locked
TMG-VPN - Abbruch nach nahezu jeder Änderung RRS feed

 > 

  • Frage

  • Question
    Anmelden
    0
    Anmelden

    Wir haben unsere alte VPN-Lösung durch eine TMG Standort-zu-Standort-Verbindung ersetzt. Gleichzeitig nutzen wir auch die Webfilterfunktion des TMG. Die Clients an den Standorten gehen jeweils über eine eigene Verbindung ins Internet (beide TMGs sind als Proxy konfiguriert).

    Über diese Site-to-Site-Verbindung läuft vornehmlich AD-Replikation, IP-Telefonie und RDP-Sitzungen.

    Es kommt durchaus häufiger vor, dass User auf eine Webseite nicht zugreifen können - sei es, weil die HTTPS-Überprüfung Probleme macht oder sei es, weil eine Webseite noch nicht oder falsch kategorisiert bzw. eine Kategorie nicht freigegeben wurde. Nun ist es leider so, dass nach nahezu jeder Änderung, die ich vornehme (z. B. einen Eintrag in die HTTPS-Ausnahmenliste), zu einem kurzen Verbindungsabbruch kommt - schmerzlich spürbar bei Telefonie und RDP-Sitzungen.

    Ist das normal oder haben wir da einen Fehler in der Konfiguration?

    Mittwoch, 15. September 2010 10:18

Antworten

  • Question
    Anmelden
    0
    Anmelden

    Update: Ich habe inzwischen auch Firewall- und Webzugriffsrichtlinien erstellt, gelöscht, konfiguriert - alles ohne Abbruch der VPN-Verbindung.

    Dies ist ein inoffizieller, nicht-öffentlicher Hotfix und wird von MS - soweit ich mitbekommen habe - nur den Kunden zur Verfügung gestellt, bei denen dieses Problem auftritt (es scheinen aktuell nicht so viele zu sein). Wer das Problem hat: Einfach Case öffnen. In meinem Fall wurde der Case gleich von einem Techniker übernommen, der direkt an der Erstellung des Hotfixes mitgearbeitet hatte. Ich musste nichts bezahlen, MS sieht das als ein eigenes Problem an (zumindest war das bei mir so).

    Ich werde ihn noch abschließend fragen, ob dieser Hotfix in ein eventuell späteres Update oder SP mit aufgenommen werden soll.

    • Als Antwort markiert Shisu.Ado Mittwoch, 22. September 2010 09:41
    Mittwoch, 22. September 2010 09:40

Alle Antworten

  • Question
    Anmelden
    0
    Anmelden

    Hi,

    zur HTTPS Inspection: Ja, ist bekannt und ich habe schon von vielen gehoert, dass die eine oder andere Webseite Probleme macht. Du musst diese dann leider in die Ausnahmen der HTTPS Inspection eintragen. Mit TMG SP1 hat sich das Verhalten sogar dahingehend geaendert, dass manche Seiten jetz Probleme bereiten, welche ohne SP1 keine Probleme bereiteten (so zumindest berichteten mir bisher zwei Kunden).

    Zur URL Filterung: Ja, ist auch bekannt, aber das liegt denke ich in der Natur der Dynamik :-) Da der URL Filter in TMG gegen eine permanent aktualisierte Datenbank abfragt, wirst Du einige False Positives bekommen.

    Zur Konfigurationsspeicherung und Verbindungsabbruch: Sollte so nicht sein und hatte ich persoenlich auch erst einmal bei einem Kunden mit TMG (da waren es Telnet Verbindungen zu einem Warenwirtschaftssystem). Wir haben dort aber keine Loesung gefunden, bzw. es trat nur einmal auf bisher. Dort wurde die Telnet Verbindung bei jeder TMG Konfigurationsaenderung kurz unterbrochen. hast Du den Verbindungsabbruch nur bei der Standort zu Standort VPN Verbindung oder auch bei Zugriffen von Clients aus dem LAN?

    regards Marc Grote aka Jens Baier - www.nt-faq.de - www.it-training-grote.de - www.forefront-tmg.de
    Mittwoch, 15. September 2010 10:26
  • Question
    Anmelden
    0
    Anmelden

    Hi Marc,

    hm, na ja, ich mag das nicht so richtig austesten ;) Ich kann nur so viel sagen: Selbst kleinere Änderungen können zu Abbrüchen führen. Da Telefonie besonders kritisch ist, merken wir das dort zuerst. Einmal war es so, dass die RDP-Verbindungen scheinbar bestehen blieben, während die Telefonie unterbrochen wurde (wobei die unterbrochenen RDP-Verbindungen sich ja automatisch wieder verbinden, sollte die Unterbrechung nicht zu lange dauern).

    Die Unterbrechungen betreffen meiner Beobachtung nach nur die Standort-zu-Standort-Verbindung. Da du schreibst, dass es eigentlich nicht so sein sollte...wäre es sinnvoll, deswegen einen Case bei MS zu öffnen?

    Mittwoch, 15. September 2010 11:45
  • Question
    Anmelden
    0
    Anmelden

    Hi,

    ich glaube das ist ein Fall für den Support. Gesehen habe ich das auch schon mal in meiner Demoumgebung, aber damals nicht weiter verfolgt.

    Interessant wäre das Ergebnis ;-)

    Gruß

    Christian

    Christian Groebner MVP Forefront
    Mittwoch, 15. September 2010 12:06
  • Question
    Anmelden
    0
    Anmelden

    Hi,

    jau, ein Case bei PSS waere da angesagt. Laesst sich ueber das Forum denke ich nicht loesen und wenn Du das Ergebnis hast, bitte hier posten

    regards Marc Grote aka Jens Baier - www.nt-faq.de - www.it-training-grote.de - www.forefront-tmg.de
    Mittwoch, 15. September 2010 12:09
  • Question
    Anmelden
    0
    Anmelden

    Habe einen Case bei MS eröffnet. Nach Aussagen des Supporttechnikers sind die Neustarts keineswegs "by design", das Problem sei bei MS bekannt, es betrifft einige wenige Kunden. Zum Glück gab es schon einen Hotfix für dieses Problem. Nach Einspielen des Hotfixes scheint alles wieder so zu sein, wie es soll: Ich kann diverse Konfigurationen am Webschutzfilter (HTTPS-Überprüfung, Webseiten kategorisieren) durchführen, ohne dass der Tunnel abbricht.

    Ich werde heute noch testen, ob ich auch eine Firewall- oder Webzugriffsrichtlinie anlegen kann. Auf jeden Fall hat sich das Verhalten deutlich verbessert.

    Mittwoch, 22. September 2010 08:18
  • Question
    Anmelden
    0
    Anmelden

    Hi,

    welcher Hotfix war das? Ist der frei verfuegbar?

    regards Marc Grote aka Jens Baier - www.nt-faq.de - www.it-training-grote.de - www.forefront-tmg.de
    Mittwoch, 22. September 2010 08:43
  • Question
    Anmelden
    0
    Anmelden
    würde mich auch sehr interessieren!
    gruss, jens mander aka karsten hentrup - www.aixperts.de - www.forefront-tmg.de - www.hentrup.net |<-|
    Mittwoch, 22. September 2010 09:11
  • Question
    Anmelden
    0
    Anmelden

    Update: Ich habe inzwischen auch Firewall- und Webzugriffsrichtlinien erstellt, gelöscht, konfiguriert - alles ohne Abbruch der VPN-Verbindung.

    Dies ist ein inoffizieller, nicht-öffentlicher Hotfix und wird von MS - soweit ich mitbekommen habe - nur den Kunden zur Verfügung gestellt, bei denen dieses Problem auftritt (es scheinen aktuell nicht so viele zu sein). Wer das Problem hat: Einfach Case öffnen. In meinem Fall wurde der Case gleich von einem Techniker übernommen, der direkt an der Erstellung des Hotfixes mitgearbeitet hatte. Ich musste nichts bezahlen, MS sieht das als ein eigenes Problem an (zumindest war das bei mir so).

    Ich werde ihn noch abschließend fragen, ob dieser Hotfix in ein eventuell späteres Update oder SP mit aufgenommen werden soll.

    • Als Antwort markiert Shisu.Ado Mittwoch, 22. September 2010 09:41
    Mittwoch, 22. September 2010 09:40
  • Question
    Anmelden
    0
    Anmelden
    habe das gleiche problem bein s-2-s-vpn-tunnels heute bei einem kunden gesehen. shisu, hast du eine aussage zur öffentlichen verfügbarkeit bekommen?
    gruss, jens mander aka karsten hentrup - www.aixperts.de - www.forefront-tmg.de - www.hentrup.net |<-|
    Montag, 8. November 2010 15:48
  • Question
    Anmelden
    0
    Anmelden

    so fix ist bei meinem kunden installiert und das problem gelöst:

    http://blog.forefront-tmg.de/?p=409

    gruss, jens mander aka karsten hentrup - www.aixperts.de - www.forefront-tmg.de - www.hentrup.net |<-|
    Montag, 15. November 2010 16:44
  • Question
    Anmelden
    0
    Anmelden

    jetzt auch in sp1 software update 2 enthalten:

    http://blog.forefront-tmg.de/?p=418

    ;-)

    gruss, jens mander aka karsten hentrup - www.aixperts.de - www.forefront-tmg.de - www.hentrup.net |<-|
    Mittwoch, 17. November 2010 07:44
  • Question
    Anmelden
    0
    Anmelden

    Nachtrag: Also leider stellte sich heraus, dass das Problem damals (im September) doch nicht behoben wurde. Ich wollte nur nicht weiter berichten, weil lt. MS weltweit nur wenige von diesem betroffen Problem seien und auch noch keine Lösung in Sicht war. Der Fall mit MS zog sich bis jetzt (Mail 2011) hin. Microsoft konnte die Ursache erst vor kurzem ermitteln. Lt. MS lag das Problem nicht an unserer Konfiguration, MS hat anerkannt, dass es sich um einen Bug handelt.

    Inzwischen gab es einen letzten inoffiziellen Patch, nach dessen Installation die Abbrüche nicht mehr auftauchten.

    MS hat mir mitgeteilt, dass sich nun doch auch einige andere Kunden wegen dieses Problemes gemeldet hätten und sie diesen privaten Fix testweise auch dort ínstallieren lassen wollten.

    Ich nehme zwar an, dass dieser Fix wahrscheinlich ins nächste Servicepack eingepflegt wird, wer aber aktuell das Problem hat, sollte sich unbedingt deswegen bei MS melden. Wenn gewünscht, teile ich auch die Case-ID mit.

    Mittwoch, 4. Mai 2011 08:33
  • Question
    Anmelden
    0
    Anmelden

    moin,

    habe das gleichen phänomen auch bei einem meiner kunden atm. wir warten bis der nächste offizielle fix kommt, da an dem tmg nicht so häufig änderungen vorgenommen werden.

    gruss, jens mander aka karsten hentrup - www.aixperts.de - www.forefront-tmg.de - www.hentrup.net |<-|
    Mittwoch, 4. Mai 2011 08:55
  • Question
    Anmelden
    0
    Anmelden

    Hallo zusammen,

    bei mir gibt es keine Abbrüche mehr seit RU3.

    Gruß

    Christian

    Christian Groebner MVP Forefront
    Mittwoch, 4. Mai 2011 08:59
  • Question
    Anmelden
    0
    Anmelden

    Ich muss leider desöfteren etwas ändern, dafür sorgt allein schon die HTTPS-Inspection. Sogar das Umkategorisieren von Webseiten führte bei uns zu teilweise empfindlichen Unterbrechungen und zog nicht nur die RDP-Verbindungen, sondern leider auch die IP-Telefonie in Mitleidenschaft. Daher war es für uns wichtig, mit MS eine Lösung für unser Problem zu finden und nicht erst auf das nächste oder übernächste SP zu warten.

    Mittwoch, 4. Mai 2011 12:03
  • Question
    Anmelden
    0
    Anmelden
    yo - das kannn ich gut verstehen!
    gruss, jens mander aka karsten hentrup - www.aixperts.de - www.forefront-tmg.de - www.hentrup.net |<-|
    Mittwoch, 4. Mai 2011 12:46