別セグメントからのDNS参照が稀に出来なくなる

質問

支店（4か所）から本店にVPNを張り、本店側に設置しているDNSサーバを参照し
本店側インターネット出口からインターネットを参照しています。

普段は特に問題なく通信出来ていますが、たまに（週に１～２回）支店側からのみ
DNSを参照できなくなることがあります。
おかしくなった際の症状としては、
・本店側では異常なし
・本店⇔支店間でping異常なし＝VPNセッションの問題ではない（？）
・30分程度放置すれば正常に戻ることもあればサーバ再起動まで
　治らないこともある。

DNSと同じセグメントにある本店側では異常は起きていないので、
DNS自体が落ちているわけではなさそうです。
普段は問題ありませんが、設定等で誤りがあるのでしょうか。

回答No.4

noname#259146

症状が発生した時に
１．支店側でのPCおよびルータで nslookup 等でDNSの参照内容を確認する
２．支店側でのPCおよびルータでDNSへの ping を行ってみる
３．DNSサーバ側でログを確認する
４．DNSサーバ側で問題のある支店のPCおよびルータに ping を行ってみる
５．DNSサーバおよび本社ルータのルーティング情報を確認する

何かしらの情報が得られると思います。

回答No.3

nnori7142

先ほど伝え忘れましたが、サーバの運用形態として、どのくらいの伝送負荷がかかっているかも確認された方が良いかもしれません。　※WiresharkやTCP Monitor Plus等にて。
　基本的に、Yamahaを使ってきた実績で、データ通信上問題が出てきて、NEC系に乗換えしている事業所も多いです。
　NECで言うと、「UNIVERGE iX2105」を支所用として、「UNIVERGE iX2215」を本所用として、直接メインモードでのIPSEC-VPNを構築するとVPNスループット向上＋高速NATセッション切替等の運用向上を図れるかと存じます。　※その際にはNTTキャリアVPNの解約＋契約プロバイダへのグローバル固定IP契約になるかと存じます。VPNスループット（最大）1.3Gbpsといった公表数値もありますので・・・。

回答No.2

nnori7142

そうですか。やっぱり、Yamahaですか。
　そうすると、コンフィグデータ投入をお試しして欲しいのですが、双方「nat descriptor timer 1 600」、「nat descriptor timer 1 tcpfin 30」といったコマンド投入してみて頂けますでしょうか？　
　ショートパケット周りの利用は無いと聞きましたが、Skype等の利用もされていないといった認識で宜しいでしょうか？比較的こういったNATセッション等も含めた高速処理はYamahaは苦手としております。
　それと、VPN全拠点ですが、ファームウェアの更新はされていますでしょうか？出来ましたら、最新版適用にてお願いします。
　IPIP-VPN接続での接続コマンド内、「ipsec ike keepalive use 1 on heartbeat」といった、heartbeatでの死活監視でのキープアライブ不具合も多々ありますが、SA認証キーの確認周りのトラブルは考えなくても良いとの判断で良いですよね？
　先ずは、「SRT100」の最大NATテーブル数が4,096ですので、すぐ飽和状態になる計算が成り立ちます。
　基本的にコマンド投入しなければ、初期値が1,000になっているかと存じますが、それをタイマー制限し、既存セッションの接続タイマーも制限する手法ですね。
　上記でもダメであれば、本拠点ルーターをNATセッション数が増強されているタイプに変更する方法でしょうか。「FWX120」であれば、最大30,000セッション迄可能です。（何時もの事ですが、Yamahaの場合、最大値の残り10％程度を切ると誤動作・リブート等多発するかと思いますが・・・）

回答No.1

nnori7142

お尋ねの件ですが、本店・支店間利用VPNルーターの機種・型式により、VPNトンネル・認証等を含めたNATセッション周りにクセがあるルーターが御座います。
　VPNルーターはどちらのメーカー・型式でしょうか？機種により、NATセッション規定タイマーの設定を変更しませんと、安定しない場合があります。それと、IPSECキープアライブ接続も、 icmp-echo確認とした方が良いかと存じます。
　それと、同一回線上、ショートパケットを多段処理するようなソフトや仕組み等利用しておりませんか？
　ショートパケットを多段処理すると、NATセッションを無制限に発生してしまう場合もありますが、そのショートパケット等のNATセッション制限や帯域制限等も考えないと、通常のインターネット接続はOKでも、IPSEC等も含めたNAT処理に不都合が出る場合もあります。特にYamaha系ルーターがが該当するのですが、比較的VPNスループットと最大NATセッション数が低価格の分削減されておりますので、注意点です。

補足

機種は本店側：yamahaSRT100
　　　　支店側：yamahaNVR500
になります。
回線はNTTのグループVPNでセッションを張っておりipip接続しています。
サーバにはDNS、AD、WINSの機能を持たせており、支店側PCでも
本店と同一ドメインに参加させています。
NATセッション規定タイマーは存じておりませんでしたが、
config確認したところ設定しておりません。

>それと、同一回線上、ショートパケットを多段処理するようなソフトや仕組み等利用しておりませんか？
特にそういったソフトは使ってないと思います。

本店・支店共にルータ再起動で症状が改善されず、サーバ再起動で
改善されたのでサーバ側の問題かと考えていましたが、ルータの方が
怪しいでしょうか。