7100 & Firewall Duchsatz mit Content Filter

Anmeldungsdatum: 23.07.2005 Beiträge: 171

Hallo,

kann mir bitte jemand sagen, welcher Firewall Durchsatz bei einem 7100 mit Content Filter bei HTTP Downloads (Packet Größe 1500) zu erwarten ist?
Wie sollte sich der Durchsatz bei 3 parallelen HTTP Downloads verhalten?
Alles bei 100Mbit Down/2.5 Mbit/Upstream. Schafft das Gerät mit CF die 100 Mbit WAN Durchsatz?

Vielen Dank

Henri

Moderator Anmeldungsdatum: 03.01.2005 Beiträge: 1905 Wohnort: Ex-OPAL-Gebiet

(geänderte Version)

Hallo Henri,

der Durchsatz hängt natürlich von den Firewall-Regeln (und ggf. auch der Anzahl der Regeln) ab und auch von der Routing-Art (mit oder ohne NAT), aber ebenfalls davon, ob der Content-Filter eingeschaltet ist, denn in diesem Fall geht der Traffic über den internen HTTP-Proxy.

Viele Grüße,
Jirka

Anmeldungsdatum: 23.07.2005 Beiträge: 171

Hallo Jirka,

kannst Du bitte einmal hier 1012.1311.0400.SDUJ hereinschauen?
Ich komme mit CF auf eine doppelt so hohe CPU Utiliization bei halbem Durchsatz.
Bei ca. 40 Mbit/Sekunde ist die CPU des 7100 >90% Busy.

Wäre super.

Vielen Dank im Voraus

Henri

Moderator Anmeldungsdatum: 03.01.2005 Beiträge: 1905 Wohnort: Ex-OPAL-Gebiet

Hallo Henri,

Henri hat folgendes geschrieben:

kannst Du bitte einmal hier 1012.1311.0400.SDUJ hereinschauen?

dass das ein Dokument der Knowledgebase ist, sehe ich. Aber nur mit dieser Nummer kann ich nichts finden.

Viele Grüße,
Jirka

Moderator Anmeldungsdatum: 03.01.2005 Beiträge: 1905 Wohnort: Ex-OPAL-Gebiet

Hallo Henri,

ich habe mich mal etwas schlau gemacht. Ich habe den Content-Filter selber noch nicht im Einsatz, von daher fehlt mir da etwas die Erfahrung...
Auf der LANCOM-Webseite steht:

Zitat:

Der LANCOM Content Filter fängt über einen internen HTTP-Proxy URL-Anfragen ab und schickt diese an eine externe Ratingserver-Farm zur Überprüfung. Der Ratingserver liefert zu dieser URL eine Kategorie zurück, die entsprechend der Konfiguration des Routers den Zugriff auf die URL erlaubt oder blockiert.

Das Entscheidende hier ist der Punkt mit dem internen HTTP-Proxy. Das war mir so bisher nicht klar. Es geht dann sämlicher HTTP-Traffic über diesen Proxy (auch Deine HTTP-Downloads), womit auch auch Deine höhere CPU-Auslastung zu erklären ist.

Viele Grüße,
Jirka

Anmeldungsdatum: 23.07.2005 Beiträge: 171

Hallo Jirka,

habe letzte Woche erfahren (nachdem mich der Support 2 Wochen geärgert hatte) das dieses Verhalten bekannt ist und es mit der nächsten LCOS Version sehr viel besserer werden soll .... Eigentlich ist das Gerät ja mit > 400 Mb/Sekunde Firewall Durchsatz spezifiziert ...

Danke

Viele Grüße

Henri

Anmeldungsdatum: 23.12.2004 Beiträge: 177

Henri hat folgendes geschrieben:

Ich komme mit CF auf eine doppelt so hohe CPU Utiliization bei halbem Durchsatz.
Bei ca. 40 Mbit/Sekunde ist die CPU des 7100 >90% Busy.

Keine Ahnung wieviele Jahre es schon her ist das ich nach stärkerer Hardware gefragt hatte.
Da hat sich leider nie was getan obwohl es immer hiess das die Software und nicht die Hardware den Preis ausmacht sind die Produkte leider immer wieder zu Rohrkrepierern kaputtgespart worden.
Und zwar in jeder Beziehung, was die Hardwareausstattung betrifft.

Mittlerweile kann man mit ein wenig suchen ab 60$ Homerouter bei Amazon.com bestellen die 600MBit LAN-WAN Routingleistung aufweisen, bei Lancom ist selbst für 4000€ nichts zu bekommen das es topt, denn es gibt dort schlicht kein Produkt das stark genug ausgelegt wäre.
Achja, über das Szenario braucht man garnicht erst streiten da die Lancomgeräte ihre Datenblattleistung auch nur mit Rückenwind erreichen.

Das bei einigen neuen Routern garkeine Leistungsangaben mehr in den Datenblättern stehen ist da mit Sicherheit kein Zufall.

http://www.smallnetbuilder.com/index.php?o...;chart=119

Alles in allem eine ziemlich traurige Angelegenheit, der ELSA DSL-I10 hat noch in seine Zeit gepasst was danach kam leider nicht mehr.

Die sogenannten Produktfeuerwerke der letzten Jahre sind daher leider auch nie über den Charakter einer brennden Mülldeponie hinausgekommen.

Einzig im WLAN Bereich kann man nach wie vor noch gut fündig werden, denke das man den Part wohl Alf zu gute halten kann.

Muss man alles in allem wohl nicht noch weiter ausführen, traurige Sache das ...

Anmeldungsdatum: 23.07.2005 Beiträge: 171

Hallo,

der Meinung bin ich wirklich nicht. Ich habe seit dem Elsa IL-11 ELSA/LANCOM Geräte in Benutzung und war bisher immer extrem zufrieden damit. Die Firmware und Funktion die Lancom bisher geliefert hat war immer top und der Service ausgezeichnet. Wenn man einmal auf dem Markt schaut bekommt man natürlich sehr viel günstigere Geräte, aber telefonier dann mal mit dem Support, da hat man keinerlei Ahnung von den Produkten des Unternehmens, selbst nach mehrmonatigen Mails mit USA. Ich habe gerade 2 Level1 Layer3 Switches (ca. 1500 Euro) herumliegen, da ich mit LACP Upstreams zu 2 Switchen jede Menge Netzwerkausfälle hatte, das Problem war dann schlussendlich ein wackliges CAT5E Kabel an einem PC, die Switches sind mit dem Errors nicht zurecht gekommen...

Ich habe allerdings (seit ich meinen 1823 (wg. Memory shotage reboots) vor 4 Monaten funktionsreduziert habe) jetzt auch mit LANCOM mehr Probleme als in den letzten 10 Jahren zusammen. Beginnend damit, das VOIP vom 1823 via 7100 nicht funktioniert, QOS VOIP Probleme (die Qualität mit einer Fritzbox dazwischen ist miss), 100% CPU beim Einsatz des CF auf dem 7100 bei HTTP Downloads mit Download Manager usw.. Da im dem 7100 kein Radius Server mehr drin ist habe ich das Thema WLC dann doch implementiert und gerade jede Menge WLAN Probleme mit einem L-322 etc. zusätzlich. Der Support ist im Moment auch nicht gerade gut drauf. Subjektiv betrachtet gibt es mir im Moment zu viele Baustellen.

Ich hoffe auf weniger.

Viele Grüße

Henri

Moderator Anmeldungsdatum: 07.11.2004 Beiträge: 4500 Wohnort: Aachen

Zitat:

Da im dem 7100 kein Radius Server mehr drin ist

Wann soll er denn mal drin gewesen sein?

Gruß Alfred

Anmeldungsdatum: 23.07.2005 Beiträge: 171

der 1823 hatte einen ....

Moderator Anmeldungsdatum: 03.01.2005 Beiträge: 1905 Wohnort: Ex-OPAL-Gebiet

Hallo Henri,

Henri hat folgendes geschrieben:

Beginnend damit, das VOIP vom 1823 via 7100 nicht funktioniert

Du meinst, wenn der 1823 mit einer privaten IP hinter dem 7100 betrieben wird? Ja, das ist korrekt. STUN oder ähnliche Konstrukte kann das LANCOM nicht - es benötigt eine öffentliche WAN-IP (wenn man mit öffentlichen SIP-Providern telefonieren will).

Henri hat folgendes geschrieben:

QOS VOIP Probleme (die Qualität mit einer Fritzbox dazwischen ist miss)

Was hast Du denn hier für Firewall-Regeln erstellt, damit QoS sichergestellt wird? Das ist leider nicht trivial... Und mitunter nutzt auch die beste Regel nichts, wenn der Stau oder die Paketverluste im Backbone auftreten.

Henri hat folgendes geschrieben:

100% CPU beim Einsatz des CF auf dem 7100 bei HTTP Downloads mit Download Manager usw.

Nun ja, das soll ja nun besser werden.

Viele Grüße,
Jirka

Moderator Anmeldungsdatum: 07.11.2004 Beiträge: 4500 Wohnort: Aachen

Moin,

Zitat:

der 1823 hatte einen ....

OK, so war das gemeint. Ich hatte das so verstanden, als hätte der 7100 irgendwann
mal den RADIUS-Server gehabt. Der 1823 hat auch WLAN und damit (optional) Public
Spot. Ist leider so eine politische Entscheidung des Produktmanagements, das eine
mit dem anderen zu verknüpfen. Rein technisch würde der RADIUS-Server ohne
Probleme auch in den Central-Site-Gateways laufen, genug Speicher ist in den Geräten
ja drin. Ich hatte die Geräte damals mit auf die Liste der nicht-WLAN-Geräte gesetzt,
die den RADIUS-Server bekommen sollten, ist aber leider anders entschieden worden.
Einfach mal die Leute auf dem CeBit-Stand kräftig nerven, steter Tropfen höhlt den
Stein...

Gruß Alfred