[TMG] Sporadisch probleem met internet

[Deguchi]

Ik zit met een probleem met een TMG opstelling die we aan het uittesten zijn.

Het is een 3-way opstelling met een extern ip (192.168.0.x) een interface voor de servers (10.3.200.x/24) en een interface voor het interne netwerk (10.3.0.x/24)
Momenteel hangt er maar 1 client rechtstreeks aan de interface voor het interne netwerk. Als DNS server staat de AD ingesteld aan de kant van de interne interface. De server en externe interfaces hebben geen DNS ingesteld.
De enige regels die zijn ingesteld is eigenlijk puur een Allow All voor test doeleinden.

Het probleem dat zich stelt is het volgende:
Soms wordt een website niet ingeladen. Als ik met Wireshark kijk wat er gebeurt, dan zie ik het volgende verschijnen: vanop de client worden er een hele rits aan SYN pakketten verstuurd naar de TMG, maar er komt geen ACK terug. Na een tijdje gaat de client dan een SYN pakket sturen naar de interface van de servers of de externe interface die dan een SYN-RST (reset) zal sturen naar de client.
Die reset dan zijn connectie en stuurt opnieuw een SYN naar de interne interface van de TMG die dan wel reageert en de webpagina wordt geladen.
Deze situatie is echter alleen van toepassing als de client een OS X machine is. Als de client een Windows machine is, dan krijgen we een Page could not be loaded error.

Ik zoek me echt suf waar het juist fout loopt. Zeker omdat dit niet altijd het geval is. Soms kan ik zeker een stuk of 40 websites bezoeken zonder probleem, maar dan plots loopt het fout.
Ik dacht eerst aan een DNS probleem, omdat het probleem zich meestal voordoet bij websites met veel externe links (kranten websites ed), maar ook bijvoorbeeld Google Maps dat gebruikt maakt van meedere servers om de map te laden loopt het fout.
Als ik een nslookup doe lukt dit echter altijd zonder timeout.

Ik zie dan ook echt niet in waar het fout loopt. Hopelijk dat iemand een idee heeft waar ik kan gaan zoeken of hoe ik nog beter kan troubleshooten.
Wat ik misschien nog wil meegeven: er zijn geen errors in de TMG logs zelf. Ik zie wel veel Closed DNS passeren in de tmg logs. Maar op de client zie ik dan geen DNS verkeer passeren via Wireshark?!?

Moest iets niet duidelijk zijn, dan wil ik gerust wel even verduidelijken.

[Teutlepel]

Wat zegt de monitor van TMG met een filter op het client IP als het probleem voorkomt?

[Kabouterplop01]

Wat voor soort verbinding is het? heb je dezelfde capture gemaakt aan de andere kant? (dus vlak voor de TMG (whatever dat is))
waar moet je doorheen van client naar TMG?

[Deguchi]

De monitor van TMG zegt niets bijzonders. Gewoon wat HTTP closed and HTTP connections. Wel vinden er soms rare DNS requesten plqqts vqn de TMG zelf.

Client naar TMG heb ik er gewoon eens rechtstreeks aangehangen om problemen te vermijden (er hangt nog een Juniper tussen), maar dan ook nog steeds hetzelfde probleem.

We gaan nu eens proberen om een clean install te doen en dan eens te kijken of het probleem zich dan nog stelt. Want het is toch maar raar dat alles vanop de TMG goed loopt, maar alles erachter problemen vertoont...
I'll keep you posted

[Deguchi]

Bij deze een afsluiter van het topic:

We bleven problemen hebben met de TMG en hebben echt alles geprobeerd alsook de hardware vervangen (andere fysieke server en andere netwerkkabels) maar niets mocht baten.
Omdat we uiteindelijk toch bijna alles kunnen doen met Iptables en Squid zijn we daarheen overgestapt.

Het is wel een wereld van verschil. Met Iptables+squid hqlen we overal onze limiet in speedtests terwijl we met een clean install van TMG maar op 2/3 bleven steken.
Beetje jammer dat we het TMG project moeten opdoeken, maar wegens tijdsdruk moesten we snel een werken alternatief hebben en hebben we dus weeral terug gegrepen naar een Linux oplossing.

Voor wie in dit topic komt wegens een zoekopdracht voor een gelijkaardig probleem: het spijt me dat ik geen oplossing heb voor ons initieel probleem. Ik kan momenteel dan ook alleen maar een Linux oplossing aanraden (Uiteindelijk kan je met Firewall Builder ook aardig wat grafisch doen als dat de drempel zou zijn)

Bedankt aan iedereen die heeft meegedacht over het probleem!