Firewall Änderung Firmware 5.20

[COMCARGRU]

Moin allerseits,

also laut einiger Aussagen hier wurde ja bei der FW 5.20 an der Firewall einiges geändert. Würde mal gerne wissen, was genau?

Grund: Ich hab zwei Accounts bei einem Freemail Anbieter.
Beide Accounts frage ich mit dem selben Mail Programm nacheinander ab.
Jetzt kam folgendes: Plötzlich konnte ich mit dem einen Account nichts mehr empfangen - aus heiterem Himmel, kam immer Paßwort falsch. Naja komisch aber mal gewartet. So ein Freemailer kann ja mal Probleme haben. Nach drei Tagen war mir aber klar, daß muß was lokales sein.

So also Firewall hat nix angezeigt. Ändern des PW auch nicht. Was Wunder es war ja korrekt und Einloggen per Webinterface lief die ganze Zeit.

Firewall Trace hab ich leider verpennt anzufertigen. Jetzt kommt es aber: Firewall ausgeschaltet: LÄUFT! - Firewall wieder eingeschaltet: LÄUFT immer noch

Also was läuft hier schief? Die Firewall Regeln sind korrekt, im Lanmonitor schlägt nichts auf, aber trotzdem hat die Firewall hier etwas Verboten. Und auch die Änderung der Abfragereinfolge der Mailaccounts hat nichts geändert. Der eine Account lief plötzlich nicht mehr und nach dem Aus- und Einschalten der Firewall geht er wieder.

Also ich halte das für völlig Sinnbefreit.

Übrigens wurde auch was am DHCP bzw NetBIOS Teil rumgefummelt? Erhalte seit der FW 5.20 immer wenn ich mein Notebook Einschalte die Meldung: Ein gleicher Name ist im Netzwerk schon vorhanden. Das passiert bei allen Netzen, wo ein Lancom mit FW 5.20 als DHCP läuft...

Gruß
COMCARGRU

[backslash]

Hi COMCARGRU

also laut einiger Aussagen hier wurde ja bei der FW 5.20 an der Firewall einiges geändert. Würde mal gerne wissen, was genau?

In der 5.20 hat sich a der Firewall recht wenig getan, außer daß die Unterstüzung für eine separate DMZ hinzugekommen ist und man eine strengere Quellprüfung einstellen kann (DMZ/Intranet-Check loose/strict)

Firewall Trace hab ich leider verpennt anzufertigen. Jetzt kommt es aber: Firewall ausgeschaltet: LÄUFT! - Firewall wieder eingeschaltet: LÄUFT immer noch

Also wenn die das Mail-Programm gesagt hat, daß dein Paßwort falsch ist, dann hat es bestimmt nichts mit der Firewall zu tun - denn die Verbindung wurde ja aufgebaut und ist bis zur Paßwortabfrage gekommen...

Vermutlich war der POP3 oder IMAP Zugang des Anbieters tatsächlich gestört, wärend der WEB-Zugang noch funktionierte. Den Zusammenhang, den du versuchst zu sehen, würde ich eher als unglücklichen Zufall ansehen.

Also ich halte das für völlig Sinnbefreit

ich auch...

Übrigens wurde auch was am DHCP bzw NetBIOS Teil rumgefummelt?

Bei aktiviertem VRRP weist DHCP Server nicht mehr die IP-Adresse des LANCOMs als Gateway, DNS- und NBNS-Server zu, sondern die Adresse des virtuellen Routers, der mit der Default-Route verknüpft ist.

Der NetBIOS-Proxy broadcastet Server-Announces für alle von einer WAN-Seite gelernten Server ins LAN (das sind die Einträge in der Serverliste), damit bei aktivem VRRP alle physikalischen Router die gleiche Liste zur Verfügung haben können. Das sollte aber kein Problem sein. Du bist auch der erste, der das Problem in dieser Form meldet.

Bekannt ist hingegen, daß das Problem auftritt, wenn du ein z.B. Notebook von der einen auf die andere Seite der Strecke trägst, ohne es vorher runterzufahren (z.B. einfach die WLAN-Karte ziehen, oder noch "schlimmer": einfach zuklappen und gehen...).

Das liegt aber daran, daß Windowsrechner sagen, daß sie ihren Namenseintrag für mindestens 3,5 Tage (5000 Minuten) behalten möchten, was das LANCOM auch so vermerkt. Wenn sich nun das Notebock nicht beim WINS - also dem LANCOM - abmeldet, dann ist der eigene Name des Notebooks nach dem Seitenwechsel im Netz weiterhin unter der alten Adresse bekannt und es kommt zu der Fehlermeldung...

Um das zu unterbinden wird ab der 6.00 die maximale Gültigkeit eines NetBIOS-Namen konfigurierbar sein

Gruß
Backslash

[COMCARGRU]

Also wenn die das Mail-Programm gesagt hat, daß dein Paßwort falsch ist, dann hat es bestimmt nichts mit der Firewall zu tun - denn die Verbindung wurde ja aufgebaut und ist bis zur Paßwortabfrage gekommen...

Vermutlich war der POP3 oder IMAP Zugang des Anbieters tatsächlich gestört, wärend der WEB-Zugang noch funktionierte. Den Zusammenhang, den du versuchst zu sehen, würde ich eher als unglücklichen Zufall ansehen.

Sorry Backslash,

aber ich verstehe genug von der Materie um sagen zu können, daß es definitv am Lancom lag.

An einem anderen Standort konnte ich nämlich testweise bestens auf den Account zugreifen. Nur von zu Hause aus nicht. Und just in dem Moment wo ich die Firewall ausschalte geht es wieder, aber 3 Tage lang vorher nicht? Störungsmeldungen gab es in keiner Newsgroup etc.

Also ich behaupte mal, daß selbst du nicht an einen solchen Zufall glaubst!

Da ist was Faul im "Staate Dänemark" - äh in der Firmware. Ich hab mit der 5er Firmware ja auch genug andere Probleme gehabt, die eigentlich - weil Config korrekt - gar nicht hätten da sein dürfen

Bei aktiviertem VRRP weist DHCP Server nicht mehr die IP-Adresse des LANCOMs als Gateway, DNS- und NBNS-Server zu, sondern die Adresse des virtuellen Routers, der mit der Default-Route verknüpft ist.

Merkwürdig! Der Haken bei: "VRRP aktiviert" ist bei mir nicht gesetzt! Aber du sagst jetzt trotzdem das die Einstellung: "Interne Dienste unter der virtuellen IP anbieten" aktiv ist wenn angehakt?

Also das ist dann schlechtes Design im Lanconfig. Weil wenn VRRP nicht aktiv ist, müßten sinnigerweise alle entsprechenden zugehörigen Funktionen auch inaktiv sein...

Nene ich weis nicht. Ich glaube ihr packt in letzter Zeit zu viele Funktionen in zu kürzer Zeit ins LC.OS und achtet dabei zu wenig auf die Qualität. Auch wenn jeder hier die ein oder andere Funktion in der Box haben will, lieber länger warten, dafür ausgereift und stabil.

Gruß
COMCARGRU

[COMCARGRU]

Nachtrag:

Bekannt ist hingegen, daß das Problem auftritt, wenn du ein z.B. Notebook von der einen auf die andere Seite der Strecke trägst, ohne es vorher runterzufahren (z.B. einfach die WLAN-Karte ziehen, oder noch "schlimmer": einfach zuklappen und gehen...).

Lol - Ich behaupte jetzt einfach mal, daß ich einer der wenigen Menschen bin, die ihr Notebook wirklich immer sauber runterfahren und komplett neu booten beim Einschalten. Sämtliche Standby Features sind bei meinem Notebook abgeschaltet, weil mir das zuwieder ist. Dem Frieden mit Standby traue ich nämlich überhaupt nicht. Genau aus dem Grund, um Probleme wie die von dir genannten erst gar nicht aufkeimen zu lassen.

Lieber 5 Minuten booten, als eine geschrottete Partition, weil irgendein Treiber eben doch nicht Standby tauglich war...

Gruß
COMCARGRU

[omd]

Lieber 5 Minuten booten, als eine geschrottete Partition, weil irgendein Treiber eben doch nicht Standby tauglich war...

Wer hat Dir denn diesen "Floh ins Ohr gesetzt"?

Gruß
omd

[COMCARGRU]

Hi,

Wer hat Dir denn diesen "Floh ins Ohr gesetzt"?

Ich hab schon oft genugt gesehen, daß ein Notebook nach dem Standby völlig instabil lief und gerne mal per Blue Screen ins Nirvana abgehauen ist.

Und auch wenn eher unwahrscheilich, kann nach einem Crash wenn es unglücklich läuft die Partitionstabelle hinüber sein, oder Daten futsch, etc...

Und da es immer noch viel Software gibt, die mit Standby Probleme hat, muß ich das ja nicht provozieren...

Gruß
COMCARGRU

[backslash]

Hi COMCARGRU

aber ich verstehe genug von der Materie um sagen zu können, daß es definitv am Lancom lag.

An einem anderen Standort konnte ich nämlich testweise bestens auf den Account zugreifen. Nur von zu Hause aus nicht. Und just in dem Moment wo ich die Firewall ausschalte geht es wieder, aber 3 Tage lang vorher nicht? Störungsmeldungen gab es in keiner Newsgroup etc.

Trotzdem kann ich es einfach nicht glauben, daß die Meldung des Mailservers, daß das Paßwort falsch sei etwas mit der Firewall zu tun haben sollte. Da die Firewall keine Deep-Packet-Inspection macht, werden bei einer korrekt aufgebauten TCP-Verbindung alle Pakete einfach übertragen, ohne daß die Firewall sich da irgendwie einmischt.

Ein Router- und Firewall-Trace während des Versuchs die Mails zu lesen wären da schon sehr hilfreich. U.U. sogar noch ein Ethereal-Trace um ggf. feststellen zu können, was da übertregen wurde und möglicherweise schief gelaufen ist...

Merkwürdig! Der Haken bei: "VRRP aktiviert" ist bei mir nicht gesetzt! Aber du sagst jetzt trotzdem das die Einstellung: "Interne Dienste unter der virtuellen IP anbieten" aktiv ist wenn angehakt?

Nein ich habe gesagt, daß es bei aktiviertem VRRP geschieht. Der Schalter für die internen Dienste hat nur eine Auswirkung, wenn VRRP aktiviert ist. Damit der DHCP-Server als DNS- und NBNS-Server die Adresse des viruellen Routers zuweist, müssen beide Schalter angehakt sein

Also das ist dann schlechtes Design im Lanconfig. Weil wenn VRRP nicht aktiv ist, müßten sinnigerweise alle entsprechenden zugehörigen Funktionen auch inaktiv sein...

Die Sache mit den internen Diensten ist eine Option des VRRP und hat somit nur Auswirkungen, wenn VRRP aktiviert ist...

Ein Abschalten einer Option beim Deaktivieren eines Dienstes wäre vergleichbar mit dem Löchen der Firewall-Regeln, wenn man die Firewall abschaltet oder dem Löschen aller Einträge im VPN, nur weil es deativiert wurde. Wenn eine Software soetwas täte, DANN würde ich von einem schlechten Design sprechen...

Gruß
Backslash

[COMCARGRU]

Die Sache mit den internen Diensten ist eine Option des VRRP und hat somit nur Auswirkungen, wenn VRRP aktiviert ist...

Ein Abschalten einer Option beim Deaktivieren eines Dienstes wäre vergleichbar mit dem Löchen der Firewall-Regeln, wenn man die Firewall abschaltet oder dem Löschen aller Einträge im VPN, nur weil es deativiert wurde. Wenn eine Software soetwas täte, DANN würde ich von einem schlechten Design sprechen...

Häm - Also oben schreibst du daß die Fehlermeldung welche ich genannt habe an dem Punkt "Interne Dienste unter der virtuellen IP anbieten" liegen muß, wenn dieses aktiv ist.

Bei mir ist aber VRRP abgeschaltet, womit es also damit nichts zu tu haben sollte. Aber woran liegt es denn dann? Es passiert seit der Firmware 5.20 und zwar reproduzierbar. Und bei allen Routern wo es passiert ist VRRP abgeschaltet.

Ich will ja nicht Unken, aber daß ist dann schon das dritte unerklärliche Verhalten der 5er Firmware, welches ich feststellen kann...

Gruß
COMCARGRU

[alf29]

Ich will ja nicht Unken, aber daß ist dann schon das dritte unerklärliche Verhalten der 5er Firmware, welches ich feststellen kann...

Da hier keiner das Verhalten sich erklären bzw. nachstellen kann, wäre es an Dir, entsprechende
Traces zu liefern, wie Backslash schon erwähnte - sonst können wir da gar nichts machen...

Gruß Alfred

[COMCARGRU]

Das mit den Traces ist klar. Sollte das mit dem Mailacc. nochmal vorkommen, liefere ich den sofort.

Was VRRP betrifft, welche Traces sind notwendig? VRRP, DHCP, NetBIOS ???

Gruß
COMCARGRU

[backslash]

Hi COMCARGRU

Häm - Also oben schreibst du daß die Fehlermeldung welche ich genannt habe an dem Punkt "Interne Dienste unter der virtuellen IP anbieten" liegen muß, wenn dieses aktiv ist.

das habe ich mitnichten gesagt.

Ich habe nur die Änderungen im NetBIOS aufgeführt. Wenn du dir das erste Posting nochmal durchliest, dann steht da nichts von den internen Diensten. Erst als du diesen Schalter erwähnt hast, habe ich noch erwähnt, das der DHCP-Server die virtuelle Adresse als DNS- und NBNS-Server zuweist, wenn der Schalter aktiv ist - Vorraussetztung dafür ist natürlich, daß auch VRRP aktiviert ist.

Bei abgeschaltetem VRRP gibt es nur die Änderung, daß die Einträge der Serverliste, die vom WAN gelernt wurden ins LAN gebroadcastet werden (bisher wurden nur direkte Anfragen danach beantwortet).

Bei aktiviertem VRRP und auch aktiviertem Schalter für die internen Dienste, lernt das LANCOM nun auch WAN-Seitige Hostnamen, wenn sie im LAN propagiert werden. Das hat aber nur etwas mit der Synchronisation der Tabellen zu tun, um bei einem Ausfall des einen Routers einen schnellen wechsel auf den Anderen zu ermöglichen...

Was VRRP betrifft, welche Traces sind notwendig? VRRP, DHCP, NetBIOS ???

Da du VRRP deaktiviert hast, dann brauchst du dafür überhaupt keine Traces zu machen....

Gruß
Backslash

[COMCARGRU]

Bei abgeschaltetem VRRP gibt es nur die Änderung, daß die Einträge der Serverliste, die vom WAN gelernt wurden ins LAN gebroadcastet werden (bisher wurden nur direkte Anfragen danach beantwortet).

Kann man das auch mit einem Schalter wieder ändern? - Würde ja gerne mal probieren, ob es damit zu tun hat.

Gruß
COMCARGRU

[backslash]

Hi COMCARGRU

Kann man das auch mit einem Schalter wieder ändern? - Würde ja gerne mal probieren, ob es damit zu tun hat.

nein, ich könnte dir aber am Montag zum Test eine Firmware bauen, bei der das deaktiviert ist - wenn du mir sagst, für welche(s) Gerät(e)...

Gruß
Backslash

[COMCARGRU]

Einmal LC 1621 und einmal LC 1821.

Bei meinen W2k3 Servern hab ich übrigens auch seltsame Fehlemeldungen, die genau auch in diese Richtung gehen, seit auf der 8011 die 5.20 drauf ist.

Also diese 3 wären es. Ich bin aber jetzt die ganze Woche weg. Kann es also erst am nächsten Wochenende testen...

Gruß
COMCARGRU

EDIT: p.s.: Danke! Das ist Service wie ich ihn liebe und weshalb ich jedem einen Lancom aufschwatze