!! HELP!! Kerio WinRoute Firewall шлет непонятные пакеты в WAN и режет скорость

[ksa]

Уважаемые Знатоки! Прошу помощи и прояснения мозгов...

Собствено с чего все началось - канал в Мир с 1 М заменили на 100 М.
На шлюзе стоял и стоит Kerio WinRoute Firewall 6.7.1 Patch 2 Released 6544.
На этой же машине стои FTP сервер доступный из мира. Ограничений на полосу скачивания сейчас нет.
Для тестирования запустили слив из внешнего мира .. и получили скорость ~ 2 Мбайта/сек. Что естественно нас из принципа неустроило.

Подумали что ISP что-то у себя недостроил. Позвонили - поговорили - с их стороны ограничений нет. Поверили, хотя и решили проверить.
Для этого подняли еще один сервер на Win 2K3. На нем подняли FTP и включили на еще один внешний адрес (благо есть они).
Получили скорость отдачи в мир около 8Мбайт/сек.

Почесали репу.... Установили Kerio WinRoute Firewall 6.7.1 Patch 2 Released 6544 на новой машине. .. и получили скорость ~ 2 Мбайта/сек.
Бр... стало как-то непонятно.. Отключили все что можно лишнего в Kerio. Скорость немного поднялась, но это что-то не то..

Остановили KWF. Скорость опять 8-10 Мбайт/сек. Из принципа решили разобраться где собака порылась.
Сниффером сняли пакеты .. и ужаснулись в полном непонимании происходящего.
В приложении:
1.jpg - правила трафика на тестовой машине.
2.jpg - таблица маршрутизации на тестовой машине
KWF_snif.txt - протокол перехвата пакетов при выполнении ping ukr.net при работающем KWF
Win_snif.txt - протокол перехвата пакетов при выполнении ping ukr.net без KWF.

Прошу помощи и мнения All:
- Как завставить KWF работать нормально на отдачу? У кого-то на 100 М/бит сетке стоит KWF? и как работает?
- ПОЧЕМУ и ОТКУДА идут "левые" ICMP Unknown ICMP (obsolete or malformed?) на шлюз? внутренности этих пакетов аналогичны исходящим перед ними пакетам
что не пробывали и не смотрели - получается, что при работающем KWF появляются лишние пакеты на шлюз.

Сорри, если что-то непонятно в вопросе и или нужны доп. данные - с удовольствием сообщуь.

З.Ы. Просьба сильно не бить за вопрос, если чего-то непроямнил в нем.
З.З.Ы. Телепатов нет - это я и сам часто повторяю. Однако, после 4 дней войны многое кажется и так понятным...

[ksa]

у, как ...
неужели никто не сталкивался с такой ситуацией?
Может, уважаемый All, подскажет какую макисмальную скорость отдачи в Wan в один поток получаем, если FTP сервер стоит на машине с KWF ?

[Azrael]

правил у тебя конечно много )

как совет для теста закрой все порты кроме своего фтп 21-й порт и протестируй скорость.

[Для просмотра данной ссылки нужно зарегистрироваться]

почитай и посмотри на настройки интерфейсов, заодно глянь на фтп сервер на настройки.

заодно можешь поиграться с настройками сетевухи пощелкать полный дуплекс и полу дуплекс, у некоторых "хороших" провайдеров помогает.


кстати снимал снифы при тех правилах что скрин или при том когда был включен только фтп ?

[ksa]

Правила - просто для теста.
Ситуация непонятная.
что такое ICMP и как и с чем его едят - понятно... :-)
Вопрос пока не только о скорости FTP, а и о "странных" пакетах, которых недолжно быть.
Пинг при выключеном KWF (См. [Для просмотра данной ссылки нужно зарегистрироваться]) - все ОК, как в теории.
А при включенном KWF (win_snif.txt) - идут лишние пакеты на шлюз.
Самое неприятное, что это не только на пинге, это и при работе FTP и пр. протоколов. Примерно 1 раз на 7 "нормальных" пакетов идет непонятный ICMP.
FTP server проверен. Ограничений нет.

Eще раз вопрос - есть у кого-то данные о скорости отдачи FTP сервера в мир через KWF на толстых каналах ?

[Babah22]

ksa, Вам срочно нужно почитать о ФТП протоколе и как он работает. А о скорости могу сказать так если её не резать и не ограничивать, то керио отдаёт весь канал в нормальном асинхронном режиме.

[ksa]

Цитата:

Сообщение от Babah22

..

Спасибо за ответ.
Как работает FTP протокол - знаю.
Да и не столько в FTP дело... При отключении KWF FTP сервер отдает всю полосу канала.
При включении KWF - появляются непонятные пакеты...

Вот, при работе KWF, как идет передача ( xxx.xxx.xxx.180 - хост с FTP+KWF, xxx.xxx.xxx.177 - шлюз, xxx.xxx.xxx.127 - клиент FTP):

1 0.000000 xxx.xxx.xxx.127 xxx.xxx.xxx.180 TCP 47051 > 1056 [ACK] Seq=1 Ack=1 Win=65535 Len=0 1056
2 0.000031 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 1056 > 47051 [ACK] Seq=4097 Ack=1 Win=64240 Len=1460 47051
3 0.000037 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 1056 > 47051 [PSH, ACK] Seq=5557 Ack=1 Win=64240 Len=588 47051
4 0.000056 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 1056 > 47051 [ACK] Seq=6145 Ack=1 Win=64240 Len=1460 47051
5 0.000059 xxx.xxx.xxx.180 xxx.xxx.xxx.177 IP Fragmented IP protocol (proto=ICMP 0x01, off=0, ID=5144) [Reassembled in #7]
6 0.000060 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 1056 > 47051 [PSH, ACK] Seq=7605 Ack=1 Win=64240 Len=588 47051
7 0.000065 xxx.xxx.xxx.180 xxx.xxx.xxx.177 ICMP Unknown ICMP (obsolete or malformed?)
8 0.000082 xxx.xxx.xxx.180 xxx.xxx.xxx.177 ICMP Unknown ICMP (obsolete or malformed?)
9 0.000108 xxx.xxx.xxx.180 xxx.xxx.xxx.177 IP Fragmented IP protocol (proto=ICMP 0x01, off=0, ID=5147) [Reassembled in #10]
10 0.000112 xxx.xxx.xxx.180 xxx.xxx.xxx.177 ICMP Unknown ICMP (obsolete or malformed?)
11 0.000128 xxx.xxx.xxx.180 xxx.xxx.xxx.177 ICMP Unknown ICMP (obsolete or malformed?)
12 0.003101 xxx.xxx.xxx.127 xxx.xxx.xxx.180 TCP 47051 > 1056 [ACK] Seq=1 Ack=2049 Win=65535 Len=0 1056
13 0.003126 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 1056 > 47051 [ACK] Seq=8193 Ack=1 Win=64240 Len=1460 47051
14 0.003136 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 1056 > 47051 [PSH, ACK] Seq=9653 Ack=1 Win=64240 Len=588 47051
15 0.003160 xxx.xxx.xxx.180 xxx.xxx.xxx.177 IP Fragmented IP protocol (proto=ICMP 0x01, off=0, ID=514b) [Reassembled in #16]
16 0.003173 xxx.xxx.xxx.180 xxx.xxx.xxx.177 ICMP Unknown ICMP (obsolete or malformed?)
17 0.003220 xxx.xxx.xxx.180 xxx.xxx.xxx.177 ICMP Unknown ICMP (obsolete or malformed?)
18 0.003266 xxx.xxx.xxx.127 xxx.xxx.xxx.180 TCP 47051 > 1056 [ACK] Seq=1 Ack=4097 Win=65535 Len=0 1056
19 0.003283 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 1056 > 47051 [ACK] Seq=10241 Ack=1 Win=64240 Len=1460 47051
20 0.003289 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 1056 > 47051 [PSH, ACK] Seq=11701 Ack=1 Win=64240 Len=588 47051
21 0.003305 xxx.xxx.xxx.180 xxx.xxx.xxx.177 IP Fragmented IP protocol (proto=ICMP 0x01, off=0, ID=514f) [Reassembled in #22]
22 0.003310 xxx.xxx.xxx.180 xxx.xxx.xxx.177 ICMP Unknown ICMP (obsolete or malformed?)
23 0.003323 xxx.xxx.xxx.180 xxx.xxx.xxx.177 ICMP Unknown ICMP (obsolete or malformed?)
24 0.003576 xxx.xxx.xxx.127 xxx.xxx.xxx.180 TCP 47051 > 1056 [ACK] Seq=1 Ack=6145 Win=65535 Len=0 1056
25 0.003589 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 1056 > 47051 [ACK] Seq=12289 Ack=1 Win=64240 Len=1460 47051
26 0.003595 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 1056 > 47051 [PSH, ACK] Seq=13749 Ack=1 Win=64240 Len=588 47051
27 0.003608 xxx.xxx.xxx.180 xxx.xxx.xxx.177 IP Fragmented IP protocol (proto=ICMP 0x01, off=0, ID=5153) [Reassembled in #28]
28 0.003612 xxx.xxx.xxx.180 xxx.xxx.xxx.177 ICMP Unknown ICMP (obsolete or malformed?)
29 0.003638 xxx.xxx.xxx.180 xxx.xxx.xxx.177 ICMP Unknown ICMP (obsolete or malformed?)

т.е. при работе KWF появляются Unknown ICMP пакеты на шлюз... Откуда? Почему?

А вот как тоже при выключенном KWF:

1 0.000000 xxx.xxx.xxx.127 xxx.xxx.xxx.180 TCP 47046 > 20 [ACK] Seq=1 Ack=1 Win=65535 Len=0 20
2 0.000402 xxx.xxx.xxx.127 xxx.xxx.xxx.180 TCP 47046 > 20 [ACK] Seq=1 Ack=2921 Win=65535 Len=0 20
3 0.000462 xxx.xxx.xxx.127 xxx.xxx.xxx.180 TCP 47046 > 20 [ACK] Seq=1 Ack=4381 Win=65535 Len=0 20
4 0.000551 xxx.xxx.xxx.127 xxx.xxx.xxx.180 TCP 47046 > 20 [ACK] Seq=1 Ack=7301 Win=65535 Len=0 20
5 0.000785 xxx.xxx.xxx.127 xxx.xxx.xxx.180 TCP 47046 > 20 [ACK] Seq=1 Ack=8761 Win=65535 Len=0 20
6 0.000863 xxx.xxx.xxx.127 xxx.xxx.xxx.180 TCP 47046 > 20 [ACK] Seq=1 Ack=11681 Win=65535 Len=0 20
7 0.001073 xxx.xxx.xxx.127 xxx.xxx.xxx.180 TCP 47046 > 20 [ACK] Seq=1 Ack=14601 Win=62615 Len=0 20
8 0.001090 xxx.xxx.xxx.127 xxx.xxx.xxx.180 TCP [TCP Window Update] 47046 > 20 [ACK] Seq=1 Ack=14601 Win=65535 Len=0 20
9 0.001333 xxx.xxx.xxx.127 xxx.xxx.xxx.180 TCP 47046 > 20 [ACK] Seq=1 Ack=17521 Win=65535 Len=0 20
10 0.001610 xxx.xxx.xxx.127 xxx.xxx.xxx.180 TCP 47046 > 20 [ACK] Seq=1 Ack=18981 Win=65535 Len=0 20
11 0.001726 xxx.xxx.xxx.127 xxx.xxx.xxx.180 TCP 47046 > 20 [ACK] Seq=1 Ack=21901 Win=65535 Len=0 20
12 0.001886 xxx.xxx.xxx.127 xxx.xxx.xxx.180 TCP 47046 > 20 [ACK] Seq=1 Ack=24014 Win=63422 Len=0 20
13 0.001936 xxx.xxx.xxx.127 xxx.xxx.xxx.180 TCP [TCP Window Update] 47046 > 20 [ACK] Seq=1 Ack=24014 Win=65535 Len=0 20
14 0.002289 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 20 > 47046 [ACK] Seq=24014 Ack=1 Win=64240 Len=1460 47046
15 0.002303 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 20 > 47046 [ACK] Seq=25474 Ack=1 Win=64240 Len=1460 47046
16 0.002316 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 20 > 47046 [ACK] Seq=26934 Ack=1 Win=64240 Len=1460 47046
17 0.002321 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 20 > 47046 [ACK] Seq=28394 Ack=1 Win=64240 Len=1460 47046
18 0.002326 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 20 > 47046 [ACK] Seq=29854 Ack=1 Win=64240 Len=1460 47046
19 0.002331 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 20 > 47046 [ACK] Seq=31314 Ack=1 Win=64240 Len=1460 47046
20 0.002339 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 20 > 47046 [ACK] Seq=32774 Ack=1 Win=64240 Len=1460 47046
21 0.002344 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 20 > 47046 [ACK] Seq=34234 Ack=1 Win=64240 Len=1460 47046
22 0.002351 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 20 > 47046 [ACK] Seq=35694 Ack=1 Win=64240 Len=1460 47046
23 0.002356 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 20 > 47046 [ACK] Seq=37154 Ack=1 Win=64240 Len=1460 47046
24 0.002362 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 20 > 47046 [ACK] Seq=38614 Ack=1 Win=64240 Len=1460 47046
25 0.002368 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 20 > 47046 [ACK] Seq=40074 Ack=1 Win=64240 Len=1460 47046
26 0.002373 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 20 > 47046 [ACK] Seq=41534 Ack=1 Win=64240 Len=1460 47046
27 0.002379 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 20 > 47046 [ACK] Seq=42994 Ack=1 Win=64240 Len=1460 47046
28 0.002384 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 20 > 47046 [ACK] Seq=44454 Ack=1 Win=64240 Len=1460 47046
29 0.002390 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 20 > 47046 [ACK] Seq=45914 Ack=1 Win=64240 Len=1460 47046
30 0.002396 xxx.xxx.xxx.180 xxx.xxx.xxx.127 TCP 20 > 47046 [ACK] Seq=47374 Ack=1 Win=64240 Len=1460 47046

- все как в теории...

[HOG]

ksa, ну тка и посмотри что такое вот это: xxx.xxx.xxx.180, и что такое вот это: xxx.xxx.xxx.177

[ksa]

Цитата:

Сообщение от HOG

ksa, ну тка и посмотри что такое вот это: xxx.xxx.xxx.180, и что такое вот это: xxx.xxx.xxx.177

уточняю для понимания:

IP xxx.xxx.xx4.178 - 182
NETMASK 255.255.255.248
GATEWAY xxx.xx.xx4.177

xxx.xxx.xx4.180 - серевр с FTP+KWF,

xxx.xxx.5.127 - клиент FTP (из другой сети)

посмотрел еще раз... а еще посмотрим на то что ниже - где KWF остановлен. ну и?

Если разговор о том что шлются пакеты на шлюз если непонятно куда их слать - то почему нет аналогичного при остановленном KWF...

[HOG]

ksa, route print...

[ksa]

Цитата:

Сообщение от HOG

ksa, route print...

тоже смотрел..
ничего вроде странного... метрики автоматом.

0.0.0.0 0.0.0.0 xxx.xxx.xx4.177 xxx.xxx.xx4.180 20
10.0.0.0 255.255.0.0 10.0.10.1 10.0.10.1 30
10.0.10.1 255.255.255.255 127.0.0.1 127.0.0.1 30
10.255.255.255 255.255.255.255 10.0.10.1 10.0.10.1 30
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
xxx.xxx.xx4.176 255.255.255.248 xxx.xxx.xx4.180 xxx.xxx.xx4.180 20
xxx.xxx.xx4.180 255.255.255.255 127.0.0.1 127.0.0.1 20
xxx.xxx.xx4.255 255.255.255.255 xxx.xxx.xx4.180 xxx.xxx.xx4.180 20
224.0.0.0 240.0.0.0 10.0.10.1 10.0.10.1 30
224.0.0.0 240.0.0.0 xxx.xxx.xx4.180 xxx.xxx.xx4.180 20
255.255.255.255 255.255.255.255 10.0.10.1 10.0.10.1 1
255.255.255.255 255.255.255.255 xxx.xxx.xx4.180 xxx.xxx.xx4.180 1
Основной шлюз: xxx.xxx.xx4.177

еще одно добавление:
если зайти на FTP xxx.xxx.xx4.180 с xxx.xxx.xx4.181 - то все ОК. Как с включенным, как и выключеннм KWF.
Ничего лишнего в пакетах. Скорость ~9 Мбайт/сек

[ksa]

Добрый день!

Ситуация разобрана и получено решение.
Все утверждения проверены на KWF и KC на различных аппаратных платформах.

1. Служба поддержки Kerio не в состоянии решать сложные вопросы выходящие за рамки правил.

2. Стандартный мастер правил для Kerio создает правила, которые не оптимальны при работе с сервисами за Kerio.

3. FTP сервер на хосте с Kerio или на хосте в Lan в состоянии отдавать полную полосу канала в Мир (получено значение ~9 Мбайт/сек на 100 М канале) и не ограничивать скорость единичного потока ~2 Мбайта/сек при создании своих правил доступа к FTP серверу и отключении встроенных инспекторов протоколов на этих правилах.

4. Kerio имеет баги в при работе с пакетами. Это проявляется в появлении "лишних" пакетов на шлюз, если интерфейс подключенный в Мир отнести к группе "Интернет интерфейсы" (это проявляется даже при исходящем ping-е). Если его отнести к группе "Другие интерфейсы" и настроить все правила руками - лишних пакетов (и загрузки канала на шлюз бредом) нет.

5. "Инспекторы протоколов" Kerio имеют проблемы.

6. Антивирус несущественно тормозит исходящий поток.

7. Службу поддержки не интересуют разборы проблем и оптимизация своего ПО.

[HOG]

ksa, я бы сюда добавил такие "высказыания":

х. Для создания правил которые требуются в каждом конкретном случае нужна голова, а не "Стандартный мастер правил", ибо само ПО "догадаться" что именно хочет сделать админ не в состоянии, да и не должно, так как самим админом не является.

у. Адмитн, полдагающий что "стандартные правила" являются абсолютной панацеей при организации потребной ему (админу) фильтрации трафика, организации доступа и иже с ними имеет проблеммы с п.№х, так как никак не в сосотоянии понять что любая дополнительная обработка пакетов имеет свойство замедлять работу.

[Valery12]

Цитата

Сообщение от ksa

Как работает FTP протокол - знаю.

а вот видимо и не до конца
к вопросу о правилах настроенных визардом, смотрим лог

Цитата

Сообщение от ksa

15 0.003160 xxx.xxx.xxx.180 xxx.xxx.xxx.177 IP Fragmented IP protocol (proto=ICMP 0x01, off=0, ID=514b) [Reassembled in #16] 16 0.003173 xxx.xxx.xxx.180 xxx.xxx.xxx.177 ICMP Unknown ICMP (obsolete or malformed?) 17 0.003220 xxx.xxx.xxx.180 xxx.xxx.xxx.177 ICMP Unknown ICMP (obsolete or malformed?)

что мы видим - проблемы с MTU (сервер шлет сообщение что не принимает фрагментированные пакеты) соответственно проблемы с FTP сессией. А как известно в протоколе FTP ICMP используется для обмена сообщениями об ошибках, так вот клиент от сервера эти сообщения получает, а вот сервер от клиента нет - поскольку визард по дефолту правило пропускающее входящие ICMP на фаервол не делает. И это правильно потому что дефолтные правила для дефолтной конфигрурации в которой максимально уменьшается возможность атаки на фаервол.

[Kangoshi]

Цитата

Сообщение от ksa

4. Kerio имеет баги в при работе с пакетами. Это проявляется в появлении "лишних" пакетов на шлюз, если интерфейс подключенный в Мир отнести к группе "Интернет интерфейсы" (это проявляется даже при исходящем ping-е). Если его отнести к группе "Другие интерфейсы" и настроить все правила руками - лишних пакетов (и загрузки канала на шлюз бредом) нет.

А вот это очень интересно, может кто подтвердить?

[ksa]

Цитата

Сообщение от Kangoshi

А вот это очень интересно, может кто подтвердить?

Т.к. мы с этим столкнулись - могу показать дамп пакетов.

Было бы интересно чтобы кто-то еще проверил...

Добавлено через 4 минуты

Цитата

Сообщение от Valery12

а вот видимо и не до конца
к вопросу о правилах настроенных визардом, смотрим лог
что мы видим - проблемы с MTU (сервер шлет сообщение что не принимает фрагментированные пакеты) соответственно проблемы с FTP сессией. А как известно в протоколе FTP ICMP используется для обмена сообщениями об ошибках, так вот клиент от сервера эти сообщения получает, а вот сервер от клиента нет - поскольку визард по дефолту правило пропускающее входящие ICMP на фаервол не делает. И это правильно потому что дефолтные правила для дефолтной конфигрурации в которой максимально уменьшается возможность атаки на фаервол.

не согласен.
Перед этим сервер отправил корректные пакеты клиенту.
MTU меняли до 400. Ситуации не изменялась. Пакеты "лишние" пропали после того как была изменена группа интерфейса.

И еще одно, почему не согласен - идут лишние пакеты даже при выполнении ping-а.

[Valery12]

ksa, правило разрешающее входящие ICMP из инета на фаервол сделали?

Цитата

Сообщение от ksa

Пакеты "лишние" пропали после того как была изменена группа интерфейса.

потому что ослабили защиту, максимально керио защищает именно интернет интерфейсы, минимально - локальные

[Kangoshi]

Цитата

Сообщение от Valery12

потому что ослабили защиту, максимально керио защищает именно интернет интерфейсы, минимально - локальные

По мне звучит полным бредом.

[Valery12]

Kangoshi, открой winroute.cfg и найди там секцию
там параметры половина которых в гуе не видна и применяются они именно к интернет интерфейсам.
Тут уже были ребята, которые при установке неправильно указали внешний интерфейс, а потом спохватились и поправили все в траффик полиси - букет глюков был еще тот.

 

Меню пользователя Valery12

Посмотреть профиль

Отправить личное сообщение для Valery12

Найти ещё сообщения от Valery12

[HOG]

Kangoshi, ты уж меня прости, но ожидание наличия "искуственного интеллекта" у достаточно простого программного продукта по мне так тоже не только звучит бредом, а вообще, "мягко говоря" вызывает сомнения в адекватности ожидающего...

[AlexPET]

Извиняюсь если не в тему, но у меня такой вопрос:
Каковы лимиты у Керио? У меня 2*ADSL 8192 Кбит/с + WiMAX 512 Кбит/с. Оправдается ли переход на [Для просмотра данной ссылки нужно зарегистрироваться] у которого пропускная способность 30 Mbps?