Kerio 8.5.3 у клиентов нет инета по утрам.

Всем привет! Всю свою недалекую видимо голову уже совсем обломал, нужна помощь экспертов.

имеется Kerio 8.5.3 + NTLM
2 контроллера с DHCP серваками (динамические адреса, статика в сети только у принтеров и роутера)
Аренда адресов 8 дней.
Ось у клиентов - Windows 7

Суть проблемы:
некоторые клиенты включают утром комп и обнаруживается там, что все адреса DHCP сервак выдал, а инета нет.
Т.е. не прорисовывается страница авторизации, которая происходит автоматически с NTLM.
Со шлюза клиент пингуется, обратно когда как.

что только не перепробовано.. уж не упомню всё, напишу самое интересное что запомнилось:
если прописать на клиенте
ipconfig /renew
то всё магическим образом проходит и комп авторизуется и входит в инет.

что в предстоящих тестах:

1. отключение авторизации. - для того чтобы просто помониторить утро, у всех ли будет инет. - тест проведён. Положительных результатов не принёс

2. TTL = 30 минут. тут [Для просмотра данной ссылки нужно зарегистрироваться]

3. выставить 9-10 часовую аренду в DHCP (отсылка к ipconfig /renew см. выше)

4. прописать в DHCP статику на компы (перейти с динамики на резервирование)


Проблема 2.
Андроиды ведут себя странно, очень редко может мгновенно зайти на страницу авторизации, а может висеть вечно и не прорисовать её.
Интересное наблюдение: с установленным яндекс браузером андроиды заходят нормально.

Что советуют и собсно в будущих тестах:
1. возвращать имя хоста не именем, а IP адресом.
2. резервирование в DHCP на устройство - тест проведён. Проблема устраняется. Данный способ не совсем адекватный, но работает.



Вот такие пироги. Буду рад любому отклику и любой помощи!

я заморочился и у меня в дхцп теперь всё в резервировании
красота просто

Тест под кодовым названием "отключение авторизации" - провалился. У юзвера утром отвалился интернет.

Цитата:

Сообщение от naliman

я заморочился и у меня в дхцп теперь всё в резервировании
красота просто

сейчас с этого теста сразу и начну. Спасибо!

Добавлено через 1 час 59 минут
Резервирование провёл.
Почему мелкомягкие сделали экспорт списка, а импорт не придумали =_=
Сообщу теперь о результате в понедельник.

Добавлено через 2 часа 6 минут
Кстати, попробовал своему андроиду зарезервировать адрес.
Он мгновенно зашел в инет, пока что предварительно могу сказать что резервирование работает. На 100% буду уверен в понедельник.
ОЧЕНЬ странная фигня, вот прям ОЧЕНЬ.... совершенно не понимаю почему это может помочь.
IP всё-таки тот же абсолютно. Так почему.. не понятно

До понедельника! ^^

Цитата

Сообщение от Nirraen

Почему мелкомягкие сделали экспорт списка, а импорт не придумали =_=

потому что мудаки
хотя на просторах энторнетов в своё время находил гайд как перенести базу дхцп с одного сервера на другой, делал, всё чотко
есть там механизм, но имхо через жопу

Цитата

Сообщение от Nirraen

Кстати, попробовал своему андроиду зарезервировать адрес.
Он мгновенно зашел в инет, пока что предварительно могу сказать что резервирование работает. На 100% буду уверен в понедельник.
ОЧЕНЬ странная фигня, вот прям ОЧЕНЬ.... совершенно не понимаю почему это может помочь.
IP всё-таки тот же абсолютно. Так почему.. не понятно

До понедельника! ^^

да, странна
пака

Цитата:

Сообщение от naliman

потому что мудаки

Индусы сэр. У них все через жопу.

Доброе утро граждане.
Короче! Резервирование - не помогло
такие дела!


по андроидам и яблокам:
помогают два способа:
резервирование
возвращать IP в имени хоста.

по компам:
1. отключение авторизации. - не помогло

2. TTL = 30 минут. тут [Для просмотра данной ссылки нужно зарегистрироваться] - не проверено - смысла проверять не вижу, всё в резервировании, а метод подразумевает наличие динамических IP.

3. выставить 9-10 часовую аренду в DHCP (отсылка к ipconfig /renew см. выше) - не помогло

4. прописать в DHCP статику на компы (перейти с динамики на резервирование) - не помогло

Добавлено через 23 часа 4 минуты
Копать в сторону DHCP \ DNS больше смысла нет, там нечего копать.

Посмотрю логи каспера, мало ли он блочит шлюз как спам, из-за его частоты обращения к КД.
Если там ничего не будет, то это снос керио =( буду ставить новее.

Вопрос с отпаданием клиентов пока что решен переходом на Kerio версии 9+. 3 дня полёт нормальный. *ТЬФУ ТЬФУ ТЬФУ* МАЗАФАКА*
Но, тему можно оставить открытой. Аргументирую:

Интересно почему на новом шлюзе мобилы все также не доходят до страницы авторизации (телефоны и прочие гаджеты не в резервировании, вносил их только для теста).
p.s. если кто захочет помочь, скину все правила и настройки сюда, будет о чем покумекать
У кого уже встречалась проблема, скиньте своё решение, пожалуйста, если Вы его нашли.
Может кому-то удалось заснифить пакет с андроида куда он ломится, когда проверяет интернет, тогда можно было в фильтрации добавить правило. Например у винды это msftncsi ; msftpcsi ; microsoft.com.

Ну и малоли отвалится инет, тогда я сюда вернусь и продолжу свои извращения

-----
Сделаю еще вброс =)
после traceroute с мобилы до шлюза, используя его IP, телефон начинает видеть шлюз и пинговать его, входит в инет.

2 контроллера с DHCP серваками (динамические адреса, статика в сети только у принтеров и роутера)

только я один здесь что то не то вижу?
сколько DHCP серверов в вашей одноранговой локалке?


навеяло:
я одинокий компустер включаюсь с утра...
бросаю arp запрос в локалку - дайте мну конфигурацию сети..
в ответ приходит 2 ответа еще и одинаковых
путем многократных эмпирических вычислений решаю через минут 20-40 рандомным выбором любой из правильных ответов.
все это время 2 ДХЦП сервера кроют меня матом за непонятливость...

Цитата:

Сообщение от crayzer

2 контроллера с DHCP серваками (динамические адреса, статика в сети только у принтеров и роутера)

только я один здесь что то не то вижу?

бля
а ты глазастый
гыгыгыгы


Nirraen, поясника нах их два?
и попробуй один вырубить

для отказоустойчивости. Когда была динамика, выдавали в разных диапазонах.

Nirraen, один выключить и понаблюдать за ситуяйцией - мысли не возникло?

Цитата:

Сообщение от naliman

Nirraen, один выключить и понаблюдать за ситуяйцией - мысли не возникло?

Нет. Направить в аут отказоустойчивость не решение проблемы.
Если проблема повторится, проведу сей тест и поделюсь результатами.
А сейчас принцип работает - не трожь)

Цитата

Сообщение от Nirraen

Направить в аут отказоустойчивость не решение проблемы

речь шла об эксперименте
ибо:

Цитата:

Сообщение от crayzer

навеяло:
я одинокий компустер включаюсь с утра...
бросаю arp запрос в локалку - дайте мну конфигурацию сети..
в ответ приходит 2 ответа еще и одинаковых
путем многократных эмпирических вычислений решаю через минут 20-40 рандомным выбором любой из правильных ответов.
все это время 2 ДХЦП сервера кроют меня матом за непонятливость...

наводит на не совсем хорошие мысли
при этом мысль об обтказоусточивости вполне может мешать

Цитата:

Сообщение от naliman

речь шла об эксперименте
ибо:

наводит на не совсем хорошие мысли
при этом мысль об обтказоусточивости вполне может мешать

Обычному маршрутизатору от 2008 винды не мешало 2 DHCP, я вот думаю, что если бы связь у клиента и с обычным маршрутизатором отваливалась, то можно было бы с уверенность сказать, что проблема где-то на КД. Так как эти провалы только с керио это и создаёт эту путаницу.
Спасибо за отклики и советы, и за внимательность crayzer

Эксперимент стартовал.

На всякий случай напишу еще раз как выглядит проблема:
Клиент получает все адреса с DHCP.
В сетке лазит нормально.
Со шлюза пингуется.
DNS имена видит, IP возвращает.
С клиента шлюз не пингуется, со шлюзом просто пропадает всяческая связь. (в одностороннем порядке!)
Помогает только ipconfig /renew на клиенте.
На новом шлюзе и с переходом на резервирование проблема устранилась почти у всех. Изредка появляется на 2-3 машинах. Но как говорится "большое начинается с малого"

Цитата

Сообщение от Nirraen

Обычному маршрутизатору от 2008 винды не мешало 2 DHCP

тогда согласен

Ситуация такая:
Отвалилась связь со шлюзом у клиента в 11 утра.
Я сделал "мою любимую" ипконфиг ренью на клиенте, связь со шлюзом восстановлена.
вырубил второй DHCP сервер.
Сейчас 15:00 - клиент перестал видеть шлюз.
Экперимент фейл?)

Добавлю: решил углубиться в ipconfig /renew, а конкретно в ключ renew.
В его обязанности входит примерно 5-6 команд.
Одной из них является
arp -d *
Так вот если не использовать renew а только конкретно одну эту команду (очистка таблицы кеша ARP) то связь возобновляется!
Когда доберусь до второго обрыва, повторю команду и закреплю результат.

Пока что не понимаю как конкретно связать ARP фейл с керио, потому что когда был обычный маршрутизатор от винды 2003 - все было нормально.

Цитата

Сообщение от Nirraen

Ситуация такая:
Отвалилась связь со шлюзом у клиента в 11 утра.
Я сделал "мою любимую" ипконфиг ренью на клиенте, связь со шлюзом восстановлена.
вырубил второй DHCP сервер.
Сейчас 15:00 - клиент перестал видеть шлюз.
Экперимент фейл?)

эксперимент дал результат
результат надо сформулировать и интерпретировать, иными словами определить "а что ж блеа получилось?"
сразу за этим нужно сделать вывод, пусть промежуточный, но от того не менее важный
дальше по ситуяйции

ЛИКУЮ!

короче когда отваливается связь со шлюзом в таблице ARP неверная инфа мак адреса у IP адреса.
т.е. у моего 192.168.1.3 мак адрес: 00-15-5d-01-04-13
а таблица ARP пидрит и пишет для 1.3 такой мак: 00-15-5d-01-04-12
который в свою очередь является 192.168.0.3
какой-то рассинхрон с HyperV.
В сетевых интерфейсах на виртуальной машинке поставлю статику, помониторю ситуацию, может поможет.

p.s. у многих с момента появления нового шлюза все работает нормально, осталось компа 2-3 где пидрит так.

Цитата

Сообщение от Nirraen

HyperV.

ну ты пиздец, сразу об этом нельзя было сказать?
или ты таки думаешь тут телепаты?

кстати далеко не первый случай
в подтверждение тезиса что гуперви- гомно

Цитата:

Сообщение от naliman

ну ты пиздец, сразу об этом нельзя было сказать?
или ты таки думаешь тут телепаты?

кстати далеко не первый случай
в подтверждение тезиса что гуперви- гомно

Не знаю, не за что мне ругать Hyper-V. По сути, то что я статику MAC адреса на виртуальной машине не сделал, даже при том что MAC и при динамике не меняется, это мой косяк, а не Hyper-V. Теперь керио должен четко все отвечать с ARP. А если нет, то есть еще совсем прям четких два варианта как это проконтролировать))