theonlyone
Goto Top

Pfsense ipsec site to site sehr langsam

Hallo zusammen,

ich habe einen ipSec Tunnel zwischen zwei Standorten errichtet.
Der eine Standort ist ein Rechenzentrum der andere ein Haushalt mit einem Mnet 50Mbits Anschluss.

Die Stabilität des Tunnels ist einwandfrei.
Allerdins ist die Performance innerhlab des Tunnels eine reine Katastrophe.
Eine 100MB Datei zum test wird mit max. 200kb/s übertragen.
Die Ping Zeit liegt bei etwa 13ms. RTT konnte ich bisher nicht testen.

Ich habe mal die konfig gepostet. MSS Clamoing habe ich aktiviert bzw. auf 1350 geändert in den advanced settings.
Dadurch wurde die Performance gefühlt etwas besser.

Die Verwendung des VPN Tunnels bezieht sich ausschließlich darauf das eine .exe vom Server im Rechenzentrum über eine
smb Freigabe geöffnet wird.

Zur Hardware auf die vpsense läuft:
Mnet Anschluss: https://www.netgate.com//products/sg-2440.html (aktuelleste Version von pfsense)
Rechenzentrum läuft die pfsense virtuell auf vmware esxi 5.5 (2.3.2-RELEASE-p1 (amd64) )

Der Standort mit dem Mnet Anschluss befindet sich die pfsense hinter einer fritzbox wo der expanded port verwendet wird.
Habe einen zweiten tunnel aufgebaut von mir daheim 400mbit Kabel Deutschland in das Rechenzentrum, gleiche Performance.

Ich vermute das die ipsec config nicht passt oder die virtuelle pfsense nen schuss weg hat.

Danke euch für die Unterstüzung.
pfsense2
pfsense1

Content-Key: 339680

Url: https://administrator.de/contentid/339680

Printed on: April 26, 2024 at 00:04 o'clock

Member: aqui
aqui Jun 02, 2017 updated at 18:33:12 (UTC)
Goto Top
Der Knackpunkt ist das die Firewall in einer VM rennt. Das wird sie performancetechnisch in die Knie zwingen gerade bei einer Crypto Anwendung bei solchen Bandbreiten.
Ein weiterer Flaschenhals ist der vSwitch innerhalb der VM. Nicht gut....
Mal ganz abgesehen davon das eine Firewall niemals in eine VM gehört. Sicherheitstechnisch ist das fahrlässig aber du weisst ja sicher was du da tust.
Ein dediziertes Blech für die Firewall dürfte aber dein Problem umfassend lösen.

Übrigens...
Für die "s" Peinlichkeit in der Überschrift gibt es hier immer den "Bearbeiten" Button zum Korrigieren face-wink
Member: TheOnlyOne
TheOnlyOne Jun 02, 2017 at 19:13:13 (UTC)
Goto Top
Servus aqui,
kann man das irgendwo sehen das die vm an die Grenzen stößt.
Dann wird halt eine Hardware für das Rechenzentrum bestellt das ist halt dann so.
Member: Pjordorf
Pjordorf Jun 02, 2017 at 21:04:17 (UTC)
Goto Top
Hallo,

Zitat von @TheOnlyOne:
kann man das irgendwo sehen das die vm an die Grenzen stößt.
In deiner Sohos solltest du zuerst mal die Logs anschauen und vor allem was dort deren HW Logs sagen.

http://www.solarwinds.com/virtualization-manager
https://www.de.paessler.com/vmware_monitoring?utm_source=google&utm_ ...
https://www.site24x7.com/vmware-monitoring.html
https://communities.vmware.com/thread/408013
https://www.manageengine.com/products/vm-health-monitor/free-vmware-heal ...
https://mathias-kettner.de/checkmk_vsphere.html

Hier ein Bild einer Hyper-V VM die eher nichts zu tun hat wo ein Update eingespielt wurde (der Peak)
sophosutm9hw

Gruß,
Peter
Member: TheOnlyOne
TheOnlyOne Jun 03, 2017 at 10:43:39 (UTC)
Goto Top
Hallo,
danke für die Links.

Habe jetzt einen ipsec Tunnel zwischen einem Kabel Deutschland Anschluss und diesem Mnet Anschluss aufgebaut
Der Mnet hat 50Mbits und der KD hat 100Mbits.
An beiden Standorten steht exakt die gleiche Hardware Firewall wie oben im ersten Beitrag verlinkt.

Die Übertragsgeschwindigkeit übersteigt keine 300Kb/s
Zum testen habe ich auf dem Rechner A eine Freigabe gemacht und auf Rechner B aufgerufen und eine große Datei mit ca. 20MB kopiert.
Selbst das browsen ist schon langsam.

Daher glaube ich nicht das die virtuelle Firewall das Nadelöhr ist.
Habt ihr noch eine Idee?
Beide Firewall langweilen sich mehr oder minder auch beim Austausch von Daten.

Danke euch!
Member: ChriBo
ChriBo Jun 03, 2017 at 11:06:51 (UTC)
Goto Top
Hi,
Es gibt mehrere mögliche Fehlerquellen, wahrscheinlich kann dir im pfSense Forum besser geholfen werden, da du dort eher Leute mit Erfahrung von Installationen auf einer ESXI antreffen wirst.
-
1. Welche Hardwareeinstellungen hast du für die virtuelle Maschine ?
Minimum 2 GB Speicher, besser 4GB müssen es sein. 2 bis 4 Cores / CPUs sollten es auch sein.
Steht dies nicht zur Verfügung: vergiß es.
-
2. Der wahrscheinlichste Fehlerpunkt: Die Netzwerkkarten, bzw. der (virtuelle) Switch.
Ändere mal die Netzwerkkarten, bzw. Parameter vom virtuellem Switch.
-
Upgrade die virtuelle pfSense auf 2.3.3 bzw. 2.3.4.
Version 2.3.0, 2.3.1 und 2.3.2 haben gelinde gesagt teilweise massive Mängel in der Hardwareunterstützung von nicht Netgate Hardware.
-
3. in deinen Einstellungen:
teste mal folgedes:
A) Ändere in Phase 2 den Encryption Algorithm nach 3DES
oder
B) Ändere in Phase 1 den Encryption Algorithm nach AES 256bit

Vielleicht bzw. hoffentlich hilft dir etwas von den Anregungen

CH
Member: TheOnlyOne
TheOnlyOne Jun 03, 2017 at 17:57:30 (UTC)
Goto Top
Das hat tatäschlich etwas geholfen auf 3DES umzustellen.
Der virtuellen pfSense habe ich etwas mehr puste gegebn auf 4 CPUs und 4 GB RAM.
Das hat leider nichts geholfen, kann aber nicht schaden.

Leider gottes muss über den IPsec Tunnel eine Windows Freigabe eines Servers aufgerufen werden.
In dieser Freigabe muss eine .exe ausgeführt werden was das Programm enthält.
Leider gibt es keine andere Möglichkeit dieses Programm auszuführen außer über einen Terminal Server.
Das ganze Programm ist dann aber leider sowas von lahm das man zwischen jedem klick 5sec. warten darf.

Hat jemand noch eine Idee wie man vorallem diese .exe optimiert?
Member: Pjordorf
Pjordorf Jun 03, 2017 updated at 18:11:56 (UTC)
Goto Top
Hallo,

Zitat von @TheOnlyOne:
Der Mnet hat 50Mbits und der KD hat 100Mbits.
Nur das hier nicht der Donload sondern einzig der jeweilige Upload zählt. Und der ist was?

Die Übertragsgeschwindigkeit übersteigt keine 300Kb/s
Mit NetIO gemessen oder mehr oder weniger geschätztface-smile https://web.ars.de/netio/
Das sagt dir was Das Netzwerk kann, ohne anderweitig ausgebremst zu werden.

Daher glaube ich nicht das die virtuelle Firewall das Nadelöhr ist.
Sondern? face-smile Da bleibt doch nichts übrig.

Habt ihr noch eine Idee?
Vielleicht ist deine Hardware einfach zu langsam.
Erläutere deinen Aufbau, was sonst noch über das Rechenzentrum läuft, die verwendete hardware und deine VM Konfiguration(en).
Was tut der ESXi sonst noch? Woraus besteht der? Der ist doch selbst schon ein Virtualisierter Server oder hast du ein Blech gemietet (Virtual Server oder Root Server)?

Beide Firewall langweilen sich mehr oder minder auch beim Austausch von Daten.
Kann sein das einfach nicht genug Daten kommen das die ins Schwitzen kommen, kann sein das die die Daten ausbremsen. Oder ist noch was vorhanden was den Datenfluss beeinflussen kann?
Vielleicht mal alles auf Papier malen, alle Ports benennen/bezeichnen und hier reinstellen.

Gruß,
Peter
Member: ChriBo
ChriBo Jun 04, 2017 at 08:36:12 (UTC)
Goto Top
Hat jemand noch eine Idee wie man vor allem diese .exe optimiert?
nicht die .exe muß optimiert werden, sondern die Kommunikation über das VPN.
-
Wie Pjordorf schon angemerkt bzw. nachgefragt hat:
Mach mal Messungen mit NetIO und poste die Resultate.
-
Noch eine (mögliche) Ursache für die Performanceeinbußen: Namensauflösung i beide Richtungen.
Ist sie 100% ?

CH
Member: Pjordorf
Pjordorf Jun 04, 2017 at 11:20:42 (UTC)
Goto Top
Hallo,

Zitat von @TheOnlyOne:
Hat jemand noch eine Idee wie man vorallem diese .exe optimiert?
Die .exe bis auf 1 Byte reduzieren. Dann gehts ganz schnell face-smile
Die .exe ist nicht dein Problem. Deine Datenautobahn ist zu langsam. Dann spielen noch evtl. irgendwelche Scanner mit die erst mal alles in die Wolke schicken um zu sehen ob die .exe sauber ist oder jedesmal lokal scannen usw. Dann ist die .exe sicherlich nicht vertrauenswürdig da diese aus dem Internet stammt (zumindest aus sicht deines Rechners) usw. usw. Über welche Dateigröße reden wir hier überhaupt? Und bitte von NetIO das Testergebniss hier rein stellen (2 mal Testen, von jeder Seite aus - wie unterscheiden sich die Ergebnisse?)

Gruß,
Peter
Mitglied: 133417
133417 Jun 04, 2017 updated at 11:47:40 (UTC)
Goto Top
Hi.
Deaktiviere mal das Large Send Offloading an der Netzwerkkarte des Servers, das kann ebenfalls eine Ursache sein, siehe:
VPN - Upload langsam

Kurzer Blick mit Wireshark in den Traffic sollte Aufschluss darüber geben.

Gruß
Member: TheOnlyOne
TheOnlyOne Jun 07, 2017 at 16:02:41 (UTC)
Goto Top
Hallo,
@133417

habe ich deakviert hat aber nichts gebracht.

@Pjordorf

ich habe jetzt mal alle Daten zusammengetragen.

Standort A:
30Mbit Mnet DSL Anschluss (habe teilweise auch 50Mbit behauptet face-smile, ist aber falsch
FritBox 7390 von Mnet. Hinter der FritzBox hängt die Pfsense (siehe Bild "Shema")
Geschwindigkeit siehe Screenshot "mnet"

Standort B:
100Mbit Kabel Deutschland Anschluss
FritzBox 64xx (irgendwas mit kabel halt). Hinter der FritzBox hängt die Pfsense (siehe Bild "Shema")
(habe gerade keinen Zugriff auf den Rechner daher keine geschwindigkeits Messung)

Rechenzentrum
Server Windows Server 2008 R2 virtuell unter Vmware 5.5
Pfsense aktuelle Version virtuell unter vmware 5.5 (selber host) über vswitch verbunden mit server
geschwindigkeit siehe screenshot "server"

NETIO von LAN A nach Server
siehe screenshot "netio_A_client_zu_server"

NETIO von Server zum LAN A Client
siehe screenshot "netio_server_zu_clientA"

Ich hoffe ich konnte es euch so näher bringen.

Danke für eure Hilfe
server
netio_a_client_zu_server
mnet
netio_server_zu_clienta
shema
Mitglied: 133417
133417 Jun 07, 2017 updated at 16:17:52 (UTC)
Goto Top
Völlig normal. 30MBit/s Anschluss bei dir ca. 27MBit/s down und 2-3 MBIt/s up. DSL ist ja von Haus aus asynchron d.h. Upload ist immer geringer als Download, dazu noch der IPSec-Overhead, also völlig normale Datenraten.

Die Daten vom Kabel-Deutschland Anschluss sind aber ein bißchen abnormal, das wäre ja ein Gigabit-Anschluss bei den Download Transferraten. Da wird irgendwo der Cache-Zwerg zugeschlagen haben.
Member: TheOnlyOne
TheOnlyOne Jun 07, 2017 at 17:27:01 (UTC)
Goto Top
Ne ne die anderen Daten sind im Rechenzentrum mit 1gbit Netzwerk Anschluss. Daher sind die Raten so hoch. Kabel Deutschland kann ich gerade nicht messen reiche ich aber nach
Member: Pjordorf
Pjordorf Jun 07, 2017 at 21:35:43 (UTC)
Goto Top
Hallo,

Zitat von @TheOnlyOne:
30Mbit Mnet DSL Anschluss (habe teilweise auch 50Mbit behauptet face-smile, ist aber falsch
30 MBit/s ist aber auch eher falsch. Interesant ist hier eigentlich nur der Upload, und der liegt bei dir bei ca. 2,5 MBit/s. Da können die anderen im Downlod sogar PentaBit/s haben, mehr als ca. 2,5 MBit/s bekommen die von dein Server A nicht. Sollte Standort B ähnlich sein, also Upload Asynchron und vielleicht 10 MBit/s hast du ein LAN (VPN) Leitung in der einen Richtung 2,5 MBit/s und in der anderen halt ca. 10 MBit/s. Dein GBit LAN macht 1000 MBit/s in beiden richtungen.

Ich hoffe ich konnte es euch so näher bringen.
Warum das Konstrukt und nicht gleich deine beiden PFSensen von Standort A und B miteinander VPN machen lassen. Es wird weder Schneller noch langsamer - denn nur dein Upload zählt. Und wenn dan noch jemand etwas dickere Downloads laufen lassen, kann es sein das dein Upload von 2,5 MBit/s alleine dadurch ausgereizt wird (Antworten etc.). QoS wird evtl. helfen bandbreite zu reservieren.

Egal aus welcher Richtung, deine PFSense im Rechenzentrum hat nie etwas zu tun und jeder der etwas von Standort A braucht muss sich mit einer 2,5 MBit/s leitung rumschagen. Da bekommt Arbeiten eher die Bedeutung Warten... face-smile

Gruß,
Peter
Member: TheOnlyOne
TheOnlyOne Jun 08, 2017 at 06:11:16 (UTC)
Goto Top
Es sit mir klar das es ein ADSL Anschluss immer im upload langsamer ist als der download. face-smile
Ich muss in soweit wiedersprechen als das der Download beim aufrufen des Programmes (.exe starten) sowie dem arbeiten im Programm alles download ist.
Das ist ein Rechnungsprogramm dort werden bis auf das drucken nur wenig Daten im Upload gesendet.
Dies zeigt auch der Traffic Graph des IpSec Tunnels auf der PfSense.

Wir werden den Anschluss nun auf 100Mbits erhöhen. Somit haben wir rein theoretisch gerechnet 12MB/s im download und 6MB/s im Upload was mehr das deutlich sein sollte. Bevor wir dies tun würde ich aber gerne noch den NETIO Test auf der Kabel Deutschland Seite machen wo bereits 100Mbits vorhanden sind. Hier würde ich erwarten das die Tranfser Raten im IPsec deutlich höher sind.

Eine direkt Verbindung zwischen Standort A und B gibt es tatsächlich auch. An keinem der Standorte befindet sich aber ein Server. Aufgrund von Stromkosten wollen wir den Server lieber mieten im RZ.
Die Verbindung der Standorte A und B untereinander ist ebenfalls ein IpSec Tunnel und wird nur verwendet um Daten von Standort A auf Standort B zu drucken face-smile
Mitglied: 133417
133417 Jun 08, 2017 updated at 07:53:34 (UTC)
Goto Top
Also gibt's ja kein Problem, alles im Rahmen, nur ein simples Luxusproblem so wie du das hier schilderst, zumindest erkenne ich an deiner Schreibe keinerlei Probleme ...
Member: TheOnlyOne
TheOnlyOne Jun 08, 2017 at 08:33:33 (UTC)
Goto Top
ja gut mir war wichtig das die IpSec Tunnel sauber arbeitet. aber mir NETIO konnte ich es klar nachvollziehen das der TUnnel sauber arbeitet und die verfügbare Bandbreite auch durchgeleitet wird.
Probleme habe ich gar keine wenn dann Herausforderungen was die Performance betrifft die aber der schmalspurigen Internetanbindung geschuldet ist.
Danke euch für eure Unterstüzung.
Mitglied: 133417
133417 Jun 08, 2017 updated at 08:43:09 (UTC)
Goto Top
Alles wird gut.
Haken nicht vergessen.