Pfsense ipsec site to site sehr langsam
Hallo zusammen,
ich habe einen ipSec Tunnel zwischen zwei Standorten errichtet.
Der eine Standort ist ein Rechenzentrum der andere ein Haushalt mit einem Mnet 50Mbits Anschluss.
Die Stabilität des Tunnels ist einwandfrei.
Allerdins ist die Performance innerhlab des Tunnels eine reine Katastrophe.
Eine 100MB Datei zum test wird mit max. 200kb/s übertragen.
Die Ping Zeit liegt bei etwa 13ms. RTT konnte ich bisher nicht testen.
Ich habe mal die konfig gepostet. MSS Clamoing habe ich aktiviert bzw. auf 1350 geändert in den advanced settings.
Dadurch wurde die Performance gefühlt etwas besser.
Die Verwendung des VPN Tunnels bezieht sich ausschließlich darauf das eine .exe vom Server im Rechenzentrum über eine
smb Freigabe geöffnet wird.
Zur Hardware auf die vpsense läuft:
Mnet Anschluss: https://www.netgate.com//products/sg-2440.html (aktuelleste Version von pfsense)
Rechenzentrum läuft die pfsense virtuell auf vmware esxi 5.5 (2.3.2-RELEASE-p1 (amd64) )
Der Standort mit dem Mnet Anschluss befindet sich die pfsense hinter einer fritzbox wo der expanded port verwendet wird.
Habe einen zweiten tunnel aufgebaut von mir daheim 400mbit Kabel Deutschland in das Rechenzentrum, gleiche Performance.
Ich vermute das die ipsec config nicht passt oder die virtuelle pfsense nen schuss weg hat.
Danke euch für die Unterstüzung.
ich habe einen ipSec Tunnel zwischen zwei Standorten errichtet.
Der eine Standort ist ein Rechenzentrum der andere ein Haushalt mit einem Mnet 50Mbits Anschluss.
Die Stabilität des Tunnels ist einwandfrei.
Allerdins ist die Performance innerhlab des Tunnels eine reine Katastrophe.
Eine 100MB Datei zum test wird mit max. 200kb/s übertragen.
Die Ping Zeit liegt bei etwa 13ms. RTT konnte ich bisher nicht testen.
Ich habe mal die konfig gepostet. MSS Clamoing habe ich aktiviert bzw. auf 1350 geändert in den advanced settings.
Dadurch wurde die Performance gefühlt etwas besser.
Die Verwendung des VPN Tunnels bezieht sich ausschließlich darauf das eine .exe vom Server im Rechenzentrum über eine
smb Freigabe geöffnet wird.
Zur Hardware auf die vpsense läuft:
Mnet Anschluss: https://www.netgate.com//products/sg-2440.html (aktuelleste Version von pfsense)
Rechenzentrum läuft die pfsense virtuell auf vmware esxi 5.5 (2.3.2-RELEASE-p1 (amd64) )
Der Standort mit dem Mnet Anschluss befindet sich die pfsense hinter einer fritzbox wo der expanded port verwendet wird.
Habe einen zweiten tunnel aufgebaut von mir daheim 400mbit Kabel Deutschland in das Rechenzentrum, gleiche Performance.
Ich vermute das die ipsec config nicht passt oder die virtuelle pfsense nen schuss weg hat.
Danke euch für die Unterstüzung.
Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 339680
Url: https://administrator.de/forum/pfsense-ipsec-site-to-site-sehr-langsam-339680.html
Ausgedruckt am: 09.01.2025 um 00:01 Uhr
18 Kommentare
Neuester Kommentar
Der Knackpunkt ist das die Firewall in einer VM rennt. Das wird sie performancetechnisch in die Knie zwingen gerade bei einer Crypto Anwendung bei solchen Bandbreiten.
Ein weiterer Flaschenhals ist der vSwitch innerhalb der VM. Nicht gut....
Mal ganz abgesehen davon das eine Firewall niemals in eine VM gehört. Sicherheitstechnisch ist das fahrlässig aber du weisst ja sicher was du da tust.
Ein dediziertes Blech für die Firewall dürfte aber dein Problem umfassend lösen.
Übrigens...
Für die "s" Peinlichkeit in der Überschrift gibt es hier immer den "Bearbeiten" Button zum Korrigieren
Ein weiterer Flaschenhals ist der vSwitch innerhalb der VM. Nicht gut....
Mal ganz abgesehen davon das eine Firewall niemals in eine VM gehört. Sicherheitstechnisch ist das fahrlässig aber du weisst ja sicher was du da tust.
Ein dediziertes Blech für die Firewall dürfte aber dein Problem umfassend lösen.
Übrigens...
Für die "s" Peinlichkeit in der Überschrift gibt es hier immer den "Bearbeiten" Button zum Korrigieren
Hallo,
In deiner Sohos solltest du zuerst mal die Logs anschauen und vor allem was dort deren HW Logs sagen.
http://www.solarwinds.com/virtualization-manager
https://www.de.paessler.com/vmware_monitoring?utm_source=google&utm_ ...
https://www.site24x7.com/vmware-monitoring.html
https://communities.vmware.com/thread/408013
https://www.manageengine.com/products/vm-health-monitor/free-vmware-heal ...
https://mathias-kettner.de/checkmk_vsphere.html
Hier ein Bild einer Hyper-V VM die eher nichts zu tun hat wo ein Update eingespielt wurde (der Peak)
Gruß,
Peter
In deiner Sohos solltest du zuerst mal die Logs anschauen und vor allem was dort deren HW Logs sagen.
http://www.solarwinds.com/virtualization-manager
https://www.de.paessler.com/vmware_monitoring?utm_source=google&utm_ ...
https://www.site24x7.com/vmware-monitoring.html
https://communities.vmware.com/thread/408013
https://www.manageengine.com/products/vm-health-monitor/free-vmware-heal ...
https://mathias-kettner.de/checkmk_vsphere.html
Hier ein Bild einer Hyper-V VM die eher nichts zu tun hat wo ein Update eingespielt wurde (der Peak)
Gruß,
Peter
Hi,
Es gibt mehrere mögliche Fehlerquellen, wahrscheinlich kann dir im pfSense Forum besser geholfen werden, da du dort eher Leute mit Erfahrung von Installationen auf einer ESXI antreffen wirst.
-
1. Welche Hardwareeinstellungen hast du für die virtuelle Maschine ?
Minimum 2 GB Speicher, besser 4GB müssen es sein. 2 bis 4 Cores / CPUs sollten es auch sein.
Steht dies nicht zur Verfügung: vergiß es.
-
2. Der wahrscheinlichste Fehlerpunkt: Die Netzwerkkarten, bzw. der (virtuelle) Switch.
Ändere mal die Netzwerkkarten, bzw. Parameter vom virtuellem Switch.
-
Upgrade die virtuelle pfSense auf 2.3.3 bzw. 2.3.4.
Version 2.3.0, 2.3.1 und 2.3.2 haben gelinde gesagt teilweise massive Mängel in der Hardwareunterstützung von nicht Netgate Hardware.
-
3. in deinen Einstellungen:
teste mal folgedes:
A) Ändere in Phase 2 den Encryption Algorithm nach 3DES
oder
B) Ändere in Phase 1 den Encryption Algorithm nach AES 256bit
Vielleicht bzw. hoffentlich hilft dir etwas von den Anregungen
CH
Es gibt mehrere mögliche Fehlerquellen, wahrscheinlich kann dir im pfSense Forum besser geholfen werden, da du dort eher Leute mit Erfahrung von Installationen auf einer ESXI antreffen wirst.
-
1. Welche Hardwareeinstellungen hast du für die virtuelle Maschine ?
Minimum 2 GB Speicher, besser 4GB müssen es sein. 2 bis 4 Cores / CPUs sollten es auch sein.
Steht dies nicht zur Verfügung: vergiß es.
-
2. Der wahrscheinlichste Fehlerpunkt: Die Netzwerkkarten, bzw. der (virtuelle) Switch.
Ändere mal die Netzwerkkarten, bzw. Parameter vom virtuellem Switch.
-
Upgrade die virtuelle pfSense auf 2.3.3 bzw. 2.3.4.
Version 2.3.0, 2.3.1 und 2.3.2 haben gelinde gesagt teilweise massive Mängel in der Hardwareunterstützung von nicht Netgate Hardware.
-
3. in deinen Einstellungen:
teste mal folgedes:
A) Ändere in Phase 2 den Encryption Algorithm nach 3DES
oder
B) Ändere in Phase 1 den Encryption Algorithm nach AES 256bit
Vielleicht bzw. hoffentlich hilft dir etwas von den Anregungen
CH
Hallo,
Nur das hier nicht der Donload sondern einzig der jeweilige Upload zählt. Und der ist was?
Das sagt dir was Das Netzwerk kann, ohne anderweitig ausgebremst zu werden.
Erläutere deinen Aufbau, was sonst noch über das Rechenzentrum läuft, die verwendete hardware und deine VM Konfiguration(en).
Was tut der ESXi sonst noch? Woraus besteht der? Der ist doch selbst schon ein Virtualisierter Server oder hast du ein Blech gemietet (Virtual Server oder Root Server)?
Vielleicht mal alles auf Papier malen, alle Ports benennen/bezeichnen und hier reinstellen.
Gruß,
Peter
Nur das hier nicht der Donload sondern einzig der jeweilige Upload zählt. Und der ist was?
Die Übertragsgeschwindigkeit übersteigt keine 300Kb/s
Mit NetIO gemessen oder mehr oder weniger geschätzt https://web.ars.de/netio/Das sagt dir was Das Netzwerk kann, ohne anderweitig ausgebremst zu werden.
Daher glaube ich nicht das die virtuelle Firewall das Nadelöhr ist.
Sondern? Da bleibt doch nichts übrig.Habt ihr noch eine Idee?
Vielleicht ist deine Hardware einfach zu langsam.Erläutere deinen Aufbau, was sonst noch über das Rechenzentrum läuft, die verwendete hardware und deine VM Konfiguration(en).
Was tut der ESXi sonst noch? Woraus besteht der? Der ist doch selbst schon ein Virtualisierter Server oder hast du ein Blech gemietet (Virtual Server oder Root Server)?
Beide Firewall langweilen sich mehr oder minder auch beim Austausch von Daten.
Kann sein das einfach nicht genug Daten kommen das die ins Schwitzen kommen, kann sein das die die Daten ausbremsen. Oder ist noch was vorhanden was den Datenfluss beeinflussen kann?Vielleicht mal alles auf Papier malen, alle Ports benennen/bezeichnen und hier reinstellen.
Gruß,
Peter
Hat jemand noch eine Idee wie man vor allem diese .exe optimiert?
nicht die .exe muß optimiert werden, sondern die Kommunikation über das VPN.-
Wie Pjordorf schon angemerkt bzw. nachgefragt hat:
Mach mal Messungen mit NetIO und poste die Resultate.
-
Noch eine (mögliche) Ursache für die Performanceeinbußen: Namensauflösung i beide Richtungen.
Ist sie 100% ?
CH
Hallo,
Die .exe bis auf 1 Byte reduzieren. Dann gehts ganz schnell
Die .exe ist nicht dein Problem. Deine Datenautobahn ist zu langsam. Dann spielen noch evtl. irgendwelche Scanner mit die erst mal alles in die Wolke schicken um zu sehen ob die .exe sauber ist oder jedesmal lokal scannen usw. Dann ist die .exe sicherlich nicht vertrauenswürdig da diese aus dem Internet stammt (zumindest aus sicht deines Rechners) usw. usw. Über welche Dateigröße reden wir hier überhaupt? Und bitte von NetIO das Testergebniss hier rein stellen (2 mal Testen, von jeder Seite aus - wie unterscheiden sich die Ergebnisse?)
Gruß,
Peter
Die .exe bis auf 1 Byte reduzieren. Dann gehts ganz schnell
Die .exe ist nicht dein Problem. Deine Datenautobahn ist zu langsam. Dann spielen noch evtl. irgendwelche Scanner mit die erst mal alles in die Wolke schicken um zu sehen ob die .exe sauber ist oder jedesmal lokal scannen usw. Dann ist die .exe sicherlich nicht vertrauenswürdig da diese aus dem Internet stammt (zumindest aus sicht deines Rechners) usw. usw. Über welche Dateigröße reden wir hier überhaupt? Und bitte von NetIO das Testergebniss hier rein stellen (2 mal Testen, von jeder Seite aus - wie unterscheiden sich die Ergebnisse?)
Gruß,
Peter
Hi.
Deaktiviere mal das Large Send Offloading an der Netzwerkkarte des Servers, das kann ebenfalls eine Ursache sein, siehe:
VPN - Upload langsam
Kurzer Blick mit Wireshark in den Traffic sollte Aufschluss darüber geben.
Gruß
Deaktiviere mal das Large Send Offloading an der Netzwerkkarte des Servers, das kann ebenfalls eine Ursache sein, siehe:
VPN - Upload langsam
Kurzer Blick mit Wireshark in den Traffic sollte Aufschluss darüber geben.
Gruß
Völlig normal. 30MBit/s Anschluss bei dir ca. 27MBit/s down und 2-3 MBIt/s up. DSL ist ja von Haus aus asynchron d.h. Upload ist immer geringer als Download, dazu noch der IPSec-Overhead, also völlig normale Datenraten.
Die Daten vom Kabel-Deutschland Anschluss sind aber ein bißchen abnormal, das wäre ja ein Gigabit-Anschluss bei den Download Transferraten. Da wird irgendwo der Cache-Zwerg zugeschlagen haben.
Die Daten vom Kabel-Deutschland Anschluss sind aber ein bißchen abnormal, das wäre ja ein Gigabit-Anschluss bei den Download Transferraten. Da wird irgendwo der Cache-Zwerg zugeschlagen haben.
Hallo,
Egal aus welcher Richtung, deine PFSense im Rechenzentrum hat nie etwas zu tun und jeder der etwas von Standort A braucht muss sich mit einer 2,5 MBit/s leitung rumschagen. Da bekommt Arbeiten eher die Bedeutung Warten...
Gruß,
Peter
Zitat von @TheOnlyOne:
30Mbit Mnet DSL Anschluss (habe teilweise auch 50Mbit behauptet , ist aber falsch
30 MBit/s ist aber auch eher falsch. Interesant ist hier eigentlich nur der Upload, und der liegt bei dir bei ca. 2,5 MBit/s. Da können die anderen im Downlod sogar PentaBit/s haben, mehr als ca. 2,5 MBit/s bekommen die von dein Server A nicht. Sollte Standort B ähnlich sein, also Upload Asynchron und vielleicht 10 MBit/s hast du ein LAN (VPN) Leitung in der einen Richtung 2,5 MBit/s und in der anderen halt ca. 10 MBit/s. Dein GBit LAN macht 1000 MBit/s in beiden richtungen.30Mbit Mnet DSL Anschluss (habe teilweise auch 50Mbit behauptet , ist aber falsch
Ich hoffe ich konnte es euch so näher bringen.
Warum das Konstrukt und nicht gleich deine beiden PFSensen von Standort A und B miteinander VPN machen lassen. Es wird weder Schneller noch langsamer - denn nur dein Upload zählt. Und wenn dan noch jemand etwas dickere Downloads laufen lassen, kann es sein das dein Upload von 2,5 MBit/s alleine dadurch ausgereizt wird (Antworten etc.). QoS wird evtl. helfen bandbreite zu reservieren.Egal aus welcher Richtung, deine PFSense im Rechenzentrum hat nie etwas zu tun und jeder der etwas von Standort A braucht muss sich mit einer 2,5 MBit/s leitung rumschagen. Da bekommt Arbeiten eher die Bedeutung Warten...
Gruß,
Peter
Also gibt's ja kein Problem, alles im Rahmen, nur ein simples Luxusproblem so wie du das hier schilderst, zumindest erkenne ich an deiner Schreibe keinerlei Probleme ...
Alles wird gut.
Haken nicht vergessen.
Haken nicht vergessen.