OpenVPN-Verbindung langsam

[Shor]

Guten Morgen!

Ich setze an zwei Stellen OpenVPN ein, um Geräte standortübergreifend zu vernetzen und die Verbindungen zu verschlüsseln. Beide Setups sind komplett voneinander unabhängig, sowohl server- als auch clientseitig. Der eine Server wird über eine Synology DS 216j realisiert, der andere über einen Linksys LRT214-EU. Die Clients sind teilweise weitere Synology-Server, in der Regel aber irgendwelche Windows 10 Rechner.

Das Problem: In beiden Setups scheint es bei jeder Server-Client-Verbindung richtungsunabhängig eine magische Begrenzung der Bandbreite bei 1,5 Megabyte/s zu geben (also grob 15 Megabit/s). Oft sind es sogar nur wenige hundert Kilobyte/s; offenbar abhängig vom Protokoll (z. B. beim Download einer Datei aus der File-Station über die Synology DS-Oberfläche; also HTTP-S). Die Verschlüsselung scheint daran nicht Schuld zu sein - denn sowohl die Server als auch die Clients langweiligen sich auslastungstechnisch während der Datenübertragungen zu Tode (CPU, Arbeitsspeicher). Ebenfalls nicht Schuld sind die Anbindungen der Server und Clients ans Internet - an jedem Punkt (sowohl im Upload- als auch im Download) liegt die in der Praxis mögliche (also über Speedtests verifizierte) Bandbreite um ein Vielfaches höher. Die geringste Bandbreite liegt an einer Stelle bei einem der beiden Setups bei 40 Megabit/s, also (wieder grob) 4 Megabyte/s.

Nun frage ich mich, wie das zu erklären ist. Ich bin absolut kein Server- oder Netzwerkadministrator; ich bin lediglich ein ambitionierter Anwender. Aber so viel kann man bei der OpenVPN-Konfiguration (zumindest über die Oberflächen der Synology und des Linksys) ja scheinbar auch nicht verkehrt machen. Was ich auffällig finde ist, dass bei beiden voneinander unabhängigen Setups diese 1,5 MB/s Grenze auftritt. Aber OpenVPN ist doch nicht per Definition auf so eine geringe Bandbreite beschränkt? Warum ich dann teilweise sogar nur wenige 100 Kiloybte/s erreiche, verstehe ich obendrein nicht.

Hat irgendwer eine Idee?

Das Netzwerk des einen Servers wird bald eventuell über Deutsche Glasfaser angebunden. Eigentlich wollte ich mich darauf freuen.

Gruß und danke
Jens

PS: Ich wollte jetzt nicht für jede Umrechnung einen Rechner bemühen. Daher die groben Umrechnungen. In meinem Anwendungsfall macht das den Braten/Kohl nicht fett.

 

[Sephe]

Und kein Wort über die Internetleitungen.....


Und 40 MBit/s sind 5 MByte/s. (1 Byte = 8 Bit)

Und deine 1,5MByte/s sind 12 MBit/s.

 

[Madman1209]

Hi,

@Sephe

Die geringste Bandbreite liegt an einer Stelle bei einem der beiden Setups bei 40 Megabit/s, also 4 Megabyte/s.

also ich hätte das ja als Internetverbindungsgeschwindigkeit gewertet...

VG,
Mad

 

[Shor]

Und kein Wort über die Internetleitungen.....


Und 40 MBit/s sind 5 MByte/s. (1 Byte = 8 Bit)

Zum ersten Punkt:

"Ebenfalls nicht Schuld sind die Anbindungen der Server und Clients - an jedem Punkt liegt die in der Praxis mögliche (also über Speedtests verifizierte) Bandbreite um ein Vielfaches höher. Die geringste Bandbreite liegt an einer Stelle bei einem der beiden Setups bei 40 Megabit/s, also 4 Megabyte/s."

Hab jetzt aber noch mal "ans Internet" ergänzt.

Zum zweiten Punkt: Ich schrieb extra "grob", um nicht den Rechner bemühen zu müssen. Macht den Braten/Kohl schließlich nicht fett.

 

[Sephe]

@Madman1209:
Ja was denn jetzt? 40 Mbit oder 4MByte/s (=32 MBit/s) ?
Und wie sehen die Down- und Uploadgeschwindigkeit aus?

Und 20% machen den Braten/Kohl eben doch fett.

Liste doch bitte mal eben die Internettarife auf beiden Seiten auf und mach einen Speedtest.

 

[Nilson]

Hast du auch den Upload gemessen? Wenn du etwas vom NAS über VPN herunterlädst ist das (vom NAS aus gesehen) ein Upload. und der ist i.d.R. langsamer als der Download.

 

[Madman1209]

Hi,

spielt doch keine große Rolle, wenn weder 40 noch 32 MBit ankommen... und "grob" kann man das durchaus noch gelten lassen finde ich, jeder weiß wie es gemeint ist.

Und wie sehen die Down- und Uploadgeschwindigkeit unterscheiden?

Den Satz verstehe ich nicht..

VG,
Mad

 

[Shor]

@Madman1209:
Ja was denn jetzt? 40 Mbit oder 4MByte/s (=32 MBit/s) ?
Und wie sehen die Down- und Uploadgeschwindigkeit aus?

Liste doch bitte mal eben die Internettarife auf beiden Seiten auf und mach einen Speedtest.

Reden wir aneinander vorbei? Aber gut, wenn du es unbedingt genau wissen willst:

Der eine Server hängt an einer Leitung mit 100 Mbit/s im Download und 40 Mbit/s im Upload, der andere an einer Leitung mit 65 MBit/s im Download und ebenso 65 MBit/s im Upload. Die Clients hängen downloadttechnisch an noch dickeren Leitungen. Die haben zwar im Upload weniger drauf, aber dieser wird eh nicht gebraucht und wurde logischerweise bei meinen Tests auch nicht benutzt.

Inwieweit bist du jetzt schlauer?

 

[rony12]

Also Speedtest sind ca. 40Mbit möglich? Von welchem Anschluss?

Du verbindest ja zwei (entfernte) Netze miteinander.
Beide werden einen Down- und Upload haben. Bitte check das mal.

Des Weiteren ist OpenVPN sehr leistungshungrig - was ok ist, da es eben eine gute Verschlüsselung hat.
Nun kann es sein, dass die CPU deines Routers kein AES als Instruktion in der CPU besitzt. Das ist der häufigste Grund einer Limitierung von VPN Verbindungen.

Edit:
Zu deiner Leitung...
Das hilft uns schonmal weiter, um zu wissen, dass nicht deine Leitungen im Down als auch Upload der limitierende Faktor sein können.
Von daher ja - sind wir schon schlauer.
Wenn du solch viel Text über dein Problem schreibst, dann liefere auch die notwendigen Parameter mit


Ich habe eben den von dir genannten Router gegoogelt .. und dabei das gefunden
https://www.linksys.com/my/support-article?articleNum=291979

The maximum throughput of Linksys Business Gigabit VPN Routers using SSL VPN is only 12 Mbps.

Das dürfte ja ziemlich genau auf dein Problem zutreffen, und dürfte damit gelöst sein

 

[Shor]

@Madman1209:
Ja was denn jetzt? 40 Mbit oder 4MByte/s (=32 MBit/s) ?
Und wie sehen die Down- und Uploadgeschwindigkeit aus?

Und 20% machen den Braten/Kohl eben doch fett.

Liste doch bitte mal eben die Internettarife auf beiden Seiten auf und mach einen Speedtest.

In meinem konkreten Anwendungsfall macht es den Braten/Kohl nicht fett. Schließlich liegt die erreichte Bandbreite teilweise um ein Vielfaches unter dem, was - auch nach korrekter Umrechnung - möglich sein sollte. Ich verstehe ehrlich gesagt deine Argumentation nicht bzw. kann ich keine erkennen.

Bezüglich der Tarife: Das macht keinen Sinn. Beides sind Spezialanbindungen/-tarife (eine davon über Standleitungen), die du nicht googeln kannst. Zu den Speedtests: Ich sagte ja schon, dass die von mir genannten Werte PRAXISWERTE sind, die über Speedtests ermittelt wurden.

Ich finde es gut, dass du helfen willst. Aber ich würde dich bitten, meinen Startpost einfach noch mal in Ruhe zu lesen. Oder du erklärst mir, was es mit deinen Fragen auf sich hat. Vielleicht übersehe ICH ja was.

Also Speedtest sind ca. 40Mbit möglich? Von welchem Anschluss?

Du verbindest ja zwei (entfernte) Netze miteinander.
Beide werden einen Down- und Upload haben. Bitte check das mal.

Des Weiteren ist OpenVPN sehr leistungshungrig - was ok ist, da es eben eine gute Verschlüsselung hat.
Nun kann es sein, dass die CPU deines Routers kein AES als Instruktion in der CPU besitzt. Das ist der häufigste Grund einer Limitierung von VPN Verbindungen.

Edit:
Zu deiner Leistung...
Das hilft uns schonmal weiter, um zu wissen, dass nicht deine Leitungen im Down als auch Upload der limitierende Faktor sein können.
Von daher ja - sind wir schon schlauer.
Wenn du solch viel Text über dein Problem schreibst, dann liefere auch die notwendigen Parameter mit


Ich habe eben den von dir genannten Router gegoogelt .. und dabei das gefunden
https://www.linksys.com/my/support-article?articleNum=291979

Natürlich verwende ich zwei "entfernte" Netze miteinander. Natürlich haben beide ein Download- und Uploadlimit. Ich schrieb doch schon im Startpost, dass es daran nicht liegt, weil bei Betrachtung aller Down- und Uploadlimits die geringste Bandbreite bei 40 MBit/s liegt.

Zur Leistungshungrigkeit: Ja. Aber wie auch schon im Startpost gesagt - zumindest beim Synology Server gibt es keinerlei Auslastungserscheinungen; der langweilt sich zu Tode während der Übertragung. Im Router kann ich keine Auslastungsparameter einsehen.

Der Linksys-Link ist ja sehr interessant. Auch wenn da quasi auf die Frage "Warum ist das so?" nur "Das ist halt so" steht. Nicht mal der Support hat mir davon was erzählt. Stellt sich weiterhin die Frage, warum diese Begrenzung auch beim Synology OpenVPN-Server auftritt.

 

[blackstarx]

Bitte besorg dir 2 anständige Hardware Firewalls ..... wenn das geschäftlich genutzt wird kommt mir ein Schauder übern Rücken

PS: Prüf mal ob ein HTTP Scanner aktiviert ist bzw mit transparentem Proxy usw (Synology hat sowas vermutlich nicht aber der Linksys hat ne integrierte FW), wenn die Leistung einer der beiden Geräte nicht reicht hast du hier vermutlich nen Flaschenhals

Linksys: Durchsatzraten: 900 Mbit/s (Firewall) und 110 Mbit/s (IPsec) ... bricht aber ein bei SPI usw

 

[rony12]

Naja, du bist kein Sysadmin, hast du gesagt, daher wirst du die Firmenpraxis nicht mitbekommen, aber häufig sind solche limitierungen künstlich, um entweder das gleiche Produkt ohne Limitierung zu verkaufen, oder (noch schlimmer) eine Lizenz zu erwerben, welche das Limit aufhebt.

Es werden z.B. 48Port switche verkauft, bei denen eine Lizenz entscheidet, wie viele Ports du verwenden kannst.

Bei Linksys kann es den selben Grund haben, oder es ist einfach die CPU, welche das nicht schnell genug verarbeiten kann.

Deine weitere Frage, warum das auch auftritt, wenn deine NAS den Server macht - diese NAS ist wirklich total abgespeckt und die CPU bietet die geringste Leistung.
Wenn du hier auf ca. 12Mbit/s kommst, kann das durchaus Zufall sein ... vielleicht ist es etwas mehr mal etwas weniger.
(soweit ich verstanden habe, ist es keine Side-Side verbindung)


Probier es mal mit OS Software wie, pfSense, OpenSense, ipFire, openWRT, auf einem rechner zu installieren, und check dann mal den speed

 

[Shor]

Bitte besorg dir 2 anständige Hardware Firewalls ..... wenn das geschäftlich genutzt wird kommt mir ein Schauder übern Rücken

PS: Prüf mal ob ein HTTP Scanner aktiviert ist bzw mit transparentem Proxy usw (Synology hat sowas vermutlich nicht aber der Linksys hat ne integrierte FW), wenn die Leistung einer der beiden Geräte nicht reicht hast du hier vermutlich nen Flaschenhals

Nein, die werden privat und für ein bisschen Home Office benutzt. Hätte das Ganze größere Relevanz, würde ich es gar nicht selber machen.

Bezüglich HTTP-Scanner: Also hinsichtlich des LinkSys brauchen wir ja offenbar gar nicht weitersuchen; der Link von rony hat die "Ursache" ja aufgedeckt. Liest sich jedenfalls so, als könnte man da nichts machen. Hinsichtlich Synology schau ich gleich mal. Du meinst damit ja einfach Einstellungen, die HTTP(-S)-Verbindungen scannen und damit zu einer Verlangsamung beitragen könnten, korrekt?

Naja, du bist kein Sysadmin, hast du gesagt, daher wirst du die Firmenpraxis nicht mitbekommen, aber häufig sind solche limitierungen künstlich, um entweder das gleiche Produkt ohne Limitierung zu verkaufen, oder (noch schlimmer) eine Lizenz zu erwerben, welche das Limit aufhebt.

Das stimmt. Das war mir nicht bewusst. Vielleicht sollte ich mal gezielt im Synology-Supportforum bzw. beim Support selber nachfragen. Danke für den Tipp!

Deine weitere Frage, warum das auch auftritt, wenn deine NAS den Server macht - diese NAS ist wirklich total abgespeckt und die CPU bietet die geringste Leistung.

Aber müsste ich eine Limitierung der CPU nicht anhand der CPU-Auslastung sehen?

(soweit ich verstanden habe, ist es keine Side-Side verbindung)

Korrekt.

 

[Madman1209]

Hi,

(soweit ich verstanden habe, ist es keine Side-Side verbindung)

vermutlich ist hier "Site to Site" gemeint - oder was genau ist eine "Side-Side" Verbindung in diesem Zusammenhang?

VG,
Mad

 

[Shor]

Nahm ich jetzt auch an (nur zur Info, damit meine Antwort richtig interpretiert wird. )

 

[blackstarx]

Du meinst damit ja einfach Einstellungen, die HTTP(-S)-Verbindungen scannen und damit zu einer Verlangsamung beitragen könnten, korrekt?

Firewalls haben normalerweise Einstellungen für Proxy (Transparenten Proxy nicht vergessen sowie HTTP & HTTPS) und Antiviren, wenn diese greifen (z.b. HTTPS Interception), vorallem bei HTTPS frisst dies dick Ressourcen (daher haben Business Lösungen meist einen Atom oder Celeron als CPU)

 

[Shor]

Klingt nach einer heißen Spur. Ich mach mich auf die Suche und meld mich gleich wieder. Vorher muss ich aber erst mal recherchieren, ob die Hyper Backup Lösungen von Synology in meinem konkreten Anwendungsfall (Synology NAS zu Synology NAS) überhaupt über das HTTP(-S)-Protokoll laufen. Denn da gibt es diese harte Limitierung auf 1,5 Megabit/s.

Ergänzung: Das scheint kein leichtes Unterfangen zu werden; also das Übertragungsprotokoll herauszufinden. Ich glaube, es ist das Beste, wenn ich direkt zu Synology gehe. Ich darf ja jetzt annehmen, dass es nicht allgemein an OpenVPN liegt (dank des LinkSys-Links; danke noch mal dafür!).

 

[d2boxSteve]

Die CPU im Linksys kann einfach nicht schneller wie im Link über mir zu sehen ist. Wenn du einen Mini-PC mit pfSense nimmst, da wäre die CPU um ein vielfaches Leistungsfähiger und somit auch mehr Durchsatz mit OpenVPN möglich.

PS: wenn du einen managebaren Switch hast reicht ein Mini-PC mit einer Netzwerkkarte ... VLAN 2 fürs Internet und VLAN 1 für das interne Netz :=)

 

[blackstarx]

Aber mal ganz ehrlich, warum VPN und dann keine Hardware Firewall? Da kannst auch gleich mit der Fritzbox Site 2 Site einstellen? (Schafft auch 15Mbit per VPN)

 

[rony12]

Ich komme aus Köln ... und der Karneval hat mich dann doch etwas stärker mitgenommen als gedacht - meine Rechtschreibung bitte ich zu entschuldigen ^^

Eine Hardwarefirewall, also eine fertige Lösung von einem Anbieter, ist für das private Umfeld nur selten zu empfehlen. Vorallem wenn man techisch affin ist.

Meine Eltern haben einen Router mit DD-WRT und ich pfSense im Einsatz, darüber regel ich die VPN Verbindung.

Aber müsste ich eine Limitierung der CPU nicht anhand der CPU-Auslastung sehen?

jain ... wenn die CPU das rein in Software lösen müsste, kann es sein, dass DSM das in der Auslastung anzeigt.
Wenn die Instruktionen jedoch vorhanden, aber zu langsam sind, dann wird dir das nicht angezeigt.


Soa, ich habe mal die CPU deiner NAS rausgesucht ...
https://www.marvell.com/documents/egrkpyqzpoebxblyeept/

Laut Datenblatt soll diese "Ver- und Entschlüsselung" beherrschen - welche verfahren aber nun genau, geht daraus nicht hervor.
Es wird ähnlich sein wie ich denke, auch denn die Instruktionen in der CPU vorhanden sind, werden diese den Durchsatz durchaus beschleunigen, aber immer noch zu langsam sein.