VPN beschleunigen? Zu viel verschlüsselt?!

[koehne]

Wieviel Mbit schaffst du denn über einen direkten Download zwischen beiden Seiten?

Was verstehst du unter einem direkten Download zwischen beiden Seiten?

[Bernie137]

Die meiste Zeit eiert der 1821n bei ca. 10-20% CPU Last rum. Wenn ich über beide Filialen was von der Zentrale rüberkopiere steigt die Last auf max. 45-50%. Somit sollte die CPU als Limitierung herausfallen.

10-20% im "Leerlauf" ist schon ganz ordentlich ab 50% Last bei Nutzung bald nicht mehr tragbar. Du siehst ja nur die beschönten Durschnittswerte im LANmonitor, keine Spitzenwerte, die können deutlich höher sein. Da musst Du schon mal die Console bemühen mit show job.

Ja der Router macht WLAN, VPN, Firewall, Loadbalancer für die 3 Internetzugänge! Wobei man auch bedenken muss, dass der Router genau für sowas entwickelt wurde!

Nö, das Gerät ist bestimmt nicht als Central Site VPN Gateway gedacht. Wer eine 10MBit synchrone Telekom Leitung hat, gibt jeden Monat ordentlich Geld aus, da sollte an einem aktuellen Routermodell wie LC1781EFplus nicht gespart werden. Und dann kann man Diensttrennung machen, den 1821n muss man ja nicht wegschmeißen.

Das Limit der beiden VPN Verbindungen gilt im übrigen für den Up- und Download: Filiale mit 1780ew-4g mit 1,7Mbit (LTE), Filiale mit 1780ew-3g mit 3,8Mbit (Kabel).

Da stellt sich die Frage, wie Du das gemessen hast? Der kleinste gemeinsame Nenner ist immer der Uplaod von der Gegenstelle die Daten den Stream sendet, mehr geht nicht. Und ob der VPN Tunnel über die 10 Mbit Leitung läuft ist zweifelhaft, siehe unten.

Mach ich irgendwas falsch beim VPN einrichten? Hab den 1-Click VPN Wizard benutzt.

Das wird das Hauptproblem sein. In einem anderen Threat haben wir über die DNS Auflösung geplaudert bei einer Filiale mit 2 Testnotebooks. Richte diesen VPN Tunnel mal auf beiden Seiten gescheit mit dem Setup Assistenten ein "Zwei lokale Netze verbinden (VPN)". Dann kannst auch im Router der Filiale angeben, dass er bitteschön die öffentliche IP der 10Mbit Leitung nehmen soll und nicht etwa eine der 16000DSLer. Woher soll der Assistent das wissen?

Ansonsten bitte die Konfigs posten, besonders auch von der Zentrale. Sonst wird das nur Rätselraten.

Viele Grüße
Heiko

[MariusP]

Hi,
Direkter Download: über einen FTP-Server oder so.
Da fällt dann alles weg was VPN ausmacht, dann siehst halbwegs was Brutto(tatsächlich) möglich ist und was dann das VPN netto daraus macht.
Gruß

[koehne]

Ich würde verstehen, wenn die Geschwindigkeit von den beiden VPN Leitungen bei einer 100%igen Auslastung vom Router einbrechen würde, aber so glaube ich nicht, dass der Router überlastet ist.
Es wird auch definitiv der SDSL Anschluss für VPN verwendet.

Wie kann ich euch die Konfig zukommen lassen? Einfach ein Supportfile erstellen?

Ich habe testweise einen FTP Server auf dem einen Server in der Filiale mit Kabel Internet installiert: 3,8 Mbit, mehr geht nicht!
Wie gesagt, in der Filiale mit LTE Anbindung sind es ca. 1,7MBit

[MariusP]

Hi,

Das Limit der beiden VPN Verbindungen gilt im übrigen für den Up- und Download: Filiale mit 1780ew-4g mit 1,7Mbit (LTE), Filiale mit 1780ew-3g mit 3,8Mbit (Kabel).

Ich habe testweise einen FTP Server auf dem einen Server in der Filiale mit Kabel Internet installiert: 3,8 Mbit, mehr geht nicht!

Ohne das VPN an war? Wenn VPN aus war, dann erreichst du ja anscheinend mit VPN ca. die selbe Geschwindigkeit wie ohne VPN.
Was bedeuten würde das du durch VPN nicht ausgebremst wirst, sondern deine 10Mbit durch andere Ursachen ausgebremst.
Bitte immer solche Sachen mit angeben wenn du Tests durchgeführt hast.

Wie kann ich euch die Konfig zukommen lassen? Einfach ein Supportfile erstellen?

Du könntest alle Passwörter und Zugangsdaten entfernen und sie hier hochladen oder du erstellst ein Supportticket und lässt dir bei dem Problem von den Supportmitarbeitern helfen, dabei werden wir hier im Forum allerdings nichts erfahren.

10-20% im "Leerlauf" ist schon ganz ordentlich ab 50% Last bei Nutzung bald nicht mehr tragbar. Du siehst ja nur die beschönten Durschnittswerte im LANmonitor, keine Spitzenwerte, die können deutlich höher sein. Da musst Du schon mal die Console bemühen mit show job.

Ich würde verstehen, wenn die Geschwindigkeit von den beiden VPN Leitungen bei einer 100%igen Auslastung vom Router einbrechen würde, aber so glaube ich nicht, dass der Router überlastet ist.

Das Problem an 20% CPU Last ist, dass der Lancom eher sowas hat wie z.B.: 4/5 der Zeit 5% Last und 1/5 der Zeit 80% Last hat, was in der Summe ca 20% ergibt.

Gruß

[koehne]

Ohne das VPN an war? Wenn VPN aus war, dann erreichst du ja anscheinend mit VPN ca. die selbe Geschwindigkeit wie ohne VPN.
Was bedeuten würde das du durch VPN nicht ausgebremst wirst, sondern deine 10Mbit durch andere Ursachen ausgebremst.
Bitte immer solche Sachen mit angeben wenn du Tests durchgeführt hast.

Natürlich über den VPN Tunnel. Ohne VPN geht es natürlich wesentlich schneller, bzw. so schnell wie die Leitungen es eben hergeben.

Das Problem an 20% CPU Last ist, dass der Lancom eher sowas hat wie z.B.: 4/5 der Zeit 5% Last und 1/5 der Zeit 80% Last hat, was in der Summe ca 20% ergibt.

Hmm... das klingt natürlich nicht sonderlich gut. Wobei es aus meiner Sicht trotzdem nicht ander Leistungsfähigkeit des Router liegen sollte, sonst müssten doch beide VPN Verbindungen ca. gleich limitiert werden? Was ich noch festgestellt habe ist, dass seit der aktualisierung der Firmware die Geschwindigkeit nach Filiale1 (Kabelanschluss) von ca 3,1Mbit auf 3,7Mbit gestiegen ist. Bin mir da jetzt aber nicht sicher ob es definitiv die Firmware war oder ob es daran liegt, dass der Wizard bei der Erstellung der VPN Verbindung unter den IKE-Proposal-Listen dem WIZ-IKE-PRESH-KEY 256bit Verschlüsselungen hinzugefügt hat, welche der Router in Filiale1 nicht kennt und daraufhin meldet "Kein übereinstimmendes Proposal gefunden (Initiator, IPSec) [0x3102]". Die Verbindung klappt ja trotzdem noch, ist aus meiner Sicht nur nicht mehr ganz so sicher, dafür aber schneller.

Ich werden mal die Supportdateien erstellen und alles "überflüssige" entfernen.