Fritzbox als Modem, Asus Router für VPN und DECT Telefone verbinden

[snaxilian]

Als halbwegs fähiger IT-ler ist aktuell ein Jobwechsel kein Problem und ob und wie woanders gearbeitet wird kann man viel durch geschicktes Fragen erfahren oder macht einen Probetag und als Angestellter habe ich bei weitem nicht die Schuld. Vor allem wenn du schreibst, dass du noch von anderen/schlimmeren Situationen berichten kannst und die Aussage man hätte nix zu melden aber an allem Schuld spricht nicht gerade für ein angenehmes Arbeitsklima.
Verantwortung trägt der Vorgesetzte bzw. Chef. Gerade bei der Neuanschaffung oder Umstellung evaluiere ich die möglichen Lösungen inkl. Vor- und Nachteilen und gebe meinem Teamleiter/Chef die Möglichkeiten. Die Risiko-Kosten-Nutzen Abwägung kann er dann machen und sich für eine Lösung entscheiden. Wenn du ihm natürlich nur eine Lösung vorschlägst und diese dann nicht wie erwartet läuft ist es doof für dich. Aber bei solchen Bastellösungen ist es eher ein Kommunikationsproblem wenn man die zu erwartenden Ergebnisse nicht klar abspricht. Aber das ist halt leider Alltag in kleinen Firmen. IT darf nix kosten aber soll alles leisten. Funktioniert halt nicht bzw. mehr schlecht als recht...

Meine Aussage bzgl. 30 MBit bezieht sich auf martiallnet's Beitrag, der sich wiederum auf einen anderen Router bezieht. Auch habe ich dein Eindruck, dass du Einheiten durcheinander wirfst. Meine Aussage bzgl. VPN Performance der Fritzboxen lautet: 5 MBit/s und das sind dann umgerechnet also 5000 KiloBit/s oder 625 KiloByte/s. Du schreibst jedoch 400-900 KiloBit/s. Daher sollst du ja mal den Durchsatz mit iperf3 messen um Klarheit zu schaffen.

Eine Bastelfrickellösung mit den Asus Dingern habe ich dir oben genannt. Ich würde es aber eher mit so etwas wie Mikrotik oder Ubiquiti oder einer pfSense-Appliance realisieren, z.B. eine SG-3100 in der Zentrale und jeweils SG-1100 an den Außenstandorten wenn ich jetzt aus dem Bauch heraus entscheiden müsste. Oder ne Sophos Kiste meinetwegen.
Lösung mit Wireguard wären entsprechende Raspis oder je ein NUC o.ä. mit einem Linux drauf, IP-Forwarding einrichten, wireguard installieren, Tunnel aufbauen, Routing setzen. Aber auch das ist eine fire-and-forget Lösung. Updates installieren, Hardening durchführen, etc. Wenn du dich nicht selbst darum kümmern kannst oder willst, bleibt eben nur irgendwas fertiges kaufen, ggf. mit Support oder Einrichtung durch ein Systemhaus. Wenn du es aber nicht betreuen/warten kannst, lass die Finger von solchen Bastellösungen.
Das wäre der ordentliche Weg aber kostet eben wobei sich dies als Unternehmen absetzen lässt und die müssen/sollen ja auch nicht alles machen und dich ersetzen.

 

[skillwilde]

@snaxilian ich bin nicht angestellt als ITler, ich bin nur das Mädchen das alles ein bisschen kann. Die Vorstellung von verschiedenen Möglichkeiten bzw. die Konzeptionierung ist bereits nicht nötig wenn bereits bekannt ist das der Chef nichts ausgeben möchte und solange er nicht damit arbeiten muss egal ist was passiert. Hauptsache der Umsatz stimmt und das tut er unabhängig von der VPN Verbindung. Somit werden mehr Waren eingekauft anstatt in die Infrastruktur zu investieren, ist eben ein anderer Weg als manch anderer ihn gehen würde aber ebenfalls eine mögliche Lösung mit respektablen Aspekten.

Im Startpost habe ich mich tatsächlich verschrieben, mit 400-900 Kb/s war aber anschliessend KiloByte gemeint. Also wenn ich eine Datei vom Server herunterlade zu Standort B habe ich permanent genau 453Kilobyte/s.

Die Netgate Varianten müsste ich mir mal anschauen, sehen vom Preis her evtl. Vertretbar für meinen Chef aus.

Das mit dem Raspberry sieht wie du schon sagst nach einer extremen Bastellösung aus.

 

[snaxilian]

Bitte bitte bitte mach nicht den üblichen Anfängerfehler und betrachte nur stumpf die Preise für das Stück Hardware.
Da ihr keinen Admin habt bzw. du der Hilfsadmin bist musst du dich mit der Einrichtung der Software beschäftigen, musst das Routing korrekt einstellen und dich um die Absicherung der Systeme kümmern, es sollen ja nicht Unbefugte auf den Kisten rum treiben. Was glaubst du ist kostengünstiger? Du liest dich eine Woche ein und bastelst und frickelst und dann funktioniert es mit Glück oder jemand vom Fach erledigt und dokumentiert dies in 1-2 Tagen und du kannst in der Woche etwas sinnvolleres machen?
Ein Raspi ist nicht weniger eine Bastellösung wie das was du da vor hast.

Wenn dein Chef auf jeden Cent guckt, dann musst es ihm so verkaufen. Mit jetziger Lösung dauert anlegen/einscannen von Ware x Sekunden. Mit neuer Lösung klappt dies in Y Sekunden, man kann also Z Artikel mehr pro Stunde einscannen.

 

[Paradox.13te]

Meine Erfahrung mit Asus ist eher um die 30 Mbit, zumindest bei einem AC68U.

Das ist aber auch ein Modell was über 5 Jahre auf dem Buckel hat.
Die neueren Modelle a la AC86U haben AES Instruktion Set.

Wie auch immer das ganze sollte eher nicht in Consumer Hardware realisiert werden. Da alle Standorte (B und C) auf Standort A zugreifen muss da auch etwas stehen was das ganze Verarbeiten kann.

 

[Bob.Dig]

Asus Geräte sind nicht schlecht, aber ob sie site2site vpn können wär ich mir nicht sicher.

 

[brainDotExe]

Der Mikrotik sieht aus wie der USG und kostet auch ähnlich viel, beim USG wird ebenfalls von niedrigem Datendurchsatz gesprochen.

Der MikroTik hEx aka 750Gr3 schafft IPSec bis zu 470 Mbit/s, dank AES in Hardware.
Den hätte ich jetzt auch empfohlen, allerdings ist die Konfiguration doch um einiges komplexer als bei den üblichen 0815 Consumer Routern von AVM, Asus, etc.

Siehe "IPSec test results" weiter unten:
https://mikrotik.com/product/RB750Gr3#fndtn-testresults

 

[stabile]

@skillwilde

Du bist da in einer echten Zwickmühle. Du willst es deinem Chef recht machen, was ich verstehen kann. Am Ende aber wirst du der Dumme sein. Das sei dir versichert. Warum? Weil deine Lösung dir irgendwann um die Ohren fliegt und dein Chef dich dann dafür verantwortlich machen wird. Das ist so sicher wie das Amen in der Kirche.

Die Anforderungen sind hoch, das Budget aber knapp. Kenne ich. Bei uns waren es früher die Kunden, die so etwas gemacht haben. Das megatolle Sonstwas wollen aber nichts dafür bezahlen wollen. Wir haben uns als kleines Systemhaus oft darauf eingelassen und Lösungen hingebastelt, die dann irgendwie liefen. Wenn es aber Probleme gab, waren wir die Verantwortlichen mit dem Argument, dass wir behauptet haben, dass es so ja auch funktioniert. Im Fehlerfall will sich keiner mehr daran erinnern, dass man einfach nicht mehr Geld für eine vernünftige Lösung ausgeben wollte. Dein Chef wird das auch nicht tun. Der erinnert sich nur daran, dass der Vorschlag mit den Asus Routern von dir kam und es jetzt nicht mehr läuft.

Eine professionelle Lösung könnte so aussehen. Lancom Site-to-Site VPN in den Standorten mit entsprechendem Berechtigungskonzept. Dafür brauchst du drei Router, ca. 10 Stunden Arbeit eines Systemhauses und 2500€ zzgl. MwSt. Sophos XG mit entsprechenden REDs in den Filialen geht auch, ist aber nicht billiger. Von verschiedenen hier genannten Bastellösungen würde ich die Finger lassen, als da wären Raspberry PIs oder Linux Lösungen auf NUCs oder Unifi Zeugs. Glaube mir, es hat einen Grund, warum professionelle Hardware teuer ist.

Wir haben uns von solchen Kunden entweder getrennt oder sie zu anderen Lösungen beraten. Heute heisst es "Friss oder Stirb". Wer bei uns Filialvernetzung will, nimmt entweder die professionelle Lösung oder geht woanders hin. Wir basteln nicht mehr und das solltest du auch nicht tun. So schwer es fällt, sag deinem Chef, dass du im Grunde auch keine Ahnung von dieser ganzen Geschichte hast und nicht zaubern kannst. Versprich auf keinen Fall, dass du das lösen kannst. Er soll eine externe Firma beauftragen und die machen lassen.

 

[snaxilian]

@stabile hat es wunderbar zusammen gefasst. Als ich noch im Systemhaus gearbeitet habe war es ähnlich. Habe mich daraufhin immer schriftlich abgesichert und klipp und klar deutlich gemacht was die Bastellösung kann und was eben nicht und welche Risiken damit verbunden sind damit es dann Monate später nicht mehr hieß, wir hätten das blaue vom Himmel versprochen. Unterschriebene Auftragsbestätigung hervorgekramt und ich war auf der sicheren Seite. Mochte halt mancher Kunde nicht und ging dann zu nem billigeren Anbieter aber viele kamen irgendwann "komischerweise" wieder zurück zu uns^^
Jetzt ist es als Interner zwar besser geworden und habe entweder das Budget um es "ordentlich" zu machen oder lege halt mehrere Optionen/Vorschläge dar mit den jeweiligen Vor- & Nachteilen und habe kein Problem eine vermeintliche Bastellösung umzusetzen wenn gewünscht aber den Kopf halte ich dafür trotzdem nicht hin sondern setze es nach bestem Wissen und Gewissen um.
Wenn der Kunde stabil und hochverfügbar und möglichst viele Neunen nach dem Komma bei der Verfügbarkeit will kann er die bekommen aber jede weitere Neun erhöht halt den Preis.

 

[skillwilde]

Vielen Dank für eure konstruktiven Meinungen und Hilfestellungen. Ich werde mir das durch den Kopf gehen lassen und meinem Chef entsprechende Möglichkeiten einräumen, im Endeffekt wird er dann wieder sagen, dass das zu teuer ist und keinen Sinn macht und alles verwerfen sowie weiterhin mit niedrigem Datendurchsatz arbeiten lassen. Ich kenne meinen Chef sehr gut und solche Situationen habe ich in viel extremerer Form bereits mitgemacht, aber das soll hier nicht das Thema sein.

Nochmal vielen Dank für die Hilfe

 

[stabile]

Die ursprüngliche Idee mit den Asus Routern würde ich "nach reiflicher Überlegung" als ungeeignet bezeichnen. Du hättest da irgendwas_einfügen eben nicht bedacht und fertig. Meine Erfahrung ist, dass der Leidensdruck bei den Betroffenen hoch genug sein muss. Wenn die langsame Verbindung sein Geschäft stört, dann wird er umdenken. Oder du hast ein Chefexemplar, das beratungsresistent ist. In letzterem Fall würde ich mir auf Dauer einen neuen Job suchen. Solche Typen ändern sich nicht.

 

[ChAiN SaW]

Vielen Dank für eure konstruktiven Meinungen und Hilfestellungen. Ich werde mir das durch den Kopf gehen lassen und meinem Chef entsprechende Möglichkeiten einräumen, im Endeffekt wird er dann wieder sagen, dass das zu teuer ist und keinen Sinn macht und alles verwerfen sowie weiterhin mit niedrigem Datendurchsatz arbeiten lassen. Ich kenne meinen Chef sehr gut und solche Situationen habe ich in viel extremerer Form bereits mitgemacht, aber das soll hier nicht das Thema sein.

Nochmal vielen Dank für die Hilfe

Sag ihm was du machen kannst und was es kostet und was es für Vor- und Nachteile hat. Wenn er das nicht will, dann eben nicht. Wenn Ihr deswegen langsamer arbeiten könnt und deswegen weniger Umsatz ist, ist das sein Problem. Dir kann er im Endeffekt nichts vorwerfen. Ich verstehe das man immer das bestmögliche rausholen will, aber bevor man sich damit selber in die Probleme reitet, würde ich mich lieber auf meine Hauptarbeit konzentrieren.

 

[snaxilian]

Jo oder ist nur mit dem Argument Geld beizukommen. Dann muss man darlegen können warum Investition X sinnvoll ist bzw. wie und wann sich diese amortisiert. Wenn DB-Einträge dann definitiv 50% schneller erfolgen und Kollegen nicht mehr darauf warten müssen, können eben Y mehr Datensätze eingetragen werden. Dafür muss aber klargestellt sein, dass die angedachte Lösung eine entsprechende Besserung bringt. Eine Besserung kann erst geschehen wenn man den Fehler wirklich kennt. Sind die physikalischen Leitungen i.O. und der Durchsatz lahm (Stichwort iperf3 dessen Test du scheinbar irgendwie meidest...) kann ein leistungsfähigeres VPN-Netzwerk helfen. Ist der Durchsatz per VPN aber auch i.O. liegt der Fehler woanders.
Ich habe selbst schon mehrfach das Ticket gehabt "(DB-)Anwendung ist lahm, lokale andere Anwendungen gehen also muss(!) es das Netzwerk sein" und dann fängt man an:

• Beteiligte Switchports prüfen ob der Error-Counter etwas anzeigt/sich erhöht
• Durchsatz messen > in Ordnung
• Sich die verursachten Queries angucken & tracen
• Logs am SQL-Server sichten & Performance Analysen machen

-> Am Ende feststellen, dass die Art und Weise der Queries extrem ineffizient programmiert ist und by design bei Abfrage XYZ langsam sind. Ticket an Devs weiter geleitet, sollen ihren Code optimieren bzw. Lösungsansatz lag als pseudocode schon bei.
In dem Fall hätte auch eine 10G Anbindung des Clients 0 gebracht wenn man direkt nach dem offensichtlichen gegangen wäre und hätte Geld rausgeworfen und keine Besserung gehabt. Daher immer(!) die genaue Ursache finden.

Hätte sich raus gestellt, dass es am Netzwerk lag hätte man entsprechend dort verbessern müssen. Als Mädchen für alles was IT "nebenbei" mit machen soll ist so etwas natürlich leider unrealistisch weil man eben keine Zeit dafür hat oder bekommt oder sich das Fachwissen erst aneignen müsste.

In deinem Fall kannst du nur Vorschläge machen und dich absichern. Wenn Chef nicht will würde ich mich nicht daran länger aufhalten ist halt so. Wenn Tickets der betroffenen MAs rein kommen, instant wieder schließen mit Hinweis, dies Richtung Chef zu eskalieren, da kein technisches "Problem" bzw. Lösungen abgelehnt wurde. Mach es nicht zu deinem Problem wenn du an der Situation nix ändern kannst und nimms nicht persönlich und wenn der Job gar keinen Spaß mehr macht, schadet es nicht sich mal umzusehen. Was du so andeutest kann es ja nicht schlimmer werden.

 

[skillwilde]

Vielen Dank für die Hilfe, wie ich das meinem Chef am besten beibringen kann.
Ich werde es so auf jeden Fall mal versuchen und ihm die Lösung mit dem Netgate und entsprechender professioneller Firma zur Einrichtung nahe legen.
Einen neuen Job suchen wäre sicherlich die schlauste Idee, allerdings würde das außerhalb meiner Komfortzone liegen und die verlassen wir alle nur ungern. Ich kenne meinen Chef und weiß wie ich mit ihm umgehen muss. Er hat halt auch gute Seiten, nur eben nicht wenn es um Geld und Investitionen geht, denn für Ihn bedeutet Geld -> mehr Geld oder sinnlos. Er ist Jungunternehmer und sicherlich jünger als der ein oder andere in diesem Thread
Ich verstehe natürlich, dass ich nicht die Expertise wie Ihr, die sowas Hauptberuflich mit entsprechender Qualifikation machen, habe und möchte euch daher danken, dass ihr auch mich etwas weiter gebildet habt, da ich nun zumindest verstanden habe, dass ich dem Problem und der Lösung nicht gerecht werden kann.
Das ich Iperf nicht gemacht habe, liegt daran, dass wir keine besondere Infrastruktur haben und die Probleme nicht an verschiedensten Ecken liegen können. Der Server ist direkt an einem Router angeschlossen, es gibt im ganzen Betrieb keine Switches oder andere Geräte, die Probleme machen könnten. Dazu die direkte Erklärung von der AVM Seite selber, dass die Fritzboxen einfach nicht mehr schaffen und die daran orientierten Erfahrungsberichte aus dem Internet. Natürlich könnte man es trotzdem mit Iperf testen und es klingt Ignorant das ich es nicht mache, da du offensichtlich mehr Ahnung von der ganzen Sache hast als ich, dennoch kann ich mir einfach unmöglich vorstellen, dass der Test mir jetzt plötzlich ermöglicht die vollen 40mbit für die VPN Verbindung zu nutzen anstatt 5-8 Mbit und alles unter der vollen Leistung wäre schon zu wenig, da die Leitungen eigtl schon zu lahm sind für das ganze.... Da der WaWi Typ aber das blaue vom Himmel versprochen hat, dass aber nicht schriftlich nieder gelegt wurde, kann man da so viel rummachen wie man möchte.
WaWi Typ Aussage : 10 Mbit reichen vollkommen für die VPN Verbindung und am besten kaufen Sie sich für alle Standorte Fritzboxen, dann machen wir die VPN Verbindungen dadrüber, ist am einfachsten und am besten, alles andere wären Bastellösungen.
Bei der Entscheidung für das WaWi war ich zum Glück nicht beteiligt, wäre ich aber am liebsten gewesen, da dafür ordentlich Geld in die Hand genommen wurde.

 

[snaxilian]

Natürlich könnte man es trotzdem mit Iperf testen und es klingt Ignorant das ich es nicht mache, da du offensichtlich mehr Ahnung von der ganzen Sache hast als ich, dennoch kann ich mir einfach unmöglich vorstellen, dass der Test mir jetzt plötzlich ermöglicht die vollen 40mbit für die VPN Verbindung zu nutzen anstatt 5-8 Mbit und alles unter der vollen Leistung wäre schon zu wenig, da die Leitungen eigtl schon zu lahm sind für das ganze....

Sorry aber da verdrehst du die Tatsachen und redest ziemlich groben Unfug.

Laut deiner Aussage bekommst du nichtmal 1 MBit/s durch die VPN-Tunnel.
Mehrheitliche Aussagen besagen: AMVs VPN-Lösung schafft um die 5 MBit/s und nirgends wird behauptet, dass du die volle Bandbreite von 20 bzw. 40 MBit/s je nach Standort erhälst.

Es geht auch nicht darum die perfekte Lösung zu finden sondern die Ursache einzugrenzen.
Kommst du mit dem iperf Test an die 4-5 MBit/s durch den VPN-Tunnel aber bei DB-Zugriffen nicht auf 1 MBit/s dann ist die Ursache eindeutig und 100%ig die DB bzw. der mies umgesetzte Zugriff. Liefert das VPN an sich nur 1MBit/s, dann kann man die Ursache bei den Fritzboxen suchen oder Alternativen überlegen.

Du pfuscht hier jetzt drum herum, verbrennst bereits Geld durch deine Arbeitszeit, willst Geld für eine neue Lösung ausgeben und am Ende stellst du fest: VPN-Tunnel schaffen jetzt 20 MBit/s aber der DB-Zugriff ist trotzdem lahm. Das Ergebnis ist dann: Du bist der Lösung des Problems nicht ein Stückchen näher gekommen aber hast Geld verschwendet.

Cifs/SMB über's Internet ist so oder so lahm, da das Protokoll dafür gar nicht vorgesehen ist und fügt einem Test zu viele unbekannte Variablen hinzu.

Bisher kennst du überhaupt nicht die Ursache und stellst wilde Vermutungen an. Das schöne an IT ist ja: Es handelt sich um messbare Daten und deterministische Dinge und kannst analytisch vorgehen. Offenbar hast du dafür aber keine Lust und schüttelst dreimal lieber eine Glaskugel und stellst Vermutungen an für die du keinerlei Belege hast.