Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 15 replies
  • Subscribers 2 subscribers
  • Views 11098 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Battling DNS Issues on UTM9

Jason.Sedlaczek@kcd.org
I have been fighting DNS issues on my UTM9 (SG310 on 9.315-2) for several weeks and it is driving me crazy.  I am hoping someone might be able to help since no one else that I've had look at the issue is able to figure this out.  We seem to be having DNS issues and the high latency on requests is slowing down internet traffic (particularly to google-based sites).  We are a school of about 1200 users and I have been testing and changing network, AD, and firewall configurations for weeks trying to get DNS responses to be faster.  I have found that during the times when students are in class and using their laptops then we have more inconsistent connectivity testing results with many DNS errors or high latency warnings.  I am referring to general network usage, not high bandwidth usage times.  Sophos resources are in the teens for CPU and memory during these times.  I have settled on the chrome extension called Connectivity Diagnostics as it seems to do a nice range of tests and specifically tests google sites.  I also have had a Fortinet firewall installed alongside the Sophos with test VLAN traffic running through the Fortinet.  Through my many many tests and configuration changes I have learned this – 

1. If a client runs through the Fortinet and uses an external DNS (google/opendns/etc) on their Ethernet adapter then the diagnostics do not fail. [Fortinet client + external DNS = OK]
2. If a client runs through the Fortinet but uses a local AD DNS server that runs through the Sophos then I will get inconsistent results with slow DNS resolution and HTTP latency test errors. [Fortinet client + local DNS on Sophos = slow]
3. If a client runs through Fortinet and the local AD DNS runs through Fortinet then the diagnostics do not fail. [Fortinet client + local DNS on Fortinet = OK]
4. If a client runs through the Sophos but uses local AD DNS that runs through Fortinet then results are mostly good. [Sophos client + local DNS on Fortinet = mostly OK]
5. If a client runs through the Sophos and uses local AD DNS on Sophos then slow DNS resolution and other latency errors.  Very slow at times particularly when network usage is high (not necessarily bandwidth usage).  [Sophos client + local DNS on Sophos = very slow]

I have used the Sophos best practice document for Sophos DNS config, tweaking guides DNS configs, and the recent suggestions by jalil1408 on this forum (https://community.sophos.com/products/unified-threat-management/astaroorg/f/53/t/34929) but nothing seems to give me the same result as when I run through the Fortinet.  I have a run Any -> DNS -> Any in place and have turned off as many services as I can.  We really only do Firewall, Intrusion Prevention, and Web Filtering right now.  I have even turned off the last two and still get slow response times.  I restarted the firewall last night with no success and have cleaned up AD and my local DNS servers.  The fact that they run fine when going out the Fortinet makes me feel pretty confident that internally I am running ok.  What else in the Sophos would be slowing down browsing so much?  I have a few test results from the diagnostics program added below in case they are helpful.  Please let me know what questions you have and thanks for any help!!

From - "Chrome Connectivity Diagnostics": 
https://chrome.google.com/webstore/detail/chrome-connectivity-diagn/eemlkeanncmjljgehlbplemhmdmalhdc?utm_source=gmail

SUMMARY
Test Name: Resolver Latency Test       Test ID: 8         Test result: Problem detected
CRITERIA
Average DNS resolution time (ms) benchmark above which a problem verdict is rendered: 500
DETAILS
Thu Sep 24 2015 14:50:46 GMT-0400 (Eastern Daylight Time) - Attempting to resolve hostname #: 0 ruhtcpoz-ccd-testing-v4.metric.gstatic.com
Thu Sep 24 2015 14:51:15 GMT-0400 (Eastern Daylight Time) - Total DNS resolution time for all tests (ms): 26913
Thu Sep 24 2015 14:51:15 GMT-0400 (Eastern Daylight Time) - Total DNS hosts resolved: 3
Thu Sep 24 2015 14:51:15 GMT-0400 (Eastern Daylight Time) - Average DNS resolution time (ms): 8971


This thread was automatically locked due to age.
Parents
  • 0
    Thanks BAlfson.  Yes, I have tried your suggestions from your thread and also the Sophos Best Practice guide (https://www.sophos.com/en-us/support/knowledgebase/120283.aspx) from their KB.  I am currently running with #1 (referencing your post order) empty and #5 no longer points to the UTM.  I have not noticed much difference when pointing internal DNS to the UTM or not and have also tried allowing only DNS servers and then the whole network on #1 with no luck.

    As for down/up speeds, we are currently 100Mbps/20Mbps and there is no correlation to slow DNS resolution and bandwidth for down or up.  We rarely hit the limits on either lately.  I also monitor the LAN switches and don't seem to see anything unusual.  My Fortinet goes between the same core switch then to the same ISP switch as my Sophos so I feel like I would not be able to have such clean results with the Fortinet if LAN or ISP traffic issues were occurring.

    I talked to Sophos today and they are running a script now which is supposed to monitor the hardware activity during the school day Monday and make sure my device is sized correctly for what we are doing.  I have to think that it is since the Fortinet is quite a bit older and seems fine and also because offloading a good portion of my traffic to the Fortinet does not seem to help the problem much.

    I hope there is a log file somewhere that can give their tech support some insight into the issue.  I will update this thread if I learn anything new on Tuesday when I talk to Sophos again.    Thanks!
Reply
  • 0
    Thanks BAlfson.  Yes, I have tried your suggestions from your thread and also the Sophos Best Practice guide (https://www.sophos.com/en-us/support/knowledgebase/120283.aspx) from their KB.  I am currently running with #1 (referencing your post order) empty and #5 no longer points to the UTM.  I have not noticed much difference when pointing internal DNS to the UTM or not and have also tried allowing only DNS servers and then the whole network on #1 with no luck.

    As for down/up speeds, we are currently 100Mbps/20Mbps and there is no correlation to slow DNS resolution and bandwidth for down or up.  We rarely hit the limits on either lately.  I also monitor the LAN switches and don't seem to see anything unusual.  My Fortinet goes between the same core switch then to the same ISP switch as my Sophos so I feel like I would not be able to have such clean results with the Fortinet if LAN or ISP traffic issues were occurring.

    I talked to Sophos today and they are running a script now which is supposed to monitor the hardware activity during the school day Monday and make sure my device is sized correctly for what we are doing.  I have to think that it is since the Fortinet is quite a bit older and seems fine and also because offloading a good portion of my traffic to the Fortinet does not seem to help the problem much.

    I hope there is a log file somewhere that can give their tech support some insight into the issue.  I will update this thread if I learn anything new on Tuesday when I talk to Sophos again.    Thanks!
Children
No Data
Unfiltered HTML