OpenVPN PKI+Auth-User-Pass Packet loss(PFSENSE)

Mitglied: Marco-83

Marco-83 (Level 1) - Jetzt verbinden

21.04.2021, aktualisiert 16:18 Uhr, 378 Aufrufe

Guten Tag in die Runde,

ich habe mal wieder ein sehr merkwürdiges Verhalten / Problem an unserem VPN Gateway festgestellt. In Zeiten von Homeoffice nutzen natürlich auch viele User unser VPN, aktuell haben wir zwischen 80 und 100 Clients auf einem OpenVPN Server hängen. Nun haben sich vermehrt Personen über Sekunden Aussetzer bei der Telefonie beklagt, was mich zur Nachforschung angeregt hat. Bedingt durch unsere DNS/VPN Konfiguration läuft der VOIP Traffic vom Softclient der User aus dem Homeoffice ebenfalls durch den Tunnel, soweit so gut.

Der OpenVPN Server läuft mit der aktuellsten PFSENSE auf Netgate Hardware im HA Cluster. Alles super. Das VPN läuft auf UDP mit PKI+ Auth-User-Pass. Es hat jeder Benutzer ein eigenes Zertifikat, zusätzlich wird noch der AD User abgefragt beim Login. Die Benutzer werden auf der PFSENSE über LDAP von unseren beiden DC's (2019 Server) am Hauptstandort verifiziert. Läuft alles ohne Probleme seit Jahren.

Nun habe ich mal ein wenig nachgeforscht, einen Client verbunden und einen Ping auf beide DC'S laufen lassen. Soweit stabil um die 20ms! SSH auf die Master PFSESE Kiste und das openvpn.log getailt. Da kann man wirklich nachweislich die Uhr danach stellen, sobald sich ein User einloggt im VPN, geht der Ping im Optimalfall auf 300ms im schlechtesten Fall gibts ein Timeout, welches natürlich bei einem Telefonat sofort zu einem Aussetzer führt. (das ist bei allen Clients zur gleichen Zeit so) Wenn man genau darauf achtet, merkt man es auch im Remotedesktop, sollte dem normalen User aber nicht auffallen ;-) face-wink

Nun habe ich Google etwas bemüht und bin auch fündig geworden, auch wenn der Beitrag sehr alt ist.

https://community.openvpn.net/openvpn/ticket/222?__cf_chl_jschl_tk__=900 ...

Hat jemand von euch ähnliche Probleme beobachten können? Vermutlich steht der OpenVPN Server für die Zeit der LDAP Abfrage halt einfach still(single Thread). Ich habe jetzt noch nicht näher untersucht, wie PFSENSE die Sache eingebunden hat, soll wohl auch externe Module geben.

Habe zusätzlich auch noch einen Thread im NETGATE Forum erstellt.
Heiß diskutierte Inhalte
Linux Netzwerk
NAS läßt sich unter Ubuntu-Server nicht anpingen, unter Windows jedoch schon?!
dr.zetoVor 1 TagFrageLinux Netzwerk52 Kommentare

Hallo, ich habe das Problem, dass ich eine Synology-NAS unter einem Ubuntu-Server nicht pingen kann. Unter einem Windows-Client jedoch wird der Ping beantwortet. Hierzu ...

CPU, RAM, Mainboards
Wohin geht die Zukunft?
cramtroniVor 1 TagFrageCPU, RAM, Mainboards6 Kommentare

Guten Tag zusammen, wir sind gerade dabei, uns eine neue IT-Infrastruktur anzuschaffen, bisher haben wir 2 physische Server, auf denen unsere 9 virtuellen Server ...

Netzwerke
Suche aktuelle Fernwartungsmöglichkeiten ab 2021?
watchdog76Vor 22 StundenFrageNetzwerke10 Kommentare

Hallo, das ist für viele vermutlich ein uraltes Thema und es gibt schon viele alte Threads, weshalb ich trotzdem einen eneue Thread geschrieben habe. ...

Batch & Shell
Accounts nach 6 Monaten löschen
lordofremixesVor 14 StundenFrageBatch & Shell6 Kommentare

Hallo Freunde der Sonne, tatsächlich bin ich jetzt kein ITler mehr, sondern so ein IT Datenschutztyp ITler. Muss leider die Kunden immer darauf hinweisen, ...

Multimedia & Zubehör
Suche Handy im Hallen und Außenbereich
gelöst favoriten-listeVor 1 TagFrageMultimedia & Zubehör6 Kommentare

Hallo Für die Produktion suchen wir aktuell Handy. Es reicht ein normales Tasten Telefon. ( Es muss kein Smartphone sein! ) Es sollte Robust ...

Netzwerke
DHCP IP passt nicht zu MAC-Adresse
KirschiVor 10 StundenFrageNetzwerke16 Kommentare

Hallo zusammen, wir haben einen Drucker dem die feste IP 192.168.0.10 per DHCP zugewiesen wird. Ebenso existiert ein PC, der die IP 192.168.0.19 auf ...

Server-Hardware
10" Server - für Netzwerkschrank
snop123Vor 23 StundenFrageServer-Hardware9 Kommentare

Hallo, im Bereich der Heimnetzwerk setzen sich immer mehr 10" Zoll Netzwerkschränke durch. Ich möchte hier keine Diskussion für das für und wider im ...

Drucker und Scanner
Erfahrungen mit Triumph-Adler
gelöst IT-SpitzbubeVor 5 StundenFrageDrucker und Scanner16 Kommentare

Hi, hat jemand von Euch bereits Erfahrungen mit Triumph-Adler im Zusammenhang mit MFPs gemacht. Wenn ja schaut Ihr hierauf positiv oder negativ zurück. Lieben ...