Volle Prozessorlast bei download & OpenVPN

    Diese Seite verwendet Cookies. Durch die Nutzung unserer Seite erklären Sie sich damit einverstanden, dass wir Cookies setzen. Weitere Informationen

    • Volle Prozessorlast bei download & OpenVPN

      (info: Ich glaube diese Frage ist doch besser hier aufgehoben als in efw-forum.de/www/forum/viewtopic.php?f=8&t=254&p=2030#p2030 )

      Hallo liebe Endian Gemeinde!
      Ich hoffe dies ist der richtige Platz für mein Problem/Frage, an der ich schon beinahe verzweifel:

      Zunächst meine Systemangaben:
      AMD Phenom II X4 920 (4*2,8GHz)
      8 Gb DDR2 RAM
      MSI K9N2 Platinum Board (NVIDIA nForce 750a SLI)
      Raid-1 Sata II Platten 320 GB
      3 * 1Gb/s Netzwerkkarten (eine onboard)

      dann noch meine Konfiguration:
      Host Betriebssystem: Windows Server 2008 R2 (Datacenter) mit aktivierten Hyper-V
      Gast Endian efw 2.3
      Gast Windows Server 2008 R2 (Datacenter)


      Das Problem:

      Also Endian bekomme ich zum laufen und kann es auch wunderbar Konfigurieren für das ich diese Firewall liebe.
      (Komisch am Rande: nur wenn ich in dem Hyper-V manager Endian "ältere Netzwerkkarte"n hinzufüge erkennt diese sie)
      Ich habe schon beihnahe alles ausprobiert und weiß nich woran es liegen könnte, aber meine vdsl 50 Leitung lastet die Endian firewall komplett aus. Mit komplett meine ich, dass obgleich ich so ein schnelles System habe, die Geschwindigkeit so stark abfällt,dass das was an meinem PC noch ankommt nicht mal die Hälfte ( ca. max 20mbits) von dem ist wofür ich bei der Telekom bezahle.
      Wenn ich den Rechner direkt an den mistigen Speedport den sie mir mitgeliefert haben hänge bekomme ich volle Geschwindigkeit!
      Es kann doch nicht sein dass die in dem Speedport bessere Hardware verbauen als ich oben angeführt besitze?!!

      Schulterzuckend und Dienste testweise ausschaltend habe ich keine Verbesserung erwirken können. Endian bekommt genügend Arbeitsspeicher (1-4 Prozessor Kerne) aber immer das selbe Problem und je weniger Prozessoren desto schlimmer. :???:
      Nebenbei mit "top" habe ich beim download eine Auslastung von ca =100% (!) einer der Kerne und beim 2ten so um die 30-40% und beim dritten so gut wie keine genauso beim vierten keine.
      (Zusatz: Wenn ich am Host den Taskmanager starte sehe ich bei keinem der Kerne eine derart hohe Auslastung. In der overall-Anzeige des Hyper-V managers sehe ich eine zu dem genannten Problem plausible 25% Auslastung der insg 4 Kerne)

      Das Gleiche Problem in "Grün" im wahrsten Sinne des Wortes, denn nämlich wenn ich eine VPN-Verbindung herstelle und von meinem anderen (ebenfalls virtuellen) Server Daten hin und her schicke (im (vpn)-LAN , also von grün nach grün, oder violett nach violett in efw-farben) erreiche ich eine maximale Geschwindigkeit von <1 mb/s (meist um die 700 kb/s)

      Ich verzweifel und hoffe mir kann einer im Forum helfen der sich mit der Materie auskennt oder das gleiche Problem hat(te) :?: :!:

      Vielen Dank und einen schönen Abend noch
    • Re: Volle Prozessorlast bei download & OpenVPN

      Hallo B3nder,
      soweit ich das in Erinnerung habe gibt es Schwierigkeiten mit der Realtek RTL8111, du kannst versuchen den Treiber mit der Hand einzubinden
      ( efw-forum.de/www/forum/viewtopic.php?f=4&t=247&p=1479#p1479 ) ( Der Kommentar non jet-power ).
      Oder du nimmst mal andere Netzwerkkarten. Dein System sollte auch für eine 100 VDSL- Leitung dicke reichen.

      Gruß sabine
      EFW Version im Einsatz:
      2 x Endian UTM Enterprise Software Appliance 3.0.5
      1 x Endian Community 3.2.4
      2 x 2.5.1
      8 x 2.2 Final
    • Re: Volle Prozessorlast bei download & OpenVPN

      Hallo!
      Danke erstmal für die schnellen Antworten,
      Folgende Konfiguration (Hardware) ist vorhanden:

      Blaue (Wlan AP von D-link dahinter) und Rote Netzzwerkadapter sollen sein:

      2 mal "Digitus Netzwerkkarte 1000BaseTX 10/100/1000 Mbps, PCI" (DIGITUS DN-1011 mit Realtek Semiconductor)

      Grünes Netzwerk die on Board Netzwerkkarte des Bords "MSI K9N2 SLI Platinum - Motherboard - ATX - nForce 750a SLI" :

      Realtek RTL8211BL - Ethernet, Fast Ethernet, Gigabit Ethernet



      @mschoen
      Naja andere Virtualisierungen hab ich nur so ausprobiert:
      Windoof Server 2008 R2 virtualisiert und darauf VirtualBox installiert und damit dann Endian aufgesetzt, aber glaube das hat nichts gebracht... bin mir grad garnicht sicher, weil ich soviele sachen ausprobiert habe und bei nem Freund das Endian in Hyper-V ja auch stabil und schnell (allerdings nur DSL-16k) läuft.
      Wie gesagt erkennt Endian auch nur Netzwerkkarten wenn diese im Hyper-V (virtuelle Netzwerkkarten) als "alte Netzwerkkarte" deklariert und hinzugefügt wird.
      Welche da genau emuliert wird habe ich keine Ahnung, aber das würde sich noch herausfinden lassen.

      Im Prinzip könnte ich auch komplett auf die Virtualisierung von Endian verzichten, was mir natürlich auch am liebsten wäre, aber dabei besteht noch das Problem, das ich für meinen Dateiserver dann einen extra 2ten Rechner aufbauen müsste, um Windows Netzwerkfreigaben ins Netzwerk einzubinden. (kostet ja auch ne Menge Strom und ich denke der Rechner wäre bisschen Oversized nur für Endian ;) )

      VM ware habe ich noch nicht ausprobiert. Ich glaube ich muss dazu die VM-Server Version nehmen, die angeblich kostenlos ist. Aber Ich finde das ja nur eine Notlösung mit VMware zu arbeiten. Als GastOS des Hostes (WinS-2008R2) würdet ihr welches Windows empfehlen um auf ihr VM ware aufzusetzen ?

      Vielen Dank schon mal , aber ich hoffe ich bekomme doch noch eine Lösung um das direkt mmit Hyper-V zu machen!
      P.S: Mir ist noch eingefallen auf meinem Host habe ich nur die Windows Updates Installert. keine Programme/Treiber... warum auch wird ja alles erkannt, aber könnte darin der Hund begraben sein?
    • Re: Volle Prozessorlast bei download & OpenVPN

      Also Bei V;ware habe ich mich regestriert und mir ESXi runtergleaden. Nur kann ich das leider nicht installieren da meine Hardware komplett nicht erkannt wird und dann der Installationsprozess abgebrochen wird. :(
      Bleibt also nur Windows mit Hyper-V und VMware Server zu installieren auch auf dem Host.... und da dann es mal mit Endian versuchen.
      Hab im übrigen des Host grade neu aufgesetzt und hatte das gleiche Problem wieder, das die CPU auslastung eines meiner 4 Kerne bei normalen DSL6000 download schon zu 75-80% ausgelastet wird.
      Naja ich werde jetzt mal diese unsaubere aber anscheinend einzige lösung ausproberen Vware als programm zu installieren und da Endian reinzupacken.
      Falls euch noch irgendwas einfällt zu meinem Problem, bitte bescheit sagen.
    • Re: Volle Prozessorlast bei download & OpenVPN

      Also erstmal solltest du zum Testen nicht in einer virtualisierten Umgebung nochmal virtualisieren, das geht nahezu immer schief. Du kannst den VMware Server 2 verwenden, ist auch wirklich kostenlos. Alternativ kannst du zum Testen auch erstmal die Workstation 7 von VMware nehmen, nicht lizensieren, da sind erweiterte Funktionen zur Netzwerkkonfig drin, sonst würde auch der Player reichen. Die solltest du direkt auf dem W2K8R2 Host installieren, nicht virtualisiert, darin dann Endian installieren. Dort nimmst du als NIC die e1000 zum durchreichen. Berichte dann mal was das bringt.

      Der ESXi ist zwar kostenlos läuft aber fast ausnahmslos auf dedezierter Hardware. Da wird er deine NICs nicht erkennen und wahrscheinlich auch deine Platten nicht.

      Also erstmal die Workstation Testversion zum Probieren und dann sehen wir weiter...

      Gruß Marcus
    • Re: Volle Prozessorlast bei download & OpenVPN

      Zwischenbericht:

      Nachdem ich mir jetzt die ganze Nacht (und Tag) um die Ohren gehauen habe und dachte irgendeine Lösung wird es wohl geben habe ich schließlich ein workarround gefunden.

      Zunächt möchte ich aufzählen was ich alles probiert, im Lan (VPN-VPN) ausgetestet und soweit ich mich noch entsinnen kann dann doch gelassen habe:
      Nachfolgend immer in der vom Werk aus Standardconfig & Windowsübertragungsratenanzeige

      -Hyper-V kann man für Endian komplett vergessen wegen oben beschriebener Probleme (zumindestens mit meiner Hardware und der jetzigen Version 2.3)
      => Datendurchsatz von VPN zu VPN < 1MB/s bei voller CPU Auslastung

      - Virtual Box ist da schon eine bessere weil schnellere Virtualisierung im Zusammenspiel mit Endian
      => VPN-Datendurchsatz von VPN zu VPN ~1,5-2 MB/s bei voll ausgelastetem CPUkern den Endian anzeigt und damit der Durchsatz begrenzt wird

      - VMware Workstation ist bis jetzt das beste was ich gefunden habe. Neben anfänglicher Schwierigkeiten und kleiner Einarbeitung ins Programm zwecks ungewohntem Aufbau der Bridged-Adapter-Konfiguration und Ausschaltung der Automatik-bridge-Funktion klappt in ersten Tests soweit alles ( bis dato nur OpenVPN ausprobiert... Rest schreibe ich noch als Endresultat ins Forum)

      => VPN-Datendurchsatz von stabilen x,y MB/s und abwechselnder Lastverteilung (wechselnde CPU mit 100%Last) im Normalbetrieb und den Einstellung x CPUs,y Kernen beim Ziehen eines 2,5 GB grossen Windows Images vom Host als VPN User zu einem Windows 7 PC als VPN User über ROT nach GRÜN:

      (AMD-V):
      4,3 MB/s mit Spitzen zu 5 MB/s 4 Prozessoren, 1 Kern
      5,1 MB/s mit Spitzen zu 5,9 MB/s 1 Prozessor, 4 Kerne
      5,7 MB/s mit Spitzen zu 7 MB/s 2 Prozessoren, 2 Kerne
      6,7 MB/s mit Spitzen zu 6,8 MB/s 1 Prozessor,1 Kern
      9,2 MB/s mit Spitzen zu 9,4 MB/s 2 Prozessoren,1 Kern
      8,5 MB/s mit Spitzen zu 8,7 MB/s 1 Prozessor, 2 Kerne

      (AMD-V/RVI):
      8,6 MB/s mit Spitzen zu 8,8 MB/s 2 Prozessoren, 1 Kern
      4,7 MB/s mit Spitzen zu 5,2 MB/s 4 Prozessoren, 1 Kern
      _________________________________________________________________
      Ich entscheide mich für (AMD-V,2CPUs & 1Core each)

      Anmerkung: die VMware Workstation piept irgendwie beim hoch und runterfahren über den PC-Lautsprecher... sollen wahrscheinlich irgendwelche Statusmeldungen des Hdd mountens sein.. hat mich bisschen irritiert, dass der Server auf einmal das piepsen anfängt (Schreck am Morgen), aber nun gut ;) haupt Sache es läuft

      Zum Schluss noch ein paar offene Fragen in die Runde:

      -Zu den emulierten Netzwerkkarten weiß ich grad nicht wo ich das nachschauen kann bei VMware, aber Endian zeigt mir eine 100baseTx-FD an. Wo kann man die umstellen auf NIC e1000 ???
      Warum unterstützt eigentlich Endian keine 1000 Mbit karten ?
      Ich hab ja welche drinn! Aber das wird wahrscheinlich durch den Router an ROT kommen, da ich mich mit meinem anderen WindowsPC über den ich mich mit VPN von Rot her connecte, der Switch des Routers und die Tests mache ich nur mit 0,1 Gb/s .

      - Was wäre das bessere/sicherere/schnellere Protokoll für OpenVPN TCP oder UDP ?

      -Wie stark hängt die Geschwindigkeit von der verwendeten Schlüsselstärke ab? Und wie sicher sind Schlüsselstärken < 2048 Bit ?
      Vielleicht falsches Forum hierfür *sorry*

      -Kann man die Endian aus Angreifer Sicht eventuell umgehen wenn sie in der VMware läuft und gebridged ist und beim Host alle bis auf das Brückenprotokoll ausgeschaltet sind (Abgesehen von manuellen Eingreifen physisch oder Software einschmuggelnd auf den Host)?

      -Kann ich durch 2 Router einen Port Forwarden ohne Probleme?

      So soweit so gut getestet, die Nacht war auch lange genug für nen Physikstudenten ;)
      Ich probier evtl noch IPCOP aus ob das unter Hyper-V läuft, aber eigentlich wie schon gesagt bin ich mit Endian bis auf die nachzubessernde Unterstützung mit Treibern/Plattformen ect.. SEHR zufrieden.

      Grüße und Gut Nacht
    • Re: Volle Prozessorlast bei download & OpenVPN

      Die Werte die du max. erreichst sind nicht schlecht, ich hab mal ohne OpenVPN einen Test mit zwei Gigabit-Karten gemacht etwas von Orange nach Grün oder anders herum zu kopieren und bin auf jämmerliche 5mb/s gekommen. Bei GBit-NICs und keine Proxys, kein IDS usw. angeschaltet. Als System hat ich einen DualCore Atom 330 mit 2 GB RAM...

      Bei mir frisst die OpenVPN-Verschlüsselung bei 120kb/s max über die Leitung ca. 20 kb/s...

      Unter RSA 2048 würde ich nichts verwenden, 768er wurde gerade geknackt und die 1024er scheint nicht weit. Daher bist du mit 2048 gut beraten.


      Ich seh gerade in der WS 7 kannst gar nicht mehr umstellen mit den NICs, der wird dann wohl standardmäßig die e1000 nehmen. Kannst über die Konsole deiner endian auch einfach mit lspci überprüfen, welche die WS 7 ihm anbietet.

      Forwarden sollte klappen...

      Wenn natürlich ein Bug in der WS 7 ist, kann der Angreifer auch Ausbrecher aus VM eventuell...

      Gruß Marcus
    • Re: Volle Prozessorlast bei download & OpenVPN

      Nun, ich verwende die 3072Bit Verschlüsselung. Vielleicht probier ich dann mal nen kurzen durchsatztest mit ner 2024er aber meine Werte scheinen ja wirklcih mehr als ok zu sein :-).

      Wegen der Sicherheit und dem Ausbrecher:
      Damit es einen Ausbrecher überhaupt geben kann müsste ein Angreifer doch erst das Gastsystem unter seine Kontrolle bringen und dann verscuhen auszubrechen, oder sehe ich da was falsch?!? Das heißt also dass er erstmal Endian kapern müsste, naja wenn er das schafft dann respekt, ist ja geFIREwalled und mit Kennwort und ohne SSH ausgestattet...aber prinzipiell haste natürlich recht!
    • Re: Volle Prozessorlast bei download & OpenVPN

      "mschoen" schrieb:

      Hab gerade meine efw virtualisiert auf meinen ESXi 4 U1 und ich muss sagen, dass ding langweilt sich ohne Ende. Ich hab 2 CPUs und 1 GB zugeordnet. OpenVPN läuft und ist super schnell...


      Herzlichen Glückwunsch ! :D
      Welche Hardware hast du verwendet? weil ESKi ja nur angeblich spezielle Hardware verkraftet!
      Ich muss sagen mit vmware workstation 7 läuft das vdsl50 auch recht schnell und stabil und open vpn klappt auch wunderbar, das einzige was ich gerne noch wissen wollte ist wegen snort.

      SNORT eingeschalten und der downstream sinkt auf 20000kbit/s (und geringer aber meist so um die). Schalte ich hingegen Snort aus so steigt der Downloadspeed auf über 35-40000kbit/s.
      Gibt es irgendwelche Tipps wie man nur das Wichtigste von snort verwendet? Also welche Regeln muss man unbeding anhaben und welche kann man in hinblick auf verformance Gewinn vernachlässigen?
      Ich würde ja gerne die Protokollierung auschalten, aber das geht irgendwie nich ;)
      Grüße und schönen Montag

      /edit:
      Ergänzug : auch wenn ich snort zwar aktiviert habe aber alle Regeln deaktiv markiert habe bemerke ich starke Geschwindigkeitseinbusen. Also für wie wichtig haltet ihr snort in Bezug auf Sicherheit des Netzwerkes.
      Endian ist ja obendrein noch hinter einer Routerfirewall (bzw. NAT, ich weiß nicht ob der Speedport von der Telekom SPI macht oder nicht). Kann ich das in meinem Fall deaktiviert lassen? In unserem Netzwerk gibts ja eh nichts für Hacker interessantes, was den Aufwand durch das Speedport und die Endianfirewall einzudringen rechtfertigen würde. Da gibts meiner Meinung nach interessantere und leichter zu kapernde Ziele. Bin ich mit meiner Ansicht so falsch?
    • Re: Volle Prozessorlast bei download & OpenVPN

      Hallo zusammen,

      der letzte Post ist zwar schon was älter aber ich möchte noch mal auf das Performanceproblem in Hyper-V zurückkommen. Ich würde in der Firma gerne eine Endian in einem Hyper-V Cluster bereitstellen weil dort eine HA Lösung für einen bestimmten Netzteil notwendig ist. Problem ist der mangelnde Durchsatz von ~3MB/s wenns hoch kommt. Ich habe auch mal IP-Cop ausprobiert, dort sind es ~4-5MB/s.

      Hält es jemand für möglich die Hyper-V Integratinstools für Linux in Endian zu integrieren? Im Endeffekt sind es nur ein paar Treiber und ein Perl-Skript. was unter folgendem Link zu erhalten ist. In der Exe ist ein Iso, welches sich in das Gastsystem mounten lässt. Nach der Aussage von Microsoft bin ich optimistisch dass dies eventuell die Perfomance verändern könnte.

      microsoft.com/downloads/de-de/…9f-41cf-b5eb-74d0595ccc5c

      Unterstütz werden von Microsoft folgende Systeme:

      "Supported Guest Operating Systems
      This version of the Linux Integration Components supports the following guest operating systems and virtual CPU (vCPU) configurations:
      SUSE Linux Enterprise Server 10 SP2 x86 and x64 (1 vCPU)
      SUSE Linux Enterprise Server 11 x86 and x64 (1 vCPU)
      Red Hat Enterprise Linux 5.2, 5.3, and 5.4 x86 and x64 (1 vCPU)"

      Leider habe ich von Endian zu wenig "root-Erfahrung" um diese Treiber dort zu integrieren. Es scheint mir so als wenn bei EFW 2.4.1 sowieso alles schreibgeschützt ist, oder?

      Gruß, Lownex

      [ich habe dafür extra einen eigenen Thread eröffnet, also bitte hier posten]
      efw-forum.de/www/forum/viewtopic.php?f=45&t=977
    • Re: Volle Prozessorlast bei download & OpenVPN

      Hallo mschoen,

      da gebe ich Dir Recht, wobei mich das ganze eigentlich nicht stören würde wenn der Datendurchsatz netzintern nicht so bescheiden wäre. Das Problem ist dass ich mehrere Netzwerksegmente habe welche unter Umständen Daten untereinander bewegen müssen. Dort erreiche ich leider nur 3-5 MB/s. Die meisten User würden dies ja über eine WAN-Leitung garnicht mitbekommen. Das Problem ist dass ich Endian in einem HA-Cluster betreiben möchte, und da ist VMware ESX für mich grade nicht machbar. An sonsten läuft die Endian ja unter Hyper-V.

      Kannst Du mir sagen wie der Datendurchsatz unter VMware ist?
    • Re: Volle Prozessorlast bei download & OpenVPN

      Aja, zur Ergänzung. Ich habe mal ein Konkurenzprodukt "IPFire" ausprobiert. Dort sind die Kernelmodule für Hyper-V enthalten und können durch die Anpassung der Konfigurationsdateien aktiviert werden. Komischerweise läuft das zuerst ganz gut und dann ist die WAN Netzwerkkarte plötzlich ohne Funktion. Neustart und die Sache geht wieder für 3 Minuten - komisch. Dummerweise kann man in der Endian ja nichtmals auf die üblichen Konfigdateien zugreifen weil diese garnicht vorhanden sind...