Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 20 replies
  • Subscribers 1 subscriber
  • Views 10821 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Categorization Failed

ApsFalcons
We continue to see random times where the proxy goes into a slow down mode and the responses in the logs say "Categorization Failed" which usually leads to "Connection Refused".  Astaro support just says the problem is upstream and there is nothing they can do on the appliance end.  Their categorization servers are located all over and should fail over to the fastest server that responds the quickest.  Yet, during these slow periods our internet outside proxy works just fine?  We've been around and around with support on this issue and are quite frustrated.  Anybody seeing the same "categorization failed" messages?


This thread was automatically locked due to age.
Parents
  • 0
    It's not constant..it's intermittent.  I have two installations on that don't fail at the same time..they both use opendns and they both are linked into AD.  If it were a dns problem internally simply removing the machines from AD and clearing the dns links would do it..it never does.  If it was internal dns i would not be able to resolve internal FQDN's when this occurs..i can.  I can also resolve external FQDN's when this issue occurs.  The only thing that fails in the http transaction itself.  That's not DNS that's not IPS.  I have also disabled ALL ips features when this occurs..that does not solve the issue...not an IPS problem.  The only thing that fixes it is either turning off content filtering(CFF) or disabling the http proxy altogether(that's a big hammer).  I've seen it when using the isp dns servers AND when using opendns..so it's not those dns servers either.  The only thing i have not done is try to ping and trace the cff servers when this occurs...i will next time.

    Owner:  Emmanuel Technology Consulting

    http://etc-md.com

    Former Sophos SG(Astaro) advocate/researcher/Silver Partner

    PfSense w/Suricata, ntopng, 

    Other addons to follow

  • 0 in reply to William Warren
    The only thing i have not done is try to ping and trace the cff servers when this occurs...i will next time.


    That is EXACTLY where the problem is.  Support says the box is supposed to check ping times every 10 minutes. We have found that is NOT the case.  Plus, some of these ping times are absolutely horrible and would definitely lend credence to the fact that their categorization lookup systems are NOT reliable at all.

    We DID some ping and traceroute tests and only have a FEW of their cffs servers that respond in a timely fashion.  Over half respond in times greater than 100ms.  Once you get over and above those types of ping times, it is BOUND to fail.
Reply
  • 0 in reply to William Warren
    The only thing i have not done is try to ping and trace the cff servers when this occurs...i will next time.


    That is EXACTLY where the problem is.  Support says the box is supposed to check ping times every 10 minutes. We have found that is NOT the case.  Plus, some of these ping times are absolutely horrible and would definitely lend credence to the fact that their categorization lookup systems are NOT reliable at all.

    We DID some ping and traceroute tests and only have a FEW of their cffs servers that respond in a timely fashion.  Over half respond in times greater than 100ms.  Once you get over and above those types of ping times, it is BOUND to fail.
Children
  • 0 in reply to ApsFalcons
    The reason some of those content filter category servers have such high ping times is that some of them are located on an entirely different continent than you are on... hence the Astaro's constant (mine, and our customers, units do it many, many times a day) check on the ping times to the various servers.  It uses that data to determine in which order to access content filter category servers; so, just becuase some of the servers show high ping times in the log doesn't mean they are "not reliable."

    I can say I have not seen an issue as you describe yet (and we have more than 30 customers running this solution)... maybe there is a hardware issue of sorts going on.

    All this said, I am a proponent of hosting the category database locally on the Astaro Appliance itself, with updates retrieved from up2date servers to keep the category database updated...  It would increase performance, and reduce issues due to intermittent internet connectivity on the Internet that could result in the category servers being temporarily unavailable.  I believe you can vote for that feature request at Astaro Gateway Feature Requests.

    CTO, Convergent Information Security Solutions, LLC

    https://www.convergesecurity.com

    Advice given as posted on this forum does not construe a support relationship or other relationship with Convergent Information Security Solutions, LLC or its subsidiaries.  Use the advice given at your own risk.