come from ASG1:

    Today (not working): 
    2010:02:20-12:41:28 *** ulogd[3269]: id="2001" severity="info" sys="SecureNet" sub="packetfilter" name="Packet dropped" action="drop" fwrule="60003" seq="0" initf="unknown" outitf="ipsec0" dstmac="00:00:00:00:00:00" srcmac="00:00:00:00:00:00" srcip="217.83.***.***" dstip="172.17.2.2" proto="6" length="56" tos="0x10" prec="0x00" ttl="64" srcport="35418" dstport="636" tcpflags="SYN" 

    2010:02:20-12:41:31 *** ulogd[3269]: id="2001" severity="info" sys="SecureNet" sub="packetfilter" name="Packet dropped" action="drop" fwrule="60003" seq="0" initf="unknown" outitf="ipsec0" dstmac="00:00:00:00:00:00" srcmac="00:00:00:00:00:00" srcip="217.83.***.***" dstip="172.17.2.2" proto="6" length="56" tos="0x10" prec="0x00" ttl="64" srcport="35418" dstport="636" tcpflags="SYN" 

    2010:02:20-12:41:37 *** ulogd[3269]: id="2001" severity="info" sys="SecureNet" sub="packetfilter" name="Packet dropped" action="drop" fwrule="60003" seq="0" initf="unknown" outitf="ipsec0" dstmac="00:00:00:00:00:00" srcmac="00:00:00:00:00:00" srcip="217.83.***.***" dstip="172.17.2.2" proto="6" length="56" tos="0x10" prec="0x00" ttl="64" srcport="35418" dstport="636" tcpflags="SYN" 

    2010:02:20-12:41:49 *** ulogd[3269]: id="2001" severity="info" sys="SecureNet" sub="packetfilter" name="Packet dropped" action="drop" fwrule="60003" seq="0" initf="unknown" outitf="ipsec0" dstmac="00:00:00:00:00:00" srcmac="00:00:00:00:00:00" srcip="217.83.***.***" dstip="172.17.2.2" proto="6" length="56" tos="0x10" prec="0x00" ttl="64" srcport="35418" dstport="636" tcpflags="SYN" 


    Yesterday (working): 
    2010:02:19-20:24:55 *** ulogd[3269]: id="2002" severity="info" sys="SecureNet" sub="packetfilter" name="Packet accepted" action="accept" fwrule="2" seq="0" initf="unknown" outitf="ipsec0" dstmac="00:00:00:00:00:00" srcmac="00:00:00:00:00:00" srcip="172.16.2.1" dstip="172.17.2.2" proto="6" length="56" tos="0x10" prec="0x00" ttl="64" srcport="33451" dstport="636" tcpflags="SYN" 


    The thing is, that i use my ASG1 to authenticate users with ActiveDirectory on remote site (172.17.2.2)