WAN Verbindung wird sporadisch geblockt - Updates nicht möglich

[Speedy2024]

Guten Morgen,

ich bin nun mal mit einer OpnSense gestartet.
Letztlich ist es keine unüberschaubare Konstellation. Die Server haben die OpnSense als Gateway hinterlegt. Diese hat das LAN und WAN Interface. Keine weiteren Geräte mehr dazwischen. Leider klappen Updates des Virenschutzes nicht, Windows Updates streiken. Aus meiner Sicht ist die Regel für ausgehenden Traffic (LantoWAN) hinterlegt. Ich kann auf das Internet zugreifen, aber einige Pakete werden in regelmäßigen Abständen geblockt.
Meinetwegen kann zu Testzwecken erstmal alles erlaubt sein (LANtoWAN). Es läuft nebenbei noch eine Site2Site Verbindung - ohne Probleme.

Hat jemand einen Denkanstoss?
Danke.

[Saarbremer]

Poste bitte deine Schnittstellenkonfiguration LAN, WAN, sowie alle Regeln (inkl. Überschrift, damit man erkennt was es ist) auf LAN und WAN. Ebenso etwaig benutzte Aliase.

[Speedy2024]

Hallo,

danke für die Rückmeldung.
Hier die gewünschten Daten:

[Speedy2024]

Noch weitere Screenshots.

[Speedy2024]

pic6

[Speedy2024]

Muss das splitten, da es sonst zu groß wäre.

[Saarbremer]

Also tatsächlich sieht es auf den ersten Blick korrekt aus. Ich denke, man müsste jetzt noch mehr testen, dennoch hier mal eine unvollständige Aufzählung, wann so ein vermeintlich falsches Verhalten passiert:

- Du hast die Firewallregeln erst kurz vorher geändert und die State Table nicht zurückgesetzt. (Firewall -> Diagnose -> Status -> Aktionen)
- Die Firewall States laufen zu schnell aus (Firewall -> Einstellungen -> Firewall-Optimierungen), dann passt der State der Serververbindung nicht mehr, falls die TCP Verbindung eigentlich noch stand. Hast du da was geändert?

Von der Konfiguration ist die IP-Adresse ordnungsgemäß im LAN zu finden und sollte durch die IPv4+6 * * * * * durchgelassen werden. Das Liveview zeigt, dass die Pakete am richtigen IF ankommen, aber geblockt werden.

Allerdings macht mich auch noch die Regel Quelle "IPSec Netzwerk" stutzig. Hast du in deinem LAN noch ein IPsec Gateway/Server stehen über das die Server rein kommen oder sind die direkt im LAN?

[Speedy2024]

Ich habe die Firewall prinzipiell in der Standard-Config gelassen. Das IPsecNetzwerk ist das über den Site2Site Tunnel.
Das Problem kann man auch reproduzieren. Sobald ich beim Eset Antivir auf Aktualisieren klicke, kommt die Meldung in der Firewall. Das Programm "rödelt" sich dann tot und nach einigen Minuten kommt die Meldung, dass das Update abgebrochen ist. 

Vielen Dank für Deine Bemühungen.

[Saarbremer]

Haben die per Site-2-Site erreichbaren Netzwerksegmente auch unterschiedliche IPs? Nur just in case.

BTW: Hast du noch einen anderen Router/Gateway im LAN? Das ganze könnte auch von assymetric Routing stammen. Zumindest ist da das Fehlerbild meist ähnlich.

[Speedy2024]

Ja, die andere Seite hat ein 192.168.x.x. Netz. Da sollte nicht kollidieren. Ein zweites Gateway gibt es auch nicht. Es ist eigentlich ein ganz simpler Aufbau.
Im Detail: 5 Server in der Cloud. Alle Server haben eine LAN und WAN NIC. Bei 4 Servern ist die WAN NIC deaktiviert und auf der LAN NIC als Gateway die OpnSense eingetragen. Diese ist der 5. Server mit aktivierter LAN und WAN NIC.

[Saarbremer]

Irgendwas stimmt da aber so gar nicht.

Die gezeigte Blockade ausgehenden Verkehrs an Port 443 an diverse IP Adressen sollte möglich sein, der einzige Grund für die Default Regel ist dann eine State Violation. Und diese sieht man auch in der Detailansicht (PIC_2): TCP Flags RA zeigen an, dass die Verbindung zurückgesetzt werden soll.

Tritt das Problem auch bei anderem HTTP(S) Traffic auf - oder nur bei Eset?

Du kannst auch noch versuchen dir Firewall Optimierung von normal auf Konservativ zu stellen. Erhöht den RAM Verbrauch, aber killt die TCP States seltener.

So aus dem Bild würde ich jetzt sagen, dass das Problem möglicherweise auch bei deinem Hoster liegen könnte. Wer weiß, wie der private Netzwerke realisiert.

[Speedy2024]

Es läuft jetzt. Nach Anpassung der MTU auf 1460 und MSS auf 1400, ging es sofort.

Besten Dank für die Hilfe.

[Saarbremer]

MTU

Hatte ich ausgeschlossen, weil....

Man sollte nie was a priori ausschließen.

[Speedy2024]

 
Du dachtest wohl, dass der ja nicht so blöd sein wird und das noch nicht geprüft hat...
Alles gut, jetzt läuft es ja.