QOS funkt ... almost

tom_tav · Beitrag von **tom_tav** » 12 Apr 2007, 23:20

Kurze Frage zum Thema QoS

Habe als oberste Regel in der Firewall eine QoS Regel drinnen, die Pakete von einem Teil meines Netztes eine min. Bandbreite von 1000kb down- und 50kb upstream garantieren soll.

Das funktioniert auch ... beinahe.

Mir ist aufgefallen das im Lanmonitor beim downstream beinahe immer RX 1024kb reserviert werden, beim upstream (TX) jedoch meistens gar nichts ... und gerade der schmale upstream (ist eine 4mb/100kb Leitung) ist mein Problem wenn grade was aus dem anderen Teilnetz ins Netz rausgeschickt wird.

Soweit ich das verstanden habe sollte eine üblioche Qos Regel ausreichen, mit 1024 down und 50kb up.

ittk · Beitrag von **ittk** » 13 Apr 2007, 07:59

Hi,

ja die Reservierung im Upstream ist volldynamisch. Du kannst sie aber auch erzwingen (Haken in dem QoS-Element setzen).

tom_tav · Beitrag von **tom_tav** » 13 Apr 2007, 13:13

Erklärt aber trotzdem nicht warum im Lanmonitor meistens downstream reserveiert wird, upstream aber selbst dann nicht wenn ich irgendwas mit scp auf einen server im Netz hochlade. Selbst dann nicht wenn ich 90% der Bandbreite reserviere.
Gibts eine andere Möglichkeit als den Lanmonitor zu sehen was QOS aktuell tut?

backslash · Beitrag von **backslash** » 13 Apr 2007, 14:23

Hi tom_tav

wie ittk schon sagte: die Reservierung im Upstream ist volldynamisch, d.h. es wird keine feste Bandbreite "abgeschnitten". Das passiert erst, wenn du das Häkchen bei "erzwungen" setzt.

Die volldynamische Zuweisung hat den Vorteil, daß von der Verbindung ungenutzte Bandbreite allen anderen zur Verfügung steht - im Gegensatz zur erzwungenen Reservierung, bei der die Bandbreite garantiert freigehalten wird, auch wenn sie ungenutzt bleibt.

Die volldynamische Zuweiseung erfolgt einfach durch bevorzugte Übertragung der Pakete, solange die jeweilige Bandbreite nicht erreicht ist. Die Firewall merkt sich das auch nur pro Session und nicht in einem besonderen Datensatz, da keine weiteren Aktionen nötig sind (im Gegensatz zur erzwungenen Resrevierung). Daher wird es auch nicht im LANmonitor angezeigt

Im Downstream ist eine volldynamische Reservierung nicht möglich, da dies auf Providerseite geschehen müßte - die Pakete sind ja schon da und haben den vollen Downstream ausgenutzt, daher bringt eine nachträgliche Bevorzugung nichts mehr. Stattdessen müssen die Pakete der anderen Sessions ausgebremst werden, wodurch das TCP die Senderate senkt und somit Bandbreite freigibt. Hier wird die Reservierung also immer erzwungen, was dann auch im LANmonitor angezeigt werden kann.

Gruß
Backslash

tom_tav · Beitrag von **tom_tav** » 13 Apr 2007, 15:09

Coool, das war der missing link zum Verständnis

Wenn ich nur für ein Teilnetz (Intrantet) Mindestbandbreiten auf der Default Route vorsehe, fürs DMZ aber keine, erreiche ich den gewünschten Effekt.

Nur gibts auch noch eine VPN zwischen dem lokalen Intranet und einem anderen (VPN auch via Defaut). Imho muss ich dieser VPN ja auch eine Bandbreite zusichern, wenn ich nicht will das mir die DMZ Rechner die Leitung dichtmachen. Muss ich das in einer extra Regel machen oder bei den VPN Firewall Rules?

Bzw. addieren sich dann die reservierten Bandbreiten vom Intranet->Default und Intranet->VPN ? Imho ja. Kann ich dann mit einer 3ten Regel abfangen die die Gesamtbandbreite für beide Regeln beschränkt.
Soweit so gut, nur was passiert dann mit dem automatischen QoS von VoIP (geht auch über die VPN). Greift das trotzdem, zwackt das von der gesamt oder VPN Bandbreite ab oder wird das vorrangig behandelt?

Oder denk ich zu kompliziert und gibts eine einfachere Lösung?

backslash · Beitrag von **backslash** » 13 Apr 2007, 16:40

Hi tom_tav

Muss ich das in einer extra Regel machen oder bei den VPN Firewall Rules?

Wenn du willst kannst du die VPN-Regel für die Firewall aktivieren und darin die Bandbreite zuweisen. Oder du macht halt eine eigene Regel.

Oder du erstellst eine hoch priorisierte Regel für alles aus dem Intarnet mit beliebigem Ziel und definierst dort die Bandbreite. Zusätzlich setzt du bei dieser Regel das Häkchen bei "weitere Regeln beachten"

du siehst: du hast viele Möglichkeiten...

Bzw. addieren sich dann die reservierten Bandbreiten vom Intranet->Default und Intranet->VPN ? Imho ja.

es kommgt drauf an was du mit "addieren" meinst.. Jede Session definiert z.B. 20 kBit. Dann addieren sich die Bandbreiten der Sessions. Es passiert aber nicht, daß eine Session, die durch den VPN-Tunnel geht, deshalb 40 kBit belegt - es bleiben weiterhin 20 kBit...

Kann ich dann mit einer 3ten Regel abfangen die die Gesamtbandbreite für beide Regeln beschränkt.

Auch das geht - wieder mit einer entsprechend priorisiereten Regel und Häkchen bei "weitere Regeln beachten"... Nur mußt du bei dieser Regel das Limit als globales Limit eintragen und nicht pro Verbindung...

Soweit so gut, nur was passiert dann mit dem automatischen QoS von VoIP (geht auch über die VPN).

du meinst das, vas der Callmanager einträgt? Dioe vom Callmanager reservierten Bandbreiten sind vollkommen unabhängig von den Firewallregeln und können ach nicht durch irgendwelche Firewallregeln beeinflußt werden.

Greift das trotzdem, zwackt das von der gesamt oder VPN Bandbreite ab oder wird das vorrangig behandelt?

Das sind erzwungene Bandbreiten, d.h. jeder andere Traffic wird soweit herabgedrosselt, daß die entsprechende Bandbreite frei wird (da hilft selbst eine Markierung als bevorzugt zu übertragenes Paket nicht). Diese Bandbreiten werden i.Ü. dann auch vom LANmonitor angezeigt....

Und: es wird natürlich von der Gesamtbandbreite abgezwackt - dadurch wird auch der VPN-Traffic gedrosselt...

Gruß
Backslash