Zakelijke VPN verbinding werkt na een tijdje niet meer

[PatrickC]

Ik heb al een hele tijd problemen met de VPN verbinding die ik gebruik voor mijn werk vanaf thuis. Mijn werkgever gebruikt de ‘Cisco AnyConnect Secure Mobility Client’ met ‘Umbrella Roaming Security’. Na een bepaalde tijd (en dat kan al na een kwartier zijn, maar ook pas na 2 uur), stopt de verbinding met werken. De Cisco client geeft nog steeds aan dat er verbinding is, maar er is geen dataverkeer naar servers van mijn werk en internet meer mogelijk. Als ik dan de VPN verbinding verbreek, werkt internet wel gewoon weer. De enige manier om de VPN weer werkend te krijgen is een reboot van de laptop en dan weer de VPN verbinding te maken. Totdat het weer stopt met werken.

Ik heb thuis internet van XS4ALL en verder geen problemen met internet of wifi, op af en toe een router reboot na. Het maakt verder ook niets uit of ik via wifi werk of bekabeld. Mijn router is een FRITZ!Box 7581 met de laatste versie van de firmware. Ik heb internet via glasvezel (200Mbs up en down).

Ik hoopte dat het aan mijn 6 jaar oude laptop van het werk zou liggen icm mijn thuisnetwerk. Collega’s van me met dezelfde laptop hebben namelijk geen problemen. Nu heb ik deze week een gloednieuwe laptop gekregen, maar helaas… exact hetzelfde probleem.

Waar zou dit aan kunnen liggen en wat zou ik zelf nog kunnen uitproberen? Ik ben verder niet zo thuis in deze materie namelijk. Op mijn werk (VPN wordt daar gesupporteerd door Verizon) hebben ze al eerder naar het probleem gekeken, maar zij hebben niets kunnen vinden. Ik kan wel bij XS4ALL gaan aankloppen, maar ja, mijn internet thuis werkt verder prima, dus wat kunnen zei hier verder aan doen?

[HKLM_]

Vraag je ICT afdeling of ze in de logs van de Cisco firewall kunnen kijken en de Umbrella Logs. en de debug logs van de Cisco AnyConnect Secure Mobility Client. Lijkt mij dat je werkgever die een VPN aanbied op een laptopt dit als eerste zou moeten gaan checken.

Heb je het al eens getest met een 4G of 5G verbinding? gaat het dan wel goed of gaat het dan ook mis? Het zou dan natuurlijk ook in je modem/router config kunnen zitten (nu ook trouwens)

[The Eagle]

Dat was ook mijn gedachte: Ga eens een tijdje op wireless via je mobiel zitten, kijken of het issue dan ook optreedt. ZO nee, dan zit het toch lokaal ergens

[laurens0619]

Ik "gok" ook dat het in je modem/router zit.
Klinkt namelijk alsof hij iets te ijverig is in lang openstaande (udp) verbindingen op te ruimen

[Brahiewahiewa]

laurens0619 schreef op donderdag 21 oktober 2021 @ 16:12:
Ik "gok" ook dat het in je modem/router zit.
Klinkt namelijk alsof hij iets te ijverig is in lang openstaande (udp) verbindingen op te ruimen

Dat kan @PatrickC testen door een

ping -t <server op het werk>

uit te voeren.
De pingetjes werken dan als keep-alive en dan zou het probleem niet op moeten treden

[laurens0619]

Brahiewahiewa schreef op donderdag 21 oktober 2021 @ 16:25:
[...]

Dat kan @PatrickC testen door een

ping -t <server op het werk>

uit te voeren.
De pingetjes werken dan als keep-alive en dan zou het probleem niet op moeten treden

Ook als de vpn udp is?

[Brahiewahiewa]

laurens0619 schreef op donderdag 21 oktober 2021 @ 16:25:
[...]

Ook als de vpn udp is?

Waarom niet? Althans, jouw stelling is dat openstaande UDP verbindingen te vroeg worden opgeruimd.
In mijn optiek betekent dat dan dat er op het modem een procesje loopt wat door de (NAT) session table heen gaat en verbindingen die langer dan X-tijd niet gebruikt worden, verwijdert. Dat zou verklaren waarom het probleem de ene keer pas na twee uur optreedt, en de andere keer al na een kwartier

OTOH is het feit dat de VPN pas na een reboot van de client-pc weer aan de praat te krijgen is, een indicatie dat het niet om een probleem met de router gaat. Misschien is het toch maar beter om op de log-files af te gaan, ipv op vage speculaties van mij ;o)

[PatrickC]

Bedankt allemaal voor de reacties en tips. Ik ga er morgen mee aan de slag.

Het is verder echt heel vreemd. Ik heb vanmiddag al even die ‘ping -t’ geprobeerd en die geeft constant response, op 1 timeout na. Maar ondanks dat ik gewoon response krijg op die ping, kan ik dan sites van mijn bedrijf niet benaderen. We gebruiken bijvoorbeeld Service Now, wat vanaf het internet te benaderen is, maar waar je dan eerst een S3 login moet doen. Dus ik krijg eerst een redirect naar die S3 site, maar die site kan dan niet worden benaderd (en als ik een tracert doe van de URL van de S3 site dan werkt deze wel!). Ook kan ik een verbinding maken naar een Linux server via Putty. Maar als ik dan een lange directory listing opvraag via ls, dan krijg ik in eerste instantie gewoon files in de directory zien, maar blijft de sessie steken tijdens het scrollen en weergeven van de files. De sessie kan ik dan ook niet afbreken en ik moet gewoon het Putty venster sluiten. Ook mapped network drives op Windows servers reageren niet meer. Als ik er op klik gaat bovenin de balk lopen in Explorer, maar deze komt nooit tot het einde en de directory wordt ook niet weergegeven. Na een reboot van de laptop en een nieuwe VPN connectie, werkt alles gewoon wel weer.

Dus… soms werkt het ook maar ‘half’, wat dit probleem zo vreemd maakt. Verizon begreep ook niets van wat er gebeurde.

De suggestie om een 4G verbinding te gebruiken had ik ook al aan gedacht, maar ik wil eigenlijk niet mijn privé mobiel abonnement gebruiken voor mijn werk. Maar… een paar uurtjes kan ik dit wel proberen.

[PatrickC]

Ik kwam dit ook nog tegen bij mijn zoektocht op het internet naar problemen met de Cisco AnyConnect client. Lijkt wel wat op mijn probleem dat bepaald verkeer wel werkt en ander verkeer weer niet. Maar het is niet iets wat ik zelf kan aanpassen of testen volgens mij?

Problemen met fragmentatie/passerend verkeer

Sommige toepassingen, zoals Microsoft Outlook, werken niet. De tunnel kan echter wel ander verkeer laten passeren, zoals kleine pings.
Dit kan inzicht wijzen op een fragmentatieprobleem in het netwerk. Met name niet-zakelijke routers zijn slecht in het fragmenteren en opnieuw samenstellen van pakketten.
Gebruik een reeks pings van toenemende lengte om te bepalen of het misgaat bij een bepaalde grootte. Bijvoorbeeld ping -l 500, ping -l 1000, ping -l 1500, ping -l 2000.
Het wordt aanbevolen een speciale groep te configureren voor gebruikers met fragmentatieproblemen en de Maximum Transition Unit (MTU) van de SVC voor die groep in te stellen op 1200. Op die manier kunt u gebruikers helpen die dit probleem ervaren, maar wordt de bredere gebruikersgroep niet beïnvloed.
Probleem
TCP-verbindingen blijven hangen nadat verbinding is gemaakt met AnyConnect.
Oplossing
Om te verifiëren of de gebruiker een fragmentatieprobleem heeft, past u de MTU voor AnyConnect-clients op de ASA aan.
ASA(config)#group-policy <name> attributes
webvpn
svc mtu 1200

[PatrickC]

Ik denk dat ik met de vorige post op een goed spoor zit… Toen het probleem weer optrad, ben ik met ping -l in de weer geweest en t/m een ping -l 1374 werkt de ping en vanaf 1375 krijg ik een ‘Request timed out’ error. Als ik dan de VPN verbinding stop en opnieuw connect, werkt de ping met een waarde van 1375, of zelfs veel groter, wel weer gewoon.

Wat ik me nu wel afvraag is waar dit moet worden opgelost? Moet ik bij XS4ALL zijn of bij Verizon (bedrijf wat mijn werkgever gebruikt voor netwerk support wereldwijd).

[ Voor 14% gewijzigd door PatrickC op 23-10-2021 00:09 ]