[Draytek Vigor 2930] Bizar probleem met HTTPS/SSL websites

[Urk]

Ik hoop dat dit topic hier op de juiste plek staat in /19. If not, my apologies!

Sinds de plaatsing van een nieuwe Draytek Vigor 2930 heb ik een bizar probleem bij een klant. Sinds de nieuwe router hebben medewerkers (en ook op de server) problemen met sommige SSL websites waarop ze moeten inloggen, een voorbeeld hiervan is Arboned en een Plesk Panel.
Zodra een gebruiker hier op inlogt werkt het 5 van de 10 keer niet, je krijgt gewoon de loginpagina weer te zien zonder een foutmelding dat de logingegevens incorrect zijn (die krijg je bij een foute login wel).
Soms kunnen ze wel inloggen maar bij een paar kliks in het systeem wordt je automatisch weer uitgelogd en zie je de loginpagina weer. Bij het PleskPanel kom je er helemaal niet in maar blijf je na inloggen de loginpagina zien.

Wat ik al heb geprobeerd:

• Verschillende PC's geprobeerd, ook op de server gaat het niet goed.
• Verschillende browsers geprobeerd, zowel in IE8 als Firefox 3.5.x gaat het niet goed.
• Op de Draytek is SSL en PPTP VPN uitgeschakeld.
• Op de Draytek zijn wel 2 portforwards aangemaakt voor HTTP en HTTPS inkomend voor Outlook Web Access, dit zou natuurlijk geen probleem moeten zijn.
• Contact opgenomen met Draytek Support maar die lijken niet helemaal te snappen wat er fout gaat en niet echt bereid te helpen. Eventueel kan ik de e-mail conversatie met Draytek hier plaatsen.
• De Draytek heeft de een na laatste firmware, maar in de changelog lijkt hier in de laatste versie niets voor te zijn gewijzigd.
• We zijn 100% zeker dat de logingegevens die we hebben correct zijn, ze werken namelijk elders wel prima!

Toevallig had ik laatst bij een andere klant een soortgelijk probleem.

Hopenlijk snappen jullie wat ik bedoel.
Ik heb geen idee wat hier misgaat en zou ook niet weten waar het aan ligt, vaak liggen dit soort dingen aan cookies.

Iemand een idee?

[MensionXL]

Staat de firewall misschien aan?

[Urk]

MensionXL schreef op dinsdag 05 oktober 2010 @ 16:56:
Staat de firewall misschien aan?

Nee, die had ik express zelfs uitgezet, die had ik nog niet eens aangepast vanuit de default settings. Dus dat kan het niet zijn. Ook had ik de HTTPS portforward op poort 443 uitgezet, ook dat maakte geen verschil.

Screenshot:

[Voor 19% gewijzigd door Urk op 05-10-2010 17:07]

[Kompaan]

Heeft die Vigor 2 internet verbindingen en doet hij op dit moment aan Loadbalancing?

Waarschijnlijk stuurt ie TCP connecties om de zoveel tijd over de andere verbinding uit. Sommige websites vinden dat niet leuk (hebben sessie gekoppeld aan IP)

[Urk]

Kompaan schreef op dinsdag 05 oktober 2010 @ 17:04:
Heeft die Vigor 2 internet verbindingen en doet hij op dit moment aan Loadbalancing?

Waarschijnlijk stuurt ie TCP connecties om de zoveel tijd over de andere verbinding uit. Sommige websites vinden dat niet leuk (hebben sessie gekoppeld aan IP)

Nee, ook niet. Er is maar 1 internet verbinding (KPN Zakelijk Glas). Er zijn wel 2 WAN poorten maar WAN2 staat uit...

[Neck]

Factory default de DrayTek, config alleen je internet toegang en upgrade toch naar de nieuwste firmeware (just to be sure) en stel dan vast of het probleem nog steeds aanwezig is.

Heb je een (tijdelijk) andere gateway om uit te sluiten dat het niet iets met de KPN lijn is?

[Voor 21% gewijzigd door Neck op 05-10-2010 17:10]

[Kompaan]

Even http://www.draytek.co.uk/products/vigor2930.html bekeken:

Firewall & Security Features:

* CSM (Content Security Management):
o URL Keyword Filtering - Whitelist or Blacklist specific sites or keywords in URLs
o Surfcontrol Support - Block Web sites by category (subject to subscription)
o Prevent accessing of web sites by using their direct IP address (thus URLs only)
o Blocking automatic download of Java applets and ActiveX controls
o Blocking of web site cookies
o Block http downloads of file types :
+ Binary Executable : .EXE / .COM / .BAT / .SCR / .PIF
+ Compressed : .ZIP / .SIT / .ARC / .CAB/. ARJ / .RAR
+ Multimedia : .MOV / .MP3 / .MPEG / .MPG / .WMV / .WAV / .RAM / .RA / .RM / .AVI / .AU
o Time Schedules for enabling/disabling the restrictions
o Block P2P (Peer-to-Peer) file sharing programs (e.g. Kazza, WinMX etc. )
o Block Instant Messaging programs (e.g. IRC, MSN/Yahoo Messenger etc.)

Policy-Based Firewall

Misschien staat daar standaard iets van aan wat in de weg zit?

[Urk]

Kompaan schreef op dinsdag 05 oktober 2010 @ 17:15:
Even http://www.draytek.co.uk/products/vigor2930.html bekeken:


[...]


Misschien staat daar standaard iets van aan wat in de weg zit?

Direct even gechecked:
- URL Access Control staat uit
- Restrict Web Features staat uit
- Excepting Subnets staat uit
- Web content filter staat uit
- Session limit staat uit
- Bandwith limit staat uit
- QoS op WAN staat uit
- Bind IP to MAC (LAN) staat aan

[nero355]

Ik weet niet waarom precies, maar op de een of andere manier denk ik dat het met je DNS te maken heeft. Iemand noemde al "cookies" en die zijn gevoelig voor DNS fouten !!

En nogmaals : Gewoon je Firmware updaten voor alle zekerheid

[Urk]

Ja, ik ga de firmware nog upgraden, wat ik alleen zie is dat ik dat het beste op locatie kan doen i.p.v. remote.
Ook zegt Draytek dat je erna je router opnieuw moet instellen, maar ik neem aan dat ik wel een configuratie kan terugzetten...?

[nero355]

Kan ja, maar ik zou toch alles effe nalopen als ik jou was vanwege de problemen die je hebt.

[raymonvdm]

Ik denk dat je even je MTU size op de WAN poort moet aanpassen naar 1452 volgens mij heb ik dit probleem namelijk eerder gezien.

[Urk]

raymonvdm schreef op dinsdag 05 oktober 2010 @ 17:48:
Ik denk dat je even je MTU size op de WAN poort moet aanpassen naar 1452 volgens mij heb ik dit probleem namelijk eerder gezien.

Blij te horen dat er iemand is die dit bekend voorkomt...
Ik heb je advies opgevolgt en de MTU van 1442 gewijzigd naar 1452, direct erna getest, probleem leek nog hetzelfde. Daarna router herstart en IE cache en cookies verwijderd (just 2 be sure), daarna weer getest. Leek in het begin langer goed te gaan maar na een aantal kliks kwam ik toch weer terecht op de loginpagina....

Moet eens lezen wat die MTU precies doet...\

In de Draytek kan ik de MTU maximaal op 1492 zetten, heeft het zin dat proberen en kan dat geen kwaad?

Volgens dit document heeft KPN ADSL een MTU nodig van 1500, het gaat hier om KPN Glas, PPPoE, weet iemand daarvan wat de MTU moet zijn?
Ook kan de MTU van de Draytek blijkbaar niet hoger dan 1492, is dat niet vreemd?

Edit2:

Ook een MTU van 1492 en 1472 lijkt het probleem niet op te lossen...

[Voor 27% gewijzigd door Urk op 05-10-2010 19:55]

[Sosabowski]

(draytek) syslog geeft niet wat meer info?

[Urk]

Sosabowski schreef op dinsdag 05 oktober 2010 @ 19:50:
(draytek) syslog geeft niet wat meer info?

Nee, zo te zien niet:

code:

10-05-2010  21:29:16    Local2.Info 192.168.226.1   Oct  5 21:29:37 Vigor-2930: Local User (MAC=00-24-81-E3-xx-xx): 192.168.226.15:2552 -> 80.112.216.46:443 (TCP) 
10-05-2010  21:29:16    Local2.Info 192.168.226.1   Oct  5 21:29:37 Vigor-2930: Local User (MAC=00-24-81-E3-xx-xx): 192.168.226.15:2551 -> 80.112.216.46:443 (TCP)

Is het enige wat erover wordt gelogt.

[Voor 3% gewijzigd door Urk op 05-10-2010 21:31]

[Urk]

Kickje

Bovendien heb ik de afgelopen 2 dagen contact gehad met het KPN glasteam om instellingen van de glas/WAN verbinding door te nemen.
Stappen die gedaan zijn:

MTU moet volgens KPN op 1492 staan --> gedaan
WAN Link op 100 Mbps full duplex i.p.v. Auto negotiate --> gedaan
Upload bandwith limit op 1800 kbps (we hebben een 2 Mb/2Mb lijn) --> gedaan

Helaas maakt dit nog steeds geen verschil. Probleem blijft.

Ik denk dat ik binnenkort even naar de klant toega om de router tijdelijk even te vervangen met een andere en te testen of het dan wel goed gaat...

Iemand verder nog een idee?

[Urk]

Nog een kickje...

[Timmert]

Het is in ieder geval geen structureel Vigor2930 probleem. Ik heb dit ding ook draaien bij een klant, daar werkt alles probleemloos. Probeer die nieuwe firmware inderdaad even, of eventueel een andere 2930..

Ben je trouwens ook al eens begonnen met een 'schone' config, dus een factory reset gedaan?

[haik01]

Zet de UTP kabel van KPN in WAN1 poort van de Vigor. Deze is namelijk de "default" . Ook al staat de andere uit (in de software), kan het wel eens fout gaan.

Ik heb dat ook gehad met twee internet verbindingen, en dat HTTPS sites dat niet leuk vonden. Voor díe sites, een rule aanmaken dat ze alleen via WAN1 of 2 mogen gaan. Maar dat is met 2 verbindingen. Voor jou, zet alles op poort 1, en zet poort 2 uit.

[markb77]

is een post uit 2010

Ik weet niet of jet het probleem al hebt getackeld, maar dit probleem heb ik vroeger ook gehad met draytek.

Bij KPN heb je een actieve IP-reeks bij zakelijke Glas(5 bruikbaar voor de buitenwereld).

Heb je dit wel ingeregeld in de Draytek router (deze is Multi-NAT)? Als dit verkeerd is ingeregeld, dan geeft hij telkens een ander IP-adres mee naar buiten op het subnet. Als de sessie gekoppeld is aan een IP, dan klopt de sessie niet meer en krijg je de problemen waar jij tegenaan loopt.

[Voor 185% gewijzigd door markb77 op 25-11-2020 16:10]