OpenVPN-Verbindung langsam

[blackstarx]

Meine Eltern haben einen Router mit DD-WRT und ich pfSense im Einsatz, darüber regel ich die VPN Verbindung.

pfsense ist genauso aufwendig wenn nicht sogar unübersichtlicher wie eine hardware firewall von z.b. securepoint

 

[martinallnet]

Ich denke auch, das hier die eingesetzte Hardware das Problem ist, OpenVPN ist nicht ohne von den Anforderungen her.

 

[Raijin]

Auf welchem VPN-Port bzw. Protokoll läuft OpenVPN? UDP oder TCP? Letzteres kann die Performance von VPNs massiv beeinträchtigen, wenn die Verbindung instabil ist, also relativ viele Paketverluste auftreten. Wenn über das VPN TCP-Verbindungen getunnelt werden, potenziert sich das TCP-Handshake nämlich, weil nicht nur die Anwendungspakete bestätigt und ggfs neu versandt werden, sondern darüber hinaus auch nochmal die TCP-VPN-Kapsel-Pakete.

Ansonsten kann ich den anderen nur beipflichten: OpenVPN ist im Vergleich zu IPsec sehr CPU-lastig, weil OpenVPN

a) nur Single-Threaded läuft
b) architekturbedingt nur schwierig auf externe Hardware ausgelagert werden kann

Daher ist OpenVPN massiv auf eine potente CPU angewiesen. IPsec kann mit Hilfe von Crypto-HW relativ simpel ausgelagert und somit auch mit schwachen CPUs viel Performance bringen. Der größte Vorteil von OpenVPN ist der frei wählbare VPN-Port. IPsec auf der anderen Seite ist diesbezüglich festgenagelt. Hinter einem fremdverwalteten Router bzw. Firewall kann man OpenVPN daher auf zB UDP 53 (DNS-Port) durch eine Firewall durchschummeln, IPsec (UDP 500 / 4500) kann dagegen hart geblockt werden...
Wenn man aber Zugriff auf die jeweiligen Router bzw. Firewalls hat und Performance ein wichtiger Faktor ist, würde ich darüber nachdenken, auf IPsec umzuschwenken - oder potente Hardware für OpenVPN einsetzen.

 

[Shor]

UDP!

Ich hab jetzt mal eine Synology Support-Anfrage gemacht. Ich halte euch auf dem Laufenden.

Hi,

I am running an OpenVPN Server on my DS216j. However, transfer speed is limited to 1.5 Megabyte/s when using Hyper Backup NAS->NAS Transfer (backing up a single big file), 1.3 Megabyte/s when using SMB Transfers (transferring a single big file) and even 0.4 Megabyte/s when downloading a file through the File Station app via Browser (also a single big file). The internet connections between the server and the clients are not the cause for the limitations as they have a much higher bandwidth in both download and upload (verified by speedtest.net).

What are the causes for those issues? Please consider that all the speeds are just fine when I do not use VPN but usual LAN. Even the slowest speed (0.4 Megabyte/s File Station download) turns to 15,5 Megabyte/s without VPN. If you think encryption is the cause, please consider that I do not see any relevant CPU load while the transfers are running. Also, how would that explain the different speed limits (down to 0,4 MB/s)? Are there further settings that - in combination with an active OpenVPN connection - can affect the speeds in such "dramatic" way?

Best and thanks,
Jens

 

[fuyuhasugu]

Wie stark die Hardware der Synology begrenzt kannst du doch ganz einfach rausfinden, indem du im lokalen Netz eine VPN-Verbindung aufmachst.

 

[Shor]

Korrigier mich, wenn ich falsch liege, aber dann hab ich immer noch nicht herausgefunden, ob es die Hardware oder eine Einstellung ist. Also bringt mich der Test im Grunde kein Stück weiter.

 

[fuyuhasugu]

Korrigier mich, wenn ich falsch liege, aber dann hab ich immer noch nicht herausgefunden, ob es die Hardware oder eine Einstellung ist. Also bringt mich der Test im Grunde kein Stück weiter.

Da zitiere ich am besten dich:

Aber so viel kann man bei der OpenVPN-Konfiguration (zumindest über die Oberflächen der Synology und des Linksys) ja scheinbar auch nicht verkehrt machen.

 

[Shor]

Hi,

langsam. Die OpenVPN-Einstellungen sind tatsächlich sehr (!) übersichtlich im Sinne von wenig vorhanden. Die Einstellungen, von denen ich jetzt rede, beziehen sich auf allgemeine bzw. protokollspezifische Optionen (siehe auch meine Nachricht an den Synology Support); also z. B. diese HTTP(-S)-bezogenen Paketanalysen, die - das ist halt die Frage - eventuell in Kombination mit der Verschlüsselung so richtig "reinhauen" bzw. den Speed vermiesen.

Gruß
Jens

 

[Shor]

Antwort von Synology wenig hilfreich (um nicht zu sagen unterirdisch):

Sehr geehrte Damen und Herren,
vielen Dank für Ihre Anfrage.

Es kann durchaus sein das die Verbindung via VPN langsamer ist da mehr Datenpakete für die Verschlüsselung mit übermittelt werden.
Auf dieses Verhalten haben wir leider keinen Einfluss.

Falls Sie weitere Fragen, Themen, Kritik oder wünsche haben, stehen wir Ihnen jederzeit zur Verfügung.

Mit freundlichen Grüßen
***
Technical Support Engineer

Naja, dann muss ich das Thema wohl begraben und akzeptieren, dass die Speeds schlecht bleiben. Noch ist es kein Beinbruch; ein ein paar Jahren sicherlich schon. Vielleicht probiere ich tatsächlich mal eine andere Verschlüsselung aus. Ich melde mich dann noch mal.

Danke für eure Unterstützung!

 

[Raijin]

Die Antwort klingt verdächtig nach: "Die Hardware ist so schwach auf der Brust, dass sie bei hohen Datenraten mit der Verschlüsselung nicht hinterherkommt." Kurz: Hardware lahm, VPN lahm.

Wenn dir die Performance nicht ausreicht, solltest dich dann eher nach geeigneter Hardware für die VPN-Verbindung umschauen. All-In-One-Geräte haben immer das Problem, dass die Hard- und auch die Software nicht zwangsläufig allen Anforderungen gerecht werden kann.