accessviolation
Goto Top

VPN (S2S) stabil aber nur einseitig schnell

Direkt zur Lösung

Hallo!

Meine Kollegen in der Zweigstelle beschweren sich über die langsame Verbindung zum Hauptwerk rüber.
Als ich die Verbindung geprüft hatte, kam folgendes raus:

Anbindung:
Hauptwerk: 100Mbit down; 40Mbit up. (liegen an, laut Speedtest) [192.168.50.x]
Zweigstelle: 100Mbit down; 40Mbit up. (liegen an, laut Speedtest) [192.168.4.x]

Hardware:
Hauptwerk: LANCOM 1790VA-4G (10.80.0233) -latest
Zweigstelle: LANCOM 1783VA-4G (10.50.1301) -latest

Site2Site Verbindung:
Dauerhafte Verbindung zwischen den zwei Routern (hält stabil).
IKEv2 / UDP (AES_CBC 256Bit); HMAC-SHA-256 (256Bit); Kompression: keine; SSL Kapselung: keine

Nun ist es so, dass die volle Leistung (40Mbit) einseitig funktioniert.
Über iPerf habe ich gemessen:
Ist die Zweigstelle der Server, bekomme ich volle Leistung (~40Mbit)
iperf_nebenwerk_als_server

Ist das Hauptwerk der Server, kommen ca. ~2Mbit durch (SMB Geschwindigkeit hängt bei so ziemlich genau 355kb/s.)
iperf_hauptwerk_als_server

Will die Zweigstelle etwas zum Hauptwerk schubsen (SMB), kommen die genannten 2Mbit zu tragen (zu Beginn eiert der Upload bei 2-3MB/s, fällt dann massiv ab und hält sich bei 355kb/s).

smb-355

Holt das Hauptwerk von der Zweigstelle (SMB), erhalte ich vollen Speed.
smb

CPU Last nicht höher als 15-20%.
Firmware sind aktuell. SMB Signing und Verschlüsselung zu testzwecken deaktiviert - keine Änderung.
Firewall (Router+OS) deaktiviert - keine Änderung.
Alle Geräte im Netz neu gestartet.
bzgl. MTU, bin ich unsicher (alles auf default)
QoS ist nur für Telefonie gesetzt.

Mir gehen die Ideen aus und hoffe, dass ich hier vielleicht einen Hinweis finden könnte, der uns weiterhilft.

Mir leuchtet das einfach nicht ein, warum nur "oneway" vernünftige Geschwindigkeiten bringt.

Habt Ihr eine Idee, was ich noch prüfen kann?

Falls ich was vergessen habe, oder Ihr weitere Infos benötigt, bitte einen kurzen Hinweis, Infos werden asap nachgetragen.

Danke und viele Grüße,

Content-Key: 2149203675

Url: https://administrator.de/contentid/2149203675

Printed on: February 28, 2024 at 00:02 o'clock

Member: Starmanager
Starmanager Nov 29, 2023 at 07:22:39 (UTC)
Goto Top
Was fuer eine Verbindung ist das? SDSL oder VDSL oder gar 4G? Gleicher Provider?
Member: accessViolation
accessViolation Nov 29, 2023 updated at 07:33:18 (UTC)
Goto Top
Was fuer eine Verbindung ist das? SDSL oder VDSL oder gar 4G? Gleicher Provider?
Hi.

Hauptwerk: vDSL (100/40, Telekom)
Nebenwerk: 5G Router (Telekom)(regelmäßig mindestens 40Mbit im Upload frei) als Modem, dahinter der LANCOM der die VPN initiiert.

Mit der MTU habe ich bereits etwas herumgespielt:
Ab 1379bytes wird fragmentiert (von und zu neben/hauptwerk).

MTU hatte ich zu testzwecken gesetzt, ohne Änderung. Ggf. liegt hier der Hund begraben?

Viele Grüße und Danke für dein Feedback
Member: NordicMike
NordicMike Nov 29, 2023 at 07:49:48 (UTC)
Goto Top
Mach mal ein Trace Route. Nimmt es wirklich den direkten Weg oder verirrt es sich irgendwo?
Member: Kraemer
Kraemer Nov 29, 2023 at 07:52:04 (UTC)
Goto Top
Moin,

die DNS-Auflösung in der Zweigstelle funktioniert einwandfrei?
Gateway ist eindeutig?

Gruß
Member: accessViolation
accessViolation Nov 29, 2023 updated at 08:05:52 (UTC)
Goto Top
Zitat von @NordicMike:

Mach mal ein Trace Route. Nimmt es wirklich den direkten Weg oder verirrt es sich irgendwo?

Von Zweigstelle zum Hauptwerk:
tracert
sieht für mich korrekt aus (Router/FW -> Transfernetz -> ServerVLAN)

Von Hauptwerk zur Zweigstelle:
tracert2
sieht für mich korrekt aus (ClientVLAN -> Transfernetz -> Router/FW -> Server)

In der Zweigstelle gibt es nur ein vLAN (4 User vor Ort).

die DNS-Auflösung in der Zweigstelle funktioniert einwandfrei?
nslookup
Ja, in beide Richtungen.

Gateway ist eindeutig?
Jeweils der Router/FW des Netzes.

Sieht soweit in Ordnung aus, oder?

Danke + viele Grüße
Member: accessViolation
Solution accessViolation Nov 29, 2023 at 08:40:11 (UTC)
Goto Top
Der Kontakt mit den LANCOM Jungs hats wohl gebracht.

Für die Zukunft:
Wir nutzen an einem Standort den Voice Call Manager innerhalb des LC Routers. Da war eine Reduzierung der PMTU gesetzt. Nach Deaktivierung, kämpft sich die VPN auf 20 Mbit hoch. Bislang stabil.

ptmu

Die Einrichtung hatte damals die Telekom vorgenommen, daher war mir das "Gefilde" unbekannt.

Danke für eure Mühen.

Viele Grüße
Member: Kraemer
Kraemer Nov 29, 2023 at 09:43:22 (UTC)
Goto Top
Ach herje wie fies face-wink