PfSense 2.3.4 hängt sich auf

alexbeer

Hallo zusammen,

ich habe kürzliche meine pfSense von 2.3.3 auf 2.3.4 upgedatet.
Unter 2.3.3 lief sie tadellos - seit dem Update auf 2.3.4 habe ich alle 2-3 Tage zu unterschiedlichen Zeiten, dass sich die Box aufhängt.
Dies äußert sich dann so, dass

die Box ist per Ping nicht mehr erreichbar
die WebConsole ist nicht mehr erreichbar
Netzwerkzugriff / Internetzugriff im kompletten Netzwerk nicht mehr möglich
die LED am WAN-Port blinkt

Als Workaround hilft dann ein harter Reboot. Der letzte Fall war heute gegen 6:00
Ich habe schon die Logs unter /var/log durchgeschaut.

Im System-log finde ich folgende Meldungen:

Jun  2 05:58:27 pfSense dhcpleases: Could not deliver signal HUP to process because its pidfile (/var/run/unbound.pid) does not exist, No such process.

Diese Meldung habe ich allerdings auch zu anderen Zeiten und schließe sie daher als Ursache aus.

In welchem Log könnte ich ggf die Ursache finden?
Für jegliche weitere Ansätze zur Findung / Behebung dieses Fehlers bin ich dankbar.

VG Alex

viragomann

Hallo,

diese Meldung sieht nicht so gefährlich aus, als dass sie eine pfSense töten könnte.

Im System-Log bist du da schon richtig. Wenn sonst nichts zu finden ist, kommt syslog vermutlich nicht mehr dazu, das Problem zu locken.

Ehe lange nach einer Ursache zu suchen, würde ich einfach mal eine Neuinstallation machen und das Backup zurückspielen.

alexbeer

Hallo,
Ich dachte immer, ein Linux / FreeBSD muss man nicht neu installieren?!
Noch habe ich die Neuinstalationgescheut. Gestern war es mal wieder soweit, dass das Netzwerk nicht mehr funktionierte und kein Zugriff auf die pfSense Web WebConfiguration bestand.
Per Konsole habe ich auch noch Zugriff.
In dem Firewall Log werden viele Zugriffe von 169.254. x.x geblockt. Das ist ja die Windows IP, wenn per DHCP keine IP zugewiesen wurde.
Scheinbar hat sich für pfSense also nicht aufgehangen, oder?
Was könnte die Ursache eines solchen Verhaltens sein? Network Storm ( alle 2-4 Tage)
Nach Reboot ist wieder alles ok. Netzteil hab ich auch schon getauscht.

Danke für jegliche Tipps.

VG Alex

JeGr

Ich dachte immer, ein Linux / FreeBSD muss man nicht neu installieren?!

a) was hat das damit zu tun ;)
b) wer erzählt den Unsinn? :)

Das hat nur damit zu tun, dass bei einem Update ggf. auch mal was schief laufen kann. Es geht auch nicht darum "FreeBSD" neu zu installieren, sondern pfSense und dessen Pakete, weil sich vielleicht bei einem Update auch mal was verbiegen kann. Das kann egal wo immer mal passieren.
Die Neuinstallation von pfSense an der Stelle mit Konfigurationsübernahme ist zum einen schnell erledigt und man kann damit ausschließen, dass genanntes Problem beim Update passiert ist. Wenn das Problem danach immer noch auftaucht, kann es nur noch an der Konfiguration per se oder an einer Änderung von 2.3.3 auf 2.3.4 liegen, die aber relativ überschaubar sind. Deshalb liegt der Verdacht nahe, dass sich vielleicht beim Update etwas verhakt hatte und nicht korrekt aktualisiert werden konnte.

Wenn per Console Zugriff noch möglich ist und sich das System nicht aufgehängt hat, kann man durchaus auch mal mit "ps faux" oder "top" mal nachsehen, ob irgendwas mit hoher Last oder hohem Wait unterwegs ist.

Gruß

alexbeer

Hallo,

per serieller Konsole komme ich auf die Box drauf.
Von dort kann ich auch erfolgreich pings ins Web absetzen.
Also scheint pfSense generell zu funktionieren - aber irgendwas muss ja in dem Gateway schief sein.
In den Logs habe ich auch gerade noch folgendes gefunden:

Jun 13 18:16:25	dpinger		WAN_PPPOE 80.228.21.25: sendto error: 65

…

Jun 13 18:22:01	unbound	16391:0	info: service stopped (unbound 1.6.1).
Jun 13 18:22:01	unbound	16391:0	info: start of service (unbound 1.6.1).
Jun 13 18:22:01	unbound	16391:0	notice: init module 1: iterator
Jun 13 18:22:01	unbound	16391:0	notice: init module 0: validator

Aus diesem Forum habe ich dazu folgende Erklärung gefunden:

Error 65 is 'no route to host', so it means you have no route to the gateway at that time. Either it's not in your subnet or somehow the interface doesn't have a route to its subnet, etc.

Gibt es dazu auch eine brauchbare Erklärung?

Was hat es mit 'unbound' auf sich? https://doc.pfsense.org/index.php/Unbound_DNS_Resolver habe ich nicht installiert.
Der "DNS Resolver" ist allerdings aktiviert.
Ich habe derzeit Verständnisprobleme, warum der Spuk nach einem Reboot verschwunden ist und dann nach 2-4 Tagen erneut auftritt.
Diese Verständnislücken würde ich gerne schließend - dann bin ich auch gerne bereit neu zu installieren!
Generell bin ich der Meinung, dass Software deterministisch sei - und ich als Newbie hier nur einfach etwas übersehe / falsch konfiguriere.

Vielen Dank für eure Geduld.
Alex

JeGr

Jun 13 18:16:25 dpinger WAN_PPPOE 80.228.21.25: sendto error: 65

No route to host wird ausgegeben wenn bis zum Zielhost keine gültige Verbindung aufgebaut werden kann. Also ist das Gateway oder nicht erreichbar oder der Uplink tot. Das würde daraus resultieren (da es PPPoE ist), dass ggf. eine Zwangstrennung statt fand oder es einen Wackler in der Leitung gab.

Was hat es mit 'unbound' auf sich?

Soweit nicht anders konfiguriert von dir ist unbound seit 2.2 bereits der Default DNS Provider für pfSense, sprich unbound stellt DNS als DNS Resolver zur Verfügung und macht die Namensauflösung, -caching etc.

Was hast du bei deinem Standard Gateway denn als Ping Gegenstelle eingestellt (oder hast du gar nichts eingestellt)? Und was hast du im generellen System als DNS Server verwendet?

Grüße

alexbeer

Hi JeGr,

vielen Dank für deine Geduld - echt klasse.
Als DNS-Server habe ich 8.8.8.8 und 8.8.4.4 definiert.

Was hast du bei deinem Standard Gateway denn als Ping Gegenstelle eingestellt (oder hast du gar nichts eingestellt)

Wo finde ich diese Einstellung? Ich denke ich habe nicht eingestellt.

Aktuell bekomme ich gerade auf einem Rechner im Chrome stets die Meldung```
DNS_PROBE_FINISHED_BAD_CONFIG

Per```
ipconfig /renew
```habe ich schon versucht den Lease zu erneuern.
Was könnte ich da falsch eingestellt haben?

Ich bin immer mehr der Vermutung, dass ich mit dem DNS irgendetwas verkonfiguriert habe und das die pfSense sich nicht aufhängt. Ich nur per Client keine Verbindnug mehr zur pfSense bekomme.

Kann es etwas mit dem Einsatz von pfBlockerNG inkl. DNSBL sein?
Hier https://forum.pfsense.org/index.php?topic=119467.0 habe ich da kontrovers diskutierte Hinweise gefunden.

VG Alex

JeGr

Die Meldung bezieht sich darauf, dass der Rechner kein sauberes DNS mehr hinbekommt. Wahrscheinlich eben, weil unbound als Resolver gestoppt wurde oder extern eben keine Auflösung mehr hinbekommt. Das sieht eher nach Auswirkung aus, nicht nach Ursache.

Unter System / General sollten dann also die beiden genannten DNSe eingetragen sein. Die Ping Gegenstelle findest du beim Gateway. System / Routing / Gateway editieren -> Dort die Monitor IP anschauen. Ist diese leer wird versucht der nächste Hop Upstream zu nutzen. Bei Telekom DSL ist das eher eine blöde Idee, da die Telekom Gegenstellen notorisch gern PING verweigern. Deshalb lohnt es sich dort als Monitor IP einen der DNSe einzutragen. Dann wird das Gateway auch nicht versehentlich als down gemeldet.

Vielleicht bringt dir das bereits Besserung. Ansonsten wäre ggf. die Unbound Konfiguration der nächste Anlaufpunkt.

alexbeer

Hallo,

die Umstellung von DSL auf VDSL hat erst mal geklappt.
In diesem Zuge habe ich per Konsole auf "factory defaults" resetted.
Die bestehende XML-Konfig importiere ich nun Stück für Stück.
Seitdem habe ich die DNS-Probleme nicht mehr.

Ich hoffe, dass sich das Thema damit erledigt hat - auch wenn ich die Ursache nicht gefunden habe…

Vielen Dank nochmals
Alex