Firewall Sophos SG135 VPN (SSL) sehr langsam

[owl2010]

Hallo,
ich habe eine Sophos SG135 Firewall und einen VPN-Tunnel (SSL). Obwohl auf beiden Seiten eine 50.000er DSL Leitung steht ist der Zugriff jedoch sehr langsam. Gibt es evtl. spezielle Einstellungen in der Firewall, die die VPN-Geschwindigkeit erhöhen?

Dank und Gruß
owl2010

 

[Lawnmower]

50'000 auch beim Upload?
Zugriff sehr langsam bedeutet in Zahlen?

 

[deinDadseinFrau]

Viel zu wenig Infos...

 

[xxxx]

@owl2010 welche Verschlüsselung? In der Kiste steckt bloß ein Intel Atom Prozessor das kann durchaus sein das der bei hoher Verschlüsselungsstärke in die Knie geht am besten mal per Shell auf die Sophos zugreifen und mit Top beobachten wie die Auslastung bei Vpn Zugriff ist.

 

[Masamune2]

Die CPU bietet AES-NI, es sollte also unter Advanced auch AES für die Verschlüsselung gewählt sein und nicht DES.
Ansonsten die gleiche Frage: Was bedeutet sehr langsam denn genau?

 

[owl2010]

Guten Morgen,
sorry-Infos kommen jetzt:
1) Der Upload liegt bei 10 Mbit/s
2) Die Auslastung der Sophos ist eigentlich nicht viel:

3) Hier die Verschlüsselungseinstellungen:

 

[Masamune2]

Stell mal auf SHA2 um. Das hat nix mit der Geschwindigkeit zu tun aber SHA1 sollte nicht mehr verwendet werden.
Und was genau ist jetzt langsam?

 

[owl2010]

Alles klar.
Naja, bevor ich die Firewall hatte, hatte ich auch einen VPN-Zugang und da war das Arbeiten deutlich schneller (Aufbau der Ordnerstruktur im Explorer, Zugriff auf Datenbanken, etc.)

Ergänzung (23. Juni 2018)

Ist SHA1 nicht sicher genug?

 

[Paradox.13te]

Ist SHA1 nicht sicher genug?

Todesstoß: Forscher zerschmettern SHA-1

 

[owl2010]

Ah ok-gut zu wissen Danke!
Ansonsten siehst du keine Einstellungen, die die Geschwindigkeit beeinflussen könnten?

 

[tryitz]

Hi,

versuche mal das ganze auf UDP zu stellen.

 

[Paradox.13te]

Ich habe keine Erfahrung mit Sophos. Das einzige was man ausprobieren könnte wäre das Protokoll von SSL auf IPsec zu setzen.

 

[Lawnmower]

Und sonst einfach mal ein Geschwindigkeitstest machen mit 1 grosse Datei runter und hochladen oder noch besser mit iperf. Wenn Du dann 10 Mbit/s erreichst, passt es mal mit der Geschwindigkeit - das sollte die UTM problemlos schaffen.

 

[owl2010]

Hat es irgendwelche Einschränkungen wenn ich von TCP auf UDP umstelle bzw. das Protokoll von SSL auf IPsec?

Ergänzung (23. Juni 2018)

Also wenn ich eine Datei per VPN auf meinen Rechner kopiere als auch, wenn ich sie hochlade über VPN in mein anderes Netzwerk komme ich nur auf ca. 800 kB/s bis 950 kB/s

Ergänzung (23. Juni 2018)

Was hat es bei den Einstellungen mit der Funktion Hostnamen umgehen auf sich?
Hier steht bei mir meine statische IP drin (WAN). Richtig?

 

[Masamune2]

Du solltest auf jeden Fall UDP verwenden, leider macht Sophos hier per default TCP. Sonst werden Pakete doppelt bestätigt, einmal das VPN Paket und einmal das Paket innerhalb des Tunnel, das kostet Performance.

Wie kommst du eigentlich an die Sophos? Ist das ganze privat oder geschäftlich? Du scheint so gut wie keine Ahnung zu haben was du da tust, wenn ein Unternehmen daran hängt sollte mal jemand drüber schauen der sich auskennt.

 

[owl2010]

Ich nutze diese privat um mir Kenntnisse anzueignen...
Was hat es denn mit der oben besagten Funktion mit dem Hostnamen umgehen auf sich?

 

[dasTTS]

800-950 kB/s (also 6,4 - 7,6 Mbit/s sind doch bei 10 Mbit/s max. Upload so ziemlich genau das was man erwarten kann (Overhead, UDP/TCP Problematik wie oben beschrieben, Schwankungen am DSL Anschluss, ...). Die Sophos kann das auf jeden Fall locker vertragen.

 

[Masamune2]

Die Funktion um den Hostnamen zu überschreiben brauchst du wenn der interne und externe Name der Firewall unterschiedlich sind. z.B. intern heißt sie myutm und nach extern "extern.mydomain.de". Dann musst du den externen Namen dort eintragen damit er erstens im Zertifikat stimmt und zweitens die erzeugen Konfig Dateien von extern auch die Sophos erreichen.

 

[owl2010]

Danke für die Info....also hat diese Einstellung nichts mit der Performance zu tun oder?

 

[Lawnmower]

Die 10 Mbit/s würde selbst ein Pi oder auch jede 0815 Taschenrechner CPU in einem 30-40 Euro Router schaffen (sofern VPN softwaremässig vorhanden wäre) - das ist keine Herausforderung. Drum kannst Du ewigs an den Regler rumschrauben - das bringt nichts weil der schmale Upload limitiert einfach.

Du kannst Dir, das es Dir ja scheins auch um Learning geht, einfach zuhause ein eigenes Mini Internet bauen (2 Firewalls/Router, WAN seitig mit manuellen Routen, ggf kann auch ein PC mit virtueller UTM als Gegenstelle herhalten) wo Du dann 1 Gbit/s Up und Download hast und dann kommt die CPU von der UTM garantiert an den Anschlag und das tunen der Einstellungen bringt eher was.