Seltsames / DNS / Netzwerkproblem

[leo-ehk]

Hallo zusammen,

wir haben seit kurzem eine OPNSense als kleine virtualisierte RZ Firewall.
Leider haben wir seitdem ein sporadisches Netzwerkproblem.

Zum Aufbau: RZ (OPNSense Firewall) - IPSEC S2S - Headquarter ( Firewall) -  MS DNS Server


Grundsätzlich funktionieren Nslookup und auch ping im Headquarter auf den DNS Namen.
Leider funktionieren aber keine SMB Shares und auch kein RDP via Namen und teilweise sogar über IPs nicht richtig. Es kommen Fehler wie "Konnte nicht zugegriffen werden bei SMB) oder ( Ein interner Fehler ist aufgetreten bei RDP) Seltsamerweise funktioniert der Zugriff von manch anderen Rechnern im Hauptstandort.

Hat vielleicht jemand einen Tipp, wo ich am besten mit der Suche anfange `?   

Vielen Dank!

[chemlud]

Ich habe 3 sensen, von denen jeweils 2 über openvpn verbunden sind. an einem standort kann ich mit einem browser auf beide remote opnsense (GUI) zugreifen, mit einem anderen browser nur auf eine, die andere wirft einen SSL fehler. An einem anderen rechner gehen die selben browser für den zugriff auf beide GUIs nicht (selbe version).

zwischen den beiden opnsensen ist ein wireguard, darüber läuft es mit den selben browsern einwandfrei.

seit wochen (monaten?) versuche ich mir einen reim da drauf zu machen, ohne erfolg. updates der browser haben bisher nicht geholfen.

[zerwes]

Von wo funktioniert nun was nicht so richtig? Vom RZ -> HQ?
Hier wären da die DNS Config der Geräte nicht ganz uninteressant ... ist die opn box als forwarder mittels dnsmasq oder unbound involviert?
Und natürlich FW Regeln auf der OPN und der HQ FW ...
Wenn ja, dann würde ich mal auf der opn box auf dem internen iface mittels tcpdump od.     Interfaces: Diagnostics: Packet Capture bei einem Verbindungsaufbau mal mitlauschen und prüfen was da schief geht oder im nichts landet ...

[leo-ehk]

Hallo Zerwes,

vielen Dank für die Annahme des Problems.

Aus dem RZ funktioniert alles. Aktuell sind die DNS Server vom HQ eingetragen, welche problemlos funktionieren. Genauso gut habe ich Unbound DNS als Forwarder konfiguriert. Wenn ich die OPNSense als DNS Server nutze, so forwardet die korrekt.

Was mir aufgefallen ist auf dem FW Log, dass Anfragen mit Port 443 geblockt werden.
Bspw. der ESX Server vom HQ aus aufgerufen funktioniert nur zur Hälfte die Weboberfläche.
Vielleicht liegt da der Hund begraben.

Vielen Dank!

[zerwes]

Anhand nur der einen Zeile kann ich zwar nur mutmaßen aber in der Regel sind das nur callbacks z.B. mit RST flag die da geblockt werden (oft komisches Verhalten der Applikationen ...), ergo nicht mal wirklicher Traffic  ... das sollte IMHO nicht das große Problem sein, insofern davon nicht ganz viele im Log vorbeirauschen ...
Genauere Diagnose ist ohne exakte Beschreibung echt schwierig ...
Du müsstest schon etwas genauer beschreiben als "nur zur Hälfte die Weboberfläche" ... HTTP(S) funktioniert oder nicht, aber halbe Zustände kennt es IMHO nicht ... es sei denn dein VPN ist mehr als instabil und hat vielleicht noch MTU Probleme ...
Also: analysieren, auf den Kern herunterbrechen und dann kann wird einem in der Regel recht gut geholfen ...
BSP: analysiere mal den traffic mit tcpdump/wireshark wenn alles wie erwartet funktioniert und dann mit den Problemen. Mitschnitte vergleichen und schon hat man oft das Problem geknackt ...

[chemlud]

Ich hatte letzthin eine GUI im Browser, da funktionierte kein Script, alles sah sehr zerrissen aus und unstrukturiert. Ich musste dann (iirc) eine allow rule auf https der IP der opnsense machen, danach wurde die Oberfläche korrekt angezeigt. Wie ich ohne diese Regel die GUI überhaupt erreicht habe (durch opnVPN tunnel) und user name und password eingeben konnte, ist mir auch ein Rätsel...

[leo-ehk]

Hallo zusammen und vielen Dank für die ganzen Infos.
ich habe das Ganze jetzt mal noch von einer anderen Seite her betrachtet und habe so die Vermutung, dass das vielleicht mit unserer Veeam BackupSoftware zu tuen hat. 

Fakt ist, wenn ich unseren Backupserver durchstartet oder wie gerade gestetet, bloß den Netzwerkadapter deaktiviere und aktiviere, gibt es sofort wieder Zugriff auf den Server. Bei der VM dreht es sich um ein Veeam Backupproxy, welcher im RZ verwendet wird. Nach 3 Replikationen, schlägt mitten im Job der Task fehl und ab dann ist vom Veeam Server zwar noch ein Ping möglich, aber weder SMD, noch RDP funktionieren. NAch Neustart des Adapters gibt es keine Probleme mehr. Das klingt doch eher nach einem Problem
, welches durch Veeam auf dem Backupserver verursacht wird oder?  Vielen Dank und Grüße