Bizarre issue met Global Protect VPN + KPN Experia box.

[Aviv1]

Een jaar geleden startte ik dit topic.
VPN aan en vervolgens half werkend internet

Het probleem was dat als ik mijn VPN aan zette op mijn laptop (Global Protect) ik niet meer kon browsen, totdat ik deze weer uitschakelde. Heel lang gezocht naar de oorzaak en de oplossing, maar die is altijd uitgebleven. De enige fix was het uitschakelen van IPv6 op mijn netwerkadapter in Windows. Een workaround dus.


Nu ben ik er bij groot toeval achter gekomen waar het probleem zit. Dat ging als volgt:

Inmiddels ben ik al een aantal maanden verhuisd en heb ook hier KPN internet met de nieuwste Experia box zoals in mijn vorige woning. Ik heb die verder gewoon default gelaten, moet nog eens mijn SSID aanpassen, enz. Tot op heden nooit een issue gehad als ik de VPN aan zet.


Soms werk ik bij mijn vriendin thuis. Zij heeft net als ik KPN met de zelfde Experia box (de nieuwste). Ook nooit enige issue met de VPN als ik bij haar werk.

Gisteravond vroeg ze me, zeg, kun je mijn WiFi naam aanpassen naar iets wat ik zelf verzin? Ja hoor mop, zo gepiept. Ik log dus in op de KPN Experia box, 192.168.2.254 om de SSID te wijzigen. Althans, dat probeerde ik. De web interface lag er helemaal uit, niets reageerde meer. Vaag...

Ik sluit mijn browser en probeer het nogmaals. 192.168.2.254 wordt vertaald naar mijnmodem.kpn maar, "Pagina niet gevonden" . Wat raar? NU.nl dan, zelfde liedje > Pagina niet gevonden. Dat deed me gelijk denken aan bovenstaand topic dus ik zet mijn VPN uit en gelijk werkt alles naar behoren.

Maar hoe kan dat, dacht ik. Ik heb de hele dag feilloos kunnen werken en al die weken daarvoor ook. Met de VPN aan. Ik heb ook geen enkele setting aangepast, lokaal of op de modem.

Die volgende dag ben ik weer thuis. Ik zet mijn VPN aan en.... niets aan de hand. Zoals al de voorgaande maanden sinds ik hier woon, gewoon probleemloos kunnen werken.

Ok, maar ik was toch nieuwsgierig, dus ik browse naar 192.168.2.254, ik log in op mijn Experia box, en waarempel, exact het zelfde als de dag er voor bij mijn vriendin. Browser kan niets meer vinden.
VPN uit en niets aan de hand. VPN aan, weer problemen met DNS.

Dus ik activeer dit probleem blijkbaar door in te loggen op de Experia box.

Dit keer schakelde dit keer IPv6 uit op mijn KPN-modem, en het probleem is weg.

Toch benieuwd of er mensen enig idee hebben wat nou echt de root cause is? Thnx

[laurens0619]

heeft je werkgever niet gewoon local network access uitgezet?
Is geen vreemde instelling voor als mensen verbonden zijn middels een vpn

https://knowledgebase.pal...ail?id=kA10g000000PPbACAW

dus:
"its nog a bug, its a feature"

[ Voor 11% gewijzigd door laurens0619 op 08-03-2022 16:15 ]

[Aviv1]

laurens0619 schreef op dinsdag 8 maart 2022 @ 16:14:
heeft je werkgever niet gewoon local network access uitgezet?
Is geen vreemde instelling voor als mensen verbonden zijn middels een vpn

https://knowledgebase.pal...ail?id=kA10g000000PPbACAW

dus:
"its nog a bug, its a feature"

Nee, split tunneling staat gewoon aan.

[laurens0619]

@Aviv1
Ik ben geen globalprotect expert maar als ik die documentatie goed lees dan staat split tunneling los van block local network access.
Toch?

https://www.reddit.com/r/...nnel_no_direct_access_to/

[ Voor 26% gewijzigd door laurens0619 op 08-03-2022 16:30 ]

[Aviv1]

laurens0619 schreef op dinsdag 8 maart 2022 @ 16:28:
@Aviv1
Ik ben geen globalprotect expert maar als ik die documentatie goed lees dan staat split tunneling los van block local network access.
Toch?

https://www.reddit.com/r/...nnel_no_direct_access_to/

Ja klopt. Maar de link die jij stuurt is de web interface van de firewall. Ik heb het hier uitsluitend over de VPN client op mijn laptop. Daarnaast 2 dingen:

1. Alles werkte totdat ik de Experia box bezocht
2. local network access uitzetten is global, niet op IPv6 niveau aan de kant van mijn router

Het maakt ook niet uit of ik IPv6 op mijn modem uitschakel of op mijn laptop, beide is een workaround die werkt. Het vreemde is, dat IPv6 de laatste maanden gewoon aan stond op mijn laptop en default staat hij ook aan op de Experia box. Tot je inlogt op die Experia box, is daar geen probleem mee.

[laurens0619]

@Aviv1
dus door 1x te surfen (niet succesvol) naar een lokaal IP adres, klapt je hele verbinding eruit. tot je de vpn weer aan zet?
Dat is wel vreemd
Het IP van het modem is natuurlijk ook je gateway waarmee die naar de vpn server moet. Misschien kickt er wel iets in dat die verbinding geblokkeerd wordt?

En ja dat blokkeren stel je in op de vpn server, niet de client. Het is een security policy die jij dus niet op de client kan aanpassen.
Heb je dit gedrag/deze vraag wel eens bij je werkgever neergelegd? (tenminste ik neem aan dat het om een werklaptop gaat?)_

[Aviv1]

laurens0619 schreef op dinsdag 8 maart 2022 @ 16:42:
@Aviv1
dus door 1x te surfen (niet succesvol) naar een lokaal IP adres, klapt je hele verbinding eruit. tot je de vpn weer aan zet?
Dat is wel vreemd
Het IP van het modem is natuurlijk ook je gateway waarmee die naar de vpn server moet. Misschien kickt er wel iets in dat die verbinding geblokkeerd wordt?

En ja dat blokkeren stel je in op de vpn server, niet de client. Het is een security policy die jij dus niet op de client kan aanpassen.
Heb je dit gedrag/deze vraag wel eens bij je werkgever neergelegd? (tenminste ik neem aan dat het om een werklaptop gaat?)_

Nee, ik rephrase het even:

dus door 1x te surfen (niet succesvol) naar een lokaal IP adres, klapt je hele verbinding eruit. tot je de vpn weer aan uit zet.

Dus, dit was de situatie:
Situatie: VPN aan en alle settings default (IPv6 aan op laptop en op Experia box (iig nooit uitgezet).

Event: ik log 1x in op de KPN Experia box. Ik wijzig niets.

Situatie: Experia box website stopt met reageren. Alle websites niet meer te bereiken of half als ik het nog in cache had.

Vervolgens heb ik 3 opties om mijn internet weer werkend te krijgen. VPN uizetten, IPv6 uizetten op laptop, of IPv6 uitzetten op Experia box.

In de tussentijd....
Zie ik de debug logs op mijn Experia box vol staan met:

DNS name resolution failure (da2-iod.xxxxxx.com)

[Faifz]

192.168.2.0/24 wordt via de tunnel geforceerd en de firewall op het werk heeft sowieso geen route hiervoor. Je gaat je IT team moeten vragen of ze split-tunneling kunnen doen. Anders toon me eens je route print wanneer je met de VPN verbonden bent?

Aviv1 schreef op dinsdag 8 maart 2022 @ 16:01:
Ik sluit mijn browser en probeer het nogmaals. 192.168.2.254 wordt vertaald naar mijnmodem.kpn maar, "Pagina niet gevonden" . Wat raar? NU.nl dan, zelfde liedje > Pagina niet gevonden. Dat deed me gelijk denken aan bovenstaand topic dus ik zet mijn VPN uit en gelijk werkt alles naar behoren.

NU.nl lijkt gewoon geblokkeerd te zijn (URL-filtering security profile op een policy). Mijnmodem.kpn is geen publiek DNS record en omdat je een externe DNS server gebruikt (bv van het werk) die gaan nooit die records hebben.

Alles lijkt goed te werken, maar je moet het met uw IT team bespreken. Als client valt er weinig te doen omdat alle configuraties door de firewall gepushed worden.

[Ben(V)]

Als ik het allemaal goed begrijp maakt die laptop van jouw met de global protect VPN client een connectie naar je werk omgeving.

Het is volgens mij zeer gebruikelijk en ook gewenst dat dingen als split tunneling niet werken.
Als jouw laptop split tunneling doet dan is die laptop op dat moment een bridge tussen het netwerkwerk van je werk en jouw lan.
De meeste bedrijven vinden dat een gigantisch security risico en zorgen er dus voor dat split tunneling door de VPN client onmogelijk gemaakt wordt.
Als jouw client VPN namelijk een tunnel naar je werk heeft opgezet, zit je laptop effectief in je werk omgeving en dus voorbij alle firewall's van je werk.

Dit resulteert dus in het effect dat je op het moment dat je VPN client met je werk verbonden is, het eigen lan niet bereikbaar is.
Dus precies zoals het hoort.

[Real]

Aviv1 schreef op dinsdag 8 maart 2022 @ 16:01:
Gisteravond vroeg ze me, zeg, kun je mijn WiFi naam aanpassen naar iets wat ik zelf verzin? Ja hoor mop, zo gepiept. Ik log dus in op de KPN Experia box, 192.168.2.254 om de SSID te wijzigen. Althans, dat probeerde ik. De web interface lag er helemaal uit, niets reageerde meer.

Wat gebeurt er als je niet met de betreffende laptop, maar met een heel andere apparaat inlogt? Bijvoorbeeld met een eigen tablet.

Dit keer schakelde dit keer IPv6 uit op mijn KPN-modem, en het probleem is weg.

Toch benieuwd of er mensen enig idee hebben wat nou echt de root cause is? Thnx

Lijkt een routing of wellicht hairpin probleem. DNS kun je wegstrepen als een rfc1918 IP adres ook niet werkt.

[laurens0619]

Ben(V) schreef op woensdag 9 maart 2022 @ 09:28:
Als ik het allemaal goed begrijp maakt die laptop van jouw met de global protect VPN client een connectie naar je werk omgeving.

Het is volgens mij zeer gebruikelijk en ook gewenst dat dingen als split tunneling niet werken.
Als jouw laptop split tunneling doet dan is die laptop op dat moment een bridge tussen het netwerkwerk van je werk en jouw lan.
De meeste bedrijven vinden dat een gigantisch security risico en zorgen er dus voor dat split tunneling door de VPN client onmogelijk gemaakt wordt.
Als jouw client VPN namelijk een tunnel naar je werk heeft opgezet, zit je laptop effectief in je werk omgeving en dus voorbij alle firewall's van je werk.

Dit resulteert dus in het effect dat je op het moment dat je VPN client met je werk verbonden is, het eigen lan niet bereikbaar is.
Dus precies zoals het hoort.

Ik heb wat moeite om te begrijpen wat nu precies split tunneling is bij globalprotect.
Je lijkt 3 modes te hebben:
1. Alles via de vpn
2. Internet verkeer zonder vpn en lokaal verkeer toegestaan (split tunnel)
3. Internet verkeer zonder vpn en lokaal verkeer blokkeren (split tunnel icm block lan access)

Maar als ik de documentatie lees dan bestaat mode 3 niet? Als je block lan access doet, dan heb je automatisch geen split tunnel en gaat alles de tunnel in? Als ik die reddit post bekijk dan bestaat mode 3 wel

[ Voor 20% gewijzigd door laurens0619 op 09-03-2022 11:24 ]

[Frogmen]

Ik ken deze VPN provider niet maar ik is het niet zo al het http en https verkeer standaard de VPN tunnel ingaat en slechts ander verkeer lokaal kan.

[Ben(V)]

@Frogmen
Dat hoeft niet, veel VPN clients staan split tunneling toe, dan kun je gewoon je lan en het internet bereiken buiten de tunnel om.
En een VPN tunnel is ook niet exclusief voor http(s) verkeer, daar kan elk soort verkeer doorheen.

@Aviv1 en @laurens0619
Als de werkgever security riscs serieus neemt, dan krijgen werknemers alleen toegang via die VPN als mode 1 ingeschakeld is.
Je wilt als bedrijf niet dat iemand zijn laptop een soort bridge wordt naar een thuis Lan en eventueel het internet.

De verschijnselen wijzen daar ook op, want als hij die VPN aanzet, kan hij z'n Lan niet meer bereiken.
Dat het gewerkt heeft zal wel door toegenomen security "awarness" zijn veroorzaakt.

[ Voor 7% gewijzigd door Ben(V) op 09-03-2022 12:45 ]

[laurens0619]

Ben(V) schreef op woensdag 9 maart 2022 @ 12:42:
@Frogmen
Dat hoeft niet, veel VPN clients staan split tunneling toe, dan kun je gewoon je lan en het internet bereiken buiten de tunnel om.
En een VPN tunnel is ook niet exclusief voor http(s) verkeer, daar kan elk soort verkeer doorheen.

@Aviv1 en @laurens0619
Als de werkgever security riscs serieus neemt, dan krijgen werknemers alleen toegang via die VPN als mode 1 ingeschakeld is.
Je wilt als bedrijf niet dat iemand zijn laptop een soort bridge wordt naar een thuis Lan en eventueel het internet.

De verschijnselen wijzen daar ook op, want als hij die VPN aanzet, kan hij z'n Lan niet meer bereiken.
Dat het gewerkt heeft zal wel door toegenomen security "awarness" zijn veroorzaakt.

Het probleem met security is dat je met sommige maatregelen risico 1 oplost maar een ander risico groter maakt. Split tunnel kan juist security voordelen hebben als je naar het hele plaatje kijkt. Dat is alleen offtopic hier

De vraag was bestaat er een modus 3, dus split tunnel met block lan access. Zo ja zou dit het gedrag kunnen verklaren

[Faifz]

laurens0619 schreef op woensdag 9 maart 2022 @ 11:05:
[...]

Ik heb wat moeite om te begrijpen wat nu precies split tunneling is bij globalprotect.
Je lijkt 3 modes te hebben:
1. Alles via de vpn
2. Internet verkeer zonder vpn en lokaal verkeer toegestaan (split tunnel)
3. Internet verkeer zonder vpn en lokaal verkeer blokkeren (split tunnel icm block lan access)

Maar als ik de documentatie lees dan bestaat mode 3 niet? Als je block lan access doet, dan heb je automatisch geen split tunnel en gaat alles de tunnel in? Als ik die reddit post bekijk dan bestaat mode 3 wel

Als je niks ingeeft bij access routes, is het automatisch een 0.0.0.0/0 dus alles wordt via de tunnel geforceerd.



Maar als je een subnet zou ingeven bv 192.168.100.0/24 dan wordt de tunnel alleen maar gebruikt als je 192.168.100.0/24 bereikt. Dan ga je te werk met split-tunneling.



Als je zou willen dat gebruikers geen toegang hebben tot hun thuisnetwerk, dan zet je die optie aan. De access route laat je leeg (wat gelijk is aan 0.0.0.0/0). Dus nee, je doet geen split-tunneling meer.

[laurens0619]

Faifz schreef op donderdag 10 maart 2022 @ 00:09:
[...]


Als je niks ingeeft bij access routes, is het automatisch een 0.0.0.0/0 dus alles wordt via de tunnel geforceerd.

[Afbeelding]

Maar als je een subnet zou ingeven bv 192.168.100.0/24 dan wordt de tunnel alleen maar gebruikt als je 192.168.100.0/24 bereikt. Dan ga je te werk met split-tunneling.

[Afbeelding]

Als je zou willen dat gebruikers geen toegang hebben tot hun thuisnetwerk, dan zet je die optie aan. De access route laat je leeg (wat gelijk is aan 0.0.0.0/0). Dus nee, je doet geen split-tunneling meer.

[Afbeelding]

Ja als het puur op routes zou werken snap ik het en zou mode 3 niet bestaan. Die software agents van tegenwoordig kunnen soms wat magisch in een netwerk interface zitten. Want lees bv deze post, dat lijkt toch op split tunnel maar ook block lan access?
https://www.reddit.com/r/...nnel_no_direct_access_to/

[Faifz]

laurens0619 schreef op donderdag 10 maart 2022 @ 06:54:
[...]

Ja als het puur op routes zou werken snap ik het en zou mode 3 niet bestaan. Die software agents van tegenwoordig kunnen soms wat magisch in een netwerk interface zitten. Want lees bv deze post, dat lijkt toch op split tunnel maar ook block lan access?
https://www.reddit.com/r/...nnel_no_direct_access_to/

Als je pak een DNS server zoals 8.8.8.8/32 in een exclude list zet, dan wordt de fysieke interface gebruikt voor DNS resolving dus dan heb je wel split-tunneling. Een alternatief is dat je het op basis van domeinen/applicaties doet.

Maarja, als je het IP adres van ieder thuisrouter in een exclude list ga zetten - ben je als administrator nogal bezig hoor. Verder ben ik er vrij zeker van dat alles door de tunnel geforceerd wordt in OP's geval omdat NU.nl geblokkeerd werd (URL-filtering profile in een security policy).

[laurens0619]

@Faifz
TS geeft aan dat er wel split tunnel aan staan, dat ziet je ook in de traceroutes uit zijn andere topic

Als ik het goed lees wordt nu.nl standaard helemaal niet geblokkeerd maar gaat "alles op slot" nadat hij heeft geprobeerd om op een modem interface in te loggen.
Daarom dus mijn vermoeden dat er wel split tunnel is icm deny lan access. Deny lan access icm split tunnel krijg je alleen niet makkelijk opgelost met routes, als ik die reddit post lees dan kunnen ze het toch wel op een bepaalde manier.

[Faifz]

laurens0619 schreef op donderdag 10 maart 2022 @ 13:15:
@Faifz
TS geeft aan dat er wel split tunnel aan staan, dat ziet je ook in de traceroutes uit zijn andere topic

Klopt, zie het net in zijn route table. Kan wel zijn dat ze het ondertussen veranderd hebben, want er zijn veel security redenen waarom je alles door de tunnel zou willen forceren met een PAN firewall. Dat doe je nooit met een ghetto OpenVPN/WG appliance ergens op een hypervisor.

Als ik het goed lees wordt nu.nl standaard helemaal niet geblokkeerd maar gaat "alles op slot" nadat hij heeft geprobeerd om op een modem interface in te loggen.

Hij bedoelt als hij GP uitschakelt dat hij wel toegang heeft tot NU.nl of de web-interface van zijn router.

Daarom dus mijn vermoeden dat er wel split tunnel is icm deny lan access. Deny lan access icm split tunnel krijg je alleen niet makkelijk opgelost met routes, als ik die reddit post lees dan kunnen ze het toch wel op een bepaalde manier.

Lijkt mij ook wel het geval dat die optie aanstaat. Maar we kunnen hem niet echt verder helpen want het ligt aan het IT team.

[ Voor 11% gewijzigd door Faifz op 10-03-2022 13:30 ]

[laurens0619]

Faifz schreef op donderdag 10 maart 2022 @ 13:29:
[...]


Hij bedoelt als hij GP uitschakelt dat hij wel toegang heeft tot NU.nl of de web-interface van zijn router.

Ik lees dat hij, na het bezoeken van de web interface, een issue krijgt dat geen enkel (web) verkeer meer werkt en hij als voorbeeld nu.nl noemt (puur als test pagina). normaal met vpn aan kan hij denk ik nu.nl wel bezoeken

maar 1 iemand die daar uitsluitsel over kan geven
@Aviv1

[Faifz]

laurens0619 schreef op donderdag 10 maart 2022 @ 13:33:
[...]

Ik lees dat hij, na het bezoeken van de web interface, een issue krijgt dat geen enkel (web) verkeer meer werkt en hij als voorbeeld nu.nl noemt (puur als test pagina). normaal met vpn aan kan hij denk ik nu.nl wel bezoeken

Aan de hand van het volgende, werkt alles naar behoren zonder GP.

'Dat deed me gelijk denken aan bovenstaand topic dus ik zet mijn VPN uit en gelijk werkt alles naar behoren.'

PAN firewalls zijn redelijk moeilijk om in te stellen en GP is in vergelijking met andere VPN oplossingen gewoon te complex. Als het IT team niet kan achterhalen waarom x traffic geblokkeerd wordt, dan weet je al dat ze de traffic logs niet eens bekijken. Of ze nu de default inter-zone policy loggen is ook de vraag, wat ze bijna altijd vergeten te doen.

Als ze afkomen met "het ligt aan je router" dan weet je al dat ze het zelf niet eens deftig hebben getest. Geen enkel router gaat hier problemen veroorzaken