So hatte ich es auch formuliert. Sie ist halt noch nicht lang im Finalstatus, daher kann es durchaus passieren, dass nicht alle Szenarien ausführlichst getest wurden.
[Sammelthread] Sophos UTM-Sammelthread
- Ersteller XTaZY
- Erstellt am
So hatte ich es auch formuliert. Sie ist halt noch nicht lang im Finalstatus, daher kann es durchaus passieren, dass nicht alle Szenarien ausführlichst getest wurden.
Hallo,
ich hatte auch eine böse Überraschung mit der UTM 320 v. 9 beim Kunden erlebt...
Habe HA manuell konfiguriert, Backup Interface am Master aktiviert, den Slave vorsichtshalber einmal neu gestartet und dann mit Master verbunden. Was dann passierte, kann ich mir bis heute nicht erklären. Beide UTMs waren ca. 10Min auf Volllast. Master war nicht erreichbar, Slave dagegen war ab und zu da. Arbeiten mit Slave gings überhaupt nicht, da die Verbindung ständig weg war.
Was ist passiert? Der Master hat Slave Config gezogen. Aus Master wurde Slave, aus Slave Master. Ärger ohne Ende...
Gestern habe ich auf ner ESXi 5.1.0 Maschine die Umgebung mit der Version 9.1 nachgestellt... Ergebnis, aus Master wurde Slave, aus Slave Master. Drei mal probiert, mit autom. und auch mit der manuelle Konfiguration, Ergebnis bleibt gleich.
Morgen werde ich das alles umgekehrt machen, Master lasse ich unkonfiguriert, Slave passe ich komplett an. Theoretisch sollte dann aus Slave Master werden.
----------------------------------
Doch, kannst du noch
Version 5.50
Was gegen Exposed Host spricht? Ein weiterer Hop
Die Fritte ist immer noch als Router da. Für Performance Junkies ist das schon ein gewaltiger UnterschiedJede Firewall Regel macht das System langsamer, auch wenn die Fritte Any, Any, Any Regelwerk darstellt, müssen die Pakete erst durch die Fritte durch.
Getestet habe ich aber nicht, kannst du mal mit Tracert ausprobieren und berichten.
Zuletzt bearbeitet:
UMTS-Stick sowie SIM-Karte sind bei mir eingetroffen.
Die Einrichtung vom UMTS-Failover hat erst nach der Festlegung von Überwachungskriterien funktioniert.
Die "Automatische Überwachung" hat entweder nicht richtig funktioniert oder ich war etwas zu ungeduldig.
Hab das Failover jetzt so eingerichtet, dass das UMTS-Modem aktiviert wird wenn die primäre WAN-Schnittstelle mehrere bestimmte DNS-Hosts im Internet nicht erreichen kann.
Das UMTS-Modem muss ich demnächst noch anders platzieren, da der Empfang im Server-Schrank sehr "bescheiden" is
Sollte ich den MTU-Wert des UMTS-Modems verringern, wieder auf den Defaultwert 1500 setzen oder ist das eher egal ?
Deine MTU Werte sind kontraproduktiv.
Unterstützen deine NICs, Switch, Treiber etc. Jumbo Frames von 9000?
MTU Wert für Huawei Stick ist falsch, hier sagt der Provider welcher MTU Wert optimal ist. MTU 1500 ist auch nicht suboptimal, hier kommt es auf das PPPoE Protokoll an. In DEU unterstützen die ISP wie Telekom MTU Werte von 1492, Arcor unter 1492.
Telekom sagt du sollst MTU Wert 1492 verwenden, du stellst am ASG MTU von 1500 ein. Ergebnis: Verbindungsprobleme bei div. Internetseiten, so die Theorie...
MTU Size kann mittels PING ermittelt werden. Wie man unten sehen kann, beträgt der optimale MTU Wert 1472. Zu den 1472 addiert man noch 28 Bytes (ICMP- & IP Header) und erhält MTU Wert von 1500, was optimal für meinen Anschluss ist
Du sprichst, dass d. Huawei Stick ein Backup IF ist, falls ein DNS Server nicht erreichbar ist. Wie hast du DNS am ASG denn konfiguriert, als Verfügbarkeitsgruppe oder einzeln? Mach bitte Schreenshot.
Anhang anzeigen 235603
Zuletzt bearbeitet:
Die erhöhte CPU Last durch IPS, kannst du durch das hinzufügen deiner Server, etwas minimieren...
IPS->Erweitert-> Leistungssteigerung: siehe Bild
Anhang anzeigen 235605
D
daheym
Guest
Schau dir mal die CPU-Auslastung der VM und des ESX-Hosts an wenn du Traffic erzeugst
Da wirst du Probleme haben, mit der 9.1 funktioniert das HA auf virtuellen UTMs nicht, auf Hardware hab ichs noch nicht getestet.
Die CPU-Auslastung wird mit ~40% angegeben und der Server 2012 (läuft unter Hyper-V) gurkt bei 10% rum.
Von den Ressourcen her is die VM wirklich ausreichend bestückt.
Deine MTU Werte sind kontraproduktiv.
Unterstützen deine NICs, Switch, Treiber etc. Jumbo Frames von 9000?
MTU Wert für Huawei Stick ist falsch, hier sagt der Provider welcher MTU Wert optimal ist. MTU 1500 ist auch nicht suboptimal, hier kommt es auf das PPPoE Protokoll an. In DEU unterstützen die ISP wie Telekom MTU Werte von 1492, Arcor unter 1492.
Telekom sagt du sollst MTU Wert 1492 verwenden, du stellst am ASG MTU von 1500 ein. Ergebnis: Verbindungsprobleme bei div. Internetseiten, so die Theorie...
MTU Size kann mittels PING ermittelt werden. Wie man unten sehen kann, beträgt der optimale MTU Wert 1472. Zu den 1472 addiert man noch 28 Bytes (ICMP- & IP Header) und erhält MTU Wert von 1500, was optimal für meinen Anschluss ist
Du sprichst, dass d. Huawei Stick ein Backup IF ist, falls ein DNS Server nicht erreichbar ist. Wie hast du DNS am ASG denn konfiguriert, als Verfügbarkeitsgruppe oder einzeln? Mach bitte Schreenshot.
Anhang anzeigen 235603
Die MTU-Werte der WAN-Schnittstelle und des UMTS-Sticks hab ich bereits wieder auf 1500 herabgesetzt - da ich tatsächlich hin und wieder Probleme mit der Internetverbindung hatte
Die Realtek-Karte ist jetzt die WAN-Schnittstelle und die beiden Ports der Intel Dual-Port Karte wurden als Linkbündelung eingebunden und ebenfalls mit einem MTU-Wert von 1500 konfiguriert.
Den UMTS-Stick hab ich als Uplink-Ausgleich (Standby) konfiguriert.
Danke für deine Hilfe !
Zuletzt bearbeitet:
Doch, kannst du noch
Version 5.50
Was gegen Exposed Host spricht? Ein weiterer Hop
Jede Firewall Regel macht das System langsamer, auch wenn die Fritte Any, Any, Any Regelwerk darstellt, müssen die Pakete erst durch die Fritte durch.
Getestet habe ich aber nicht, kannst du mal mit Tracert ausprobieren und berichten.
Habe gerade nochmal die Quelle für meine Info rausgesucht.
Der Grund, wollte eine 7390 als reines Modem konfigurieren. Die Suche ergab folgendes : Betrieb als DSL-Modem nach Firmware-Update nicht möglich | FRITZ!Box 7390 | AVM-SKB
Naja, und der eine Hop über die Fritzbox macht nicht wirklich was aus. Ping bei 14-15ms ins fremde Netz reicht um bei BF3 bestehen zu können
Netzintern, also zum gleichen ISP sogar unter 10ms....
Wenn nicht die ganze Telefonigeschichte über die Fritzbox laufen würde, wäre das Thema ein anderes. Nur hab ich ganz wenig Lust mich damit auseinander zu setzen. Dafür gibt es wirklich Bereiche die mich mehr begeistern.
Anhänge
Quellen?
wo wir gerade beim Thema sind.
Vermisse seit dem Update nähere Infos zu den Viren. Bekomme im Dashboard angezeigt, dass Angriffe blockiert wurden, aber im Webfilter log wird nichts weiter angezeigt. Bislang glückte noch die manuelle Suche im Webfilter log nach "Virus". So konnte ich noch rausfinden was Sache bzw. Bedrohung war.
Meine sogar, das ich vor noch nicht all zu langer Zeit im daily executive report genauere Infos zum Virus und dem Zielhost bekommen habe.
Vermisse seit dem Update nähere Infos zu den Viren. Bekomme im Dashboard angezeigt, dass Angriffe blockiert wurden, aber im Webfilter log wird nichts weiter angezeigt. Bislang glückte noch die manuelle Suche im Webfilter log nach "Virus". So konnte ich noch rausfinden was Sache bzw. Bedrohung war.
Meine sogar, das ich vor noch nicht all zu langer Zeit im daily executive report genauere Infos zum Virus und dem Zielhost bekommen habe.
Everest2000
Semiprofi
so meine Herren und Damen, werde mich auch mal ein klinken:
Hab mit Sophos erstmal zum "lernen" geladen und um die Software besser kennen zu lernen^^ *G* geile Wort wahl, rennt aktuell auf einem Bladeserver, Typ HS22 und ja das funktioniert gut, ok bischen XXL aber egal.
PS: dickes danke schön an: Fr3@k
Hab mit Sophos erstmal zum "lernen" geladen und um die Software besser kennen zu lernen^^ *G* geile Wort wahl, rennt aktuell auf einem Bladeserver, Typ HS22 und ja das funktioniert gut, ok bischen XXL aber egal.
PS: dickes danke schön an: Fr3@k
Telefonat mit Sophos
D
daheym
Guest
So Checkerkids hier mal was neues von mir.
Da die Telekom die nächsten Tage bei mir 2x 200MBit Fiberanschlüsse schaltet muss ich Firewalltechnisch auch mal etwas upgraden.
Ich hatte bis dato ein Cluster aus 2x Symantec 5420 (mit ASG v8) im Einsatz. Leider sind nur 10/100er NICs verbaut, so dass etwas anderes her muss.
Also 2 Symantec 5620 besorgt und dort nach einer laaangen Nacht die UTM V9 zum laufen bekommen. Noch schnell jeweils 4GB ECC Ram rein und ich bin (hoffentlich) erst mal gerüstet. Evtl. die CPUs noch upgraden, mal schauen...
Hier mal Bilder:
Das 5420 Cluster habe ich auch schon zerrissen und habe eine Maschine erfolgreich auf V9 geupgradet, läuft auch mit 1GB erst mal ganz vernünftig (das Board kann zum Glück 2GB). Falls jemand interesse an den Cluster hat -> PN
Jo und ne ASG120v3 habe ich in dem Zuge auch gleich auf V9 geupgradet.
Sieht doch ganz nett aus oder? V.a. habe ich jetzt jede Menge USB-Ports um mein Handy zu laden
Da die Telekom die nächsten Tage bei mir 2x 200MBit Fiberanschlüsse schaltet muss ich Firewalltechnisch auch mal etwas upgraden.
Ich hatte bis dato ein Cluster aus 2x Symantec 5420 (mit ASG v8) im Einsatz. Leider sind nur 10/100er NICs verbaut, so dass etwas anderes her muss.
Also 2 Symantec 5620 besorgt und dort nach einer laaangen Nacht die UTM V9 zum laufen bekommen. Noch schnell jeweils 4GB ECC Ram rein und ich bin (hoffentlich) erst mal gerüstet. Evtl. die CPUs noch upgraden, mal schauen...
Hier mal Bilder:
Das 5420 Cluster habe ich auch schon zerrissen und habe eine Maschine erfolgreich auf V9 geupgradet, läuft auch mit 1GB erst mal ganz vernünftig (das Board kann zum Glück 2GB). Falls jemand interesse an den Cluster hat -> PN
Jo und ne ASG120v3 habe ich in dem Zuge auch gleich auf V9 geupgradet.
Sieht doch ganz nett aus oder? V.a. habe ich jetzt jede Menge USB-Ports um mein Handy zu laden
Zuletzt bearbeitet:
Everest2000
Semiprofi
wie "laut" sind die -> das Bladecenter ist auf dauer auch keine Lösung und das intel Atomteil ist irgenwie nicht so der Burner, das Mainboard will nicht so recht.
D
daheym
Guest
1HE ist idR immer laut...
Also die 5420 machen schon etwas Lärm. Die 5620 haben ne Lüftersteuerung, sind aber trotzdem nicht leise
@Fr3@k: Normale Menschen haben zuhause auch nur ne FritzBox und gut ist. In dem Thread bin ich schon unter Gleichgesinnten
Also die 5420 machen schon etwas Lärm. Die 5620 haben ne Lüftersteuerung, sind aber trotzdem nicht leise
@Fr3@k: Normale Menschen haben zuhause auch nur ne FritzBox und gut ist. In dem Thread bin ich schon unter Gleichgesinnten
Zuletzt bearbeitet:
Everest2000
Semiprofi
*G* normale Menschen haben kein Bladecenter bei sich stehen^^.
Naja werde dich bald via PN mal anschreiben
Naja werde dich bald via PN mal anschreiben
Hi Leute,
Habe jetzt das Sophos UTM9 schon seit ein paar Wochen auf meinem Server als VM installiert und ich bin begeistert.
Da in letzter Zeit mein Modem leider etwas spinnt (muss immer wieder den Netzstecker ziehen, sonst geht Garnichts mehr), will ich mir ein neues kaufen. Jetzt bin ich mal auf die Idee gekommen, dass es vielleicht irgend eine art Modem gibt, wo ich als Betriebssystem vielleicht gleich das Sophos installiern kann. Kann mir ned vorstellen, dass große Firmen auch irgend eine art Fritzbox und danach erst die Firewall haben.
Währe über jeden Tipp dankbar.
Habe jetzt das Sophos UTM9 schon seit ein paar Wochen auf meinem Server als VM installiert und ich bin begeistert.
Da in letzter Zeit mein Modem leider etwas spinnt (muss immer wieder den Netzstecker ziehen, sonst geht Garnichts mehr), will ich mir ein neues kaufen. Jetzt bin ich mal auf die Idee gekommen, dass es vielleicht irgend eine art Modem gibt, wo ich als Betriebssystem vielleicht gleich das Sophos installiern kann. Kann mir ned vorstellen, dass große Firmen auch irgend eine art Fritzbox und danach erst die Firewall haben.
Währe über jeden Tipp dankbar.
Wird eig immer über ein Modem realisisert. Es gibt zwar WAN Schnittstellen mit Modemfunktion z.B. bei Cisco als Einschübe, die sind jedoch einfach nur sackteuer.
Nen eigenständiges Modem ist kosteneffizienter und is im Störfall auch fix ausgetauscht.
Edit: und fritzbox != modem
Nen eigenständiges Modem ist kosteneffizienter und is im Störfall auch fix ausgetauscht.
Edit: und fritzbox != modem
Es kommt auf die Anschlussart an. Meist bekommen die Kunden eigene IP zugewiesen oder bekommen halt Modem von ISP.
Ich empfehle immer "nur" einen richtigen Modem zukaufen ohne irgendwelche Schnickschnack Funktionen, also nicht Fritzbox!
Was sagen deine PPPoE Logs? Es ist bekannt dass div. Fritzbox-Modelle Sync Probleme mit ASG haben.
---------- Post added at 09:07 ---------- Previous post was at 08:53 ----------
Sophos Tools:
http://www.astarosupport.org/Downloads/
Zuletzt bearbeitet:
D
daheym
Guest
Übrigens: Die V9.1 läuft bisher ohne Probleme im Cluster, allerdings Hardware, keine VM
Everest2000
Semiprofi
Das Atommainboard ist irgenwie "defekT" es möchte hochfahren hängt aber, nach dem 2. Hochfahren geht es -> BIOS geflasht aber es bringt nichts aber - hey - geschenkt bekommen, ist diese Krücke:
Intel D2500HN bulk, NM10 (PC3-8500U DDR3) (BLKD2500HN) Preisvergleich | Geizhals Deutschland
Dazu hab ich eine alte PCI-NIC genutzt, nunja es war zum Testen nur da, aber es kommt wieder weg.
EVENTUELLE Vermutung, warum das Mainboard nicht will:
Es ist einfach schlicht kaputt - es lag sehr lange OHNE Verpackung bei meinem Kollegen aber egal, es kommt ein neues Mainboard inkl dual LAN und blabla oder ich kaufe mir so ein 19" Teil, wie von daheym
Zuletzt bearbeitet:
Dacht ich mir das es nur virtuell zur Zeit nicht funktioniert.
mueder joe
Enthusiast
Was soll virtuell nicht laufen?
Am 12. Juni 2013 um 11:00 - 12:00 Uhr findet ein Webinar über die Neuerungen von Sophos 9.1 statt.
Hier gehts zur Anmeldung:
https://attendee.gotowebinar.com/register/3159530575798733568
Hier gehts zur Anmeldung:
https://attendee.gotowebinar.com/register/3159530575798733568