gelöst Cisco ASA 5506-X Performance Problem

Mitglied: georgkupfer

georgkupfer (Level 1) - Jetzt verbinden

08.05.2019 um 08:37 Uhr, 1322 Aufrufe, 19 Kommentare

ich habe hier eine völlig jungfreuliche Cisco ASA 5506 X Firewall mit Firepower.

Derzeit laufen noch keine weitere Services, nur WAN und LAN Port WAN Port auf DHCP LAN Port mit statischer IP Adresse.
Grundsätzlich haben wir eine Anbindung vom ISP mit 100 Mbit/s Download und 40 Mbit/s Upload.
Der Upload Traffic ist soweit OK, hier kommen die vollen 40 Mbit/s an.
Allerdings der Download Traffic macht Probleme hier kommen NUR 2,8 Mbit/s durch.

Hat jemand eine Idee?
Softwareversion ASA 9.8
Mitglied: Lochkartenstanzer
08.05.2019 um 08:48 Uhr
Zitat von georgkupfer:

Allerdings der Download Traffic macht Probleme hier kommen NUR 2,8 Mbit/s durch.


Moin,

Wie hsdt Du das gemessen?

lks
Bitte warten ..
Mitglied: georgkupfer
08.05.2019 um 08:55 Uhr
mit netztest.at

einer Seite der Telekomregulierungsbehörde
Bitte warten ..
Mitglied: TripleDouble
08.05.2019 um 09:42 Uhr
Hallo,

ich hatte das mal, weil der Handshake mit dem Router nicht funktionierte. Auf dem Telekom-Router und auf dem Outside-Interface der ASA wurde das dann fest eingetragen (z. B. speed 100, duplex full). Danach war Ruhe.

Gruß - TD
Bitte warten ..
Mitglied: georgkupfer
08.05.2019 um 15:35 Uhr
sollte ich laut ISP deditziert nicht machen!
DHCP sonst nix obwohl statische IP
Bitte warten ..
Mitglied: chgorges
08.05.2019 um 15:38 Uhr
Zitat von georgkupfer:

sollte ich laut ISP deditziert nicht machen!
DHCP sonst nix obwohl statische IP

Hi,

TripleDouble hat dir was völlig anderes, als DHCP oder Static IP gesagt, das hast du gelesen?

Evtl. rückst du dann auch mal mit ein paar mehr Infos raus, deine ASA Konfig, welcher ISP das ist, welcher Router vor der ASA noch steht, etc.
Bitte warten ..
Mitglied: georgkupfer
08.05.2019 um 17:21 Uhr
Gerne der ISP ist Magenta Telekom (seit gestern davor UPC) (Austria) davor steht ein Cablemodem Cisco fungiert in unserem Fall als Bridge, da 8 weitere öffentliche IP-Adressen aufgeschaltet sind.

Ich meine eh auto auto kein half oder full Duplex.

am WAN Port
ip address dhcp setroute

nat (inside,outside) after-auto source dynamic any interface
Bitte warten ..
Mitglied: aqui
08.05.2019 um 17:48 Uhr
Ich meine eh auto auto kein half oder full Duplex.
Könnte aber ein Autonegotiation Problem sein und damit ein Duplex Mismatch. Das äußert sich dann sehr häufig so.
Das kannst du an der ASA aber sehen wenn du dir das Interface mal mit show int ansiehst. Wenn dort die Error und Collision Counter ungewöhnlich hoch gehen ist das das Problem.
Dann fehlen nur statische Port Definitionen oder testweise mal ein Switch dazwischen.
Alternativ statt ASA mal einen Rechner direkt an das Modem anschliessen und ganz ohne ASA nochmal die Geschwindigkeit messen.
Ist die dann immer noch so niedrig ist sehr wahrscheinlich die Leitung falsch eingerichtet.
Ist sie so wie sie sein soll ist die ASA oder die Autonegotiation das Problem.
Bitte warten ..
Mitglied: georgkupfer
08.05.2019 um 18:02 Uhr
Nein ohne Firewall ist die Performance ok.

bis auf 1~2 Mbit/s auf oder ab das ist aber die übliche Schwankungsbreite
Bitte warten ..
Mitglied: aqui
08.05.2019 um 18:04 Uhr
Dann Autonegotiation ! Sofern wir davon ausgehen können das die ASA nicht falsch konfiguriert ist ?! Das kann man aber ohne Konfig freilich nur raten...
Bitte warten ..
Mitglied: georgkupfer
08.05.2019, aktualisiert um 20:44 Uhr
show int bringt weder bei Outside noch bei inside 0 collisions zu tage also daran kanns ned liegen.

Hier die aktuelle running-config:

Hardware: ASA5506, 4096 MB RAM, CPU Atom C2000 series 1250 MHz, 1 CPU (4 cores)
Bitte warten ..
Mitglied: TripleDouble
09.05.2019 um 08:39 Uhr
Zitat von georgkupfer:

show int bringt weder bei Outside noch bei inside 0 collisions zu tage also daran kanns ned liegen.


Also sind da Collisions auf dem Outside-Interface, oder habe ich den Satz falsch verstanden? Da sollten keine sein. Falls doch: s. o. (speed, duplex)

Gruß - TD
Bitte warten ..
Mitglied: georgkupfer
09.05.2019 um 09:01 Uhr
Nein Du hast richtig verstanden es sind keine Collisions weder auf inside noch auf outside!
Bitte warten ..
Mitglied: aqui
09.05.2019, aktualisiert um 12:16 Uhr
Dann scheidet Autonegotiation auch aus. Letzte Gewissheit gibt dann ein Wireshark Trace im am Inside und Outside obs dort irgendwelche Retransmissions oder Fragmentierungsprobleme gibt.
Fragmentierung durch falsche MTU bzw. MSS Einstellungen könnte noch sein wenn sich hinter der ASA noch ein Modem befindet was xDSL macht mit PPPoE. Siehe auch hier:
https://www.cisco.com/c/en/us/support/docs/long-reach-ethernet-lre-digit ...
Versteht man den TO aber richtig ist das ein TV Kabelmodem wo es eigentlich keinerlei MTU Einschränkungen gibt weil es hier keine Encapsulierungen wie z.B. bei PPPoE gibt.
Auf die MTU bzw. MSS Konfig am LAN sollte man aber nochmal ein Auge werfen. Die kann in Fragmentierung resultieren, was dann massive Performance Einbußen nach sich zieht.

Ist es das auch nicht bleibt dann fast nur ein Hardware Defekt oder ein Software Bug. 2,8 Mbit/s schafft ja sogar ein Raspberry Pi mit links, ein Performance Problem der HW kanns also auch nicht sein.
Ist das neueste Image auf die ASA geflasht ?
Bitte warten ..
Mitglied: georgkupfer
09.05.2019 um 13:09 Uhr
Software 9.8 drauf wie oben schon steht!

Zu einer neueren SW habe ich keinen Zugriff, dazu braucht man eine Contract ID. Welche wir nicht haben.
Bitte warten ..
Mitglied: TripleDouble
09.05.2019, aktualisiert um 13:52 Uhr
Die aktuelle Version ist 9.8(4). Die schließt auch diese Sicherheitslücke:
Jetzt patchen Cisco schließt Lücken in zahlreichen Produkten
Von daher ist dringend anzuraten, sich die Firmware von Cisco zu besorgen. Ein Jahr Support ist ja wohl mitbestellt worden, oder(wegen "jungfräuliche ASA")?

EDIT: Url korrigiert.
Bitte warten ..
Mitglied: aqui
09.05.2019, aktualisiert um 13:45 Uhr
Auch ohne bekommt man sowas dann immer über die gesetzliche Garantie, da solche Lücken rechtlich einen gravierenden Mangel darstellen.
Ob der Fix dann aber das 2,8 MB/s Problem lösen wird...?!?
Bitte warten ..
Mitglied: georgkupfer
09.05.2019 um 14:58 Uhr
Hat sich mittlerweile erledigt, ich habe die Firewall komplett resetet und die Ports neu konfiguriert.
Nun haben 3 Messungen von unterschiedlichen Clients die volle Performance gezeigt.
Ich werde das nun bis morgen mal so lassen, und beobachten.
Morgen mach ich s dann dicht!

Danke an Alle mitwirkenden in der Runde, für die zahlreichen Inputs
Bitte warten ..
Mitglied: aqui
10.05.2019 um 19:23 Uhr
Reboot tut gut !!!
Gilt zwar eigentlich nur für Winblows aber wie du siehst hilft es auch manchmal bei Cisco !
Bitte warten ..
Heiß diskutierte Inhalte
Ubuntu
HAProxy-Wi: Installation des Pakets geht nicht - ich hätte keine enabled Repos
itnirvanaFrageUbuntu37 Kommentare

Hallo, von der Seite möchte ich gerne HAProxy-Wi installieren ich führe das hier aus Dann kommt -> There ar ...

Multimedia
Fernseher im Empfang GEMA-pflichtig?
CaptainDuskyFrageMultimedia27 Kommentare

Guten Tag, wenn ich in einer Firma einen Fernseher im Empfang betreibe, dort aber nur Nachrichten laufen lasse, ist ...

LAN, WAN, Wireless
Wlan Messgerät
gelöst fizlibuzliFrageLAN, WAN, Wireless23 Kommentare

Hallo, gibt es erschwingliche Messgeräte um vorhanden W-Lan ausleuchtungen in ihrer Signalstärke und Bandbreite zu messen. Es sollen einfache ...

Microsoft
Failover Cluster Network
samreinFrageMicrosoft21 Kommentare

Hallo zusammen, toller Freitag heute vielleicht kann mir jemand unter die Arme greifen. Ich habe einen Failover Cluster gebaut. ...

Windows Server
PowerShell Script für MailVersand mit Anhang
gelöst klausk94FrageWindows Server20 Kommentare

Hallo Zusammen, ich bin aktuell etwas am verzweifeln an einem PS Script für den Emailversand Das Script funktioniert, jedoch ...

Router & Routing
Kaufempfehlung WLAN Router mit VLAN Unterstützung
ccreccFrageRouter & Routing20 Kommentare

Hallo zusammen, ich wollte mal nach einer Kaufempfehlung für einen WLAN Access Point mit halbwegs vernünftiger VLAN Unterstützung fragen. ...

Ähnliche Inhalte
Firewall

CISCO ASA 5506-x hinter einem Speedlink 5501 - VDSL Business

Stadtaffe84FrageFirewall4 Kommentare

Hallo Zusammen, bei einem Kunden ist an einem 100MBit VDSL-Anschluss ein Zyxcel Speedlink 5501 als Router im Einsatz. Der ...

Router & Routing

Static Routing ASA 5506

MeinSenfDazuFrageRouter & Routing2 Kommentare

Hallo zusammen, ich habe hier ein kleines Problem mit dem Static Routing in unterschiedliche Netze mit der ASA. Das ...

Router & Routing

PPPoE Probleme mit Cisco ASA 5508-X

gelöst niLuxxFrageRouter & Routing16 Kommentare

Liebe Community, Ich habe derzeit ein paar Probleme mit einer PPPoE Konfiguration und hoffe, dass mir jemand von euch ...

Router & Routing

Cisco Asa VPN Fragen

brooksFrageRouter & Routing3 Kommentare

Hallo, ich habe hier mal eine Frage , vielleicht kann mir ja der ein oder andere helfen. Es geht ...

LAN, WAN, Wireless

Cisco ASA Passwort Reset

YannoschAnleitungLAN, WAN, Wireless4 Kommentare

Hallo zusammen, aus gegebenen Anlass hier eine Anleitung zum Reset des Passworts bei einer Cisco ASA5505. WICHTIG: Ich gebe ...

Firewall

Cisco ASA 5505 ohne Lizenz

gelöst it-levFrageFirewall7 Kommentare

Hallo all, die ASA 5505 läuft 202x aus und in der Bucht ist diese günstig zu kaufen. Ich wollte ...

Berechtigungs- und IdentitätsmanagementBerechtigungs- und IdentitätsmanagementWebdienste und -serverWebdienste und -serverDatenbankenDatenbankenMonitoring & SupportMonitoring & SupportHybrid CloudHybrid CloudSmall Business ITSmall Business IT