Sonicwall VPN (NSA240), lost connection Exchange

[Verwijderd]

Ik heb momenteel een heel vreemd probleem op de zaak.

We hebben glasvezel van Ziggo liggen.
Een lijntje van het modem gaat naar de WAN poort van een Sonicwall NSA240
hierachter hangt onder andere een Windows 2008 Standard server met daarop geinstalleerd
Microsoft Exchange 2007 Standard (64BITS).

Wanneer men een VPN connectie met de NSA240 wenst op te zetten dan
gaat dat perfect! Hij krijgt netjes een IP van de DHCP server in het netwerk.
Ook pingen naar de Exchange server gaat dan perfect. Echter wanneer we Outlook opstarten
en hij gaat daadwerkelijk verbinding maken dan geeft hij time-outs in het pingen en is de Exchange verbinding verbroken. Begeven moment hersteld hij weer en verbreekt hij de verbinding weer.

We hebben de problemen met inbellen op verschillende locaties met verschillende internetlijnen, pc's etc.

Tot nu toe is er diverse malen contact geweest met Sonicwall support.

De MTU moest van 1500 naar 1404
We moesten een firmware update uitvoeren
En ze hebben wat instellingen aangepast in de Sonicwall zelf.

Echter mocht dit alles niet baten.. en zit ik nog met de zelfde problemen....

Heeft iemand dit probleem eerder meegemaakt??

[LuckY]

en wat krijg je als je met het VPN verbonden zit en dan bijvoorbeeld OWA start of een filetransfer?

[DeMoN]

Ik zou ook ff kijken of Exchange geen gekke dingen logt. Als die Outlook verbindingen verbreken, hebben de mensen die op dat moment op kantoor zitten dan nergens last van? Zo sluit je iig dingen uit en weet je zeker dat het de Sonicwall is die bokt.

[Verwijderd]

Op kantoor hebben ze nergens last van.
Filetransfers gaan via de VPN ook niet meer. Hij geeft gewoon een time-out op alles wat je in het netwerk pingt... Terwijl hij nog wel een verbinding heeft. Begeven moment komt alles weer terug. En is alles weer te pingen. OWA werkt perfect.

[Kabouterplop01]

weet je of het fragment bit staat en weet je ook of die sonicwall fragmented packets doorlaat?

[Verwijderd]

Enable Fragmented Packet Handling stond aan.
Heb ik nu even uit gezet om te kijken wat het doet.

[Kabouterplop01]

Ik weet niet of dat hetzelfde is. Hij behandelt gefragmenteerde packetjes, is wat je hebt uitgezet. Mijn vraag was of de router of het routeringsmechanisme in je firewall een df bit heeft staan in je vpn tunnel; je pakketjes veranderen nogal door vpn-nen. De effectieve MTU in een vpn tunnel wordt kleiner, en er zullen dus gefragmenteerde pakketjes ontstaan die weer in ethernet frames moeten worden omgezet. Als de firwall de fragments dropt dan gebeurt er niet veel meer in je tunnel.
Als Outlook start gebeurt er iets raars....
Ik denk dat je een capture moet maken ten tijde van het starten van je outlook sessie naar de server. Ik vermoed dat er iets met RPC niet goed gaat.

[Verwijderd]

Met Ignore DF (Don't Fragment) Bit aan of uit geeft geen verschil.
Verder geeft hij bij alles time-out bij een RDP sessie, of wanneer de server in verkenner wordt benaderd om een bestand te starten en zo ook bij Outlook.
Men van Sonicwall heeft al een packet capture gemaakt maar daar kwam niets uit...

De MTU staat nu op 1404 deze stond op 1500...

[Verwijderd]

Wat trouwens ook vreemd is.
Ik ping continu de hoofdserver met bijv ip 192.168.180.100
Ik krijg begeven moment een time-out.
Ik ping dan 192.168.180.1 (de Sonicwall, deze reageert en geeft antwoord)
Ping ik direct daarna 192.168.180.100 dan geeft deze ook weer antwoord en kan ik hem weer benaderen.
Na verloop van tijd raakt hij deze weer kwijt en kan ik hem weer in leven roepen door eerst 192.168.180.1 te benaderen. (dit werkt overigens niet altijd, maar 9 van de 10x wel)

[Verwijderd]

Ik merk ook dat wanneer ik via de eigen internetverbinding ga internetten. Bijv. even google.com bezoeken.
Dan klapt de VPN verbinding er ook uit. De Sonicwall VPN client blijft connected aangeven.
Echter geeft een ping een time-out. En ook de verbinding met Outlook valt dus continu weg daardoor...

[Verwijderd]

De Sonicwall VPN adapter krijgt overigens de volgende ip gegevens:

Ethernet-adapter SonicWALL Virtual Adapter:

Verbindingsspec. DNS-achtervoegsel: domein.domein.net
Beschrijving . . . . . . . . . . .:
SonicWALL VPN Adapter
Fysiek adres. . . . . . . . . . . : 00-**-**-ED-**-DA
DHCP ingeshakeld. . . . . . . . . : ja
Autom. configuratie ingeschakeld. : nee
IP-adres. . . . . . . . . . . . . : 192.168.180.37
Subnetmasker. . . . . . . . . . . : 255.255.255.0
Standaardgateway. . . . . . . . . :
DHCP-server . . . . . . . . . . . : 192.168.180.100
DNS-servers . . . . . . . . . . . : 192.168.180.100
Primaire WINS-server. . . . . . . : 192.168.180.100
Lease verkregen . . . . . . . . . : maandag 27 juli 2009 0:56:03
Lease verlopen . . . . . . . . . : zondag 2 augustus 2009 0:56:03

[Verwijderd]

Ik heb overigens zelf nog handmatig de standaardgateway ingevuld.
Maar dan is de eigen internetverbinding weg. En dat is niet de bedoeling.

Waar ik wel achter ben. Voeg ik de gateway handmatig toe, dan hersteld de verbinding zich.
Verwijder ik de gateway dan verbreekt hij de verbinding begeven moment weer.
Ik kan de NSA240 ook automatisch een gateway laten mee sturen, maar ook dan is er geen internetverbinding lokaal wat ook niet de bedoeling is.

Iemand tips dit op te lossen?

[Verwijderd]

Helaas ben ik er net achter gekomen dat hij dan nog de time-outs krijgt.....

Overigens heb ik nog ergens anders een NSA2400 draaien met exact dezelfde instellingen en die krijgt ook geen default gateway en dat werkt wel perfect

[ Voor 50% gewijzigd door Verwijderd op 27-07-2009 01:15 ]

[Equator]

Verwijderd schreef op zondag 26 juli 2009 @ 23:11:

Verwijderd schreef op zondag 26 juli 2009 @ 23:13:

Verwijderd schreef op maandag 27 juli 2009 @ 00:16:

Verwijderd schreef op maandag 27 juli 2009 @ 00:57:

Verwijderd schreef op maandag 27 juli 2009 @ 01:06:

Verwijderd schreef op maandag 27 juli 2009 @ 01:09:

Modbreak:

Dat had dus allemaal in 1 post gekund. Ja, die had je dna 5x moeten editten, maar das dan jammer. Nu schop je je topic 5x onnodig onder de aandacht, terwijl we het kicken van een topic pas na 24 uur toestaan.
Bovendien heeft dit echt geen nut zo 's nachts.

[Verwijderd]

Ow..
Had gehoopt dat je met een zinnig antwoord kwam.

[ Voor 92% gewijzigd door Verwijderd op 27-07-2009 13:45 ]

[Equator]

Modbreak:

En ik had gehoopt dat je het zou begrijpen..

[Verwijderd]

Ik begrijp je... maar het is gebeurt.
En wat doet het er toe wanneer, en hoe laat ik topics plaats??
Misschien heb ik s'nachts daar alleen maar tijd voor?

[Equator]

offtopic:
Wat ik daarmee bedoel, is dat het 's nacht geen zin heeft om je topic omhoog te schoppen, omdat het aantal lezers van dergelijke topics erg klein is.

En nu back ontopic, anders neem je maar op een andere manier contact op

[Verwijderd]

Helaas Equator, heeft het tweakers.net forum wederom niet geboden waarop gehoopt.

Het probleem heb ik weten op te lossen.
(zie hieronder de oplossing zodat andere hier nog wat aan kunnen hebben)

Voorheen werdt er door een DHCP server in het netwerk achter de NSA240 een IP adres uitgedeeld
aan de Sonicwall Client die verbinding probeert te maken. In de DHCP relay van de NSA240 stond dus ingesteld dat deze een request moest doen bij de 192.168.180.100 server. Deze gaf netjes een ip. En het werkt ook allemaal netjes naar behoren, ook gaf hij de juiste adressen. Echter werdt helaas toch steeds de verbinding verbroken. Nu laat ik de internal DHCP server van de NSA240 IP adressen uitdelen en de range die deze uitdeelt is ge-excluded in de DHCP server achter de NSA240. En nu werkt alles naar behoren.
Ik heb geen verklaring waarom het niet met de relay werkt, maar het probleem is op deze manier opgelost.

[Equator]

Verwijderd schreef op woensdag 29 juli 2009 @ 01:52:
Helaas Equator, heeft het tweakers.net forum wederom niet geboden waarop gehoopt.

Mja, met zo'n instelling komen we er wel

Dat er geen oplossingen worden aangedragen komt misschien omdat niet iedereen die hier komt ook kennis heeft van jou problemen.

Het forum is er voor en door gebruikers, en het is geen geen zekerheid op oplossingen. Bovendien zie ik jou alleen maar vragen stellen, en ook niet meewerken aan het oplossen van andere problemen. Jij hebt gepost in 54 topics, waarvan er 52 door jou zijn gestart. In de topics die niet door jou zijn gestart, los je niet het probleem op van de topicstarter, maar stel je zelf je eigen vraag.
Zie:
Verwijderd in "website DiceComputers niet bereikbaar (i..." & Verwijderd in "Dice Computers / Compufix betaalt niet t..."

Waarom moeten andere tweakers dan moeite gana doen om jou problemen wel op te lossen
Het klinkt wellicht wat overtrokken, maar toch lijkt het wel mee te spelen.

Ik ben blij dat je je eigen problemen hebt op weten te lossen.

/2 cents.