Nach Herunterfahren der Sophos 136 XGS im HA keine Reaktion mehr [SFOS 20.0.1 MR-2-Build378]

Kannst du mir via PN die Support Access ID von dieser Appliance schicken? 

Hallo Toni, vielen lieben Dank ID kommt.

 PhilippRusch Du armer Kerl, das vom am Samstag wünsche ich keinem! Mein Stresslevel war echt hoch und habe die Welt nicht verstanden.

Nachtrag: Ich habe ja nicht mal wiederhergestellt, sondern nur die Firmware "umgebootet", aber kommt wohl aufs gleiche Ergebnis.....In diesem Fall

Also ich muss sagen, es ist ziemlich verwirrend, was hier passiert ist.

Beide Appliances wurden mehrfach immer wieder neugestartet und der HA Daemon ist immer wieder von A nach B gesprungen und zurück.

Es gab keine AUX-AUX Situation, ob es eine Primary,Primary situation gab, kann ich so nicht sagen, da die Appliances beide immer wieder manuell via Power Knopf neugestartet wurde. 

Was super auffällig ist: Alle Dienste der Firewall selbst konnten auch nicht das Internet erreichen. Ihr habt mehrere Interfaces, die als WAN dienen. Für mich sieht das so aus, als wäre die Verkabelung oder Switche oder ähnliches am blockieren gewesen.

Das GW Monitoring hat alle Interfaces von beiden Appliances (Immer wenn die jeweilige Appliance Primary war) offline genommen. Zum Beispiel die aktuelle Primary hat um 14:17 (UTC+0) die Aufgabe übernommen, und sofort alle Interfaces nach WAN offline genommen, da die Interfaces nicht erreichbar waren. 

So etwas deutet häufig darauf hin, dass die Interfaces zwar Up waren, jedoch keine Kommunikation darüber funktioniert hat. Typisches Beispiel: Virtual MAC Spoofing hat den Switch dazu verleitet, die Ports "zu beschränken". Oder die Ports waren falsch verkabelt. 

Hallo Toni, danke erstmal für deine Mühe.

Ich musste die Primäre einige male von "hand" Neustarten bis sich der Putty via COM3 verbindet. Es geht um den Zeitraum  vom ersten herunterfahren gegen 10:20/10:40 Uhr bis zum ersten hochfahren gegen 14:00/15:00 Uhr (Deutsche Zeit). Alles andere danach waren die kläglichen Versuche der wieder Inbetriebnahme. Die WAN Anschlüsse waren alle 3 (erst seit heute4) schon längst verkabelt. Sowie alle Verbindungen der LANs angelegt waren. In der Tat wurde über das VLAN  Switch zu Switch zwei Internetanschlüsse untereinander vertauscht. Das darf aber doch nicht der Grund sein?

Aber zu keinem Zeitpunkt waren die LANs falsch verkabelt. Vor allem nach dem ich die Sophos mit der MR 20.0.0 neu gestartet habe lief alles sofort außer die beiden WAN Ports die wir vertauscht hatten. Mit der MR 20.0.0 gab es ja da auch kein Problem mit dem Booten und den beiden vertauschten wan ports. 

PS: Sorry, noch ein Nachtrag

Ich bin sogar mit dem Notebookdirekt an Port 1 gegangen wo das 192.168.1.X Netz Angelegt ist. Da habe ich auch keinen Zugriff bekommen oder eine Antwort auf ICMP bzw. Ping.

"Ich bin direkt an Port1 gegangen". 
Die Frage ist, ob dann die Appliance Primary oder Aux war in diesem Szenario.

Wenn du VLAN Fehler hattest, könnte das den ganzen Switch durcheinander gebracht haben und der via STP oder ähnliche Mechanismen die Ports abgeschaltet haben? 

Also die Logs sind voller Reboots links und rechts, es ist schwer zu sagen, wo die Appliances waren, weil selbst im Sync Zustand wieder ein Neustart gestartet wurde etc. 

In solchen Fällen immer folgendes machen: 
Eine Node herunterfahren. Nur mit einer Node arbeiten. Schauen, was diese einzeln Node macht, da diese dann als Primary/Standalone arbeitet. Danach auf die Appliance zugreifen, wenn das über keinen Switch Port möglich ist, via Console auf die Firewall zugreifen und ein Wireshark / tcpdump durchführen. 
Dort sollte man dann sehen, wo man steht: Kommen die Requests überhaupt an, wo kommen sie an etc. 
Anhand dessen kann man sich weiter hangeln. 

Du kannst gerne auch einen Support Case eröffnen, es wird nur schwer sein, anhand der Logs wirklich rauszufinden, was das Thema hier war. 

"Ich bin direkt an Port1 gegangen". 
Die Frage ist, ob dann die Appliance Primary oder Aux war in diesem Szenario.

Wenn du VLAN Fehler hattest, könnte das den ganzen Switch durcheinander gebracht haben und der via STP oder ähnliche Mechanismen die Ports abgeschaltet haben? 

Also die Logs sind voller Reboots links und rechts, es ist schwer zu sagen, wo die Appliances waren, weil selbst im Sync Zustand wieder ein Neustart gestartet wurde etc. 

In solchen Fällen immer folgendes machen: 
Eine Node herunterfahren. Nur mit einer Node arbeiten. Schauen, was diese einzeln Node macht, da diese dann als Primary/Standalone arbeitet. Danach auf die Appliance zugreifen, wenn das über keinen Switch Port möglich ist, via Console auf die Firewall zugreifen und ein Wireshark / tcpdump durchführen. 
Dort sollte man dann sehen, wo man steht: Kommen die Requests überhaupt an, wo kommen sie an etc. 
Anhand dessen kann man sich weiter hangeln. 

Du kannst gerne auch einen Support Case eröffnen, es wird nur schwer sein, anhand der Logs wirklich rauszufinden, was das Thema hier war. 

Guten Morgen Toni, alles gut habe ich mir fast gedacht.

Die Switches waren ja später außer vor, nach dem ich die Sophos alleine hochgefahren habe und nun mit dem Notebook dran gegen bin. bei den FS COM Switches die wir verwenden ist STP im standard deaktiviert, daher kann es das auch nicht sein. 

Bis auf die beiden WAN Anschlüsse hättest du Verbindungen sehen müssen, mindestens 1 WAN Verbindung sowie die LANs waren korrekt verkabelt und sind mit der 20.0.0 wie beschrieben Tadellos in betrieb gegangen.

Das von dir Beschriebene Verhalten untermauert ja nur meine Aussage, das keinerlei Kommunikation auf den Ports mehr statt gefunden hat.

Ich danke dir für das Deeskalationsverfahren war du da unten noch beschrieben hast. Das werde ich beherzigen.

Grüße

Patrick