This discussion has been locked.

You can no longer post new replies to this discussion. If you have a question you can start a new discussion

HTTP Download über SSL-VPN

Ich habe da ein kleines Problem.

Habe eine SSL-VPN Verbindung zu einer XGS Firewall (SFOS 20.0.0.222) die auch wunderbar funktioniert.

Allerdings wenn ich von ein paar älteren Netgear Switchen (zum Beispiel GS752TPP) mir die Konfiguration, also ein Textfile (*.txt) herunterladen will, bekomme ich je nach Browser gar keine Meldung oder eine Meldung das es einen Netzwerkproblem gibt.

Der Switch selbst ist der Meinung seine Daten erfolgreich gesendet zu haben.

Bei dem Nachfolgeswitch (GS752TPv2) funktioniert es, einziger ersichtliche Unterschied, das Textfile hat als Endung *.cfg

Erlaubt ist eigentlich in der Firewallregel alle Netzwerke mit allen Diensten, kein Webfilter aktiv.

Ich finde auch in den Protokollen (Firewall, VPN, Webfilter, usw) nichts wo geblogt wurde.

Laut der Weboberfläche am Switch, ist es ein HTTP File Upload.

Hat irgendwer eine Idee an was es liegen könnte?

This thread was automatically locked due to age.

Top Replies

Gerald Gleissner1 6 months ago +1 suggested

Lösung gefunden in Firefox: Mit Hilfe von Sophos Support haben wir einen Punkt der Konfiguration in Firefox geändert und das hat geholfen: about:config öffnen chunked eingeben und folgenden Punkt auf…

Parents

0 LuCar Toni 7 months ago

Wie sieht eigentlich der Browser aus, wenn du das herunterlädst im Developer Tool?

__________________________________________________________________________________________________________________
Cancel
Vote Up 0 Vote Down

Cancel
0 Gerald Gleissner1 7 months ago in reply to LuCar Toni

Ich versteh nicht genau was du meinst? Ich habe das noch nie benutzt.

Außerdem, es hat funktioniert, dann Austausch Sophos UTM zu Sophos XGS und es funktioniert nicht mehr.

Also das einzige das sich verändert hat, ist die Firewall selbst und die SSL-VPN Konfigurationsdatei.

Die 3 Browser die ich probiert habe sind, bzw. waren die gleichen.
Cancel
Vote Up 0 Vote Down

Cancel
0 Gerald Gleissner1 7 months ago in reply to LuCar Toni

OK, ist nicht gerade mein Fachgebiet, aber ist das, das Problem mit den unterschiedlichen MSS?

Aber müssten sich die dann nicht auf 1355 einigen?
Cancel
Vote Up 0 Vote Down

Cancel
0 LuCar Toni 7 months ago in reply to Gerald Gleissner1

Das hängt von dem DF (dont fragment) Paket ab.

Siehst du in dem 1430 - das DF flag?

__________________________________________________________________________________________________________________
Cancel
Vote Up 0 Vote Down

Cancel
0 Gerald Gleissner1 7 months ago in reply to LuCar Toni

Nein:

Aber in der Antwort darauf auf einmal:
Cancel
Vote Up 0 Vote Down

Cancel
0 LuCar Toni 7 months ago in reply to Gerald Gleissner1

So: Wenn du Pakete mit 1400+ und DF Flag siehst, wird dieses Paket niemals übertragen.

Du könntest folgendes mal probieren:

https://hamy.io/post/0004/openvpn-tap-adapter-mtu-in-windows/

Ändere die MTU auf 1468 und versuchs nochmal.

__________________________________________________________________________________________________________________
Cancel
Vote Up 0 Vote Down

Cancel
0 Gerald Gleissner1 7 months ago in reply to LuCar Toni

Also lokal auf meinem PC habe ich jetzt gerade mal im Status nachgesehen für die VPN-Verbindung, da steht:

adjusting link_mtu to 1627
Cancel
Vote Up 0 Vote Down

Cancel
0 LuCar Toni 7 months ago in reply to Gerald Gleissner1

Aber welche MTU hat dein Tap Adapter, weil die MTU muss kleiner als 1500 sein. In der Regel hat der TAP adapter eine MTU von 1400.

__________________________________________________________________________________________________________________
Cancel
Vote Up 0 Vote Down

Cancel
0 Gerald Gleissner1 7 months ago in reply to LuCar Toni

Dort steht 1500!
Cancel
Vote Up 0 Vote Down

Cancel
0 LuCar Toni 7 months ago in reply to Gerald Gleissner1

Vielleicht ist das schon das Thema. Probier mal einen anderen Wert.

Versuch mal 1464

__________________________________________________________________________________________________________________
Cancel
Vote Up 0 Vote Down

Cancel
0 Gerald Gleissner1 7 months ago in reply to LuCar Toni

Habe es mit 1464 versucht, leider ohne Erfolg:

Es scheint auch erstmal Daten zu übertragen, bricht dann aber ab.

Ich weiß nicht ob ich da mal was genau ansehen sollte, weil ich klickte genau um 10.54.00 auf den Button in der Weboberfläche und hatte wieder gleichzeitig ein tcpdump Aufzeichnung gestartet.

+ 450 weitere Zeilen

und hier ungefähr bricht es ab:
Cancel
Vote Up 0 Vote Down

Cancel
0 LuCar Toni 7 months ago in reply to Gerald Gleissner1

Abbricht, jedoch mittels FIN-ACK. Das heißt, die Application möchte den Download nicht weiter durchführen. Nutzt du ein NAT? weil die IP sich ja hier ändert.

__________________________________________________________________________________________________________________
Cancel
Vote Up 0 Vote Down

Cancel

Reply

0 LuCar Toni 7 months ago in reply to Gerald Gleissner1

Abbricht, jedoch mittels FIN-ACK. Das heißt, die Application möchte den Download nicht weiter durchführen. Nutzt du ein NAT? weil die IP sich ja hier ändert.

__________________________________________________________________________________________________________________
Cancel
Vote Up 0 Vote Down

Cancel

Children

0 Gerald Gleissner1 7 months ago in reply to LuCar Toni

Zur Info zu den IPs:

10.242.2.130 Meine IP im VPN-Tunnel

10.22.120.15 IP-Adresse des Switches

10.18.169.170 IP der Sophos Firewall

Es gibt nur die allgemeine Internal Masq Regel:
Cancel
Vote Up 0 Vote Down

Cancel
0 LuCar Toni 7 months ago in reply to Gerald Gleissner1

Also so wirklich sehe ich aktuell keinen Grund, warum "Sophos" das blockieren sollte.
Ich sehe eine gültige Verbindung, und danach macht der Client die Verbindung zu.

__________________________________________________________________________________________________________________
Cancel
Vote Up 0 Vote Down

Cancel
0 Gerald Gleissner1 7 months ago in reply to LuCar Toni

Ja, ich verstehe es auch nicht.

Habe schon bei uns in der Firma die mit Sophos Architekt gefragt, dann hier im Forum. Ich denke echt ich mache mal ein Ticket auf bei Sophos, weil es muss an der Sophos bzw. an der neuen VPN Konfiguration liegen.

Hatte vorher lauter UTMs im Einsatz, dann wegen auslaufender Unterstützung zur XGS gewechselt.

Monatelange Vorbereitung weil wir gleichzeitig die rund 130 APs umgestellt haben auf Sophos Central, da noch rund 80 ausgetauscht, alles funktionierte super, Downtime maximal 5 Minuten.

Naja, dann will man mal von seinen Switchen wo man überall bis zu 15 VLANs eingerichtet hat und die Ports entsprechend eingestellt hat mal sichern. Halt um Zeit zu sparen wenn einer ausfällt. Konfig hoch laden geht schneller wie alles einzeln einrichten.

Auf jeden Fall hat es bei der UTM problemlos funktioniert, genauso wie jetzt noch bei den neueren Switchen.
Cancel
Vote Up 0 Vote Down

Cancel
0 LuCar Toni 7 months ago in reply to Gerald Gleissner1

Kannst du in den Developer Tools nutzen, um im Browser zu zeigen, ob dort ein Fehler auftaucht oder nicht?

__________________________________________________________________________________________________________________
Cancel
Vote Up 0 Vote Down

Cancel
0 Gerald Gleissner1 7 months ago in reply to LuCar Toni

Hallo,

wenn ich mich damit auskennen würde!
Cancel
Vote Up 0 Vote Down

Cancel
0 LuCar Toni 7 months ago in reply to Gerald Gleissner1

So: Du überträgst (Upload) eine Datei - TXT File.
Im Logviewer (Detailed View) findest du keinen Eintrag? Selbst wenn du nach der Destination IP (Switch) suchst?

__________________________________________________________________________________________________________________
Cancel
Vote Up 0 Vote Down

Cancel
0 Gerald Gleissner1 7 months ago in reply to LuCar Toni

OK, ich habe noch nie mit diesem Developer Tool in Edge gearbeitet!

Ich öffne die Seite wo ich den Download starten kann,

Klicke oben auf Netzwerk?

Setze den Hacken auf Protokoll beibehalten.

Klicke auf "Apply" um die Datei zu übertragen

Er zeigt mir Bytes pro Sekunde an und eine steigende Gesamtzahl, dann kommt Netzwerkfehler

jetzt stoppe ich die Aufzeichnung.

Suche in den Suchfeld nach de rIP des Switches und bekomme dann folgendes:

41 übereinstimmende Zeilen in 13 Dateien gefunden!

Und jetzt suche ich und da gibt es einmal Fehler 302?
Cancel
Vote Up 0 Vote Down

Cancel