Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 6 replies
  • Subscribers 1 subscriber
  • Views 4107 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

unterirdische IPSec Performance bei Site-to-Site Verbindung per PSK

monthyburns
~~~~~Please move this thread to German Forum... Sorry and thanks a lot~~~~~~


Hallo und guten Tag in Forum,

ich bin einigermassen verzweifelt. 

Wir betreiben für unsere Zentrale und einen entfernten Standort 2 ASG V7 also Softappliances (derzeit FW Stand 7.201) auf 2 RX200 S3 von FSC. 

Das sind 1HE Server mit Sata, Quad Core CPUS und je 3GB Ram. Die ASG in der Zentrale hat 6Nics verbaut (allesamt GBit fähig), die am entfernten Standort hat 4 Nics.

In der Zentrale haben wir eine 10mbit Anbindung Syncron mit 8er Ripe Netz primär und einen BAIP (Business Access IP von der Teledoof mit 2Mbit Syncron, ebenfalls 8er Ripe Netz). Am 2. Standort eine 16er TDSL und eine 2Mbit SDSL Leitung (Pseydo SDSL, da es letztlich TDSL mit fester IP ist).

Derzeit laufen die Tunnelendpunkte noch mit über das primäre Interface des jeweiligen Standortes. Ich bin erst dabei, das 2. Wan interface exklusive dem VPN Tunnel zuzuordnen mittels Policy Routing.

Um es kurz zu machen. Die von mir eingerichtete VPN Strecke wurde zu anfangs mit Zertifikaten (X509) betrieben, jetzt mit PSK. Die Performance des Tunnels ist unter aller Sau. Wenn ich den OverheadTraffic mal wegrechne, dann komme ich auf ca 80-100kb/s, in beide Richtung identisch.

Ich habe das Szenario firmenintern nachgebaut mit 2 Maschinen mit je 2 Interfaces und 2x ASG V7. Wan Interfaces per crossover verbunden, an die beiden Lan Interfaces je ein NB dran und dann Tunnels mittels PSK eingerichtet. Selbst unter Idealbedingungen (NUR für den Tunnel wurden Regeln definiert, kein anderer Traffic von woanders möglich), komme ich auf lächerliche 4mb/sec. Wohlgemerkt, es ist alles in diesem Test 100Mbit fähig(Nic, Kabel etc)

Nun habe ich an den Verschlüsselungen rumprobiert. Ob ich nun AES 128 ohne PFS oder 3DES nehme, die Performance ist immer die gleiche. Daher schliesse ich daraus, dass es an etwas anderem liegen muss, denn normalerweise sollte AES besser gehen als 3DES. Also habe ich den Tunnel verworfen und einfach nur ein Routing eingerichtet:

internes Netz Zentrale  ASG1TransfernetzASG2internes Netz entfernter Standort

Habe wieder über Windows-Dateifreigabe getestet und kam ebenfalls nur auf lächerliche 3-4Mb/s.

Woran kann so eine schlechte Performance begründet sein? Nicht falsch verstehen. Ich mag die Astaro wegen ihrer vielen Talente, aber VPN scheint nicht dazu zu gehören. 

Bei so einer Performance ist arbeiten in unserem Firmennetz standortübergreifend nur rudimentär möglich.

Falls irgendwer noch Tipps hab, woran dies liegen kann, bitte her damit, sonst müssen wir die Astaros leider wieder einstampfen und gegen Lancoms ersetzen.

Monthy


This thread was automatically locked due to age.
Parents
  • 0
    ...schon mal geschaut ob Du eventuell einen Duplex-/Speedmismatch hast ?
  • 0 in reply to ClausP
    Hallo Claus,

    du meinst quasi Half und Fullduplex bei den angeschlossenen Nics gemischt? Nein, stehen beide Notebooks auf Auto Aushandlung. Der Ping sowohl durch den Tunnel, als auch im reinen Routingmodus ist ok (bezogen auf das Testszenario) mit ca 1ms auf die andere Seite.

    Ralf
  • 0 in reply to monthyburns
    Hallo Ralf,
    das meinte ich und was sagt die RX200 ? Kleine Pakete haben meiner Erfahrung nach keine Probleme mit einem Duplexmismatch, deswegen habe ich auch schon mal eine Ewigkeit nach einem Fehler gesucht.
    Ist der Durchsatz bei unverschlüsselten Daten denn besser ?
  • 0 in reply to ClausP
    schnelle reaktion deinerseits..[:)]

    danke dafür erstmal.

    also, um dem problem auf die schliche zu kommen, habe ich mein hauptaugenmerk erstmal auf meinen testaufbau gelegt. dies ist eine rx100 mit p4 und ein fsc bürorechner mit ebenfalls p4. beide haben zusätzliche netzwerkkarten von mir bekommen mit rtl chipsatz (dlink).

    ich könnte morgen höchstens für die wan und lan interfaces die mtus von derzeit 1500 (da reine lanumgebung) runterdrehen auf einen kleineren wert.

    wie gesagt, solange ich nicht mal im routing betrieb eine höhere performance bekomme als 4mb/s, brauch ich denke mal um den eigentlichen tunnel nicht weiter kümmern.

    habe auch window scaling angeschaltet, mit srict routing exterimentiert. derzeit allerdings strict routing aus und auto packet filter an auf beiden seiten. was mich in diesem zusammenhang gewundert hat, dass ich die windows dateifreigabe als regel definiert hatte (port 135-139+445 tcp), dies auch als dnat regel freigegeben auf das jeweilige notebook und es trotzdem nicht ging. daher hab ich zu testzwecken eine any-any (ich weiss, nicht die feine art).

    im pakcetfilterlog sehe ich auch immer massiv dns anfragen von der gegenstelle.

    ralf
Reply
  • 0 in reply to ClausP
    schnelle reaktion deinerseits..[:)]

    danke dafür erstmal.

    also, um dem problem auf die schliche zu kommen, habe ich mein hauptaugenmerk erstmal auf meinen testaufbau gelegt. dies ist eine rx100 mit p4 und ein fsc bürorechner mit ebenfalls p4. beide haben zusätzliche netzwerkkarten von mir bekommen mit rtl chipsatz (dlink).

    ich könnte morgen höchstens für die wan und lan interfaces die mtus von derzeit 1500 (da reine lanumgebung) runterdrehen auf einen kleineren wert.

    wie gesagt, solange ich nicht mal im routing betrieb eine höhere performance bekomme als 4mb/s, brauch ich denke mal um den eigentlichen tunnel nicht weiter kümmern.

    habe auch window scaling angeschaltet, mit srict routing exterimentiert. derzeit allerdings strict routing aus und auto packet filter an auf beiden seiten. was mich in diesem zusammenhang gewundert hat, dass ich die windows dateifreigabe als regel definiert hatte (port 135-139+445 tcp), dies auch als dnat regel freigegeben auf das jeweilige notebook und es trotzdem nicht ging. daher hab ich zu testzwecken eine any-any (ich weiss, nicht die feine art).

    im pakcetfilterlog sehe ich auch immer massiv dns anfragen von der gegenstelle.

    ralf
Children
  • 0 in reply to monthyburns
    Hast du mal das IDS augeschaltet?

    Gruss Medic
  • 0 in reply to medic
    Hallo,

    IDS ist auf beiden Systemen komplett aus. Ich habe am Freitag den quasie Fehler gefunden. Habe die 2 Engeräte (2 Notebooks) direkt per crossover verbunden. Auf einem der Beiden war die Performance des Interfaces der Grund, warum nicht mehr über die Leitung gehen konnte. In den Eigenschaften der Netzwerkverbindung oder den Systemeigenschaften deutete nix auf einen Fehler hin.
    Habe den Rechner ausgetauscht und nun wuppte der direkte Transfer mit 9Mb/s. Direktes Routing über die 2 Astaros lieferte annähernd den selben Wert. Nun noch den Tunnel wieder aktiviert mit AES128 und voila, ebenfalls 8-9Mb/s.
    Dann noch meine favorisierte Verschlüsselung mit AES256 PFS eingestellt, selbes Ergebnis. Also kann ich damit vorerst leben. Vielen Dank für die Lösungsansätze.

    Werde nun noch einen Tread für Policy Routing erstellen müssen, da ich auch damit noch Probleme habe.

    Schönes Wochenende,

    Ralf
Cookie Information Banner