V6.300 Update ISP blocks everything

Same here!!
https://community.sophos.com/products/unified-threat-management/astaroorg/f/52/t/25673
 
When you look at the logs nothing seams to be wrong. But hell nothings working so someting is wrong! [;)] 
I got my system back on the net after disabling the IDS/IPS just like you.
 
An statement from the folks @ Astaro would be nice =)
Or at least a way to reverse the new snort to the old again.

Had to downgrade to 6.203 before things worked normaly again [:O]

Hi there all, 

i also upgraded to 6.300 and my IPS didn't work afterwords, which was pretty odd, so i took a look at ips.log and found the line:

2006:07:01-10:15:36 (none) snort[30963]: FATAL ERROR: Undefined variable name: (/etc/snort/rules/astaro.rules:2342): any

that seemed to me that maybe a bad pattern has caused this problem.
After some searching i found out that this is not an Astaro supplied pattern, but one that i have created myself in WebAdmin.
The problem was that i didn't knew the propper syntax.
So i deleted the rule and restarted ips be "disable ips', wait 5 seconds, 'enable ips'.

And .... it didn't work, so went to the kitchen and got me something to drink, when i came back, everything was working properly.

Now that was interresting, after some investingation and testing i found out why, at least i think.

It seems to me that there is some kind of startup delay where no packets gets processed.

after checking the ips.log again a found two lines:

2006:07:01-10:32:18 (none) snort[31573]: Log directory = /var/log/snort
2006:07:01-10:33:49 (none) snort[31573]: Snort initialization completed successfully (pid=31573)

I reproduced the behavior multiple times and found out:
that the first line gets printed immidiatly after enabling ips and that as soon as the second log lines gets printed, the system than works again properly.
Until that, every packets gets dropped and none is going through.

The time difference between those two log entries is 90 seconds.

So i assume on my box an old P3 1GHz, 512MB RAM i have a startup delay of 90 secs.

Could you guys please check if you have the same behavior and what kind of startup delay's you have on your systems?
Means how big is the time difference between the first and the second log entry?

Regards
Polluxxx

Hi, i checked the log of IPS. when I start IPS I only get the following message:
2006:07:01-11:10:41 (none) snort[28878]: Log directory = /var/log/snort

Then I can't surf anymore. When i disable snort the following message shows in the log: 

2006:07:01-11:14:18 (none) snort[28878]: Final Flow Statistics
2006:07:01-11:14:18 (none) snort[28878]: Spade got shutdown signal, cleaning up

I got a Celeron 2 GHz with 768 MB RAM 80 GB HD. So i think the machine is powerfull enough, never had any problems...

Hi, 

how long did you wait between enabling and disabling?

I waited for 3 minutes... So it should be long enough, I guess

Hi!
 
I hade some more but this forum did not allow me to post that a long thread. Not my 160kb logfile either.
 
That about the log path has been there before. i checked my logs from when i reinstalled some days ago. Same there.
 
Well Polluxxx i waited som minuites wtching top on the console to se that snort had died.
 
My hardware is a P4 1,7Ghz 768MB ram 40GB IDE HDD 7200rpm. I think it's good enought.

Hi again,
 
Question to Martin Eckroth how did you downgrade? please post that.
Getting some what irritated on this bug. [:@] 
 
And im not to found of reinstalling again... Did that not to many days ago due to HDD failure.
 
Thanks in advance

I dont have a ASG hardware. I just reinstalled from the 6.202 ISO. Took me about 9 min.

I just reprodused the anoying problem in my home lab. Installed a clean 6.202, restored my conf, reboot, everything ok, then upgraded to 6.203, reboot, got the IDS bug, upgraded to 6.300, reboot, no surfing...

Well i tried the following and got ASL v6.300 working!!! First I installed ASL from scratch. Updated to v6.203 and then to v6.300 and made a backupfile. I was still able to surf. When I used the backup file from my configuration it didn't work. So I put back the "clean" backup file. After configuring the system it suddenly could not surf on the internet (again). Again put the clean backup file back and started configuring again. Then checked every time i made a change to see if i could still surf again. Finally I got the bug (I guess). I had made a service for HTTPSpeed port 80:8080 to use in Intrusion Protection >> Advanced. When I fill in HTTP service : HTTPSpeed THEN it won't work anymore. So I left this field clean and everything is working fine (until now). I know it's not the perfect solution but it worked maybe for the team of Astaro to have a look at it. For others when you got the time try it.... Did some more test but when I download a file astaro is not using fetcher and scanning it for viruses for some reason don't know why that is, d*mn

Confirmed!
 
Excellent work fobe! [:)] 
 
If you can't choose ":: Please Select ::"  Becouse it is already set to your custom value. Then you can edit this file.
/etc/wfe/conf/ ips_settings
 
There is a row called
[SIZE=2]"http_service ="
 
Just remove the value behind " = "
I had disabled IDS befor i did this then enabled it. No more trubble... [:D] 
 
Happy hacking!!
[/SIZE]

Confirmed!
 
Excellent work fobe! [:)] 
 
If you can't choose ":: Please Select ::"  Becouse it is already set to your custom value. Then you can edit this file.
/etc/wfe/conf/ ips_settings
 
There is a row called
[SIZE=2]"http_service ="
 
Just remove the value behind " = "
I had disabled IDS befor i did this then enabled it. No more trubble... [:D] 
 
Happy hacking!!
[/SIZE]

hi,

I have no trouble with IPS so far, but I only have 'HTTP' listed as HTTP service.. did you have a service range (e.g. 80:8080) before and is that the reason why it did not work?

cheers..

Hi!
 
Well dont know for the others but I had 80:8080
Du you only have 80?

hi,

yes, I only have (the predefined) HTTP TCP/80 .. and that works for me.. 

cheers..

Strange, normally I had a lot of updates for the AV engine but now there is only 1 update downloaded. Have someone the same issue?

Hi!
 
Okey Squeeze thanks for the info will try that [:)] 
 
 
Fobe, Yepp me to. However under weekends its normaly less activity. We should wait until monday. If its the same sometings not right.

Conclusion - IPS problem:

Webadmin >> Intrusion Protection >> Advanced >> HTTP Service. If a portRANGE is configured the problem will occure. Problem is: IPS takes a high amount of CPU for 1-3 Minutes. Also it uses a lot of memory. Then it returns to normal operation. Anyway high memory usage will stay.

Workaround: Do not use a port range. Use single ports.

Hi Timo Steinbach,

Well the workaround is correct. 
However your assessment on the time is wrong. It does not lower CPU after 1-3 min, Applied my 6.300 when i went from work the other day and when I arrived at my house 10-15min later the load was around 3-4 and no surfing was possible. On a P4 1.7Ghz with 768MB ram i dont se that it would take that long unless it's a endless loop or bug.

The memory im not to conserned about but when it uses all CPU and freezes everything i tend to care more. [;)]