VPN-Tunnel - schlechte Performance

[soulseeker 13]

Hallo zusammen,

 

ich habe einen Hauptstandort, dort angebunden sind zwei kleinere Standorte per IPsec-Tunnel (Phase1 SHA1-3DES, Phase2 ESP-AES-SHA1)

 

An beiden Außenstandorten haben wir Kabel-DSL mit einem Router, dahinter sind jeweils Watchguards, die die Tunnel verwalten.

 

An Standort 1 läuft der Datenverkehr über die Tunnel ohne Probleme - sieht man sehr schön am VOIP-Datenverkehr, der weitgehend jitterfrei ist.

 

Am Standort 2 ist die Performance aber äußerst mies, seitdem wir dort von Vodafone-DSL auch auf Kabel umgestellt haben. Sobald man die Tunnel neu aufbaut, sind die ping-Anwortzeiten erst ok, werden dann aber immer mieser bis >1000 ms. Das WAN-Interface ist aber vom ping her immer ok.

 

Ich habe als erstes die MTU-Größe verdächtigt und mit ping x.x.x.x -f -l MTU-Wert herausgefunden, dass ich bis 1394 verwenden kann ... mit dieser Info habe ich den MTU-Wert der Watchguard geändert (zuerst auf 1400) und sofort wurde der Ping besser, aber nach einigen Minuten wird der Wert immer wieder schlechter. Ich habe testweise dann sogar verschiedene Werte zwischen 1200-1350 ausprobiert, aber es passiert immer wieder das gleiche - erst ok, danach immer schlecht.

 

Ich habe den Billig-Router vor der Firewall im Verdacht, da das aber ein Kabelmodem/Router ist, habe ich derzeit keine Möglichkeit, einen anderen zu testen.

 

Was meint ihr dazu? Oder sollte ich mal mit anderen Tunnel-Verschlüsselungen testen?

 

Grüße

 

Marcel

bearbeitet 10. März 2014 von soulseeker

[Dominik Weber 19]

Diese Billig Kabel Router sind der letzte Schrott.

 

Versuche beim Anbieter ein Kabel MODEM zu erhalten, den Rest kann die Firewall problemlos selber machen und du hast keinen Flaschenhals mehr dazwischen

[soulseeker 13]

Ok danke ... ich habe gerade herausgefunden, wie ich dieses Teil in den Bridge-Modus versetzen kann - das macht man remote über eine Kabel-Deutschland Webseite, sehr komfortabel :(.

 

Derzeit hat der Router sein eigenes Netz, durch das alle Pakete und Protokolle durchgeschleust werden ... wenn das wegfällt, wäre das sicher eine Störquelle weniger.

bearbeitet 10. März 2014 von soulseeker

[westie 0]

Lass deinen Kabelanschluss besser mal nachmessen...
Aus irgendeinem Grund ist es auch bei mir dazugekommen, dass Kabel Deutschland erst im dritten Anlauf den DSL-Anschluss wirklich im Griff hatte.

 

Seitdem habe ich keine Problem mit Kabelmodem von AVM und nachgeschaltetem Lancom VPN-Router

[soulseeker 13]

Hmm mal schauen ... ich habe den Router nun als Modem umkonfiguriert aber der Tunnel verabschiedet sich trotzdem alle paar Stunden. Dazu kommt noch - Kabel Deutschland hat uns eine feste IP zugesagt, aber die gibts dort gar nicht, auch für Business-Kunden nicht. Dyndns ist ja auch nicht mehr für lau :(. Ich denke ich werde den Vertrag wiederufen, Vodafone ist zwar langsamer, aber die Verbindung stabiler.

[Sunny61 807]

Selfthost.me ist immer noch kostenlos als DynDNS erhältlich.

[soulseeker 13]

Gerade hab ich von Kabel DE die Info bekommen, dass der Backbone in unserem Gebiet total überlastet ist und bis Mai ausgebaut werden soll. Das sei aber nur der Plan, ob das was wird konnte man noch nicht sicher sagen. Der Hotliner riet mir dann dazu, den Vertrag erst einmal wieder zu stornieren.

 

Zumindest sind sie ja ehrlich ...