Newsgroup: it.comp.reti.locali
Titolo: Blocco nuove connessioni

Buongiorno a tutti,
ho una situazione alquanto strana a cui ne' il fornitore della connettivita', ne' il fornitore
del firewall hanno saputo dare una risposta facendosi un po' da scaricabarile a vicenda.
In sostanza ho questa architettura...
Internet --> LANCOM 1721 --> Firewall --> LAN (192.168.111.0)
             192.168.1.1      192.168.1.0
Il Lancom 1721 e' un modem/router con IP pubblico lato WAN e IP privato (192.168.1.1) lato LAN.
La linea dispone di 1 solo IP pubblico e sul router ho creato un port forward da 1 a 65535
sulla interfaccia WAN del firewall (192.168.1.10)
Sul firewall ci stanno sempre fisse 2 VPN statiche (IPSec) piu' alcuni roadwarrior.
Accade che in alcuni momenti, per cause non ancora identificate non vengano piu' instaurate
nuove connessioni. Quelle esistenti come le VPN, SSH, vengono mantenute e fanno passare traffico
ma se provo ad instaurarne di nuove non ci riesco, come se la linea fosse giu'. MA non e' giu' :(
Le soluzioni allo stato attuali sono :
- Riavviare gli apparati.
- Attendere circa 30 minuti affinche' qualcosa (cosa ??) vada in timeout.
Ho notato che il problema avviene sia con poche connessioni (90-100) sia con molte (1500-2000),
per cui non dovrebbe essere un limite legato al firewall che tra l'altro ne puo' gestire oltre
30.000.
Ho anche notato che cambiando IP alla interfaccia pubblica del firewall, quindi da .1.10 porto a
.1.22 il traffico inizia nuovamente a scorrere.
Sembrerebbe quindi un problema legato a qualche blocco imposto dal router LANCOM che ha al suo
interno anche un firewall (disabilitato).
Ci sto sbattendo da oltre 10 giorni con scaricabarile e scuse (infantili) dal fornitore di
connettivita' che non riesce a fornirmi assistenza.
Qualcuno ha gia' attraversato un'odissea simile e saprebbe indicarmi una possibile soluzione ?
Saluti.
--
Giuseppe


  Ma la tua LAN è composta da un unico pc? (192.168.111.0)


Così ad occhio sembra un problema di firmware del router o del firewall.
Per sapere quale dei due puoi provare a sniffare il traffico nella 
192.168.1.0 e vedere se i tentativi di connessione arrivano fino a li, in 
tal caso il prob te lo da il FW se invece già li non arriva nulla allora il 
prob è prima ossia sul router.
Wok 


se voleva essere una battuta è fatta un po' da ignorante......192.168.111.0 
non è un IP da host ma in effetti una net
Wok 

>>              192.168.1.1      192.168.1.0
Il primo e l ultimo non li utilizzerei, hai provato a cambiare il firewall
da 0 a 2?

 ha scritto nel messaggio 
news:44cf02da$0$47967$4faf...@reader3.news.tin.it...

penso abbia solo cannato lo schem , nella descrizione dice 192.168.1.10
Wok 

Ciao Stefano (Wok) Marsani  in data Tue, 1 Aug 2006 09:19:32 +0200,
hai scritto:

bhe, ok che effettivamente si capisce che è intesa come net e non come
host, però non conoscendo la maschera di rete potrebbe anche essere un
host.
Ciao ciao
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.


bha... butto li...
secondo me arp table piena....
Diego 

 Ciao ciao
conosco uno che qualche anno fa su uno scatolotto Compaq senza tastiera e 
video ma solo con interfaccia web ha messo IP 192.168.0.255 :-))
Compaq gli ha dovuto mandare un disco nuovo con il S.O. per farlo lavorare 
nuovamente :-)))
Stefano 

 Diego

 il traffico riprende, ma gli ARP son sempre gli stessi.. :(
a meno che il cambio IP non implichi anche una clear dell'arp table, ma non 
conosco il "coso" in oggetto, quindi la mia era solo un ragionare a voce 
alta
Diego 

 host.
LAN = 
192.168.111.0/24
Saluti
--
Giuseppe

 ha scritto nel messaggio 
news:44cf2735$0$30244$4faf...@reader1.news.tin.it...

sembra comunque un bug software,  se cambi IP in realtà l'interfaccia deve 
andare giù e pulisci sia arp che tabelle di routing (che si ricreano con 
l'IP nuovo)
Stefano 

 Diego
ma siamo sincronizzati!!!
OT mode on
Come sta Filippo??
OT mode off

 Diego
--
Giuseppe

sempre giusto per...
ho visto che sul sito vi è un firmware aggiornato al 31.07.06... non è che 
magari quello ti risolve il problema ?
-- 
Diego
L'Italiano medio ha un testicolo, una tetta e meno di due gambe! 


Direi che sta molto molto bene, è da un paio di giorni che ce lo troviamo in 
giro gattoni per casa :-D
La tua giogia (che, scusami, non ricordo come si chiama) come sta ?
Ciaociao



  scusa ma qui: 
http://www.lancom-systems.de/LANCOM_1721_VPN.101.0.html?L=1
dice:
a.. 5 IPSec VPN channels integrated; optional: 25 simultaneous VPN channels 
and hardware VPN accelerator
a.. Stateful inspection firewall with Intrusion Detection/Denial-of-Service 
protection
tu quante VPN hai simultaneamente?
Stefano 

 La tua giogia (che, scusami, non ricordo come si chiama) come sta ?
Sempre OT ma con discrezione....
Lorenzo sta una meraviglia, non gattona ancora (ma ha un mese meno di 
Filippo) ma abbiamo due e dico ben due dentini (o meglio quarti di dentini)

:-D
noi di denti manco l'ombra...
ok, basta con gli ot, eventualmente scriviamoci in mail
ciaociao


 protection
Estraggo dal mio primo post..
"Sul firewall ci stanno sempre fisse 2 VPN statiche (IPSec) piu' alcuni roadwarrior. "
Il Lancom mi fa' solo da modem/router, debbo dire notevole visto che affascia
4 ADSL da 2048/512 in un unico flusso da 8Mbit in down e 2 in upload.
Ma si limita a fare questo..
Come mi hanno consgliato cmq sto provando la strada dell'aggiornamento firmware.


>
ops, nella mia ennesina lugubrazione mentale ho invertito gli apparati :-))
Stefano 

 Rettifichiamo...
tranquillo si capiva perfettamente!


Giuseppe wrote:

Vabbè, a questo punto da profano mi chiedo; capisco che il router funzioni
anche da modem ma probabilmente il problema è lì. La lan è su un' altra
rete ma in mezzo c è il firewall , probabilmente dovrebbe essere così :
WAN <------> firewall <--------> router <--------> LAN
ci sono casini nell' instradamento probabilmente.
Sbaglio qualcosa?
Andrea

 Andrea
PER ANDREA:
lo schema:
WAN <------> router<--------> firewall <--------> LAN
č il normale schema fornitore internet - router (tuo o dell'ISP) - FW (tuo)
normalmente (non in questo caso) il router ha IP pubblici sia sul lato WAN 
(inteso come esterno) che su quello LAN (inteso come Interno),
Al FW dai un IP pubblico della stessa classe di quello che ha il lato LAN 
del router e dai come gateway  a FW l'IP LAN del router.
Nel caso di Giuseppe lui ha un solo IP pubblico quindi č stato costretto a 
fare un IP forward di tutta una serie di porte per dai si che il traffico 
"iniziato" dal lato internet possa arrivare al suo FW e da li essere 
gestito.
Se non ci fosse stata l'esigenza di far arrivare il traffico dall'esterno 
sarebbe bastato anche un doppio nat sia sul FW che sul router per far uscire 
ed entrare il traffico.
tendenzialmente non puň essere un prob di routing altrimenti non 
funzionerebbe mai :-)
Wok

 Wok
Grazie per la spiegazione, sei stato chiarissimo. Mi sorgeva una domanda: e
se la lan mantenesse la stessa rete (192.168.1.0) cambierebbe qualcosa?
Andrea

 se la lan mantenesse la stessa rete (192.168.1.0) cambierebbe qualcosa?
????
non ho capito
Stefano 

Stefano (Wok) Marsani wrote:

Mi spiego, da quello che ho capito ora la lan si trova su 
192.168.111.0/24
giusto? ma il router è dietro il firewall, potrebbe influire questo?
Andrea

 giusto? ma il router č dietro il firewall, potrebbe influire questo?
come il router č dietro il FW?!??!?!
lui a fatto una "mini" rete 192.168.1.x (mascherata come vuoi 255.255.255.0 
o 255.255.255.252) tra il router ed il FW poi ha la sua LAn 
192.168.111.0/24
.
e questo č quanto
Stefano 

 Stefano
Internet --> LANCOM 1721 --> Firewall --> LAN (192.168.111.0)
             192.168.1.1      192.168.1.0
Forse mi sono espresso male ,cito lo schema originale; il router deve
gestire la lan  con in mezzo un firewall, potrebbe influire? Forse dico una
cazzata appunto.
Grazie per la pazienza  Andrea

 Grazie per la pazienza  Andrea
il router vedilo come macchina esterna, la LAN la gestisce il FW, č lui che 
fa il default gateway della LAN e che le rotte caricate. A sua volta tutto 
quello che va fuori lo manda verso il suo default gateway che il router.
E' piů chiaro cosi??
no prob per la pazienza...siamo ad agosto :-))
Wok 

 Wok
Ora si è più chiaro , dici che a settembre..... ninte pazienza?
ciao andrea

 ciao andrea
la quantità disponibile di pazienza (o meglio di tempo dedicabile ai NG) è 
inversamente proporzionale alla quantità di lavoro da svolgere :-)
Stefano