This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

[BUG][8.001] Web Proxy not following Multipath rules

I currently have a 8.001 Virtual Appliance installed. I have it set up with 2 seperate internet connections and an internal ethernet connection. 

When I have multiple uplinks enabled they function as they should. I have created a rule in Multipath Rules to default specific traffic through a specific interface all the time unless that internet goes down.

I.e. I have an address 192.168.1.5 set to always use interface internet2 as its interface in Multipath rules.

This multipath rule work fines except for traffic going through the HTTP content filter. Any traffic from 192.168.1.5 going through the content filter (primarily http traffic) will always use the first uplink interfaces list. Since interface internet1 is the first available interface in the uplink list the content filter uses it. 

This causes problems for connections that work over multiple ports as it sends data from 1 external ip for traffic on port 80 but when it makes other connections on other ports it comes from a different ip since the multipath rule takes affect on all ports that arent going through the content filter. This in turn will cause certain internet services to malfunction due to the fact its expecting to hear back on a specific ip but the traffic is coming from the other ip.

Is there a way to make the HTTP content filter apply the multipath rules correctly?

Also, once I enable multiple uplink interfaces pings to any internet address seem to get an extra 30ms response time added on. Does a service directing traffic through multiple uplinks really cause that much extra lag time?


This thread was automatically locked due to age.
  • Hi, Deathly, and welcome to the User BB!

    In fact, what you are seeing is not a bug, but is performance as designed.

    Some "philosophy" first:
    • A key concept for virtually everything in Astaro is the "traffic selector."
    • Another key concept is that once a packet qualifies for a rule's traffic selector, no more rules in the list are considered.
    • In general, DNATs operate before Proxies are considered, then manually-created routes and packet filter rules, finally SNATs are applied.

    In the case of the HTTP/S Proxy, when the traffic leaves the proxy to go to the internet, the source IP of the packet is the IP of "External (Address)."  So, the traffic selector in your Multipath rule skips those packets, and the default behavior is to select the first uplink in the list.

    On the Features request site, I know there's a suggestion that each HTTP/S Profile have the option of using a specific IP, so you might want to vote for that.

    Maybe someone else knows aboutyour response-time question.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA