Langsame Geschwindigkeit Site-to-Site-VPN OPNsense (Wireguard)

  • MTU bei Kabel auf IPv4:

    1500 – 20 Bytes (IPv4) – 8 Bytes (UDP) – 32 Bytes (WG) = 1440 Bytes


    Bei IPv6 40 Bytes abziehen anstatt 20.


    Aber mal der Reihe nach.

    1. ICMP (Ping Echo Response) temporär auf WAN erlauben

    2. MTU am WAN Interface Zuhause und in der Remote Firewall auf 1500 setzen

    3. Prüfen mittels MTU-Checker (Google kennt mehrere)

    4. Entweder es passt direkt, oder du reduzierst die MTU bis es genau passt.


    Die WG MTU ist 60 (IPv4) oder 80 (IPv6) bit weniger als die WAN MTU.


    Solltest du ganz seltsame UDP Probleme haben, die sich nicht greifen lassen:

    Hast du von DS Lite auf DS umstellen lassen? Im Zweifel mal den Support anrufen und um Abschaltung von "DS LIte" bitten.

    Bei mir hat danach UDP zuverlässig funktioniert.


    Hint1: Bei einem DSL Anschluss noch einmal 8 bit abziehen.

    Doppelte NAT müssten weitere Abzüge erfordern. Aber sowas machen wir ja nicht...


    Hint2: UDP und Wireguard über Mobilfunk ist oft reine Glückssache. Ich hab damit letztes Jahr ganz schlechte Erfahrungen gemacht. Da wird bei Last der UDP Traffic richtig fies gebremst.


    Hint3: Site2Site, wo die FW selber routen muss erfordert meistens eine explizite Definition der Gateways. Wenn du nur WG intern routest via Keys, dann ist das ziemlich egal. Aber wenn du Netzwerkgrenzen überschreiten willst reicht es einfach die Gateways passend zu den WG interfaces anzulegen.


    So hab ich bei mir WG richtig stabil bekommen.

  • Vielen Dank für die Hinweise. Habe den MTU check für die öffentliche IP der remote OPNsense durchgeführt und er schlägt 1472 vor. Wie ich dasselbe bei der OPNsense home machen soll, ist mir nicht ganz klar - die hat ja keine öffentliche IP. Oder soll ich hier auf die öffentliche IP meines Anschlusses testen? Oder kann ich 1472 auf beiden OPNsense am WAN interface setzen?

  • Ich habe mal 1472 bzw. 1412 gesetzt und habe das Gefühl, es ist sogar schlechter geworden. Vielleicht hat es sich auch nicht verändert. Ich bin aber nicht ganz sicher, welche Messung hier Schlussfolgerungen zulassen würde.


    Ich denke eher, dass das Problem auf Netcup-Seite liegt. Bzgl. der Anbindung Zuhause muss man halt wissen, dass die zur Verfügung stehende Geschwindigkeit nicht konstant ist und Vergleichsmessungen daher sicherlich schwierig. Das ergibt iperf zwischen einem Remote-Server und der OPNsense remote:


    Das ist ja eigentlich nicht so schlecht, da 250 MBit/s-Anbindung. Gleichwohl bekomme ich bei einem Download auf diesen Server nur einen Bruchteil der Geschwindigkeit. Bremst Netcup hier irgendetwas bei den kleinen VPS?

  • Die WG MTU ist 60 (IPv4) oder 80 (IPv6) bit weniger als die WAN MTU.

    Vorsicht: Bit und Byte gehen bei dir durcheinander. Die Rechnungen sind so nicht richtig.

    Doppelte NAT müssten weitere Abzüge erfordern. Aber sowas machen wir ja nicht...

    Nein, bei Doppel-NAT werden Adressen lediglich ausgetauscht, aber nicht hinzugefügt.


    Hast du von DS Lite auf DS umstellen lassen? Im Zweifel mal den Support anrufen und um Abschaltung von "DS LIte" bitten.

    Das hat ebenfalls keinen Einfluss auf die Performance.


    Hint1: Bei einem DSL Anschluss noch einmal 8 bit abziehen.

    Das müssen ebenfalls Byte sein.

    Site2Site, wo die FW selber routen muss erfordert meistens eine explizite Definition der Gateways.

    Da die Verbindung Ende-zu-Ende ja möglich ist, wird das Routensetup stimmen.



    Ich bin aber nicht ganz sicher, welche Messung hier Schlussfolgerungen zulassen würde.

    Im Zweifel immer die iperf Messungen.

  • Was du noch mal versuchen könntest, ist ein iperf3 Speedtest ohne VPN auf die öffentlichen IPs, aber mit UDP anstatt TCP. Ich hab schon mal gelesen, dass Kabelanbieter angeblich UDP ausbremsen. Ich glaube es zwar noch nicht so wirklich, aber wir sollten es ausschließen.

  • Ich muss mich entschuldigen! Ich habe bei den Download-Tests nicht darauf geachtet, dass der Download ja auf den per Ordnerumleitung umgeleiteten Download-Ordner erfolgt. Die Umleitung geht auf die Home-Seite! Demnach ist es doch nur ein VPN-Problem und ich muss das Problem evtl. Zuhause suchen.


    Ich werde dann mal mit deinem letzten Vorschlag anfangen.

  • Was du noch mal versuchen könntest, ist ein iperf3 Speedtest ohne VPN auf die öffentlichen IPs, aber mit UDP anstatt TCP. Ich hab schon mal gelesen, dass Kabelanbieter angeblich UDP ausbremsen. Ich glaube es zwar noch nicht so wirklich, aber wir sollten es ausschließen.

    Jetzt verstehe ich gar nichts mehr. iperf3 spuckt mir nun Fehlermeldungen aus, auch an öffentliche Server.

  • Hab's wieder hinbekommen.


    Hier erst einmal mit TCP:


  • Mit UDP:


    Das ist ja nun erstaunlich, oder? Soll ich noch mit -R messen?

  • Jetzt habe ich mehr als 50 MBit/s Upload? ^^