Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 6 replies
  • Subscribers 2 subscribers
  • Views 990 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Connection using NAT. Help?

ggbrown
I've been banking my head against the wall on this for far too long, and am looking for some help.

I have two external (public) IP addresses, and two internal web servers. Our internal network contains addresses of the 192.168.***.*** variety.

Each of the external IP's is bound to an interface called External and External2.

With packet filter rules and DNAT rules in place, traffic from the External interface is routed to one of our webservers without issue. Here is an example from the Live Log (which shows up in green):

Packet filter rule #21  TCP 205.200.189.2:55992 → 192.168.219.12:80

where PF rule #21 has:
source: any
Service: http
destination: MainWebserver

For our second webserver (on a separate public IP), the live log shows:

Connection using NAT  TCP  24.79.100.130:33974 → 24.79.93.182 : 80

This shows as a Grey line, followed by:

Packet filter rule #19  TCP  24.79.100.130 : 33974 → 192.168.219.124 : 80

showing in green, and I am served pages as expected.

The problem:

SOME of our site visitors, specifically those in government agencies, receive "It says request timed out" errors trying to access second webserver on the External2 interface. This is also the same one that results in the "Connection using NAT" entries in the Live Log.  I can only assume there is a relationship between the additional log entry, and the time out issues some of our visitors have. 

ANY guidance or education here would be most appreciated. 

Grant


This thread was automatically locked due to age.
Parents
  • 0
    Hi,

    I believe the connection using nat log entry is an option you select when you create the dnat rule. 

    Have you made a SNAT rule for the 2nd server so the source is coming from external2?

    It may be something else if it is only not working for some people, I would also check IPS logsif you have that running.
Reply
  • 0
    Hi,

    I believe the connection using nat log entry is an option you select when you create the dnat rule. 

    Have you made a SNAT rule for the 2nd server so the source is coming from external2?

    It may be something else if it is only not working for some people, I would also check IPS logsif you have that running.
Children
  • 0 in reply to dilandau
    dilandau,

    Thanks for the reply. You are correct about the log entry option. I had "initial packets are logged" checked for the 2nd server.

    I have not made an SNAT rule for the 2nd server. In fact, I don't have any SNAT rules since I confess, I don't fully understand them.

    I took a stab at creating an SNAT rule, but honestly...I'm guessing. I couldn't find an SNAT example anywhere in the docs of kb. The rule I created is configured as follows:

    Traffic Source: External2
    Traffic Service: HTTP
    Traffic Destination: Webserver2

    NAT Mode: SNAT (Source)

    Source: Webserver2
    Source Service: HTTP

    Am I close?

    Thanks,
    Grant

    Hi,

    I believe the connection using nat log entry is an option you select when you create the dnat rule. 

    Have you made a SNAT rule for the 2nd server so the source is coming from external2?

    It may be something else if it is only not working for some people, I would also check IPS logsif you have that running.