AVM Fritzbox Overhead?

[Greffetikill]

Hallo meine Lieben,

ich habe 2 Netzwerke, das eine ausgestattet mit einer Fritte 7580, das andere mit einer 6490 verbunden per VPN direkt über die Fritten. An einem hängt mein Microserver (siehe Signatur) am anderen mein DL360P. Das Netzwerk mit der 6490 geht per Kabel 200/50 raus. Das Netzwerk mit der 7580 geht per DSL 100/40 raus.

Nun verschiebe ich in der Nacht (03:00 Uhr) Daten von A nach B per Batch (knapp 150GB als .rar). Leider beobachte ich das sehr häufig das meine Leitung noch um 07:30 Uhr belegt ist. Und stelle fest das er bei einer Datenübertragung von um die 1 MB/s herum dümpelt.

Gehen müsste theoretisch um die 5 MB/s. Nach der Prüfung und Messung von der Leitungen in gewissen Zeitabständen kann ich ausschließen das es an den Down-/Upstream der Leitungen liegt. Nun habe ich im verdacht das es an einen Overhead der Fritten liegt Stichwort VPN-Verschlüsselung. Reicht die Leistung der Fritzboxen dafür nicht aus und muss mir über einer separaten VPN Gedanken machen alà Sophos oder WatchGuard?

Gruß Greffetikill

 

[chrigu]

Versuchs mal nicht mit fritzbox VPN sondern über zwei pc mit VPN

 

[d2boxSteve]

Die Fritten haben halt nur nen Taschenrechner, der kann VPN nicht soo schnell verschlüsseln --> alles normal so

Ergänzung (8. Januar 2019)

Ne kostenlose Variante wäre PfSense als Firewall Distri, wobei Sophos UTM für privat auch kostenlos ist. Watchguard wüsste ich keine kostenlose Variante ...

 

[SpartanerTom]

Ich verstehe die Frage nicht. Selbst bei maximaler Performance mit 5 MB/s kommst du doch nicht in 4 1/2 Stunden auf 150 GB Übertragungsleistung? 4.5 h * 3600 s/h * 5 MB/s = 81 000 MB

Oder habe ich ein Brett vor dem Kopf?

Was sagt denn das Webinterface der Fritte zum zeitlichen Verlauf der Sendeleistung? Liegt die von Anfang an nur bei 1 MB/s oder bricht es später im Verlauf ein?

 

[d2boxSteve]

Noch ne Idee, wenns nur zum Datenaustausch ist, dann mach die VPN doch mit z.B. OpenVPN von Server zu Server.

Ergänzung (8. Januar 2019)

Was der Tom da schreibt stimmt natürlich auch ... bei einer Leitung benutzt du ja den Upload mit 40 bzw. 50 ...

 

[Sephe]

Die Frage ist eher, welches Protokoll du zwischen den Geräten verwendest -> SMB? CIFS? FTP? iSCSI? NFS?
Hier könnte dir nämlich vermutlich auch noch ein QoS dazwischen spielen.

Ich habe hier eine 7590 mit 400/40, verbunden mit einem OpenSwan VPN-Server und da komme ich auf 4,5MB/s per FTP.

 

[Coca_Cola]

Wenn man Consumer Hardware verwendet wundert mich das nicht.

 

[corvus]

Also ich habe bei Fritzboxen auch nie mehr als so 20Mbit/s VPN-Durchsatz erlebt. Ich würde da auch an den Boxen ne Portweiterleitung einrichten und das VPN von Server zu Server aufbauen.

Privat schleife ich durch die FB auch durch auf meine NAS, da hab ich den Durchsatz auch durch die Internetleitung gedeckelt und nicht durch die verbaute CPU.

 

[jonderson]

Das VPN der Fritzbox (IPSec) ist sehr Rechenaufwendig.
Wenn es schneller gehen soll und die Fritzboxen weiterhin den VPN übernehmen sollen, dann müsstest du beide Freetzen und OpenVPN auf den FritzBoxen installieren...

Wird bei der Kabelbox vermutlich schwierig, wenn dir die Box nicht selbst gehört...
Aber wenn die Box dir nicht selbst gehört, würde ich auch auf dieser Box nicht sowas sensibles wie VPN Daten eingeben...

 

[vicanus]

Hallo

Das Problem des geringen Durchsatzes der Fritzbox(en) im VPN ist neben der von AVM verwendeten Verschlüsselung in der Tat die geringe CPU Leistung für die notwendige Verschlüsselung nebst Transfer der Daten via VPN der Fritzboxen.

Wenn ein VPN Side by Side von Router zu Router gemacht werden soll/muss, nur mit leistungsstarker Router-Hardware.

Vicanus

 

[Greffetikill]

Versuchs mal nicht mit fritzbox VPN sondern über zwei pc mit VPN

Werde ich mal probieren müssen um 100% sicher zu gehen.

Ne kostenlose Variante wäre PfSense als Firewall Distri, wobei Sophos UTM für privat auch kostenlos ist. Watchguard wüsste ich keine kostenlose Variante ...

Danke werde mich da mal durchlesen und durchtesten.

Ich verstehe die Frage nicht. Selbst bei maximaler Performance mit 5 MB/s kommst du doch nicht in 4 1/2 Stunden auf 150 GB Übertragungsleistung? 4.5 h * 3600 s/h * 5 MB/s = 81 000 MB

Hast absolut recht und es sind auch nur 50GB die übertragen werden müssen. Wollte eig. schreiben up to 100GB
(wegen Backup) habe aber die 1 vergessen weg zu hauen.

Was sagt denn das Webinterface der Fritte zum zeitlichen Verlauf der Sendeleistung? Liegt die von Anfang an nur bei 1 MB/s oder bricht es später im Verlauf ein?

1 MB/s im Durchschnitt mal auf 2 MB/s bricht dann kurz auf 200 KB/s ein und steigt dann wieder leicht.

Noch ne Idee, wenns nur zum Datenaustausch ist, dann mach die VPN doch mit z.B. OpenVPN von Server zu Server.

Geht leider nicht nur um Datenaustausch, es wird teilweise auch Aktiv auf der Datenbank (SQL Server) gearbeitet.

Die Frage ist eher, welches Protokoll du zwischen den Geräten verwendest -> SMB? CIFS? FTP? iSCSI? NFS?
Hier könnte dir nämlich vermutlich auch noch ein QoS dazwischen spielen.
per FTP.

Die reine Datenübertragung läuft über SMB (Netzlaufwerk Win-to-Win).

Wenn man Consumer Hardware verwendet wundert mich das nicht.

Danke für deine Teilnahme, die Consumer Hardware hatte 3 Jahre gereicht, leider ist meine Anwendungsprofil in der Zeit gestiegen, jetzt reicht es nicht mehr und um das das Problem zu eruieren habe ich hier nochmal Sicherheitshalber nachgefragt. Aber danke das du nichts dazu beitragen kannst.

 

[Christian1297]

Ein lokales VPN zur FRITZ!Box 7580 decklelt die Übertragungsrate bei mir auf zirka 5 Mbit/s. Komischerweise erreiche bei der LAN-LAN Kopplung zu einer entfernten FRITZ!Box 7590 die verfügbaren 10 Mbit/s voll.

 

[Raijin]

dann mach die VPN doch mit z.B. OpenVPN von Server zu Server.

Geht leider nicht nur um Datenaustausch, es wird teilweise auch Aktiv auf der Datenbank (SQL Server) gearbeitet.

Das eine hat mit dem anderen nichts zu tun. OpenVPN ist lediglich eine andere VPN-Technologie im Vergleich zu IPsec was die Fritzbox verwendet. Über OpenVPN kann man ebenso alle Dienste nutzen wie über IPsec. Privat arbeite ich ausschließlich mit OpenVPN und greife damit auf Netzlaufwerke, SQL-Server, SSH, FTP und von mir aus noch ein paar andere Buchstabenkombinationen zu wie zB ABC oder XYZ.

Hintergrund ist einfach, dass ein handelsüblicher Consumer-Router nur eine schwache CPU hat und mit etwas Glück einen Crypto-Chip zur Unterstützung hat. Am Ende bleibt es aber dabei, dass solche Router .. .. überschaubare VPN-Performance leisten können. Der Vorschlag von weiter oben auf den Fritzboxxen mit alternativer Firmware OpenVPN zu nutzen, ist hingegen nicht sinnvoll, da OpenVPN noch CPU-hungriger ist als IPsec.

Das beste Ergebnis wirst du daher so oder so erreichen, indem du jeweils ein dediziertes VPN-Gateway auf beiden Seiten verwendest - sei es eine fertige Hardware-Firewall wie von Watchguard, o.ä. oder auch eigene Hardware mit zB pfSense drauf oder auch VPN direkt auf dem Server selbst installiert.

Beispiel: Ich habe daheim einen alten Server mit i3 (2nd Gen) sowie einen ebenso alten Laptop ebenfalls mit i3. LAN-intern schafft mein OpenVPN zwischen diesen beiden ca 850 Mbit/s im Gigabit-Netzwerk. Das ist flott, bringt mir bei meinem VDSL25 mit mageren 5 Mbit/s Upload aber "einen Scheiß", um mich mal der Fäkalsprache zu bedienen Auf einer Fritzbox, einem Raspberry PI oder sonstigen Geräten mit Klein(st)CPU kannst du von solchen Geschwindigkeiten aber nur träumen, weil selbst die billigste PC-CPU um ein Vielfaches schneller ist als solche embedded CPUs.


Eine kleine Anmerkung noch: Vielleicht kannst du das Pferd auch ganz anders aufzäumen. Deine Anforderungen sind gestiegen, sagst du. Du verschiebst jede Nacht 150 GByte an Daten, sagst du. Evtl. kann man ja auch genau da ansetzen und die Datenmenge reduzieren, frag ich. Das können wir von außen natürlich nicht beurteilen, aber
wenn's beispielsweise Backup-Daten sind, gibt es ja Vollbackups (=groß) und Differentielle (=mittel) sowie Inkrementelle (=klein). Oder man verlagert die Daten direkt in eine Cloud, auf die dann beide Standorte zugreifen.

 

[jonderson]

Der Vorschlag von weiter oben auf den Fritzboxxen mit alternativer Firmware OpenVPN zu nutzen, ist hingegen nicht sinnvoll, da OpenVPN noch CPU-hungriger ist als IPsec.

Das stimmt nicht, habs in der Praxis getestet.
Kommt aber natürlich auch drauf an wie du OpenVPN einstellst
(Welche Verschlüsslung, Ob UDP oder TCP usw.)
(Und seit Version 2.4 gibt es auch noch Elliptic curve support...)
https://www.finchvpn.com/compare

Ansonsten, wenn es für seine Anwendungszwecke ausreicht, kann er auch WireGuard nutzen, gibt es auch für freetz. Das sollte definitiv schneller sein
(Hab mich damit allerdings noch nicht beschäftigt...)