Есть пинг нет telnet, анализ wireshark, в чем может быть проблема?

Question

[Lexaband]

Добрый день. Проблема такая: Есть два сервера. 192.168.1.1/24 и 192.168.1.2/24 на обоих Windows 2008R2 фаерволы все отключены, могут пинговать друг друга. Но как только хочу подключиться к veeam агенту через телнет, ничего не выходит. Получается вот такие netstat и wireshark, не могу разобраться. Пожалуйста помогите. Буду очень благодарна.

Netstat:
https://cloud.mail.ru/public/JG6X/4kK34bZF1
Попытка подключения по Telnet:
https://cloud.mail.ru/public/MpaL/i2zVYBi3Q
Wireshark (на даты внимание не обращайте):
https://cloud.mail.ru/public/7314/KzYM3dcdE

Answer 1

[Tr3m]

Veeam все еще используют это задание? =)

Comments

[Lexaband]

Может вы и ответ знаете? ))

[Tr3m]

Lexaband:
у меня нет Wiresharka на телефоне, но насколько я помню там суть в том что хост 1.1 отправляет 1.2 SYN как часть TCP handshake и получает RST, ACK в ответ. Причин может быть несколько и гуглятся они легко:
1) нет приложения, которое слушает этот порт (netstat говорит обратное)
2) Это приложение зависло, не отвечает на коннекты
3) Порт закрыт чем-то
4) Вообще, RST ACK это иногда норма для Винды. завершать сессии с таким ответом, но не сразу на SYN
Дальше уж сами выберите тот вариант, который нравится и расписать что, зачем, почему и как чинить
P.S. Поверьте, правильный ответ тут совсем не важен, они оценивают вашу логику рассуждений + customer care. Например, как Вы объясните клиенту, что он идиот и его антивирус блокирует нужный порт или что ваше приложение зависло и его нужно перезапустить и тд
Good Luck

[Lexaband]

Огромное спасибо за всё. Прошу прощения за назойливость и наглость ))) Но тем не менее.

1) Исходя из условий, как я их поняла, приложение которое слушает есть, тем более нетстат подтверждает.
2) Зависла телнет часть veeam? Такое возможно? Или приложение полностью?
3) Вы имеете в виду какое-то приложение уже заняло его.
4) Про это я уже,благодаря Вам прочла ))) Спасибо ) Но это не совсем ответ.

У меня, в sysops утверждают, что причин может быть море и отвечать на этот вопрос = отвечать на вопрос у меня машина не едет, почему? А данные wireshark с тем что, "свет горит, масло есть, когда заводится стартер крутится". ))))
Но ведь данные wireshark должны сказать гораздо больше, как мне кажется? )
И вот кстати вот они скриншотами:
https://cloud.mail.ru/public/MPVJ/qc1dKx4LX
https://cloud.mail.ru/public/EzXf/aG6NV2D1C
Огромное спасибо Вам за помощь! Буду очень ждать Вашего ответа!

[Tr3m]

Lexaband: Ваши коллеги правы, я не буду утверждать, но имхо тут просто нет достаточно данных для однозначного верного ответа (подразумевается что в решении вы укажите что надо проверить и зачем)
2) зависит от архитектуры приложения, думаю что все приложение
3) нет, если вы внимательно прочтете условия там сказано что fw выключен. Но не указано какое ПО ещё стоит на компе (антивирус же должен быть на сервере?)
Увидел скриншоты, все верно. Больше информации из wsh получить не получится, ибо по сути нет в tcp как такового кода ошибки. Он получил rst.
P.S.если быть внимательным, можно заметить что потеряны 2 Icmp пакета (20,21), но выглядит как часто встречающийся баг wsh
Если Вам нужно, я могу проверить фул дамп wsh когда буду у компа, но сильно сомневаюсь что это что-то изменит в ответе

[Lexaband]

Буду очень признательна, если вы проверите фул дамп! А вот ещё два, наверное, глупых вопроса) Если порты закрыта или заняты, то как netstat понимает что они слушаются? Можно ли найти решение с помощью Nmap?
Ещё раз, огромное спасибо!

[Tr3m]

ничего интересного в дампе нет.
1) когда приложение запускается оно сообщает ОС с какого порта пакеты передавать ему. 2 приложения не могут слушать один и тот же порт. Netstat просто показывает эту информацию из ядра. Когда пакет деинкапсулировался, перед передачей его дальше он проверяется fw на то, разрешены ли соединения на этом порту. Если да - пакет передается, если нет - посылается RST
2) Nmap, по сути своей, телнетит все стандартные порты, собирает макс. доступной информации из ответов и пытается максимально близко описать удаленный хост. Тут бесполезен.
Если можно сделать только 1 тест, я бы заходил на 1.2 и cделал telnet 127.0.0.1 2501 от этого бы решал что делать

Answer 2

[res2001]

Ошибка в телнет говорит о том, что на 192.168.1.2 на порту 2501/tcp ничего не висит.
Посмотрите в мониторе ресурсов этот порт вообще используется чем-нибудь на втором сервере.

Comments

[Lexaband]

Таких данных у меня нет. Это задание на работе. У меня тоже мысль о том, что может быть проблема в том что порт каким либо образом недоступен? Но тогда вопрос, почему? Ещё, на сколько я помню, у 2008r2 были проблемы с firewall и решались они с помощью КВ, но если сервис отключен то по идее не должно быть никаких проблем... В общем не знаю что можно сделать....

[res2001]

Lexaband:
1.У вас есть доступ ко второму серверу? Если да откройте монитор ресурсов и посмотрите кто использует порт 2501/tcp и использует ли вообще.
2.Это могут быть проблемы с фаерволом, но это лечится не КБ, а добавлением разрешающего правила в фаервол. Для проверки можно отключить фаервол и протестировать.
3.Если сервис отключен (т.е. не работает), то это то же будет выглядеть именно так (собственно это вариант , когда порт никто не слушает см.п.1).