Securepoint Support Forum

Seit der Umstellung auf die Version 11 der UTM Software, konnte sich mein f-secure Virenschutz auf dem PC nicht mehr aktualisieren. Auch mit der Version 11.1.1 war zunächst keine Verbindung zum f-secure update server möglich. Nach einigen Versuchen mit unterschiedlichen Nameservern, .., habe ich den transparenten Modus des http proxies deaktiviert und der Update hat funktioniert. Als "transparente Regel" ist "INCLUDE internal-network internet" konfiguriert.

Auffällig ist das unterschiedliche Verhalten von traceroute zum f-secure Server über Netzwerkwerkzeuge und über eine DOS-Box auf dem Windows-PC (Output siehe unten). Während die Appliance nach dem 6. Hop nur noch timeouts meldet, findet der Windows traceroute sein Ziel.

Muss ich noch etwas spezielles beachten, damit der Update auch mit aktiviertem transparenrten Proxy funktioniert?


Appliance über Netzwerkwerkzeuge:
traceroute to kabelbw.sp.f-secure.com (217.110.97.146), 30 hops max, 60 byte packets
1 HSI-KBW-46-237-193-65.hsi.kabel-badenwuerttemberg.de (46.237.193.65) 9.251 ms 13.251 ms 13.219 ms
2 172.30.9.189 (172.30.9.189) 15.215 ms 16.172 ms 16.165 ms
3 HSI-KBW-078-042-040-241.hsi3.kabel-badenwuerttemberg.de (78.42.40.241) 12.997 ms ae0.STR-M2.ip-bb.kabel-badenwuerttemberg.de (78.42.40.5) 11.920 ms HSI-KBW-078-042-040-241.hsi3.kabel-badenwuerttemberg.de (78.42.40.241) 12.955 ms
4 * * *
5 * * *
6 * xe0-3-0-sar16.FRA.router.colt.net (212.74.73.14) 10.424 ms 10.027 ms
7 * * *
.
.
.
30 * * *


DOS-Box:
tracert kabelbw.sp.f-secure.com

Routenverfolgung zu bwp-de-2.f-secure.akadns.net [217.110.97.144] über maximal 30 Abschnitte:

1 <1 ms <1 ms <1 ms 192.168.22.199
2 7 ms 7 ms 7 ms HSI-KBW-46-237-193-65.hsi.kabel-badenwuerttemberg.de [46.237.193.65]
3 11 ms 6 ms 17 ms 172.30.9.161
4 5 ms 7 ms 7 ms ae0.STR-M2.ip-bb.kabel-badenwuerttemberg.de [78.42.40.5]
5 11 ms 7 ms 7 ms ae1.FRA-M2.ip-bb.kabel-badenwuerttemberg.de [78.42.40.15]
6 12 ms 25 ms 30 ms Te0-0-0-0-pr2.FRA.router.colt.net [80.81.193.61]
7 9 ms 11 ms 11 ms xe0-3-0-sar16.FRA.router.colt.net [212.74.73.14]
8 11 ms 11 ms 11 ms 217.111.108.198
9 10 ms 11 ms 11 ms 217.110.97.144

Ablaufverfolgung beendet.

An dem Traceroute ist nichts auffälliges. Ihnen ist sicher aufgefallen, dass sie da unterschiedliche IPs getraced haben...
Können Sie uns einmal per Email das Log des Proxies zukommen lassen, während der Client das Update versucht?

Das mit den unterschiedlichen IP-Adressen ist mir erst jetzt bewusst geworden. Ein 'dig kabelbw.sp.f-secure.com' zeigt den Grund warum der Name mal so oder so aufgelöst wird:

;; ANSWER SECTION:
kabelbw.sp.f-secure.com. 591 IN CNAME bwp-de-2.f-secure.akadns.net.
bwp-de-2.f-secure.akadns.net. 21 IN A 217.110.97.145
bwp-de-2.f-secure.akadns.net. 21 IN A 217.110.97.146
bwp-de-2.f-secure.akadns.net. 21 IN A 217.110.97.147
bwp-de-2.f-secure.akadns.net. 21 IN A 217.110.97.144

Beim dem traceroute der Appliance frage ich mich nach wie vor, warum er nicht erfolgreich ist. Denselben unvollständigen traceroute erhalte ich übrigens auch auf meiner Synology Diskstation, die ebenfalls mit Linux betrieben wird.

Die Ausgaben des http-proxies während des Updates sind sehr kurz und folgen deshalb hier und nicht als mail:
2012-12-30T12:08:00+01:00 - squid 23367 - - 1356865680.888 120 192.168.22.104 TCP_MISS/200 1475 POST http://kabelbw.sp.f-secure.com/8/MRQ - HIER_DIRECT/217.110.97.144 application/octet-stream

Es gibt Router, die verwerfen ICMP-Pakete, mit denen der Traceroute durchgeführt wird. Das ist normal.

Ein Blindschuss bzgl des Updates:
Ändern Sie das Template der /etc/squid/squid.conf und ändern die Zeile zu Danach Speichern Sie das Template und starten den HTTP-Proxy neu (dauert ca 30s - am beten im Log schauen, wenn er wieder da ist)

Hallo Erik,
zunächst einmal vielen Dank für die Unterstüzung zu ungewöhnlichen Zeiten.
Der "Schuss ins Blaue" war nicht erfolgreich, jedoch gibt es einen Workaround, der solange funktioniert bis Kabel-BW bzw. F-Secure die IP-Adressen der Update-Server ändern:
1.) Neues Netzwerkobjekt: kbw-upd144 217.110.97.144/29 external
2.) Ausnahme für transparenten Proxy: EXCLUDE internal-network kbw-upd144
3.) zur Sicherheit HTTP-Pproxy neu gestartet
4.) Update manuell angestoosen und tut!

Hallo,

passierte das mit beiden Virenscannern, welchen haben Sie verwendet?

Das Problem ist unabhängig vom Virenscanner. Sowohl jeweils einzeln deaktiviert, als auch ohne aktiven Virenscanner zeigt sich keine Besserung.

Nachtrag: Nachdem ich die Posts von Patrick Fischer bzw. Dirkg bezüglich des WebRadios gelesen hatte, war mir klar, dass ich bei den vorangegangenen Tests mit den Virenscannern falsch vorgegangen bin. Anstatt unter "Anwendungen -> HTTP-Proxy -> Virenscanner", hatte ich die Virenscanner unter "Anwendungen -> Anwendungsstatus" aktiviert/deaktiviert.
Also das Ganze nochmal, aber diesmal richtig.
Ergebnis:
- Mit keinem der beiden Virenscanner lässt sich eine Verbindung zum Update Server aufbauen.
- Ohne aktiven Virenscanner ist der Verbindungsaufbau möglich

Abhilfe: Ein Whitelist-Eintrag von "^http://kabelbw\\.sp\\.f-secure\\.com". Dies erscheint mir besser, ale eine Ausnahme auf aufgrund von IP-Adressen vorzunehmen (siehe Post vom 30.12.2012)

Haben dieselben Probleme mit unserem Sophos-Virenscanner. Die Verbindung wird aufgebaut, um dann gleich wieder gekappt zu werden.

Aus Zeitgründen habe ich für den Server erst einmal eine Proxy-Ausnahme eingerichtet.

In der 10er-Version war mir dieses Problem nur bei Linux-Servern bekannt. Da scheiterte dann das Update bzw. dauerte stundenlang. Irgendwas muss sich also mit der 11 geändert haben.

Moin,

wir untersuchen das gerade, es scheint da unterschiedlich Fehlerbilder zu geben.

Mogäääähn,

exagt das gleiche Problem habe ich mit den ESET Antivirus Programmen (gibt ein extra Beitrag dazu).

Bis zur Version 10.6.3 lief alles normal...

Thomas

Im Allgemeinen kann man sagen: Das "Problem" ist, dass der Virenscanner seine Arbeit erledigt...
Sie versuchen da Virenpatterns runterladen, also sollten Sie die Update-Server auch in die Virenscan-Whitelist des HTTP-Proxies eintragen. Siehe hier.