FB oder Nextcloud limitieren

[ZuseZ3]

Ich nutze aktuell NC auf einer kleinen selbstbau-NAS bei meinen Eltern.
Das NAS besteht aus einem Ryzen 200G (o.ä.), 32 GB RAM, SSD und hängt an einer FB 6591.
Der Upload bei meinen Eltern beträgt 52Mbit/s, dh. ca 6.5 MB/s. Dieser wird im Speedtest auch erreicht.
Die Nextcloud läuft mit apache, apcu+redis und allem anderen an Optimierungen, was in der NC Doku empfohlen wird.
Bei mir läuft eine FB 4040, ich habe Gigabit Download. Zwischen beiden FB habe ich über die FB Gui einen VPN Tunnel eingerichtet. Beide FB sind auf dem neusten stand.
Aktuell downloade ich einen Ordner mit ca 2k Bildern über den NC Client auf mein Ubuntu. Jedes Bild ist ca. 4MB groß.
Die Downloadgeschwindigkeit liegt bei ca. 1,8 MB/s, die CPU Auslastung an der NAS pro Thread bei unter 10%. Der Upload der selben Bilder als Test hat die selbe Geschwindigkeit ergeben.

Woher kommt nun die so schlechte Performance? Theoretisch wäre ja die 3 fache Leistung mgl.
Die FB unterstützen soweit mir bekannt nur IPSec, hier würde ich mit Wireguard sicher eine deutlich bessere Performance bekommen.
Weiterhin nutzt Nextcloud ja webdav, welches recht langsam ist, da es jegliche Änderungen in der Datenbank mitschreibt.

Ich habe nun versucht rauszufinden woran genau das ganze scheitert und laut heise scheint die VPN Leistung der FB so katastrophal zu sein, das tatsächlich meine FB 4040 limitiert. Laut FB GUI liegt die CPU-Auslastung nur bei 40%, aber vlt. limitiert die CPU ja trotzdem. Wie teste ich das am saubersten und wie verbessere ich die Situation wenn die FB tatsächlich limitiert?

Limitierungen:
Ich bin bereit die 4040 mit OpenWRT auszurüsten, und ich kann einen Pi4 bei meinen Eltern an die FB hängen. Die Firmware der 6591 kann ich nicht verändern.

Anforderungen:
Von der Softwareseite möchte ich das bisherige Setup beibehalten oder optimieren:
Dank dem Fritzbox-Tunnel können aktuell alle Geräte in meinem LAN oder WLAN automatisch auf alle Geräte im Netzwerk meiner Eltern zugreifen. Es wird einfach ein Zugriff auf das Netzwerk meiner Eltern (192.168.2.abc) registriert und entsprechend ein VPN Tunnel aufgebaut. Umgekehrt können alle Geräte aus dem Netzwerk meiner Eltern auf die NAS sowie alle Geräte in meinem Netzwerk zugreifen.
Mögliche Verbesserungen wenn ich auf Wireguard umsteige: Geräte in meinem Netzwerk müssen einmalig freigeschaltet werden bevor sie auf die NAS im Netzwerk meiner Eltern zugreifen können. Kein Gerät aus meinem Netzwerk kann auf ein anderes Gerät im Netwerk meiner Eltern als die NAS zugreifen. Kein Gerät aus dem Netzwerk meiner Eltern kann auf ein Gerät in meinem Netzwerk zugreifen.
Kein Gerät soll ohne VPN von außerhalb erreichbar sein.

Wie kann ich das ganze halbwegs sauber und simpel umsetzen?
Theoretisch sagen mir VLAN und ein paar andere Begriffe was, praktisch habe ich was Netzwerke angeht kaum Erfahrung.

 

[holdes]

Die Fritzboxen sind natürlich keine High-Speed VPN Gateways. Zum testen (wirklich nur kurz) könntest du deine Cloud mal ein paar Minuten über NAT durchreichen und den Speed testen, danach schnell wieder die Portweiterleitung entfernen. Das dürfte so ziemlich die schnellste und einfachste Möglichkeit sein.

Ob dir ein anderes OS auf der Fritte einen merklichen Performancegewinn bringt? Dafür würde ich die Hand nicht ins Feuer legen. Man könnte natürlich ein extra Gerät als VPN Gateway ins Netz hängen oder die Fritzbox austauschen wenn du mehr Leistung möchtest. Die Boxen sind ja nicht schlecht und können viel, davon aber kaum etwas zur vollsten Zufriedenheit. Die Anforderung ist ja schon Semi-Professionell und dafür sind diese Geräte einfach nicht gebaut.

VLAN kann man zwar machen, beherrscht die Fritzbox aber Out of the Box nicht. So richtig sehe ich den Sinn in einem solch kleinen und einfachen Netzwerk dafür aber auch gar nicht. Wenn man einen guten Router hat bei dem man auch richtig mit Firewallregeln arbeiten kann ist VLAN eine andere Geschichte.

Ich persönlich nutze schon immer IPSec, ist für mich eines der sichersten (wenn nicht sogar das sicherste) Protokoll was VPN angeht. Die händische Konfiguration ist zwar nicht ganz so simpel wie bei den anderen und es kostet je nach Algorithmus ordentlich Leistung aber es läuft und läuft. Fast alle Geräte welche mir bekannt sind können OS seitig auch IKEv1 oder IKEv2 IPSec Tunnel aufbauen. Wireguard sollte deutlich schneller sein, da weiß ich aber nicht wie es mit Clientsoftware und Bedienbarkeit aussieht.

 

[Triple5soul]

Moin,
Ich stand vor zwei Monaten vor einem ähnlichen Fall. Fritz VPN zwischen 7390 und 7490. Upload lag bei ca. 10mbit. Ich habe mich dann mit wireguard beschäftigt und eine Site to Site Verbindung erstellt. Läuft wunderbar. Seitdem habe ich tatsächlich einen Upload von 50mbit. Auch Einzel Clients können verbunden werden. Z.B. Android Smartphone.

 

[alturismo]

was passiert denn wenn du über die NC Oberfläche die Bilder direkt downloadest ?

Ich nutze NC auch hier und die Latenz ist wirklich nicht so toll große Downloads wenn Sie mal laufen, dann ok,
aber bei vielen Bildern denke ich wird das Problem nicht unbedingt an der VPN liegen ...

 

[Poati]

Der Vermutung mit der VPN Geschwindigkeit würde ich mich anschließen. Das würde ich mal ohne testen.
Hast du es ansonsten mal mit einer großen Datei probiert? Wie groß sind die Bilder, mit denen du das testest?

 

[snaxilian]

Wozu ein extra Gerät aufstellen? Lass doch auf dem Selbstbau-NAS bei deinen Eltern wireguard laufen und den Pi4 stellst bei dir als Gegenstelle auf. Dann site2site einrichten und in beiden Fritzboxen per statischer Route das jeweils andere Netz mit dem jeweiligen Wireguard hinterlegen damit die Pakete ihren Weg finden.

 

[Pilatesjünger]

Fritzboxen 7590 / 6591 / 6660 ab OS 7.2 haben einen verbeserten VPN Durchsatz.
da kam ich immer an meine 40Mbit ran.

 

[Autokiller677]

Ich nutze NC auch hier und die Latenz ist wirklich nicht so toll große Downloads wenn Sie mal laufen, dann ok,
aber bei vielen Bildern denke ich wird das Problem nicht unbedingt an der VPN liegen ...

Das kommt halt sehr auf den Server dadrunter an. Meine Nextcloud ist auch eher lahm, läuft aber eben auch auf einem 10 Jahre alten Athlon mit HDDs für alles, selbst für die Datenbank. Da ist beim Sync von vielen kleinen Dateien sofort die CPU im Anschlag.

Auf der Arbeit haben wir eine sinnvoll ausgestattete Kiste dafür - da ist alles pfeilschnell. Aber für knapp 30k Mitarbeiter steht da halt auch ein kleiner Cluster hinter, und wenn es lahm ist, kostet es bares Geld (in Arbeitszeit).

 

[Wilhelm14]

Wie andere schon sagten, als ersten Nextcloud per https, ohne VPN testen. So kannst du die VPN-Verbindung ausschließen.
"Moderne" Fritzboxen wie die 7590 mit 7.21 sollten per VPN 8 MB/s schaffen, je nach Dateigröße und Anzahl usw.
Ob dabei der Download vom 100er DSL-Anschluss begrenzt, kann ich allerdings nicht sagen.

Zumindest die 4040 kannst du mit Wireguard betreiben, die damit 479 MBit/s schafft.
https://www.heise.de/select/ct/2019/17/1565706930595997/ct.1719.072-075.qxp_table_8453.html
https://www.heise.de/select/ct/2019...contentimages/amo.Netzwerkstruktur.gon_IG.jpg
https://www.heise.de/select/ct/2019/10/1557138646211569

 

[Autokiller677]

"Moderne" Fritzboxen wie die 7590 mit 7.21 sollten per VPN 8 MB/s schaffen, je nach Dateigröße und Anzahl usw.

Sollte die Dateigröße nicht egal für den VPN sein? Der sollte doch nur den Datenstream sehen, völlig egal, was dadrin passiert.

 

[Wilhelm14]

Anscheinend nicht, wenn man z.B. solche Tabellen sieht.
https://www.bintec-elmeg.com/produkte/informationen/informationen/rs-serie-performance/
https://www.bintec-elmeg.com/produkte/informationen/informationen/rxl-serie-performance/

 

[holdes]

Das gilt aber für die Größe der Ethernetpakete, nicht für die Dateien selbst.