fortigate und erreichbarkeit bestimmter webhosts

[jutta]

195.3.105.66, 195.3.105.67 und 195.3.105.68 sind webserver der ta, auf denen kundenwebhosts liegen. ein bekannter von mir hat das "lustige" problem, dass er den *.67 per browser nicht erreicht (ping, traceroute funktioniert). bloederweise liegt auf dem *.67 die website seines arbeitgebers. die anderen beiden server erreicht er normal.

als schuld an dem problem wird im augenblick die fortigate firewall vermutet, da man die website von ueberall sonst problemlos erreicht, nur von diesem buero aus nicht.

sind zwischen den 3 servern unterschiede erkennbar, die der grund sein koennten?
tritt das problem auch bei anderen (besonders paranoiden?) firewalls auf? (adresse der firmenwebsite gibts auf anfrage per pn)
was faellt euch sonst zu dem thema ein?

[lordpeng]

ohne die konfiguration der box zu kennen, isses etwas schwierig, falls ein contentfilter oder ähnliches läuft, dann muss sich derjenige der für die box verantwortlich ist, halt mal anschauen, worans liegt, sollte es sich um eine fehlerhafte bewertung im content-filter, wirds sicherlich möglich sein, den hersteller darüber zu informieren (zumindest handhaben es andere hersteller so)

idR. sagen einem security appliances aber, wenn was durch den contentfilter gesperrt wurde ... d.h. es wird ned still und heimlich geblockt ...

funktioniert denn https auf diesen server?

[jutta]

ich geb mal weiter, was ich bisher weiss:

-) wissentlich ist kein filter gesetzt, der bestimmte ip adressen blockt
-) wenn man die UTM funktion (antivir, intrusion detection, spamfilter ...) abschaltet, besteht das problem weiterhin
-) es besteht offenbar nur bei (einer) bestimmten FortiOS version(en), denn mit einem anderen modell ist die website problemlos erreichbar.
-) mitsniffen im lan zeigt, dass das "HTTP/1.1 200 OK" nicht ankommt. daher schliesst der browser nach ein paar sekunden die verbindung.

der fortigate support beschaeftigt sich auch damit, hat aber noch nichts gefunden.

[lordpeng]

>es besteht offenbar nur bei (einer) bestimmten FortiOS version(en)
dann würd ich einfach mal ein update (early release oder beta) drüber ziehen und testen, sollte ned viel aufwand sein ...

alternativ dazu, (soferns der betrieb des netzes zulässt) einfach mal die box auf factory default setzen, neu konfigurieren und dann nochmal schauen - sollte nicht mehr als 30 minuten zeitaufwand sein ... wenns nix bringt original konfig wieder einspielen ... wenns was bringt eventuell neu konfigurieren oder das problem in der original konfig suchen

[local.host]

den Internetanschluss kann man ausschliessen? Also vor der Fortigate probieren? zB Problem mit MTU size, etc. ...? Nein, selber ISP an anderem Standort reicht nicht. Einfach mal Schritt für Schritt jede beteiligte "Komponente" ausschliessen.

[jutta]

ohne die fortigate (dh, direkt am ta-router) funktioniert es. mit einer anderen fortigate version funktioniert es auch.

[local.host]

ohne die fortigate (dh, direkt am ta-router) funktioniert es. mit einer anderen fortigate version funktioniert es auch.

ja dann scheint der Übeltäter ja identifiziert ... Firmware oder Konfig ... Loglevel rauf und schauen.