Sehr langsame Netzverbindung in einem bestimmten Subnet
Hallo Zusammen
Ich habe das folgende Problem: Unser Netzwerk, dass aus verschiedenen Subnetzwerken aufgebaut ist, ist nicht in jedem Subnet gleich schnell. In einem bestimmten Subnet ist die Geschwindigkeit entwerder extrem langsam (unter 100 Kbyte/s) oder das Kopieren von Daten funktioniert überhaupt nicht (Kopiervorgänge frieren einfach ein). Vorallem ist es dann ein Problem, wenn Ich bestimmte Programme Starten möchte, die auf einem Server abgelegt werden.
Hier ist unser Netzwerkplan:
Das betroffene Subnetz ist das "Elektronik"-Subnetz.
Die Clients sind standard Windows 7-Maschinen / Windows 10 Maschinen. Alle Switches (Netgear GS752TX) haben die gleiche Konfiguration (ausser natürlich den verschiedenen Subnets), wie auch die Firewall und haben ausser den grundlegen Einstellungen keine Zusätzliche Authentfizierungen o.Ä. Konfiguriert.
Ich habe bereits auch Geschwindigkeits-Test durchgeführt mit IPerf und konnte über diesen Test diese Einbrüche seltsamerweise nicht feststellen, beziehungsweise war die angegebene Bandbreite überall dieselbe. Auch die gemessene Internetgeschwindigkeit ist überall gleich. Es betrifft wirklich nur das Kopieren von Dateien vom Elektronik-Subnet zum Rauglobal-Subnet.
Wo müsste ich da überall ansetzen um das zu testen?
Falls Ihr weiter Infos benötigt, kann ich die euch gerne weitergeben.
Besten Dank für eure Tipps.
Gruss
gabe
Ich habe das folgende Problem: Unser Netzwerk, dass aus verschiedenen Subnetzwerken aufgebaut ist, ist nicht in jedem Subnet gleich schnell. In einem bestimmten Subnet ist die Geschwindigkeit entwerder extrem langsam (unter 100 Kbyte/s) oder das Kopieren von Daten funktioniert überhaupt nicht (Kopiervorgänge frieren einfach ein). Vorallem ist es dann ein Problem, wenn Ich bestimmte Programme Starten möchte, die auf einem Server abgelegt werden.
Hier ist unser Netzwerkplan:
Das betroffene Subnetz ist das "Elektronik"-Subnetz.
Die Clients sind standard Windows 7-Maschinen / Windows 10 Maschinen. Alle Switches (Netgear GS752TX) haben die gleiche Konfiguration (ausser natürlich den verschiedenen Subnets), wie auch die Firewall und haben ausser den grundlegen Einstellungen keine Zusätzliche Authentfizierungen o.Ä. Konfiguriert.
Ich habe bereits auch Geschwindigkeits-Test durchgeführt mit IPerf und konnte über diesen Test diese Einbrüche seltsamerweise nicht feststellen, beziehungsweise war die angegebene Bandbreite überall dieselbe. Auch die gemessene Internetgeschwindigkeit ist überall gleich. Es betrifft wirklich nur das Kopieren von Dateien vom Elektronik-Subnet zum Rauglobal-Subnet.
Wo müsste ich da überall ansetzen um das zu testen?
Falls Ihr weiter Infos benötigt, kann ich die euch gerne weitergeben.
Besten Dank für eure Tipps.
Gruss
gabe
Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 395952
Url: https://administrator.de/contentid/395952
Ausgedruckt am: 22.11.2024 um 13:11 Uhr
23 Kommentare
Neuester Kommentar
Hi
Ich würde mir auch mal die Konfig der VM64Fortigate anschauen ich nehme an die routet eure Netze wenn nicht dann die Logs der switches anschauen. Besonders die Schutzfunktionen (UTM) die zwischen den netzen Aktiv sind bzw. auf den Firewall regeln ! Wenn da nicht die erforderliche Leistung da ist kanns langsam werden.
LG Andy
Ich würde mir auch mal die Konfig der VM64Fortigate anschauen ich nehme an die routet eure Netze wenn nicht dann die Logs der switches anschauen. Besonders die Schutzfunktionen (UTM) die zwischen den netzen Aktiv sind bzw. auf den Firewall regeln ! Wenn da nicht die erforderliche Leistung da ist kanns langsam werden.
LG Andy
Die Subnetze befinden sich alle auf einem L3 Switch ?? Die Zeichnung oben ist diesbezüglich etwas wirr.
Du meinst also die Performance innerhalb einer Layer 2 Domain also innerhalb zweier Ports die Mitglieder des gleichen VLANs bzw. Subnetzes sind, richtig ??
Zuallerst solltest du wie immer und hier zig mal schon gesagt einen Punkt zu Punkt Durchsatztest fahren zwischen 2 Geräten in diesem Segment. Und zwar unabhängig von jeglichen Transfer Protokollen !
Das dient dazu einen verlässliche Basis zum Vergleichen zu bekommen.
Wie üblich macht man das mit NetIO:
https://web.ars.de/netio/
bzw.
http://www.nwlab.net/art/netio/netio.html
Oder mit iPerf oder JPerf wenn man eher grafisch gesteuert ist:
https://iperf.fr/iperf-download.php
http://www.nwlab.net/know-how/JPerf/
Damit misst du dann erstmal mit unterschiedlichen Ports im Netz und postest die Durchsatz Ergebnisse hier.
Dabei sollte sowas ähnliches bei rauskommen
Danach sehen wir dann mal weiter...
Du meinst also die Performance innerhalb einer Layer 2 Domain also innerhalb zweier Ports die Mitglieder des gleichen VLANs bzw. Subnetzes sind, richtig ??
Zuallerst solltest du wie immer und hier zig mal schon gesagt einen Punkt zu Punkt Durchsatztest fahren zwischen 2 Geräten in diesem Segment. Und zwar unabhängig von jeglichen Transfer Protokollen !
Das dient dazu einen verlässliche Basis zum Vergleichen zu bekommen.
Wie üblich macht man das mit NetIO:
https://web.ars.de/netio/
bzw.
http://www.nwlab.net/art/netio/netio.html
Oder mit iPerf oder JPerf wenn man eher grafisch gesteuert ist:
https://iperf.fr/iperf-download.php
http://www.nwlab.net/know-how/JPerf/
Damit misst du dann erstmal mit unterschiedlichen Ports im Netz und postest die Durchsatz Ergebnisse hier.
Dabei sollte sowas ähnliches bei rauskommen
iperf3 -c 192.168.1.179
Connecting to host 192.168.1.179, port 5201
[ 4] local 192.168.1.162 port 64150 connected to 192.168.1.179 port 5201
[ ID] Interval Transfer Bandwidth
[ 4] 0.00-1.00 sec 8.23 MBytes 68.8 Mbits/sec
...
[ 4] 8.00-9.00 sec 8.29 MBytes 69.6 Mbits/sec
[ 4] 9.00-10.00 sec 7.43 MBytes 62.3 Mbits/sec
- - - - - - - - - - - - - - - - - - - - - - - - -
[ ID] Interval Transfer Bandwidth
[ 4] 0.00-10.00 sec 71.2 MBytes 59.7 Mbits/sec sender
[ 4] 0.00-10.00 sec 70.3 MBytes 58.9 Mbits/sec receiver
iperf Done.
Ich bin mir nicht ganz sicher, aber ich glaube das wäre so richtig.
Glauben heisst NICHT wissen !Bringe das also in Erfahrung, denn sonst drehen wir uns hier alle sinfrei im Kreis weil der eine von L2 Performance ausgeht und der andere von L3 Performance mit Routing daziwischen.
2 völlig verschiedene Szenarien !
Auf der Firewall sind die einzelnen VLAN's eingerichtet, und die Layer3-Switches gehören jeweils zu einem bestimmten Subnet
Wieder sowas Wirres... - Warum L3 Switches wenn die Firewall routet ?
- Oder routen doch die L3 Switches ? Was routet dann die Firewall ?
- Oder routen L3 Switches und Firewall und wenn ja wie ? (Topo Zeichnung hilft hier allen!)
wenn ich mit einem bestimmten VLAN (Elektronik) eine Datei vom einem anderen VLAN (RAUGLOBAL) beziehen möchte.
Also doch L3 ! Dann hast du uns oben aber technischen Blödsinn beschrieben Du hast ja davon geredet das es innerhalb eines Subnetzes also innerhalb der L2 Domain passiert. Nun stellt sich aber doch raus Subnetz übergreifend also über einen Router. Na gut, wenigstens ist das dann geklärt...
Für eine zielführende und für dich hilfreiche Antwort müssen wir hier aber logischerweise dein L3 Design deines Netzes kennen. Wer routet was.
Ansonsten raten wir uns hier einen Wolf an welchem der beteiligten Komponenten es dann liegen kann.
Das wäre also der erste Schritt mal skizzenhaft dein Netzwerk hier zu schildern und welche Komponente das VLAN Routing macht.
Zweiter Schtritt dann in jedem Falle Messen mit NetIO oder iperf3 wie oben beschrieben ! Dann eben nicht innerhalb eines VLANs sondern VLAN / Subnetz übergreifend.
Also Topologie und verlässlich gemessene Durchsatzzahlen mit dem o.a. Tool.
Dann können wir hier weitermachen...
Es sind zwar Layer 3 Switche, aber in deiner Konfiguration würden Layer 2 ausreichen. Da du pro Switch nur ein Subnetz hast und die Firewall das Routing übernimmt bringt dir die Layer 3 Funktionalität deiner Switche gar nichts.
Edit: VLANs werden ja erst interessant wenn du mindestens zwei verschiedene Subnetze auf einem Switch hast. Durch VLANs ist es dann nicht möglich durch ein ändern der IP / Subnetz in das andere Subnetz zu kommen.
Edit: VLANs werden ja erst interessant wenn du mindestens zwei verschiedene Subnetze auf einem Switch hast. Durch VLANs ist es dann nicht möglich durch ein ändern der IP / Subnetz in das andere Subnetz zu kommen.
denn ich dachte, wenn man auf den Ports ein bestimmtes VLAN zuweisen muss, dass es dann schon ein L3-Switch ist auch ohne Routing.
Nein, das ist natürlich (netz)technischer Blödsinn ! Weisst du aber sicher auch selber ?!L3 (OSI Layer 3) bezeichnet ja immer Routing.
Du hast also ein simples Layer 2 Switch Design nur mit VLANs und routest die VLANs über die externe Firewall.
Gut, damit ist das Design dann klar.
Fragt sich jetzt nur ob die Firewall alle VLANs mit einem Tagged Uplink bedient, also quasi "one armed" angeschlossen ist wie hier beschrieben:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
Oder...
Ob sie für jedes VLAN einen dedizierten Draht hat. Das solltest du nochmal klären !
das Problem ist wirklich NUR die Kommunikation zwischen dem Elektronik Subnet und dem RAUGLOBAL Subnet.
Dann kann nur die Firewall der Bottleneck sein !Klar, denn wenn in beiden bedeiligten Netz Segmenten die Performance jeweils Wirespeed ist aber netzübegreifend nicht, dann ist der Router (bei dir hier die FW) natürlich das Element was das verursacht.
Die schafft dann Performance, sprich technisch den Routing Durchsatz nicht. Oder diese beiden Segmente sind so belastet mit Traffic das sie die FW in die Knie zwingen an den Interfaces.
Hier wäre es sinnvoll die virtuellen VLAN Adapter in der Firewall mal anzusehen per SNMP wie die Last dort aussieht:
RX Dropped Pkts Problem
Oder auch die Gesamtlast der FW (CPU, Memory usw.)
Was sagt dir denn iperf3 oder NetIO wie hoch der Durchsatz ist zw. diesen beiden Netzen ?
Hi
In der Fortigate findest du alles was du brauchts um das Problem zu diagnostizieren. Wenn du das Kopieren anstartest schau dir unter Fortiview /Sources die verbindung an und den Durchsatz. Schau dir die Belastung der Box an (CPU, Memory usw. am Dashboard)
Wenn das Problem nur mit SMB Traffic passiert schau dir die Firewall Regeln an und die Aktivieren Schutzfunktionen (Antivirus, Webfilter usw.) schalte diese zum test aus und teste nochmal.
LG Andy
In der Fortigate findest du alles was du brauchts um das Problem zu diagnostizieren. Wenn du das Kopieren anstartest schau dir unter Fortiview /Sources die verbindung an und den Durchsatz. Schau dir die Belastung der Box an (CPU, Memory usw. am Dashboard)
Wenn das Problem nur mit SMB Traffic passiert schau dir die Firewall Regeln an und die Aktivieren Schutzfunktionen (Antivirus, Webfilter usw.) schalte diese zum test aus und teste nochmal.
LG Andy
SMB/CIFS ist immer ein schlechtes Protokoll ! Oder hier vielleicht ein Gutes, je nachdem wie man es sieht.
SMB/CIFS nutzt protokollbedingt nur sehr kleine Pakete zur Datenübermittlung. Dadurch ist es selber sehr ineffizient und belastet durch diese Flut sehr kleiner Pakete Layer 3 Geräte (Router).
Stellt aber auch gleich einen Lackmustest dar für diese. Geräte mit entsprechender CPU oder ASIC Leistung fackeln sowas in Silizium und damit in Wirespeed ab, egal wie groß die Pakete sind und welche FW Regeln.
Billige SoHo Modelle mit schwachbrüstigen SoCs legen sich da dann gerne schon mal die Karten mit den o.a. Symptomen die du siehst.
Wie Kollege @Ausserwoeger schon sagt. Mit den Show Tools oder SNMP mal die Lasten der beteiligten Interfaces und Komponenten ansehen !
SMB/CIFS nutzt protokollbedingt nur sehr kleine Pakete zur Datenübermittlung. Dadurch ist es selber sehr ineffizient und belastet durch diese Flut sehr kleiner Pakete Layer 3 Geräte (Router).
Stellt aber auch gleich einen Lackmustest dar für diese. Geräte mit entsprechender CPU oder ASIC Leistung fackeln sowas in Silizium und damit in Wirespeed ab, egal wie groß die Pakete sind und welche FW Regeln.
Billige SoHo Modelle mit schwachbrüstigen SoCs legen sich da dann gerne schon mal die Karten mit den o.a. Symptomen die du siehst.
Wie Kollege @Ausserwoeger schon sagt. Mit den Show Tools oder SNMP mal die Lasten der beteiligten Interfaces und Komponenten ansehen !
Hi
Soweit sieht alles gut aus. Ich würde mir aber die SMB/CIFS Freigaben über SSL VPN gut überlegen.
Ich weiss ja nicht was ihr für einen internet Anschluss habt aber wenn es hier mehrere VPN Arbeitsplätze gibt und diese grössere Dateien Herunterladen bzw. hochladen bzw. bearbeiten kann dir das die Leistung deiner Fortigate beeinträchtigen. kommt natürlich stark auf deine genaue Konfiguration an.
Möglicherweise wäre hier ein Terminalserver eine Möglichkeit um das Arbeiten von extern zu optimieren.
LG
Soweit sieht alles gut aus. Ich würde mir aber die SMB/CIFS Freigaben über SSL VPN gut überlegen.
Ich weiss ja nicht was ihr für einen internet Anschluss habt aber wenn es hier mehrere VPN Arbeitsplätze gibt und diese grössere Dateien Herunterladen bzw. hochladen bzw. bearbeiten kann dir das die Leistung deiner Fortigate beeinträchtigen. kommt natürlich stark auf deine genaue Konfiguration an.
Möglicherweise wäre hier ein Terminalserver eine Möglichkeit um das Arbeiten von extern zu optimieren.
LG
Vermutlich kommen dann auch noch MTU Probleme hinzu. Vermutung ist das der TO die MTU im Tunnel nicht sauber angepasst hat bzw. die MSS auf dem lokalen LAN.
Genau dann kommt es auch zu solchen Fehlerbildern, da ein MTU Mismatch eine Layer Fragmentierung triggert so das der gesamte Traffic über die CPU geforwardet wird.
Das zieht natürlich den Durchsatz dann mehr als heftig nach unten wenn noch ein Tunnel mit VPN Overhead dazuwischen ist.
Genau dann kommt es auch zu solchen Fehlerbildern, da ein MTU Mismatch eine Layer Fragmentierung triggert so das der gesamte Traffic über die CPU geforwardet wird.
Das zieht natürlich den Durchsatz dann mehr als heftig nach unten wenn noch ein Tunnel mit VPN Overhead dazuwischen ist.
Hi
Was sind den Normale Dokumente ! Ein Autocad Plan mit 40 MB ist für einen Architekt auch ein normales Dokument !
Bei 5 Usern sollte sowas nicht vorkommen. Hängt aber auch von der internetleitung ab bzw. allem anderen !!
Wenn der Mailserver 1000 Mails rausschickt über die 4Mbit Leitung dann kann sowas schon vorkommen.
Das ist aber nur reines raten hier da müsste mal ein Techniker drüber schauen.
LG
Was sind den Normale Dokumente ! Ein Autocad Plan mit 40 MB ist für einen Architekt auch ein normales Dokument !
Bei 5 Usern sollte sowas nicht vorkommen. Hängt aber auch von der internetleitung ab bzw. allem anderen !!
Wenn der Mailserver 1000 Mails rausschickt über die 4Mbit Leitung dann kann sowas schon vorkommen.
Das ist aber nur reines raten hier da müsste mal ein Techniker drüber schauen.
LG
Zitat von @gabeBU:
Wir haben schon mehr Usern (Ist eine Berufsschule), aber nur diese Nutzer nutzen VPN.
Gesamt haben wir gegen 100 User...^^.
Wir haben schon mehr Usern (Ist eine Berufsschule), aber nur diese Nutzer nutzen VPN.
Gesamt haben wir gegen 100 User...^^.
Naja aber da werden ja nicht alle 100 gleichzeitig ins netz gehen oder ?? Wenn da mal ne Klasse drin is sind das 20 leute !
Warum habt ihr eigendlich die Fortigate als VM gekauft ? Wäre da nicht eine Box (mit optimiertem Board (Chips) ) besser gewesen ? Damit hättet ihr auch mehr Leistung wenn da der gesammt Datenverkehr drüber muss.
LG Andy