Site2Site langsam SMB

Guten Morgen zusammen,

Ich komme gerade irgendwie nicht weiter, oder sehe den Wald vor lauter Bäumen nicht. Aber vielleicht hat einer von euch einen Wink mit dem Zaunpfahl.
Ich habe 2 Standorte A ( Haupt ) und B ( Nebenstandort ) . Am Standort B soll eine Kopie der DaSi hinkopiert werden.

Software in Veeam ohne WAN Accelerator. Sprich klassisch per SMB. Vernetzt sind die beiden Standort mit 2 Sophos HA Cluster.
Firewall Regeln sind entsprechend gesetzt. Um erstmal überhaupt einen Ansatz zu bekommen, nutze ich den Nas Performance Tester.
Am Standort B habe ich lediglich eine NAS. Am Standort A halt den Backupserver und ein Test PC. Beide im selben Netz.
Wie zu erwarten, sind die Werte so naja. Okay aber das ist eine andere Baustelle. Wo ich keinen Ansatz für finde ist folgendes:

Schreib/Lesegeschwindigkeit Test PC auf NAS am Standort B: Read/Write 18/16 MB/s ( passt zur Geschwindigkeit der Senderseite )
Schreib/Lesegeschwindigkeit Backupserver auf NAS am Standort B: Read/Write 20/0,5 MB/s

Die Werte sind reproduzierbar. Innerhalb des Netzwerkes am Standort A ist der SMB Kopiervorgang einwandfrei.
Habt ihr Ideen wo ich ansetzen kann, warum der eine Server über das VPN so langsam schreibt ?


Mfg Michael

Content-Key: 1574700566

Url: https://administrator.de/contentid/1574700566

Ausgedruckt am: 28.01.2022 um 00:01 Uhr

Mitglied: Vision2015
Vision2015 01.12.2021 um 10:08:19 Uhr
Goto Top
Moin...

was hast du den für WAN anbindungen... also Download und Upload Raten?
was ist das für ein VPN... ? also SSL, IPsec.. etc?
was kann deine Sophos für einen VPN Durchsatz?

Frank
Mitglied: Klickibuntiklicker
Klickibuntiklicker 01.12.2021 um 10:16:28 Uhr
Goto Top
Welche SMB Version?
Mitglied: chgorges
chgorges 01.12.2021 um 10:19:06 Uhr
Goto Top
Moin,

sämtliche relevanten Informationen, welche Sophos, welche VPN-Performance, welche Leitungsanbindungen etc. wurden einfach weggelassen, da stürzt sogar die Glaskugel ab...
Mitglied: itisnapanto
itisnapanto 01.12.2021 um 10:34:47 Uhr
Goto Top
Also ich kann verstehen das euch die Infos bzgl. Wan Geschwindigkeiten fehlen . Sind in dem Fall aber irrelevant da dort nicht mein Problem liegt. Mein Problem liegt darin, warum der PC seinen Speed erreicht. Der Backupserver nicht. Obwohl sie im selben Netz sind und durch den selben Tunnel auf dieselbe NAS zugreifen.

Aber gerne trage ich diese Nach.

Standort A : 300Mbit/s
Standort B : 1000Mbit/s
Sophos Site2Site IPSec AES-PFS-256Bit
Standort A : 2x SG210
Standort B : 2x SG230
Mitglied: Spirit-of-Eli
Spirit-of-Eli 01.12.2021 um 10:53:52 Uhr
Goto Top
Moin,

sind die WAN Anbindungen symmetrisch?
Die Werte sehen doch gut aus für eine Sophos.

Gruß
Spirit
Mitglied: itisnapanto
itisnapanto 01.12.2021 um 11:00:35 Uhr
Goto Top
Zitat von @Spirit-of-Eli:

Moin,

sind die WAN Anbindungen symmetrisch?
Die Werte sehen doch gut aus für eine Sophos.

Gruß
Spirit

Moin moin ,

ja das sind symetrische Glasfaseranschlüsse. Beim TEST PC passen die Werte soweit auch.
Nur beim Server bricht die Schreibgeschwindigkeit komplett weg. 0,5MB/s . Und genau da komme ich nicht weiter.

Der Server ist mit 10Gbit ans Coreswitch angeschlossen und innerhalb des Netzes am Standort B passt die Geschwindigkeit auch . Nur eben nicht wenn ich durch den Tunnel auf das Nas Schreibe.

Aktuell läuft auf den beiden Glasleitungen auch nur dieser Tunnel . Sonst nichts.

Gruss
Mitglied: 149569
149569 01.12.2021 aktualisiert um 11:26:06 Uhr
Goto Top
Prüfe mal ob das PMTU Discovery der beteiligten Devices reibungslos funktioniert und nicht durch Firewalls blockiert wird.
https://de.m.wikipedia.org/wiki/Path_MTU_Discovery
Werden hier nämlich die nötigen ICMP Typen durch die Firewall blockiert kommt es zu starker Paket-Fragmentierung durch eine zu groß gewählte MTU resultierend in sehr niedrigen Datenraten.
Kann man dann leicht anhand der diversen Retransmissions in Wireshark sehen ...
Mitglied: aqui
aqui 01.12.2021 um 11:55:37 Uhr
Goto Top
...und für verlässliche TCP und UDP Durchsatzraten dann immer besser Protokoll unabhängig mit iPerf3 messen:
https://iperf.fr/iperf-download.php
Mitglied: Klickibuntiklicker
Klickibuntiklicker 01.12.2021 um 13:01:36 Uhr
Goto Top
Nochmal, welche SMB Version nutzt dein Zielshare?
Mitglied: itisnapanto
itisnapanto 01.12.2021 um 13:04:01 Uhr
Goto Top
Zitat von @Klickibuntiklicker:

Nochmal, welche SMB Version nutzt dein Zielshare?

SMB2/3
Mitglied: ukulele-7
ukulele-7 01.12.2021 um 13:43:07 Uhr
Goto Top
Von Veeam gibt es ein (hardened) Linux Backup Repository auf Ubuntu, da gibt es dann Veeam Dienste auch auf dem Zielgerät und die Kommunikation läuft zwischen den Diensten, nicht als SMB Share. Das könnte auch ohne WAN Accelerator die Geschwindigkeit steigern (Bin allerdings selbst in der Umsetzung noch nicht so weit das ich das schon aus Erfahrung sagen kann).

Was ist denn das für ein OS auf der NAS und ist die exklusiv für Veeam? Dann könnte man das mal testen.
https://vnote42.net/2020/11/23/new-in-veeam-v11-hardened-repository-immu ...
Mitglied: itisnapanto
itisnapanto 01.12.2021 um 13:49:45 Uhr
Goto Top
Zitat von @aqui:

...und für verlässliche TCP und UDP Durchsatzraten dann immer besser Protokoll unabhängig mit iPerf3 messen:
https://iperf.fr/iperf-download.php

Hallo Aqui,

ich weiss. Vom Handling her war es halt einfacher als erstmal n Docker Container auf der NAS zu erstellen.
Hab es aber mal gemacht.

Test PC > NAS = 0.0- 5.0 sec 108 MBytes 21.5 MBytes/sec
Server > NAS = 0.0- 5.0 sec 4.81 MBytes 0.96 MBytes/sec

Das muss irgend etwas mit dem Server zu tun haben. Ich weiss nur nicht wo ich anfangen soll.

Gruss
Mitglied: itisnapanto
itisnapanto 01.12.2021 um 13:50:55 Uhr
Goto Top
Zitat von @149569:

Prüfe mal ob das PMTU Discovery der beteiligten Devices reibungslos funktioniert und nicht durch Firewalls blockiert wird.
https://de.m.wikipedia.org/wiki/Path_MTU_Discovery
Werden hier nämlich die nötigen ICMP Typen durch die Firewall blockiert kommt es zu starker Paket-Fragmentierung durch eine zu groß gewählte MTU resultierend in sehr niedrigen Datenraten.
Kann man dann leicht anhand der diversen Retransmissions in Wireshark sehen ...

Firewalls sind Testweise deaktiviert.

Das hier habe ich auch mal geschaut:
https://support.microsoft.com/de-de/topic/empfohlene-tcp-ip-einstellunge ...

Ist der Firewall ist auch : Support path MTU discovery aktiviert.
Mitglied: itisnapanto
itisnapanto 01.12.2021 um 14:56:47 Uhr
Goto Top
Habe den "Fehler" in sofern eingrenzen können , das es an den 10Gbit Netzwerkschnittstellen des Servers liegt.
Habe mal eine 1Gbit Netzwerkkarte angeschlossen und erreiche dann auch dieselben Werte wie mein Test PC.

Was habe ich gemacht:

- Link Aggregation ( LACP ) aufgelöst
- Treiber der Netzwerkkarte aktualisiert ( Intel X550-T2 )
Mitglied: ipzipzap
ipzipzap 01.12.2021 um 18:30:49 Uhr
Goto Top
Hi,

welches VPN hast Du da? IPsec oder SSL-VPN? Wenn SSL, dann über TCP oder UDP? Kannst Du hier in der Sophos sehen:

Site2Site-VPN -> SSL -> Settings -> Protocol

Erstmal sollte das auf UDP stehen, da TCP eine grottige Performance hat.

Und hast Du dann unter

Network Protection -> Intrusion Prevention -> Anti-DDos/Flood Protection

TCP Flood Protection und/oder
UDP Flood Protection

eingeschaltet? Je nachdem, welches Protokoll Du oben ausgewählt hast. Wenn ja, schalte hier die Flood Protection aus.

cu,
ipzipzap
Mitglied: aqui
aqui 02.12.2021 aktualisiert um 10:41:34 Uhr
Goto Top
Das muss irgend etwas mit dem Server zu tun haben.
Da hast du Recht, das ist dann nicht das Netzwerk. 103 MByte/s ist ja ca. 800 Mbit/s. 21 dann ca. 170 Mbit. Leider weiss man ja nicht welcher der o.a. zahllosen Werte nun gültig ist bzw. wirklich gemessen wirde. :-( face-sad
Mitglied: itisnapanto
itisnapanto 03.12.2021 um 08:25:38 Uhr
Goto Top
Zitat von @aqui:

Das muss irgend etwas mit dem Server zu tun haben.
Da hast du Recht, das ist dann nicht das Netzwerk. 103 MByte/s ist ja ca. 800 Mbit/s. 21 dann ca. 170 Mbit. Leider weiss man ja nicht welcher der o.a. zahllosen Werte nun gültig ist bzw. wirklich gemessen wirde. :-( face-sad

Diese hier mit iPerf. Hab mir doch noch die Mühe gemacht auf das NAS ein iPerf3 Docker zu installieren.

Test PC > NAS = 0.0- 5.0 sec 108 MBytes 21.5 MBytes/sec
Server > NAS = 0.0- 5.0 sec 4.81 MBytes 0.96 MBytes/sec

Gruss
Mitglied: itisnapanto
itisnapanto 03.12.2021 um 09:19:48 Uhr
Goto Top
Zitat von @ipzipzap:

Hi,

Moin

welches VPN hast Du da? IPsec oder SSL-VPN? Wenn SSL, dann über TCP oder UDP? Kannst Du hier in der Sophos sehen:

IPSec

Site2Site-VPN -> SSL -> Settings -> Protocol

Erstmal sollte das auf UDP stehen, da TCP eine grottige Performance hat.

Und hast Du dann unter

Network Protection -> Intrusion Prevention -> Anti-DDos/Flood Protection

TCP Flood Protection und/oder
UDP Flood Protection

eingeschaltet? Je nachdem, welches Protokoll Du oben ausgewählt hast. Wenn ja, schalte hier die Flood Protection aus.

Hatte Testweise das komplette IPS aus auf beiden Seiten. Aber ist wie schon geschrieben auch nicht mein Primärproblem :) face-smile

cu,
ipzipzap

Gruss
Mitglied: ipzipzap
ipzipzap 03.12.2021 um 09:58:18 Uhr
Goto Top
Hatte Testweise das komplette IPS aus auf beiden Seiten. Aber ist wie schon geschrieben auch nicht mein Primärproblem :) face-smile

IPS ist nicht Flood Protection, d.h. die bleibt aktiv, wenn du IPS abschaltest. Flood Protection mußt du separat abschalten.

cu,
ipzipzap
Mitglied: aqui
aqui 03.12.2021 um 11:04:54 Uhr
Goto Top
Hab mir doch noch die Mühe gemacht auf das NAS ein iPerf3 Docker zu installieren
Ist eigentlich überflüssig, denn das hätte man auch direkt im Linux Unterbau laufen lassen können. Docker usw. verfälscht durch seinen Software Überbau wieder diese Netto Durchsatzwerte. Aber egal gibt je jetzt wenigstens einen verlässlichen Wert was mehr oder minder netto möglich ist.
Unklar ist allerdings WAS diese beiden Werte aussagen sollen. RX oder TX oder was soll das sein ?
Auf der anderen Seite sind diese Wert recht armselig abgesehen von den 108 MB was ca. 850 Mbit ist. Das wäre der einzig realistische Wert für ein Gigabit LAN.
Alle anderen sind mehr als mickrig und deuten auf massive Fehler in der Infrastruktur oder auf den Endgeräten hin.
Mitglied: 149569
149569 03.12.2021 aktualisiert um 11:25:25 Uhr
Goto Top
Zitat von @itisnapanto:

Habe den "Fehler" in sofern eingrenzen können , das es an den 10Gbit Netzwerkschnittstellen des Servers liegt.
Habe mal eine 1Gbit Netzwerkkarte angeschlossen und erreiche dann auch dieselben Werte wie mein Test PC.

Was habe ich gemacht:

- Link Aggregation ( LACP ) aufgelöst
- Treiber der Netzwerkkarte aktualisiert ( Intel X550-T2 )

Liegt also nicht am VPN, sondern deiner Hardware/Treiber/LAG-Switchconfig
Mitglied: itisnapanto
itisnapanto 03.12.2021 um 11:33:17 Uhr
Goto Top
Zitat von @aqui:

Hab mir doch noch die Mühe gemacht auf das NAS ein iPerf3 Docker zu installieren
Ist eigentlich überflüssig, denn das hätte man auch direkt im Linux Unterbau laufen lassen können. Docker usw. verfälscht durch seinen Software Überbau wieder diese Netto Durchsatzwerte. Aber egal gibt je jetzt wenigstens einen verlässlichen Wert was mehr oder minder netto möglich ist.
Unklar ist allerdings WAS diese beiden Werte aussagen sollen. RX oder TX oder was soll das sein ?
Auf der anderen Seite sind diese Wert recht armselig abgesehen von den 108 MB was ca. 850 Mbit ist. Das wäre der einzig realistische Wert für ein Gigabit LAN.
Alle anderen sind mehr als mickrig und deuten auf massive Fehler in der Infrastruktur oder auf den Endgeräten hin.

Ja das ist mir soweit bewusst und bestrebt den Fehler zu finden. Messwerte sind reproduzierbar. Ob mit iPerf oder sonst ein Programm.

De facto ist es wie folgt. Läuft der Server mit der 10G Karte an einem 1G SFP Gbic am Switch > soweit alles i.O.
Läuft der Server mit der 10G Karte an einem 10G SFP am Switch > Übertragungsrate mist. MTU Size habe ich auch schon gecheckt und soweit testweise gesenkt , das dort auch nicht mehr das DF Flag auftaucht beim Ping.

Test PC > NAS = 0.0- 5.0 sec 10,8 MBytes 21.5 MBytes/sec
Server > NAS = 0.0- 5.0 sec 4.81 MBytes 0.96 MBytes/sec

Messwerte mal um ein Komma erweitert... Sorry .
Mitglied: itisnapanto
itisnapanto 03.12.2021 um 11:34:35 Uhr
Goto Top
Zitat von @149569:

Zitat von @itisnapanto:

Habe den "Fehler" in sofern eingrenzen können , das es an den 10Gbit Netzwerkschnittstellen des Servers liegt.
Habe mal eine 1Gbit Netzwerkkarte angeschlossen und erreiche dann auch dieselben Werte wie mein Test PC.

Was habe ich gemacht:

- Link Aggregation ( LACP ) aufgelöst
- Treiber der Netzwerkkarte aktualisiert ( Intel X550-T2 )

Liegt also nicht am VPN, sondern deiner Hardware/Treiber/LAG-Switchconfig

Richtig.

Treiber hab ich natürlich aktuelle von Intel . LAG komplett deaktiviert und im Moment läuft der Server nur an 1 Port vom Switch.
Mitglied: 149569
149569 03.12.2021 aktualisiert um 11:36:40 Uhr
Goto Top
Zitat von @itisnapanto:
Treiber hab ich natürlich aktuelle von Intel . LAG komplett deaktiviert und im Moment läuft der Server nur an 1 Port vom Switch.
Zeichne doch als erstes mal einen kurzen Wireshark Trace auf während du so einen Transfer durchführst. Daraus sollte man hier bestimmt weitere Schlüsse ziehen können.
Mitglied: 149569
149569 03.12.2021 aktualisiert um 11:47:29 Uhr
Goto Top
Ach ja und in den erweiterten Treiber-Einstellungen der NIC mal die Large Send Offload-Features temporär deaktivieren.
Guckst du dazu mal hier rein: VPN - Upload langsam
Mitglied: itisnapanto
itisnapanto 03.12.2021 um 11:53:57 Uhr
Goto Top
Zitat von @149569:

Zitat von @itisnapanto:
Treiber hab ich natürlich aktuelle von Intel . LAG komplett deaktiviert und im Moment läuft der Server nur an 1 Port vom Switch.
Zeichne doch als erstes mal einen kurzen Wireshark Trace auf während du so einen Transfer durchführst. Daraus sollte man hier bestimmt weitere Schlüsse ziehen können.

Werde ich am We mal machen.
Mitglied: itisnapanto
itisnapanto 03.12.2021 um 11:54:08 Uhr
Goto Top
Zitat von @149569:

Ach ja und in den erweiterten Treiber-Einstellungen der NIC mal die Large Send Offload-Features temporär deaktivieren.
Guckst du dazu mal hier rein: VPN - Upload langsam

Leider unverändert.
Mitglied: 149569
149569 03.12.2021 aktualisiert um 12:00:28 Uhr
Goto Top
Zitat von @itisnapanto:
Leider unverändert.
Reboot nach solchen Umstellungen tut meistens gut.
Mitglied: aqui
aqui 03.12.2021 aktualisiert um 15:48:06 Uhr
Goto Top
Läuft der Server mit der 10G Karte an einem 10G SFP am Switch
Hast du Jumbo Framing auf dem Switch UND Server NIC aktiviert ?! Wenn nicht, unbedingt machen. (Manche Switches erfordern dafür einen Reboot !)
Messwerte mal um ein Komma erweitert...
WO ist denn das Komma und vor allem: WAS bedeuten diese 2 Werte ?? Einmal mit Sonnenschein und einmal bei Regen ?
Mitglied: itisnapanto
itisnapanto 06.12.2021 um 08:53:21 Uhr
Goto Top
Zitat von @149569:

Zitat von @itisnapanto:
Leider unverändert.
Reboot nach solchen Umstellungen tut meistens gut.

Leider unverändert.
Mitglied: itisnapanto
itisnapanto 06.12.2021 um 08:57:03 Uhr
Goto Top
Zitat von @aqui:

Läuft der Server mit der 10G Karte an einem 10G SFP am Switch
Hast du Jumbo Framing auf dem Switch UND Server NIC aktiviert ?! Wenn nicht, unbedingt machen. (Manche Switches erfordern dafür einen Reboot !)
Messwerte mal um ein Komma erweitert...
WO ist denn das Komma und vor allem: WAS bedeuten diese 2 Werte ?? Einmal mit Sonnenschein und einmal bei Regen ?

Guten Morgen,

Jumboframes sind nicht aktiviert. Werde ich die Tage Abends mal testen. Dennoch komisch, das die Werte beim PC soweit passen, beim Server nicht.

Hier nochmal aktuelle richtige Werte mit iPerf. War ein wenig stressig letzte Woche:

Server > VPN > NAS = 0.73 MBytes/sec
PC > VPN > NAS = 25.4 MBytes/sec

Gruss
Mitglied: aqui
aqui 06.12.2021 aktualisiert um 13:11:54 Uhr
Goto Top
Jumboframes sind nicht aktiviert.
Ein Fehler ! Solte auf Gig Switches und ganz besonders auf N-Base T bzw. 10G oder 40G Switches immer aktiviert werden.
Denk dran das Jumbo Support immer beideitig ist. Es muss also auch auf NIC Seite aktiviert sein.
beim PC soweit passen, beim Server nicht.
Zeigt das an dess NIC etwas faul ist. Meist ist es der Treiber oder das Customizing. Treiber sollten immer vom Chipsatz Hersteller der NIC direkt kommen ! Niemals sollt eman die embeddeten nehmen.
Mitglied: aqui
aqui 15.12.2021 um 14:30:35 Uhr
Goto Top
Wenns das denn nun war bitte dann auch den Thread als erledigt schliessen !
https://administrator.de/faq/32
Heiß diskutierte Beiträge
general
Generator für endlose, kostenlose Energie? Ein gut gemachter Schwindel? gelöst beidermachtvongreyscullVor 1 TagAllgemeinOff Topic35 Kommentare

Mahlzeit Kollegen! Wenn ich mich strikt an physikalische Grundsätze halte, müsste ich sagen: Nein. Es ist nicht möglich. Ich stieß aber im Internet auf ein ...

general
FYI: In zwei Tagen zieht LetsEncrypt zahlreiche Zertifikate zurückipzipzapVor 1 TagAllgemeinVerschlüsselung & Zertifikate1 Kommentar

Hallo, zur Info, falls bei Euch übermorgen was knallt: Ruhiges Wochenende! ipzipzap ...

question
"minimale" Cloud-Telefonanlage gesuchtDatenreiseVor 1 TagFrageVoice over IP13 Kommentare

Hallo zusammen, ich bin auf der Suche nach einer Cloud-Telefonanlage, die sich für einen einzelnen Arbeitsplatz eignet und wollte hier fragen, ob jemand dazu einen ...

question
Abschätzung Nutzungsdauer von neuer Serverhardware gelöst lcer00Vor 22 StundenFrageHardware9 Kommentare

Hallo zusammen, bei uns stehen 2022 Neuanschaffungen an. Dabei geht es um einen Backupserver (das Cloud-Konzept überzeugt mich immer noch nicht vollständig ) und demnächst ...

tutorial
IKEv2 VPN Server für Windows und Apple Clients mit Raspberry PiaquiVor 1 TagAnleitungLAN, WAN, Wireless1 Kommentar

Einleitung Das folgende Tutorial erhebt keinen Anspruch auf Vollständigkeit und ist ein einfaches Framework was die Funktion eines IPsec VPN Servers im groben Rahmen aufzeigt. ...

question
Vorkehrungen für einen StromausfallahussainVor 23 StundenFrageNetzwerke10 Kommentare

Hallo, wir betreiben ein Netzwerk mit 8 Clients, Router, Switches, IP-Telefonen, NAS und einem kleinen Anwendungsserver. Unsere einzige Vorkehrung gegen einen Stromausfall/Blackout ist aktuell eine ...

question
PfSense: nach 27-stündigem Ausfall der Deutschen Telekom streiken IPSec + OpenVPN gelöst vafk18Vor 1 TagFrageNetzwerke9 Kommentare

Einen Gruß aus der Eifel, nachdem wir wieder mal von einer großflächigen Störung der Telekom-Anschlüsse (Ausfall eines DSLAM mit mehreren Tausend Teilnehmern) heimgesucht wurden, deren ...

question
Backup Software für PostgreSQLDaniVor 1 TagFrageDatenbanken11 Kommentare

Moin, für eine Anwendung kommt PostgreSQL 13.5 zum Einsatz. Leider nicht unter Linux, sondern läuft unter Windows Server 2019. Nun gibt es für jeden Kollegen ...