Problema SMTP-Exchange + Dual WAN

[sarietti]

Buenas, traigo un problema que todavía no pude solucionar y me esta dando algunos dolores de cabeza.

Trato de explicar la situación puntual:

• Fortigate 110C (4.0 MR2 Patch 9) en HA
• 2 Enlaces WAN haciendo balanceo en modo Spill-Over
• Un server Exchange 2003 en la LAN
• Registro MX con las dos IP publicas (Wan1 y Wan2)
• Un Virtual IP para cada WAN
• Un IP Pool para cada WAN
• Politicas de Firewall de entrada (Con las Virtual IP) para cada WAN
• Politicas de Firewall de salida (Con el IP Pool) para cada WAN

Espero que con eso sea suficiente para entender el contexto. Vamos al problema:
Con respecto a la ENTRADA de emails: El balanceo se hace correctamente, si doy de baja cualquiera de las WAN los correos siguen entrando por la WAN que quedo viva.

Con respecto a la SALIDA de emails: El balanceo no esta funcionando. El servidor Exchange solo es capaz de sacar los correos por la WAN1. Actualmente tengo una policy route para que el exchange no haga balanceo y salga siempre por la WAN1 ya que por la WAN2 nunca pudo sacar un email y me generaba problemas si lo dejaba activado.


Pruebas realizadas:
Desactivando la WAN1, para forzar la salida por la WAN2 el servidor puede navegar, reconoce el cambio de IP, pero no puede enviar ningún email. (La politica de firewall es igual a la de la WAN1, tiene los servicios necesarios)
Esto parece ser un problema puntual del servicio SMTP, aunque no estoy seguro, estuve investigando y los siguientes links me hicieron dudar si la configuración del forti puede ser el problema:
[Debes identificarte para poder ver enlaces.]
[Debes identificarte para poder ver enlaces.]

Hasta ahora nada me dio resultado.



¿Alguna idea o sugerencia?
Muchas Gracias.

[gabyrossi]

hola, ese enlace tendra abierto el puerto 25? hiciste telnet algun server en el port 25 para probar¿?
que distancia y prioridad tienen la wan?
saludos

[sarietti]

hola, ese enlace tendra abierto el puerto 25? hiciste telnet algun server en el port 25 para probar¿?
que distancia y prioridad tienen la wan?
saludos

Hola Gaby, parece que el problema no es el enlace.
Hice telnet y nc al port 25 por la WAN2 desde un server de la red y respondio correctamente, lo mas raro es que desde el exchange por la WAN2 tambien responde el telnet y el nc a un smtp... Pero los emails siguen sin llegar a destino.
Tambien comprobe que la IP-Pool que estoy usando no esta baneada.

Aca a modo de prueba esta el log del forti saliendo por la WAN2 Puerto 25:

Código: Seleccionar todo

traffic - accept  -  Source xx.xx.x.xx  - Destination  200.58.119.20  - Sent 2.0 KB   - Received 1014 B  - S. Port 43854  - D. Port  25  -  Interface  wan2 

Osea, del lado del forti no hay nada que me indique que los emails no estan saliendo. Aunque no lleguen a destino.

[gabyrossi]

Hola, envias a algun hotmail o gmail o no llegan?
tampoco hay un rebote?

saludos

[sarietti]

Hola, envias a algun hotmail o gmail o no llegan?
tampoco hay un rebote?

saludos

Gaby, lo he probado a gmail, hotmail y SMTPs de otras empresas.
No se genera ningun NDR, los emails se quedan paralizados en la cola SMTP.

Hice otras pruebas con el comando de sniffer para ver que pasa cuando envio un correo por la WAN1 y que pasa cuando lo hago por la WAN2.
En ambos casos se enviaron un email al mismo servidor, y un telnet.

El sniffer ve el telnet en los dos casos, no asi los emails. Cuando lo envio por la WAN2 no captura nada.
El comando que estoy usando es:

diag snif packet port1 'src host 192.168.xx.xx and dst host 190.---.xx.xx' 6 0 a



El log del trafico que postie antes es de un telnet al puerto 25.
No es un email obviamente.




Me queda por probar el enlace directo al sv de exchange.
Otras ideas por ahora no tengo, se te ocurre algo?

[sarietti]

Gaby, gracias a las pruebas realizadas pude ir descartando posibles problemas, llegando a la conclusion de que, finalmente, como sospechaba, el problema deberia estar en el exchange, ya que los emails no llegaban ni al Port1 (LAN)
Puntualmente lo que sucedia era que en el SMTP Virtual Server estaban configurados dos DNS Externos (Uno de cada enlace).

El primer DNS era de la WAN1 y el segundo de la WAN2.


Aca hay dos cosas diferentes:
1º Esta configuracion era erronea, ya que la empresa cuenta con un sv DNS interno que se encarga de manejar los 4 DNS publicos.
2º No se si sera un bug del exchange, pero por mas de tener un DNS de la WAN2, el servidor siempre queria sacar los mails usando el DNS del WAN1, a pesar de tener dicho enlace caido.


Luego de ver esto, se elimino dicha configuración y el balanceo comenzó a funcionar perfectamente.


Saludos