7490: VPN auf 20 MBit/sec limitiert?

[wusel-09]

Moin,

ich habe eine Fritz-VPN-Verbindung zu einem Server in einem DC aufgebaut, und bin etwas erschüttert, daß augenscheinlich die 7490 nicht mehr als ca. 20 MBit/sec an meinem VDSL 50-Anschluß hinbekommt. Lt. top ist einer der beiden Cores zu 100% beschäftigt, dürfte damit ein Hardwarelimit sein:

Mem: 127980K used, 118272K free, 0K shrd, 15928K buff, 57376K cached
CPU0:  0.0% usr  0.0% sys  0.0% nic  0.0% idle  0.0% io  0.0% irq  100% sirq
CPU1:  0.9% usr  3.3% sys  0.0% nic 95.6% idle  0.0% io  0.0% irq  0.0% sirq
Load average: 1.47 1.15 1.07 3/121 29799
  PID  PPID USER     STAT   VSZ %VSZ CPU %CPU COMMAND
    4     2 root     RW       0  0.0   0 46.8 [ksoftirqd/0]
29788 29742 root     R     1240  0.5   1  1.9 top -d 2
[...]

2014-06-26 01:34:21 (1.83 MB/s) - `/dev/null' saved [1073741824/1073741824]

Nur für die Akten: ohne über IPSec zu gehen, kommen von dem Zielhost problemlos Daten, die 50 MBit/sec saturieren können:

2014-06-25 23:18:33 (4.43 MB/s) - `/dev/null' saved [1073741824/1073741824]

Fritz-Configuration gemäß layer9; gibt's noch Möglichkeiten, das zu beschleunigen?

 

[k-pax]

VPN kann ja wohl nicht schneller sein, als sein maximum beim Upload. Download wird zwar 50MBit/s sein, dein Upload aber scheinbar nur 20MBit/s. Also können die von dir per VPN angeforderten Daten auch nicht schneller zu seinem Gerät transportiert werden.

 

[wusel-09]

? Upstreambandbreite sind 10 MBit/sec. Und natürlich kann ich schneller runterladen, denn über den Upstream gehen ja nur die Antwortpakete.

Vielleicht ein Missverständnis: ich lade vom PC am 7490-Ethernet etwas aus dem Internet. Gehe ich über ein IPSec-VPN der Fritz!Box zu einem Server in einem RZ, ist bei ca. 20 MBit/sec Schluß. Zum gleichen Server, aber ohne über das VPN zu gehen, bekomme ich die vollen 50 MBit/sec meines Anschlusses saturiert. Anders als auf der Fritz!Box gehen auf dem Server keine CPUs bei dieser VPN-Nutzung auf Anschlag.

 

[ReneV]

20Mbit/s ist doch schon schnell über VPN.
Eine 7270 kneift bei ~8 Mbit/s die Backen zusammen.
Getestet mit einer 7390 am T-Com Fiber 100 und einer 7270 am 16Mbit/s Anschluss.
Wenn man mehr Durchsatz benötigt, bleibt nur der Griff nach einem Professionalen VPN Router, der die Verschlüsselung mit Hardwareunterstützung erledigt. (Bintec sieht nicht schlecht aus.)

 

[wusel-09]

Nunja. Natürlich ist mir klar, daß die 7490 kein High-Performance-VPN-Gateway ist. Aber ich finde auch, daß beworbene Features in der Kombination funktionieren müssen, und jedes Feature für sich genommen mit einer adäquaten Performance. Wenn VPN-Möglichkeiten beworben werden, dann erwarte ich mindestens 50% der Eingangsbandbreite — Hardware für mehr gibt es durchaus, und nicht einmal spezialisierte.

FTR: Ein DECT-Telefonat via VoIP ist während eines solchen Datentransfers über's VPN nicht möglich; das geht soweit, daß die 7490 vom Asterisk-Server abgemeldet wird mangels keep-alive-Paketen. Ton kommt auch keiner mehr durch, bestenfalls noch Tonfetzen. Allerdings, und das ist wohl ein Unterschied zu bekannten ähnlichen Problemen der 7390: ein DECT-Telefonat via ISDN ist vom VPN-Verkehr vollkommen unbeeindruckt. (Ich habe einen Asterisk in einem RZ mit einer 032-Nummer, der bei Anruf Echo() aufruft.)

Die 7270 ist bis 16 MBit/sec ADSL2+ spezifiziert, 8 MBit/sec VPN-Leitung bedeuten also rd. 50% VPN-Performance. Nicht toll, aber angesichts des Einführungstermins und Einsatzgebietes (ADSL2+) noch im Rahmen.

Die 7490 ist bis 100 MBit/sec VDSL2 mit G.vector spezifiziert => VPN geht hier also nur noch bis 20% der Nennbandbreite; und das bei einem Gerät, welches explizit für Hochgeschwindigkeit (VDSL2 mit G.vector, 802.11ac »Gigabit-WLAN«) ausgelegt ist? Finde ich zu wenig; YMMV. Daß bei VPN-Nutzung die (VoIP-) Telefonie die Grätsche macht, ist allerdings keinesfalls hinnehmbar — immerhin, ein 50 MBit/sec-Download (ohne VPN) stört (VoIP-) Telefonie nicht.

 

[unrealzocker]

Nur zum testen: Schaffst du 50 Mbit wenn du die Verbindung am PC aufbaust?

 

[ReneV]

@wusel-09
Prinzipiell kann ich mich deiner Ausführung anschließen. Zumindest sollte AVM den Datendurchsatz über VPN benennen und dafür sorgen dass die FBF Funktionen sich gegenseitig nicht beeinflussen, sollte eine Funktion hohe Prozessorlast verursachen.
Ganz übel sieht der Datendurchsatz über VPN aus, wenn man auf die NAS Funktion der FBF zugreift. Dann bricht der Durchsatz ganz zusammen.
Meinen ISDNer habe ich leider abgegeben aber auch über VOIP und gleichzeitigem Download habe ich bis jetzt noch nichts Negatives feststellen können.

 

[wusel-09]

unrealzocker:

Zum gleichen Server, aber ohne über das VPN zu gehen, bekomme ich die vollen 50 MBit/sec meines Anschlusses saturiert.

ReneV: NAS steht als nächstes auf dem Testplan - auch das wird ja, inkl. USB 3.0, aktiv beworben. Das der Durchsatz rottig, auch mit USB 3.0, ist, ist ja bekannt. Gespannt bin ich auf Auswirkungen auf VPN-Durchsatz, Telefonie, Switching und ob es wieder spontane Reboots geben wird.