Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 29 replies
  • Subscribers 2 subscribers
  • Views 20787 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

DNAT Entries work for a short period, only a reboot enables them again

ChristopherRuh
Folks,

I have specific NAT entries for my home-use UTM9 software box running current firmware to allow Xbox LIVE traffic inbound through DNAT (for partying, matchmaking, etc).  I'm not sure if this happens to anyone else, but it seems that the DNAT rules get dropped from iptables prerouting after an unspecified period of time.  Only rebooting the firewall has re-instated them.  Disabling and re-enabling the rules in WebAdmin has no effect.  NAT Type on XBL stays Moderate until UTM9 is rebooted and only then does it report again as being Open.  In anywhere from a few hours to a few days time... without having changed any part of the firewall configuration it will flip back to Moderate.

Just to make sure we're all grasping what's going on, XBL requires four port and protocol combinations inbound to work reliably for Multiplayer.  Note: connecting to XBL never fails as this only requires ports to be open outbound.  So I have four individual DNAT rules to include two UDP and two TCP entries.  All rules have the box checked to implement a firewall rule automatically.

UDP 88 to External -> UDP 88 to Xbox
TCP 88 to External -> TCP 88 to Xbox
UDP 3074 to External -> UDP 3074 to Xbox
TCP 3074 to External -> TCP 3074 to Xbox

Has anyone else seen this behavior, either associated with XBL or otherwise under UTM 9?  I'm beginning to wonder if the feature for automatically adding a firewall rule for each NAT rule somehow gets pushed out of the firewall config after a certain amount of time.  To date I haven't tried creating the firewall rules manually.  Think I should and see how it goes?

Thanks for your time,

Chris


This thread was automatically locked due to age.
Parents
  • 0
    Barry,

    I will if you still want me to post them, but I don't think the outgoing rules will be helpful.  Think about it logically.  I shouldn't have to have an outbound rule for return traffic as the Sophos should have an entry in its connection table once the inbound connection hits the DNAT rule.  I of course have outbound rules, but they're no more stringent than my DNAT rules and connectivity to XBL from my Xbox is fine 100% of the time.  It really is just the outside world connecting inbound.  Let me know if you still want me to post them.  I guess I would still be curious to see what you come up with!

    I've noticed that you guys seem to harp on not applying objects to particular interfaces.  I do this all the time in Sidewinder (assigning objects to burbs).  Is this frowned upon because Sophos has a hard time with it or because most end users have trouble understanding the implications behind it?

    Thanks for sticking it out.  Still pretty new to Astaro/Sophos and I have a few questions about its intricacies.

    Chris
  • 0 in reply to ChristopherRuh
    Barry,

    I will if you still want me to post them, but I don't think the outgoing rules will be helpful.  


    I'm just wondering, like Bob, if there's anything unusual in your configuration.

    Also, please say if you're using Masquerading or SNAT or ? for your outbound traffic.

    Barry
  • 0 in reply to BarryG
    Bob,

    Loud and clear.  I see where you're coming from, but am having trouble understanding why the option is even there...  Whatever, I'm going to check my objects and remove any interface bindings and let you know if that fixes me up.  Will also do a before and after iptables inspection to see how the rules differ with them removed!

    Barry,

    Masquerading.

    Thanks!

    Chris
Reply
  • 0 in reply to BarryG
    Bob,

    Loud and clear.  I see where you're coming from, but am having trouble understanding why the option is even there...  Whatever, I'm going to check my objects and remove any interface bindings and let you know if that fixes me up.  Will also do a before and after iptables inspection to see how the rules differ with them removed!

    Barry,

    Masquerading.

    Thanks!

    Chris
Children
No Data