Newsgroup: it.comp.reti.cisco
Titolo: Problema server SMTP dietro Pix 515 (lunghino)

La configurazione su cui sto lavorando � questa:
- Cisco Pix 515 Restricted license con 3 schede di rete (out, in e dmz)
- versione sw: 7.1
- in DMZ � presente un server SMTP
- la DMZ usa IP privati (e quindi sul PIX ci sono le opportune STATIC 
per la pubblicazione)
Il problema � che alcuni server di posta (in particolare quelli di un 
noto sistema di hosting/housing) non riescono ad inviarmi posta. O 
meglio, l'invio fallisce il 99% delle volte ed ogni tanto la mail entra.
Dopo aver fatto numerose prove (compresa cattura pacchetti di ci� che 
arriva al server di posta) sono arrivato a queste conclusioni:
- Le catture evidenziano solo che ci sono dei segmenti TCP persi. In 
particolare il server di invio "salta" improvvisamente a segmenti molto 
pi� avanti di quello a cui sono rimasto e dopo un po' manda un bel RST 
della connessione. (questo non dovrebbe essere un problema perch� TCP e 
la sliding window sono pensati apposta per l'out of order)
- Se prendo una macchina "di test" e la collego direttamente dietro al 
router, questa funziona alla perfezione.
- se la stessa macchina la porto in DMZ, ecco che si comporta 
esattamente come il server di posta ufficiale
- Sul PIX, attivando le catture, ho solo delle indicazioni del 
sottosistema asp (capture PIPPO type asp-drop per capirsi) che fanno 
riferimento ad errori di tipo tcp-not-syn
Qualcuno � mai incappato in qualcosa di simile? Avevo letto che la 
versione che ho potrebbe avere dei problemi causa server che inviano MSS 
diversi da quelli dichiarati nella 3way handshake ma la cattura non ha 
evidenziato niente del genere.
In alternativa, devo per forza mettere in piedi un syslog per provare a 
tracciare meglio la questione?
Grazie per la pazienza e buon weekend
-- 
Luca

 meglio, l'invio fallisce il 99% delle volte ed ogni tanto la mail entra.
Prova disabilitando l'inspect del protocollo SMTP.
Il PIX l'ha sempre scassato (anche se non so se la 7.1 scassasse ancora
nella stessa maniera), tanto che alcuni MTA hanno delle configurazioni
apposite per far funzionare ugualmente le cose:
http://www.postfix.org/postconf.5.html#smtp_pix_workarounds
-- 
http://bofhskull.wordpress.com/


Pardon, dimenticavo: non c'� inspect nell'SMTP
-- 
Luca

 
Il server SMTP che cosa �? Come OS, intendo...
Gi� verificato che il PIX non stia segando sessioni che usano window
scaling? (visto capitare in diverse occasioni con clienti, tanto che i
miei MTA hanno lo scaling disattivato: quando la dimesione della
finestra "shifta" il firewall non capisce e inizia a segare; non so se
capiti con i PIX, ma non mi stupirebbe)
-- 
http://bofhskull.wordpress.com/


S.O Windows 2003
Software: qualunque, ne ho provati due (uno quello "ufficiale" un altro 
diverso).
In effetti mi hai dato un'idea.. Luned� controllo
-- 
Luca


Aspetta, ora che mi ricordo mi pare proprio che lo scaling sia 
disattivato (il campo mi pare sia 1 nelle options del TCP).
Al contrario l'MTA dall'altra parte ha il window scaling attivo
Comunque verifico e casomai provo a spengerlo (avevo avuto qualche idea 
ma mi sarebbe piaciuto trovare qualcosa nei log).
Potrei anche abbassare la TCP Window del s.o. ma non vorrei poi rompere 
le scatole a tutti i 400 utenti che ci insistono sopra
-- 
Luca