Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 29 replies
  • Subscribers 2 subscribers
  • Views 20790 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

DNAT Entries work for a short period, only a reboot enables them again

ChristopherRuh
Folks,

I have specific NAT entries for my home-use UTM9 software box running current firmware to allow Xbox LIVE traffic inbound through DNAT (for partying, matchmaking, etc).  I'm not sure if this happens to anyone else, but it seems that the DNAT rules get dropped from iptables prerouting after an unspecified period of time.  Only rebooting the firewall has re-instated them.  Disabling and re-enabling the rules in WebAdmin has no effect.  NAT Type on XBL stays Moderate until UTM9 is rebooted and only then does it report again as being Open.  In anywhere from a few hours to a few days time... without having changed any part of the firewall configuration it will flip back to Moderate.

Just to make sure we're all grasping what's going on, XBL requires four port and protocol combinations inbound to work reliably for Multiplayer.  Note: connecting to XBL never fails as this only requires ports to be open outbound.  So I have four individual DNAT rules to include two UDP and two TCP entries.  All rules have the box checked to implement a firewall rule automatically.

UDP 88 to External -> UDP 88 to Xbox
TCP 88 to External -> TCP 88 to Xbox
UDP 3074 to External -> UDP 3074 to Xbox
TCP 3074 to External -> TCP 3074 to Xbox

Has anyone else seen this behavior, either associated with XBL or otherwise under UTM 9?  I'm beginning to wonder if the feature for automatically adding a firewall rule for each NAT rule somehow gets pushed out of the firewall config after a certain amount of time.  To date I haven't tried creating the firewall rules manually.  Think I should and see how it goes?

Thanks for your time,

Chris


This thread was automatically locked due to age.
Parents
  • 0
    Well, it has been a few days and the translation rules haven't skipped a beat.  Thanks Bob, Barry, and Bruce for your assistance.  Barry, to answer your last question, yes, I only noticed the direction change from the iptables output after I changed the binding and modified the DNAT rule itself (for unnecessary arguments as stated before).
Reply
  • 0
    Well, it has been a few days and the translation rules haven't skipped a beat.  Thanks Bob, Barry, and Bruce for your assistance.  Barry, to answer your last question, yes, I only noticed the direction change from the iptables output after I changed the binding and modified the DNAT rule itself (for unnecessary arguments as stated before).
Children
  • 0 in reply to ChristopherRuh
    Gents,

    Still having the problem.  Discovered that regardless of what I do, I have to restart the middleware for the NAT entries to work (service mdw restart).  I've turned off IPS, Web Filtering, all proxying of any sort.  Changed all the rules to the least restrictive (using Any object now... shudder) configurations.  Had an IPSec tunnel to the buddy I'm testing it with and turned all that off too.

    Here's the kicker.  We both run Sophos UTM v9 (I converted him).  The problem happens to both of us and only remedies if we restart the firewall (or just the mdw service).  Obviously, we're restarting the mdw service manually now as that doesn't require a full reboot.

    If this isn't a bug, I don't know what it would be.  Just reset the service 20 minutes ago and all NAT types read Open.  Am I really the only one that plays 360 out there in Sophosland?  No one else has had a positive experience with adding DNAT rules for it?

    It's not my configuration.  That much is for sure.  After resetting the middleware on two separate v9s (one hardware one Hyper-V hosted) everything works flawlessly with ZERO changes to the config for a 12-24 hour period.  At that point, it needs to be rebooted or have the mdw service restarted.  Need help in submitting this to Sophos as a bug.  That's the only thing it could be.  I know I don't have support, but they still accept bug tracking from plain old home users right?