Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 2 replies
  • Subscribers 2 subscribers
  • Views 874 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Why so many dropped packets?

logikgr
I am a new to Sophos UTM 9.1 user. I had used Astaro, but very briefly, although I find both to be almost identical. My concern and question is this:

I am running a server behind my network. The server runs a service on port: 50312, and I believe that I have followed the steps correctly for Service Definition, Firewall, and DNAT with Automatic Firewall rules for each WAN interface. I know I can consolidate both rules into one with Uplink Interfaces, but I want to have control to turn one or the other off. 

I am able to receive connections and upload data. However, when I check the Firewall Livelog, I can see UDP port 50312 DROPs constantly, in fact, 94% of dropped packets are from this server to internet addresses. I noticed that if I defined a Service as UDP 50312->65535, then I no longer have dropped UDP packets. I am only running the Firewall service and Anti-Portscan.

Topology:
Server (50312) -> Dumb Gig Switch -> UTM -> WAN Interfaces

Service Definitions:
First: TCP/UDP  1:65535 -> 50312
Second: UDP 50312 -> 1:65535 (When this definition is removed, I get all the UDP drops)

Firewall:
Internal Network -> Service Definitions -> Any

NAT:
DNAT 1 w/ Auto FW rule: Any -> TCP/UDP: 50312 -> WAN1 (Address)
Destination: Server Host Definition (DHCP Reserved)
Service: Blank

DNAT 2 w/ Auto FW rule: Any -> TCP/UDP: 50312 -> WAN2 (Address)  
Destination: Server Host Definition (DHCP Reserved)
Service: Blank

Live Log:

11:38:46 	Default DROP 	UDP 	
10.0.1.30 : 50312 -> 109.x.x.35 : 11682
len=86 	ttl=63 tos=0x00 srcmac=x:x:x:x:x[:D]7 dstmac=x:x:x:x:x:51 (This MAC is WAN1)

11:38:52 	Default DROP 	UDP 	
10.0.1.30 : 50312 -> 121.x.x.143 : 22055
len=86 	ttl=63 tos=0x00 srcmac=x:x:x:x:x[:D]7 dstmac=x:x:x:x:x:51

11:38:52 	Default DROP 	UDP 	
10.0.1.30 : 50312 -> 	83.x.x.85 : 50535
len=86 	ttl=63 tos=0x00 srcmac=x:x:x:x:x[:D]7 dstmac=x:x:x:x:x:51


My questions are:
Is this DROP behavior normal, and should I remove the second service definition?

Should I keep the second service definition?

Why does it occur on dstmac for WAN1 Interface?


This thread was automatically locked due to age.
Parents
  • 0
    Hi, and welcome to the User BB!

    There are several confusing things here...  

    IF the client at 83.x.x.85 sent a TCP message, I don't understand why your server would respond with UDP.  If you then allow a UDP response with your second firewall rule, I don't understand why the client's firewall would allow the packet or know where to send it in its LAN.  Do you know that the clients get what they need with that second rule in place?

    If the client sent a UDP packet, then it seems strange that ip_conntrack_udp_timeout would have been exceeded inside your own network.  Do you know for certain that there's no problem with delay inside your LAN?

    Finally, the Firewall Live Log is the only one that's formatted differently from the corresponding log file.  The Live Log is good for spotting a problem, but the additional information in the actual file is needed to learn why the problem is occurring.  Please show the line from 11:38:52 for 83.x.x.85.

    Cheers - Bob
  • 0 in reply to BAlfson
    Thank you for your quick response and for pointing me to the full logs. I didn't realize that there was so much more information in there. There were two conflicting service rules! Now it's just a matter of updating the access ports on the clients.
Reply
  • 0 in reply to BAlfson
    Thank you for your quick response and for pointing me to the full logs. I didn't realize that there was so much more information in there. There were two conflicting service rules! Now it's just a matter of updating the access ports on the clients.
Children
No Data