Problemen met Citrix verbinding over IP-VPN

[nextware]

Situatie:

Een locatie in het zuiden des lands maakt via een Versatel IP-VPN verbinding met ons hoofdkantoor. Over deze IP-VPN verbinding worden er Citrix sessies opgebouwd. De citrix servers staan hier op het hoofdkantoor.

Probleemomschrijving:

Zodra mensen op de nevenlocatie inloggen, krijgen ze (zoals iedereen in de organisatie) onze intranet pagina te zien, waarop allerlei informatie wordt getoond.
De sessie loopt op dit moment dan muurvast. Je ziet onder in de statusbalk van internet explorer (6) dat hij bezig met het downloaden van afbeelding <naam afbeelding>
Hier blijft het scherm dan 2 a 3 minuten compleet bevroren staan. Je kunt proberen om internet explorer af te sluiten of om bijvoorbeeld op de startknop te drukken, maar er reageert helemaal niets.

Na 2 a 3 minuten worden dan ineens al je bewerkingen achter elkaar uitgevoerd..
Zodra dan internet explorer is afgesloten, werkt de rest van de applicaties (Outlook, Word, registratieprogramma's, etc) als een trein.

Het probleem met het vastlopen van de internet explorer sessie is alleen op deze locatie. Op alle andere locaties treedt dit probleem niet op

Ook als medewerkers laten een sessie van internet explorer openen, loopt het hele boeltje op de sessie weer vast ( sessie = gebruikerssessie )

Overige info:
- Windows 2003 Servers
- Citrix Metaframe Presentation Server 4.0 incl. alle updates
- Verbinding op de nevenlocatie: 4 x 512 kbit gestapelde lijnen ( 512 is max snelheid op locatie )
- 3com 4250 switch op locatie
- HP t5520 thin clients op locatie

Uitgevoerd:
- Router laten vervangen door Versatel
- UTP kabel vervangen tussen router en switch op locatie
- Lijn laten doormeten op evt onderbrekingen
- Probe machine geplaatst op locatie. Deze geeft ook geen onderbrekingen aan
- De poort op de 3com switch waar de router op is gekoppeld op 100Mbit auto gezet. Daarna op 100Mbit FD gezet. Maakt geen verschil

Het probleem treedt dus zuiver alleen op wanneer de medewerkers een internet explorer sessie openen. Dan loopt hun sessie voor 2 a 3 minuten compleet muurvast. Nadien werkt het wel naar behoren.

Op dit moment hebben wij de KB van Microsoft en Citrix al doorgespit, maar wij hebben geen oplossing voor ons probleem kunnen vinden.

Nou zou je zeggen: haal die intranet pagina bij het opstarten weg, maar aangezien het een beleidsinstelling van hogerhand is, kunnen we hier niets aan veranderen.

Wellicht dat er iemand van jullie nog een mogelijke oplossing voor handen heeft ?
Mocht er meer info nodig zijn, dan hoor ik het graag !!

[ Voor 3% gewijzigd door nextware op 16-05-2007 09:27 ]

[Qwerty-273]

Treedt het probleem ook op als men vanaf een andere locatie inlogt, met de gebruikersgegevens van een werknemer op de 'probleem locatie'? Dan zou je het eigenlijk direct moeten zoeken in de instellingen die van toepassing zijn op die bepaalde locatie.

[nextware]

Qwerty-273 schreef op woensdag 16 mei 2007 @ 09:38:
Treedt het probleem ook op als men vanaf een andere locatie inlogt, met de gebruikersgegevens van een werknemer op de 'probleem locatie'? Dan zou je het eigenlijk direct moeten zoeken in de instellingen die van toepassing zijn op die bepaalde locatie.

Dat is dus niet het geval.
Als ik hier op het hoofdkantoor inlog ( mijn standaard werkplek ) gaat het goed. Als ik dan op die locatie inlog, gaat het fout.

Maar het rare is dat alle instellingen voor iedereen in het netwerk gelijk zijn. Daarom zijn we ook zo stom verbaast dat het probleem alleen op die locatie optreedt. Om die redenen zijn we ook een hele tijd met Versatel bezig geweest omdat we dachten dat het probleem in de verbinding zou liggen.

[ Voor 8% gewijzigd door nextware op 16-05-2007 09:44 ]

[Flyduck]

Het is mij niet helemaal duidelijk of het nou om de lokale IE gaat op de thin client, of om de IE binnen de terminal sessie?

Mocht het binnen een sessie zijn, wat gebeurd er als je een "hangende sessie" overneemt vanaf een andere locatie?

[ Voor 32% gewijzigd door Flyduck op 16-05-2007 14:50 ]

[Equator]

HP t5520 thin clients op locatie

IE binnen de sessie dus

@TS:
En als je op lokatie met een laptop met ICA client de verbinding opzet, heb je dan dezelfde problemen

[ Voor 44% gewijzigd door Equator op 16-05-2007 15:04 ]

[Flyduck]

Equator schreef op woensdag 16 mei 2007 @ 15:02:
[...]

IE binnen de sessie dus

Die thin client heeft ook een lokale browser.

[TrailBlazer]

ik denk dat je eens moet gaan sniffen op je intranet server. Ik weet niet hoe het precies werkt. Maar het zal een sessie zijn vanaf je citrix server naar je intranet server. Ook sniffen op je citrix server kan verhelderen zijn. Probeer er eens achter te komen of je iets geks ziet. Ik heb het idee dat het een MTU sessie is die misgaat probeer eens te pingen met wat grotere packet sizes.

[Flyduck]

TrailBlazer schreef op woensdag 16 mei 2007 @ 15:17:
Ik heb het idee dat het een MTU sessie is die misgaat probeer eens te pingen met wat grotere packet sizes.

Dit heb ik ook meegemaakt, de MTU size was aangepast in verband met VOIP, maar daardoor werkte RDP niet meer.

[TrailBlazer]

Flyduck schreef op woensdag 16 mei 2007 @ 15:43:
[...]


Dit heb ik ook meegemaakt, de MTU size was aangepast in verband met VOIP, maar daardoor werkte RDP niet meer.

yep ik ook toen beheerde ik echter een MPLS netwerk. Ook allemaal gezeur met Citrix geloof ik. Toen was er een trunk in de core aangepast en ging fragmentation de mist in.

[Verwijderd]

Het gaat binnen IE fout, dus we praten over http / https verkeer?
Binnen het IP vpn van versatel misschien een stukje QOS oid over bovenstaande protocollen (wat niet goed zou functioneren)??.

Als je een published applicatie start via de PN agent werkt alles dan wel perfect?

/edit: je kunt misschien beter een desktop starten dan wordt er meteen een ICA sessie gestart.

[ Voor 21% gewijzigd door Verwijderd op 16-05-2007 17:40 ]

[Abom]

Ten eerste moet je het geheel eens op jouw lokatie testen, maar dan met een account van een user uit de andere vestiging.

Je zou ook nog eens kunnen kijken naar je speedscreen settings.

Hoe werkt een sessie over RDP ipv ICA?

[ Voor 10% gewijzigd door Abom op 16-05-2007 18:31 ]

[Koffie]

Verwijderd schreef op woensdag 16 mei 2007 @ 17:27:
Het gaat binnen IE fout, dus we praten over http / https verkeer?
Binnen het IP vpn van versatel misschien een stukje QOS oid over bovenstaande protocollen (wat niet goed zou functioneren)??.

Als je een published applicatie start via de PN agent werkt alles dan wel perfect?

/edit: je kunt misschien beter een desktop starten dan wordt er meteen een ICA sessie gestart.

We hebben het toch over het 'hangen' van IE binnen een ICA sessie ?
Hoe in vredesnaam weer die VPN dan dat er http / https gepraat wordt ? Het enige wat die doet is het ICA pakket over de lijn duwen.

Even dus voor alle zekerheid de volgende feiten:

- Citrix server op hoofdlocatie
- TC's op hoofdlocatie
- TC's op sublocatie
- inloggen met 'userX' op een Citrix sessie vanuit sublocatie geeft een hangende IE
- inloggen met 'userX' op een Citrix sessie vanuit hoofdlocatie geeft geen problemen

Begrijp ik het zo goed ?

Met 'userX' bedoel ik dus letterlijk dezelfde user - wellicht zit het in een profile welke een foute instelling vanuit een GPO heeft oid.

Is het alleen bij jullie intranet, of bij elke site ?

Heb je dit alleen vanaf de TC's , of ook vanaf een PC/desktop op locatie ?
Heb je de TC's tussen hoofdlocatie en sublocatie al uitgewisseld ?
Wellicht een foute config op alle TC's op die locaties (net even anders ingesteld, en allemaal in 1 keer op die locatie uitegrold) ?

Een interessant probleem, maar ik ben bang dat er iets meer info nodig is ?

[nextware]

- Citrix server op hoofdlocatie
- TC's op hoofdlocatie
- TC's op sublocatie
- inloggen met 'userX' op een Citrix sessie vanuit sublocatie geeft een hangende IE
- inloggen met 'userX' op een Citrix sessie vanuit hoofdlocatie geeft geen problemen

Ja, dit klopt.

Is het alleen bij jullie intranet, of bij elke site ?

Het is bij elke website die wordt bezocht.

Op de sublocatie staan alleen TC's. In ons netwerk staan bijna geen PC's. Maar zeker niet op deze locatie.

In het gehele netwerk zijn alle TC's exact hetzelfde. Deze worden namelijk door middel van Altiris jobs uitgerold. Er zijn geen wijzigingen in de altiris jobs geweest.

De TC's worden op de hoofdlocatie uitgerold. Daarna worden ze naar de sublocatie verstuurd waar de lokale huismeester ze op de bureau's plaatst.

En het gaat inderdaad om het hangen van IE binnen een ICA sessie.

@TS:
En als je op lokatie met een laptop met ICA client de verbinding opzet, heb je dan dezelfde problemen

Dit hebben we nog niet geprobeerd. Volgende week maar eens direct gaan uitzoeken !

[ Voor 10% gewijzigd door nextware op 17-05-2007 10:06 ]

[sanfranjake]

Als ik dit zo lees moet ik gelijk denken aan een printer die niet helemaal gehoorzaam is, welke alleen voor die locatie wordt aangekoppeld... of iets anders wat specifiek voor die locatie is.....

[Zwelgje]

ik denk gelijk aan speedscreen browser acceleration welke via een policy alleen werkt op een lokatie met een langzamere lijn (lossy compression iemand )

en de lokale ica client op de hp5520's hebben daar moeite mee. heb je wel de nieuwste image op die hp's gezet

[nextware]

Nou, na lange tijd maar weer mezelf eens tegen het probleem aanbemoeid..
Mijn collega's zijn er ook nog even mee bezig geweest.

Gisteren met een laptop naar de betreffende locatie gegaan en via een lokale ICA client een verbinding naar het hoofdkantoor opgebouwd. Geen enkel probleem. Alles werkte als een trein

Daarna weer eens op een TC ingelogd, en voila.. sessie liep weer muurvast
Op dit moment weet ik dus echt niet meer waar het ik moet gaan zoeken. Ik heb Versatel al gebeld of ze aub die lijn, de router en de radiobox goed willen doormeten ( radiobox verzorgt volgens Versatel support medewerker het stapelen van de diverse losse lijntjes tot 1 vaste verbinding ).

Nu begint bij mij een beetje een vermoeden op te treden dat wellicht een ICA client niet kan werken met gestapelde lijnen.. maar hierover kan ik dus niks vinden.

[mutsje]

Je ken wel met je laptop en ica client connectie maken, dan ga je toch over dezelfde lijnen heen? Vergelijk de ica client versie op jou laptop eens met die op de TC.

[TrailBlazer]

van zo'n radio box merkt je niks. Dat is waarschijnlijk een IMA interface en dat is helemaal transparant voor je.

[Airw0lf]

@nextware
Wat gebeurd er als je twee keer achter elkaar Internet Explorer opstart?

Misschien toch de instellingen controleren - hoe onwaarschijnlijk ook dat hier de oorzaak ligt.

Je schreef:
"Je ziet onder in de statusbalk van internet explorer (6) dat hij bezig met het downloaden van afbeelding <naam afbeelding>"
En ook:
"( radiobox verzorgt volgens Versatel support medewerker het stapelen van de diverse losse lijntjes tot 1 vaste verbinding )."

Hoe groot is die afbeelding? Waar moet die vandaan komen?
En wat is de transmissie snelheid van elk 'los-lijntje'?

[nextware]

Airw0lf schreef op donderdag 21 juni 2007 @ 10:18:
@nextware
Wat gebeurd er als je twee keer achter elkaar Internet Explorer opstart?

Misschien toch de instellingen controleren - hoe onwaarschijnlijk ook dat hier de oorzaak ligt.

Dat gaat dus niet. Op het moment dat er 1 sessie wordt opgestart van Internet Explorer loopt de boel vast. Ik kan pas een 2e sessie opstarten als alles weer loopt, maar dan begint het gedonder weer van voor af aan...

Je schreef:
"Je ziet onder in de statusbalk van internet explorer (6) dat hij bezig met het downloaden van afbeelding <naam afbeelding>"
En ook:
"( radiobox verzorgt volgens Versatel support medewerker het stapelen van de diverse losse lijntjes tot 1 vaste verbinding )."

Hoe groot is die afbeelding? Waar moet die vandaan komen?
En wat is de transmissie snelheid van elk 'los-lijntje'?

Die afbeeldingen zijn 1 of 2 Kb groot. Stelt helemaal niks voor dus. Die afbeeldingen komen gewoon van onze IIS af. Maar ook bij pagina's op het www komt het probleem voor.

De lijnen zijn 4x 512 Kbps lijnen gestapeld tot een verbinding van 2 Mbps.

[GeleFles]

Niet hele topic gelezen maar:

Als je nu vanaf het hoofdkantoor een sessie shadowt, merk je dan ook die vertraging?
Op met moment dat je namelijk een sessie gaat shadowen, dan krijg pak je dezelfde sessie op, maar dan over jou verbinding.
Als het dan wel direct doorspringt, dan ligt het dus toch ergens in de verbinding. (en anders moet je het binnen je citrix omgeving zoeken)

[Airw0lf]

nextware schreef op donderdag 21 juni 2007 @ 12:16:

Dat gaat dus niet. Op het moment dat er 1 sessie wordt opgestart van Internet Explorer loopt de boel vast. Ik kan pas een 2e sessie opstarten als alles weer loopt, maar dan begint het gedonder weer van voor af aan...

Das wat ik bedoelde.
Het is reproduceerbaar in de zin dat:
1. het iedere keer gebeurd als je een IE sessie start
2. het verschijnsel zich voordoet bij elke nieuwe nadat de eerste is 'doorgestart' (2-de, 3-de, 4-de, etc.)
Is dat goed uitgelegd?

Is het gedrag hetzelfde bij gebruik van IE in een Citrix sessie en IE buiten een Citrix sessie?

[Airw0lf]

TrailBlazer schreef op donderdag 21 juni 2007 @ 08:50:
van zo'n radio box merkt je niks. Dat is waarschijnlijk een IMA interface en dat is helemaal transparant voor je.

Dat klopt als je het hebt over pure datatransport.

Alleen, een 2 megabit verbinding met 4 kanalen heeft een vertraging die 4x zo groot is
als een 2 megabit verbinding met 1 kanaal. Simpelweg om dat de transmissiesnelheid
4 keer zo laag is.
Dus performance technisch is het zeker niet hetzelfde. Of je er last van hebt is afhankelijk van het gedrag van de applicatie. Een toepassing die zwaar leunt op SMB zal er wezenlijk meer hinder van ondervinden dan een 'echte' client-server applicatie.

[Verwijderd]

Die terminals hebben waarschijnlijk net als bijvoorbeeld een Wyse het probleem dat 'alternate caching' wat zorgt voor je beeld opbouw te traag is, aangezien beeldopbouw van de terminals vaak via het RAM geheugen verlopen en deze op terminals vaak erg minimaal is.

Schakel deze optie in je citrix farm eens uit en bekijk dan nog eens of je IE goed gaat.

Lijkt op deze alleen dan wat extremer:
http://support.citrix.com...X108275&searchID=19752464

[ Voor 12% gewijzigd door Verwijderd op 21-06-2007 13:38 ]

[Airw0lf]

nextware schreef op woensdag 16 mei 2007 @ 09:26:
Situatie:

Een locatie in het zuiden des lands maakt via een Versatel IP-VPN verbinding met ons hoofdkantoor. Over deze IP-VPN verbinding worden er Citrix sessies opgebouwd. De citrix servers staan hier op het hoofdkantoor.

Welke soort apparatuur wordt gebruikt om de VPN verbinding op te zetten en te onderhouden?

[Airw0lf]

Je schreef:
"Zodra mensen op de nevenlocatie inloggen, krijgen ze (zoals iedereen in de organisatie) onze intranet pagina te zien, waarop allerlei informatie wordt getoond."

Bedoel je, dat als ze inloggen, meteen IE wordt opgestart?
En daarbannen is dan de Intranet site ingesteld als home page?
Stel, je zou, bij wijze van proef, blanco homepage nemen, wat gebeurd er dan?
En als je daarna Word of Outlook start, wat gebeurd er dan?

Je schreef:
"Na 2 a 3 minuten worden dan ineens al je bewerkingen achter elkaar uitgevoerd..
Zodra dan internet explorer is afgesloten, werkt de rest van de applicaties (Outlook, Word, registratieprogramma's, etc) als een trein."

En als je IE niet opstart, hebben deze applicaties dan nergens last van?

[ Voor 18% gewijzigd door Airw0lf op 21-06-2007 14:07 ]

[Airw0lf]

nextware schreef op donderdag 21 juni 2007 @ 08:31:

Gisteren met een laptop naar de betreffende locatie gegaan en via een lokale ICA client een verbinding naar het hoofdkantoor opgebouwd. Geen enkel probleem. Alles werkte als een trein

Daarna weer eens op een TC ingelogd, en voila.. sessie liep weer muurvast

[..]

Nu begint bij mij een beetje een vermoeden op te treden dat wellicht een ICA client niet kan werken met gestapelde lijnen.. maar hierover kan ik dus niks vinden.

Als dat zo is, dan heb je te maken met een TCP/IP probleem waarbinnen het ICA protocol draait.
En dan zou je dat moeten merken voor alle soorten clients die daar gebruik van maken.

Heb je al eens een trace gemaakt achter een TC m.b.t. de sessie richting de Citrix server?

Daarnaast heb ik het meer dan eens meegemaakt dat ook de hoeveelheid geheugen in een TC veel kan uitmaken. Zo is 32 MB vaak te weinig - 64 MB is zo een beetje het minimum.

[Verwijderd]

Airw0lf schreef op donderdag 21 juni 2007 @ 14:02:
[...]


Als dat zo is, dan heb je te maken met een TCP/IP probleem waarbinnen het ICA protocol draait.
En dan zou je dat moeten merken voor alle soorten clients die daar gebruik van maken.

Heb je al eens een trace gemaakt achter een TC m.b.t. de sessie richting de Citrix server?

Daarnaast heb ik het meer dan eens meegemaakt dat ook de hoeveelheid geheugen in een TC veel kan uitmaken. Zo is 32 MB vaak te weinig - 64 MB is zo een beetje het minimum.

Beste Willyboy ik draai hier 150 werkplekken met citrix op Wyse terminals met 16 mb RAM intern.... het enige waardoor ons intranet (eigenlijk eleke site met Bitmaps) traag/vastliep was de optie 'alternate caching' in de citrixfarm.

[Airw0lf]

Verwijderd schreef op donderdag 21 juni 2007 @ 14:20:
[...]

Beste Willyboy ik draai hier 150 werkplekken met citrix op Wyse terminals met 16 mb RAM intern.... het enige waardoor ons intranet (eigenlijk eleke site met Bitmaps) traag/vastliep was de optie 'alternate caching' in de citrixfarm.

Ja - ik weet het - het zou wel moeten werken allemaal.
Alleen, ik heb ervaren dat, bij gebruik van hogere resoluties met veel kleuren, de prestaties zwaar te leiden hebben bij minder dan 64 MB. Waarbij dan wel gezegd moet worden dat het video deel van die dingen, ook nog eens 4 MB eraf snoepte.

Hoeveel servers gebruik je?

[Verwijderd]

Ik heb 5 citrix servers voor plusminus 150 gebruikers. Deze gebruikers zijn verdeeld over 3 vestigingen. De gebruikers werken hier met Wyse 1200LE dus echte TC met niets anders dan ica erin (lekker geen gesloop)

De servers staan dan bij versatel zelf.

Verder nog een stuk of 30 bouwketen verspreid door nederland die over een normaal ADSL modem inbellen. Deze werken via Wyse S90 met Windows Embedded en writefilter.., erg handig

Moet wel zeggen dat inderdaad de maximumresolutie toch wel 1280*1024 echter voor de toepassingen die wij erop draaien is dit meer dan voldoende. Autocad is natuurlijk een normaal werkstation

[ Voor 17% gewijzigd door Verwijderd op 21-06-2007 22:08 ]

[Equator]

Modbreak:

Willy-Boy: zou je gebruik willen maken van de edit button wanneer je iets wilt toevoegen aan je post i.p.v. telkens een nieuwe post te maken
Alvast bedankt

[nextware]

Airw0lf schreef op donderdag 21 juni 2007 @ 13:46:
[...]


Welke soort apparatuur wordt gebruikt om de VPN verbinding op te zetten en te onderhouden?

Allemaal Cisco routers. De precieze typenummers weet ik op dit moment even niet uit mijn hoofd en de documentatie heb ik ook even niet bij hand.

Vanuit het hogere management is bepaald dat bij iedere aanmelding inderdaad de intranet pagina opgestart moet worden. Deze wordt dus gewoon in Internet Explorer geopend. De pagina die wordt geopend is inderdaad onze intranet pagina.

[Tylen]

Ten eerste moet je de thinclients op locatie een vaste verbindings snelheid geven.
Dus dedicated op 100Mb full duplex. (of wat hij max aan kan daar)

Ten tweede ligt dit aan SpeedScreen in je ICA sessie.
Kijk eens hoe deze ingesteld staan. Je kan dit per farm doen of per server.
Dus om te testen kan je 1 server anders instellen en forceren dat je op die server gaat werken.

Update ook eens de client op je thinclient. Meestal zijn deze erg verouderd. (Kan je gewoon downloaden op de Wyse site)

Het 'hangen' van IE en daarna heel snel alles doen, ligt meetsal aan een Flash animatie in de getoonde pagina. Eerst word deze animatie gecached (traaaaaag) en daarna heel snel afgespeeld.

Klinkt misschien allemaal raar. Maar probeer het maar. Antwoorden hierboven als, Wij hebben geen problemen met de Wyse terminals moet je negeren. Elke lokatie/farm/verbinding is anders. En overal liggen andere switches/routers etc etc.

Moche je echt problemen houden. Je kan me altijd pb'n emailen (zie profiel.)

[ChaserBoZ_]

Airw0lf schreef op donderdag 21 juni 2007 @ 13:36:
[...]


Dat klopt als je het hebt over pure datatransport.

Alleen, een 2 megabit verbinding met 4 kanalen heeft een vertraging die 4x zo groot is
als een 2 megabit verbinding met 1 kanaal. Simpelweg om dat de transmissiesnelheid
4 keer zo laag is.
Dus performance technisch is het zeker niet hetzelfde. Of je er last van hebt is afhankelijk van het gedrag van de applicatie. Een toepassing die zwaar leunt op SMB zal er wezenlijk meer hinder van ondervinden dan een 'echte' client-server applicatie.

Doe eens een linkje met meer info . . ben benieuwd, werk zelf aardig wat met 2/3/4 voudig DSL gestapeld.

[Airw0lf]

Equator schreef op vrijdag 22 juni 2007 @ 08:52:
[modbreak]Willy-Boy: zou je gebruik willen maken van de edit button [afbeelding] wanneer je iets wilt toevoegen aan je post i.p.v. telkens een nieuwe post te maken
Alvast bedankt ;)[/modbreak]

Sorry - je hebt gelijk.
Volgende keer zal ik beter opletten.

[ Voor 4% gewijzigd door Airw0lf op 01-07-2007 15:54 ]

[Airw0lf]

ChaserBoZ_ schreef op zondag 01 juli 2007 @ 01:43:
[...]


Doe eens een linkje met meer info . . ben benieuwd, werk zelf aardig wat met 2/3/4 voudig DSL gestapeld.

Een linkje met meer info over wat?
Het gedrag van applicaties over een gestapelde verbinding?
Of over de werking van gestapelde verbindingen?
Nog iets anders?