Langsame Geschwindigkeit Site-to-Site-VPN OPNsense (Wireguard)

  • Öffentliches Netz mit -R:


  • Antijurist: Damit du das Problem für dich besser einkreisen kannst, habe ich mal spaßhalber von deinem Server zu meinem beim Mitbewerber in Frankfurt am Main und zu meinem bei Netcup angemieteten Root-Server in Nürnberg je eine Bandbreitenmessung durchgeführt. Siehe folgende Ergebnisse:


    Bandbreitenmessung vom Netcup-Server eines Kunden zum Server beim Mitbewerber in Frankfurt / Main mit einer garantierten Bandbreite von 1 Gbit/s:


    Bandbreitenmessung vom Netcup-Server eines Kunden zu mir zum RS bei Netcup in Nürnberg mit einer nicht garantierten Bandbreite von 2,5 Gbit/s:

  • Arbeitest du für Netcup oder wie? Und du hast meine öffentliche IP woher? Habe ich irgendwo vergessen zu anonymisieren?


    Vielen Dank für deine Messungen.

    Leider kann ich selbst aus den Messungen nicht all zu viel herauslesen. Daher benötige ich ja die Hilfe.

  • Arbeitest du für Netcup oder wie? Und du hast meine öffentliche IP woher? Habe ich irgendwo vergessen zu anonymisieren?

    Nein. Wer aber sehr aufmerksam deine Posts hier liest, kann auch herauslesen, auf welchen Server dein iperf3 als Server läuft.


    Leider kann ich selbst aus den Messungen nicht all zu viel herauslesen. Daher benötige ich ja die Hilfe.

    Diese Messungen von mir sollten dir eigentlich aufzeigen, dass das Problem eher dein Anschluß deines Internetproviders ist, da so wie ich es hier verfolgt habe, die von dir gebuchte Bandbreite von 1 Gbit/s einfach nicht erreicht wird.

  • Der Internetprovider spielt mit Sicherheit eine Rolle, im Moment aber wohl noch nicht die entscheidende (wobei wir im weiteren Verlauf durchaus noch dahin kommen können).


    Nur, um das noch mal sicherzustellen: Die 192.168.133.1 ist das Ende des VPN Tunnels, richtig? Da ist kein VLAN oder ähnliches involviert? Der VPN Tunnel wird zwischen einem Router bei dir zu Hause und dem VPS bei Netcup aufgebaut, und du hast von einem Endgerät zu Hause (hinter diesem Router) und dem VPS den Speedtest über den VPN Tunnel gemacht, richtig?

  • Ich habe ja auch Probleme mit Downloads nur auf Netcup-Seite. Das hat mit der heimischen Geschwindigkeit ja nichts zu tun.


    192.168.133.1 ist die OPNsense auf Netcup-Seite, also Ende des VPN-Tunnels, ohne VLAN. VPN wird folgendermaßen aufgebaut: OPNsense Home (virtualisiert per ESXi) - Router home - OPNsense Netcup.


    Ich habe zwei verschiedene Speedtests gemacht, einmal durch den Tunnel, einmal ohne. Jeweils von demselben Endgerät Zuhause.

  • Ja, dann können wir festhalten, dass die VPN Verbindung defintiv erst mal optimiert werden muss.


    Ein Grund für die Probleme könnte mangelnde CPU Leistung sein, oder auch eine schlechte Netzwerkkonfiguration (MTUs etc). Fangen wir erst mal zu Hause an, die Netcup Seite kommt dann im zweiten Schritt.

    OPNsense Home (virtualisiert per ESXi)

    Was ist denn da das Host System? Wie ist die Netzwerktopologie auf dem Host und den VMs? Hast du aus der OPNSense Home heraus eine gute Geschwindigkeit zu öffentlichen Servern?

  • Mit Host-System meinst du die Hardware? ESXi wird ja ein Begriff sein.


    Könnte ich dann die Geschwindigkeit mit einem iperf von und an einen öffentlichen Server testen? Mit welchen wäre das möglich bzw. gibt es Empfehlungen?

  • Der Downstream bringt nur gut die Hälfte des zu erwartenden Wertes. Aber er liegt auf Höhe des Tests vom Client in deinem Heimnetz. Sprich: Die OPNSense Home an sich ist nicht das Nadelöhr, da die Datenrate deutlich über der des VPN Tunnels liegt.


    Du hattest während des Tests über die VPN Verbindung schon mal die Systemauslastung im Blick behalten, richtig? Wo gabs mehr CPU Last? Auf der OPNsense Netcup oder der OPNsense Home? Behalte nicht nur die CPU Last im Auge, sondern auch die Interrupt Last.

  • Ich würde das dann während eines Datei-Kopiervorgangs testen, da ich dann entsprechend mehr Zeit habe. Um diesen geht es mir ja auch primär. Das wäre in Ordnung?


    Könntest du mir hier die optimalen Parameter für "top" nennen oder ggf. eine Alternative? Evtl. ist es auch ein Problem der Syntax gewesen und ich habe ggf. nicht alles gesehen.

  • Bei Dateioperationen ist ein Einfluss der Massenspeicher natürlich nicht auszuschließen. Wenn die Kopieroperationen allerdings genauso schnell laufen, wie iperf3, dann fällt das für den Test nicht ins Gewicht.

    Also, CPU-Auslastung (WCPU) jeweils bei ca. 20 % (mal mehr, mal weniger). Interrupt ist lokal bei max. 1,1 %, bei Netcup max. 0,3 %.

    Das hört sich erst mal nicht wirklich schlimm an.

  • Auffällig ist halt, dass die Geschwindigkeit nach ein paar Sekunden einschläft.

    Das ist interessant. D.h., es startet schnell und wird dann langsamer? Das hört sich so an, als ob da ein Traffic Shaping oder Congestion Control greift. Wireguard nutzt ja kein TCP, von daher fallen TCP Algorithmen eigentlich raus. Aber ein Traffic Shaping könnte natürlich sein. Hast du da mal was eingerichtet?


    Ansonsten sind natürlich MTU Werte noch wichtig. Wie sind die für den Tunnel eingestellt?

  • Ja, genau. Es startet mit 10-20 MB/s und wird dann langsamer. Bewusst eingestellt habe ich in diese Richtung nichts. Wie könnte ich das überprüfen? Wäre das auf Ebene der OPNsense oder könnte das auch auf Ebene des Windows Server OS relevant sein (kann ich mir aber kaum vorstellen)?


    MTU für die wireguard-Schnittstellen habe ich auf 1400 eingestellt. Vorher war nichts bzw. der Standard vorbelegt. Die Änderung hat m.E. aber keine Veränderung im Verhalten mit sich gebracht. Auf der WAN-Schnittstelle ist 1432 als MTU gesetzt, aber der LAN-Schnittstelle MSS 1300, sonst keine Veränderungen. Aber diese Werte habe ich auch nur als Fehlerbehebungsversuche gesetzt. Auch ohne diese war das Verhalten gleich.