SonicWall client hangt op "Aquiring IP..."

[Enki]

Bizar en uitermate frustrerend probleem:

Al onze externe collega's verbinden met de lokaal geïnstalleerde SonicWall Global VPN Client (versie 4.9.x) naar onze NSA-3500. Gaat vrijwel altijd goed, behalve soms bij een enkele client. Dan blijft de verbinding hangen op "Aquiring ip-address...". Andere collega's kunnen vanaf diezelfde locatie wel gewoon verbinden. In de logfiles van de firewall zie je de client wel binnen komen, maar geen intern IP-adres krijgen. Onze DHCP-scope is nog meer dan 30% vrij.

Wat ik al geprobeerd heb:

* Herstarten client (Duh.. )
* Herstarten SonicWall (idem )
* Verbinding opnieuw configureren in de GVC-software
* Spelen met de NAT-Traversal settings in de client
* Mac-adres van de adapter veranderen
* Tweede SonicWall adapter handmatig in Device Manager toevoegen en daarmee spelen
* IPv6 uitzetten voor de VPN-verbinding
* QoS uitzetten voor de VPN-verbinding

Het gekke is dat de boel wél werkt na een herinstallatie van de GVC-software, maar de volgende dag ineens weer in alle toonaarden kan weigeren. Om gek van te worden...

Iemand een idee?

[Spro]

Deze heb je doorgelezen, denk ik? https://support.software.dell.com/kb/sw13751

Het is een tijd geleden dat ik serieus wat met Sonicwalls gedaan heb, GVC is voor een "dialup" IPSec verbinding? Wij gebruikten voor remote sessies altijd Netextender of Mobile connect.

Geeft GVC een log melding, toevallig? Als ik even google kom ik echt te veel mogelijkheden tegen die dit kunnen veroorzaken

[DJSmiley]

Dwarsliggende firewall? En idd, gvc log bekijken?

Heb je de nieuwste Sonicwall vpn client draaien?

Overigens heb ik met de GVC vaker wel eens issues gehad, al was dat vnl icm brakke routers.
Je zegt 'andere collega's vanaf die lokatie'. Als die collega's disconnected zijn, werkt het dan wel op de betreffende laptop/pc?

Als je de licenties hebt kun je ook naar SSL-VPN kijken. Als je via een terminal server oid werkt is dat een minder firewall-gevoelige optie. Dat gaat nl gewoon over poort 443..

[Spro]

Wij gebruikten altijd SSLVPN middels Netextender of Mobile Connect, Standaard 2 licenties meegeleverd, werkt wel redelijk... Port kan je gewoon instellen op de sonicwall (SSLVPN -> Server Settings -> SSL VPN Port).

Worth a try...

@Enki: Als je wil testen met die client, ik heb nog wel een Sonicwall op de plank liggen, waarmee je kan kijken of het aan jullie Sonicwall ligt, of aan de laptop... stuur maar pm als je interesse heb

[Kabouterplop01]

Het gekke is dat de boel wél werkt na een herinstallatie van de GVC-software, maar de volgende dag ineens weer in alle toonaarden kan weigeren. Om gek van te worden...

Je zou bijna zeggen dat het met de rechten te maken heeft, (reinstall, as an admin) domein laptop vs BYOD.
concurrent sessions issues.
zie je de request binnekomen van de laptop?
Er kan nog heel veel zijn

[johnkeates]

Misschien iets anders gebruiken? Bijvoorbeeld standaard IPSec of L2TP over IPSec? Of anders OpenVPN? Eigenlijk is alles waarbij het 'moeilijker' gemaakt wordt en je een substandaard resultaat krijgt toch niet de moeite waard om te gaan gebruiken...

[Enki]

Dank voor de reacties allen!

Het vervelende is dat een dag later zijn VPN ineens probleemloos verbond, ook na enkele keren uit- en aanzetten. Gelegenheid om verder te testen is er dan gelijk niet meer, want die collega wil natuurlijk ook (eindelijk!) verder met z'n werk.

En dan krijg ik vandaag plotseling een identieke melding uit Polen, die vervolgens binnen een half uur ook spontaan weer werkt! Terwijl alle overige 75 gebruikers ondertussen rustig door VPN-en ...

Had ik al gezegd dat ik er gek van werd?

[kokkel]

Het lijkt mij dat je te maken hebt met een bug, wat heeft je leverancier hier over gezegt.

[Enki]

Nog niets, volgens mij zijn we net out-of-support...
Maar goed, over een paar maanden gaan we over op een Fortigate, hopelijk zijn we dan van deze ellende af.

[Spro]

offtopic.

Nog iemand die overstapt op een FG... Welk maatje gaat het worden?
kijk bij de FG ook naar de dialup IPsec... ideaal. en de Forticlient alleen de sslvpn client downloaden, niet de hele Forticlient, da's geneuzel met antivirus

[Dennism]

Waarom gebruik je eigenlijk de Global VPN client van Sonicwall en niet de SSL-VPN client, in mijn ervaring is de global VPN client wat gevoeliger voor clientside aanpassingen van o.a. netwerk instellingen, terwijl de SSL-VPN client super stabiel is, en ook nog eens een stuk makkelijk in gebruik is voor de gebruiker.

[Bas]

Als je de SonicWALL ook als DHCP server gebruikt, moet je nog wel een vinkje aanzetten.

Overigens is de performance van de Netextender echt ruk bij kleinere internet verbindingen (<50Mbit) omdat je 60% overhead hebt op het SSL verkeer. Dus de GVC werkt dan een stuk beter omdat daar een dedicated asic voor is.

[Enki]

Spro schreef op vrijdag 25 maart 2016 @ 11:36:
offtopic.

Nog iemand die overstapt op een FG... Welk maatje gaat het worden?
kijk bij de FG ook naar de dialup IPsec... ideaal. en de Forticlient alleen de sslvpn client downloaden, niet de hele Forticlient, da's geneuzel met antivirus

Nog geen idee, moet ik me nog in gaan verdiepen. Tussen nu en een half jaar zal het aantal VPN-gebruikers binnen het bedrijf waarschijnlijk drastisch afnemen, dus ik kan ook nog niet inschatten waar we dan behoefte aan hebben. Maar ik hoor goede verhalen over Fortigate, vandaar.

DJSmiley schreef op donderdag 17 maart 2016 @ 22:01:
Als je de licenties hebt kun je ook naar SSL-VPN kijken. Als je via een terminal server oid werkt is dat een minder firewall-gevoelige optie. Dat gaat nl gewoon over poort 443..

We interessant om te testen. Kan je uitleggen welke licenties ik hiervoor nodig zal hebben?

Bas schreef op dinsdag 29 maart 2016 @ 13:41:
Als je de SonicWALL ook als DHCP server gebruikt, moet je nog wel een vinkje aanzetten.

Klopt, maar bij ons staat DHCP op de Sonicwall uit en dus is de relay geactiveeerd.