Eigenartige Probleme mit VM's

[Harsesis]

Hallo Zusammen,

ich habe nun seit ein paar Monaten auf meinem Homeserver ESXi 5 laufen. Als Hardware kommt ein i5 2400K mit 16GB RAM zum Einsatz.

Ich habe verschiedene VM's laufen, alles läuft soweit ganz gut, bis auf eine Sache die ich auch nun kurz schildern möchte:

Ich habe eine Debian VM laufen, die dafür zuständig ist einen Minecraft Server zu betreiben. Dieser läuft soweit auch ganz gut, solang ich diesen Lokal (soll heißen aus dem internen Netzwerk heraus Anspreche). Jedoch ändert sich das ganze sobald ich auf das Internet zugreife.

Der erste Gedanke ist nun natürlich das ganze wäre ein Firewall oder Bandbreiten Problem, jedoch konnte ich dies beides ausschließen:
- Die Firewall (Astaro Security Gateway) zeigt keine Einträge im Livelog
- Ich bekomme eine Verbindung jedoch ist diese sehr langsam und bricht zusammen
- Lasse ich den Server auf einem anderen Rechner laufen und logge mich dort extern ein läuft alles wunderbar

Daraus würde ich soweit schließen, dass es kein Problem der Firewall / NAT Regeln ist und genug Bandbreite zur verfügung steht. Ich habe keine Idee wo für ESXi der Unterschied sein könnte woher die Verbindung kommt, aber evtl. habt ihr da ja noch ein paar ideen. Mein Latein ist zumindest im Moment erschöpft.

Danke im Vorraus.

[Harsesis]

Hallo nochmal,

ich habe das ganze problem nun noch weiter einschränken können. Ich habe testweise der VM eine Physische NIC durchgereicht und diese per Kabel an das normale Netz angebunden. Über diese Konstruktion funktioniert das gaze nun problemlos. Das Problem scheint also eindeutig an dem Virtuellen Netzwerk zu liegen.

Hat da einer von euch evlt. eine Idee was zu diesen Problemen führen kann?

[mbreidenbach]

Mehr Infos bitte. 'Normalerweise' funktioniert das.

Beschreibe mal vSwitche und NICs und wie das Ganze mit Extern verbunden ist. Wenn da ein vSwitch mehrere NICs hat - wie ist da das loadbalancing bzw failover konfiguriert ? Sind vielleicht am Switch dafür irgendwelche Portchannels konfiguriert ?

[mschoen]

Schon mal testweise den Promiscuous Mode auf dem vSwitch aktiviert?

Gruß

[Harsesis]

Hallo,

entschuldigt wenn ich euch nicht genug Info's gegeben habe.

ich habe einen vSwitch0, dieser ist zum einen Managment Netzwerk als auch Netzwerk in welchem alle VM's hängen. Das Netzwerk ist mit einer NIC an das interne Netzwerk angebunden.

Ein zweiter vSwitch enhält nur ein Netzwerk welches die Firewall enhält und extern per NIC am WAN hängt.

In dieser konfiguration ist es möglich über den internen Port problemlos auf den Server (an vswitch0) zuzugreifen. Jedoch nicht über WAN. Reiche ich der dem Server direct eine weitere NIC durch und hänge die an einen Switch hinter der internen NIC dann läuft das ganze sowohl über das interne als auch über WAN problemlos.

Ich hoffe das sind nun genug Infos, ansonsten bitte einfach sagen was ihr konkret noch an Info's benötigt.

Edit: Achso ganz vergessen: Promiscuous-Modus steht bei dem Netzwerk auf Akzeptieren.

[mbreidenbach]

Die Firewall ist auch virtuell und mit beiden vSwitchen verbunden ?

Die Konfiguration läuft bei mir (also ASG virtuelle Appliance zwischen internem und externem Netz) prima. Zugriff von außen geht wenn er in der ASG entsprechend konfiguriert wurde.

[Harsesis]

Genau, ich verwende die ASG Virtual Appliance, an sich bekomme ich ja den zugriff von extern, in beiden konfigurationen. Andere Services laufen auch problemlos. Lediglich der eine Server verträgt die Konfiguration anscheinend nicht und ich verzweifle daran herauzufinden woran es liegt.

[mbreidenbach]

Der hat auch die ASG als Standardgateway und so ?

Wenn der vSwitch promiscous mode aktiv hat kann man ja mal eine VM mit Wireshark oder so dranhängen und mitlesen was da los ist.

vSphere 5 network distributed switche unterstützen einen Monitorport aber dazu braucht man dann Enterprise Plus das hat nicht jeder.

Hmmm da fällt mir grad was ein - über welchen Port kommuniziert der Minecraft Server ? Bei manchen http Sachen stört der Webfilter der ASG ganz gewaltig... intern -> Windowsupdate oder intern -> Adobe Updates zum Bleistift. Die müssen dann auf die Whitelist. Evtl bin ich da aber auch gaaaanz auf dem Holzweg.

[Harsesis]

Ich sehe gerade ich habe das problem im ersten Post nicht ganz präzise beschrieben (bin schon etwas länger auf der suche nach dem problem und im 3. Forum wird man dann etwas schreibfaul).

Wenn ich den Minecraft server am vSwitch hängen habe kann ich mich per WAN dort einloggen, jedoch scheinen Pakete zu verschwinden. Soll heißen Chunks werden nicht richtig geladen (die Welt). Die verbindung ist sehr Langsam und reist nach wenigen Minuten komplett ab.

Minecraft verwendet den Port 25565. Das es an der ASG liegt kann ich mir inzwischen nichtmehr vorstellen, da sowohl vSwitch als auch physisch an der selben vnic der ASG hängen.

Edit: Wireshark habe ich bereits versucht, jedoch ist es schwer damit etwas zu erkennen, weil so viele Pakete von A nach B und umgekehrt wandern das es mir schwer fällt dort fehler zu erkennen.

[mbreidenbach]

*Grübel*

Jetzt gehn mir erstmal die Ideen aus

[Harsesis]

Die sind mir auch schon lange ausgegangen, ich dachte eine zeitlang es könnte an der MTU liegen, aber das hat sich soweit als sackgasse ergeben. Das ist wirklich zum Haare ausreißen.

Achso was noch dazu zu sagen ist, ein bekannter von mir hat ein ähnliches setup laufen (also ebenfalls ESXi + ASG). Dieser hat für mich das ganze bei sich nachgestellt und bei ihm treten die selben Probleme auf...

[elgato319]

Besteht die Möglichkeit statt der ASG eine andere virtuelle Firewall zu versuchen?
z.b. Monowall (http://m0n0.ch/wall/)

Der Minecraft Server scheint ja UDP Pakete zu versenden richtig? Da alles mit kleinen Blöckchen ausgestattet ist vermute ich das der Minecraft Server auch ziemlich viele Pakete versenden muss. Hier könnte das die ASG vielleicht stören. Vielleicht regt das die Intrusion Detection auf? Daher der Vorschlag es mit der andere Firewall testweise zu versuchen.

[Harsesis]

Hallo Elegato,

das könnte ich natürlich mal testen, allerdings muss ich dann etwas Zeit einplanen . Ich glaube der Server schickt TCP und UDP Pakete. Es werden denke ich nicht die einzelnen "Cubes" verschickt sondern immer die ganzen chunks (sind glaube 6x6x32 quader oder so). Die IPS spricht denke ich nicht an, da gibt es keine events. Außerdem wäre das für mich unerklärlich wenn die ASG bei am vSwitch angeschlossenen Gerät per IPS blocken würde aber auf eines per LAN angeschlossenem nicht (läuft über genau das gleiche interface)