This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Time to solve the http proxy mystery

Astaro feels it's dns.  I'm thinking it's not. I could br wrong.  Let me tell you my configurations and we will go from there:

network commonalities:

Both networks are AD integrated.  Root hints are disabled on both AD machines. Both machines use opendns for their forwarders.  Both are on comcast.  Another client using opendns and another product with content filtering does NOT experience this issue.  Me and my client are on separate subnets of comcast but routing goes to the same initial router.  When this occurs traces show no loss or routing issues.  When this issue presents nslookups resolve correctly.  IPS is being used on both machines.

Network 1:  50 user home license:ASL 7.5x p-4 celey 2.53 2 gigs ram 80 gig hdd  intel/3com nics

AD is sbs 2008.  Forwarders are removed from Astaro.  DNS routing in Astaro points back to the AD server.(this is a recent change for troubleshooting this issue).  DNS forwarders inside of windows dns are 208.67.220.220 and 208.67.222.222.  http proxy is set to transparent with no https scanning.  Dual http scanning is on with 25 megs as the limit and i am using the content filter. Since i have made a recent change for troubleshooting this issue I will keep my opinion quiet for now.

Network two:  50 user home license:ASL 7.5x p-4 xeon 2.8 ghz HT, 2 gigs ram, 250 gig  HDD, 2 x Intel gig-e, 3com 3c905B

There are two networks on the Astaro.  The internal network(which is there Ad is located) and a guest wifi network(which uses the Astaro box for it's dns and dhcp).  These two networks are physically separate on separate nics with different ip ranges(192.168.22.x for internal and 192.168.100.x for guest).  AD is server 2003 standard.  DNS from Astaro is NOT routed back to AD.  AD is setup With Astaro as the forwarder.  Astaro forwarders are set to 208.67.220.220 and 208.67.222.222.   http proxy is set to transparent with no https scanning.  Dual http  scanning is on with 25 megs as the limit and i am using the content  filter.

symptoms on both are the same.  things will go swimmingly and then sites fail to load.  They RESOLVE but fail to load either at all or properly.  I then get connection refused errors or timeout errors from Astaro directly.  If i do a nslookup on the failed site dns resolves fine.  if i retry the request failure is a very repeatable occurrence.  When this issue first starting presenting i tried disabling http a/v with no success.  I have tried disabling ips in all facets with no resolution.

Resolution:  disable the content filtering by unchecking everything in allow mode or checking everything in deny mode...sometimes this fails to resolve the issue.

Resolution 2:  disable http proxy completely which always works.  Then sites load fine without issues.

Any questions...thoughts...requests?  I want to get this resolved..not just for me but for others who have had this issue since 7.x


This thread was automatically locked due to age.
  • Not at all.  I think there's a there's timing sensitivity in the category-checking process you won't have with tools like ping and other DNS lookups.  I wasn't getting Executive Reports from one customer, so I did a traceroute, had Cox bounce the router in front of them, and then started getting reports again.  The strange thing was that I could work in WebAdmin on their ASG.

    Anyway, it's clear we still haven't found the right question.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • Well considering this categorization error issue also props up and this is many folks across multiple continents i don't think it's a comcast issue.

    Owner:  Emmanuel Technology Consulting

    http://etc-md.com

    Former Sophos SG(Astaro) advocate/researcher/Silver Partner

    PfSense w/Suricata, ntopng, 

    Other addons to follow

  • I count you (US), ApsFalcon (US), Wingman (UK) and tech-user (Middle East).

    Can you guys run the following batch file to see if your Proxy problems coincide with a slowdown in time to reach the cff server your system uses?  Before you do this, open the HTTP Live Log and disable/enable to Proxy so you can see which server to replace cffs06 with - it's the one that responds the fastest.

    time /t >pingloop.txt
    :LOOP
    ping cffs06.astaro.com >>pingloop.txt
    time /t >>pingloop.txt
    goto LOOP


    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • when i restart it mine hits 1-10

    Owner:  Emmanuel Technology Consulting

    http://etc-md.com

    Former Sophos SG(Astaro) advocate/researcher/Silver Partner

    PfSense w/Suricata, ntopng, 

    Other addons to follow

  • Hi guys,
    I didn't run the test script. The server that responds fastest to my ASG is 10 by a  minimum factor of 9.

    10 responds in 60-70ms where the others respond in 648ms and larger.

    Ian M
  • At each restart, and then every 10 minutes thereafter, the Proxy pings all ten cff servers to see which one has the fastest response.  For the next ten minutes, that's the one it uses.  My goal with that batch file was to create an on-going record of response times in order to see if there was a correlation between the categorization failure and a slowed response time of the chosen server.

    CHeers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA