Das längste Thema

    Zitat von Hille

    Ne gute Kombi wäre aus meiner Sicht


    Frankfurt/Nürnberg, Amsterdam, Paris, London

    ja das braucht man auch wenn man die 2000 ms minimum ladezeit der seite mit 10ms nameserver in grenzen halten will - bei meinen 300ms für die Seite plus 80ms für Spanien liege ich immer noch mit mindestens 1400ms vorne ;) das reicht mir.

    Screenshot 2026-04-19 at 12.42.31.png

    Screenshot 2026-04-19 at 12.50.57.png

    The universe tends toward maximum irony. Don't push it.

    Einmal editiert, zuletzt von webdesignheld (19. April 2026 um 12:52)

    Zitat von darkstar

    Aber gibt es da auch etwas, was real (annähernd) 1 GBit/s über einen IPSec-S2S-Tunnel schiebt?

    Der Flaschenhals ist die Verschluesselung von IPsec, weniger die Hardware. Der realistische Durchsatz liegt bei etwa -- oder besser gesagt, "nur" 75 MBit.

    Vergleich doch mal die Hardware gaengiger Firewallprodukte, dort wird der IPsec Passthrough fast immer mit angegeben, i. d. R. zwischen 50 und 100 MBit, je nach Verschluesselungsalgorithmus und sonstigen Sicherheitsfeatures. Ist wie bei einem Proxy auch, wenn IPS/IDS, Virenscanner usw. dazwischengeschaltet werden.

    Luefterlose Hardware gibt es en masse, selbst Cisco bietet mit der CBS 250 Reihe luefterlose managed Switches fuer das Buero an. Anbieter wie Protectli bieten dann die Hardware fuer den Proxmox Hypervisor / Hardware Firewall / Linux Server, ebenfalls passiv gekuehlt. Ein kleiner Luefter direkt ueber der passiv gekuehlten Hardware in einem kleinen Netzwerkschrank bewirkt dann wahre Wunder. In meinem Buero ist es schon seit Jahren fluesterleise, keine aktiven Komponenten mehr.

    There are only 10 types of people in the world: those who understand binary, and those who don't.

    Zitat von ckd

    Der Flaschenhals ist die Verschluesselung von IPsec, weniger die Hardware. Der realistische Durchsatz liegt bei etwa -- oder besser gesagt, "nur" 75 MBit.

    Verschlüsselung muss keine Bremse sein. Realistisch ist "wirespeed", wenn man die Hardware geeignet auswählt. Die Verschlüsselung wird allerdings oft im Software-Pfad von der CPU erledigt, und die ist immer noch meist nur gerade schnell genug zum Pakete schubsen, nicht um die Daten irgendwie zu verarbeiten. Viele nicht mehr ganz frische CPUs scheitern ohne Hardware-Offloading sogar schon am reinen Durchleiten der Pakete, wenn es in Richtung Gigabit geht.

    Zitat von NaN

    Verschlüsselung muss keine Bremse sein. Realistisch ist "wirespeed", wenn man die Hardware geeignet auswählt. Die Verschlüsselung wird allerdings oft im Software-Pfad von der CPU erledigt, und die ist immer noch meist nur gerade schnell genug zum Pakete schubsen, nicht um die Daten irgendwie zu verarbeiten. Viele nicht mehr ganz frische CPUs scheitern ohne Hardware-Offloading sogar schon am reinen Durchleiten der Pakete, wenn es in Richtung Gigabit geht.

    FastPath‑Beschleunigung für IPsec VPN haben mittlerweile viele Hardwarehersteller fuer Firewalls, um genau diesen Effekt abzumildern.

    Das ist beispielweise auch der Grund, warum du bei aktivem IPsec VPN auf den Smartphones dem Akku beim Fallen zuschauen kannst -- viele Firmen haben das bis heute nicht auf dem Schirm, wenn die Chefs mal wieder mit ihren Apple Geraeten rumposen. :)

    There are only 10 types of people in the world: those who understand binary, and those who don't.

    viel gruen, ein paar orange und ein paar url not found (aber weniger als netcup) - ich installiere grad dns benchmark von github - ich wusste nicht das man nur 6 frei hat - jetzt komme ich nicht mehr an meine ergebnisse.

    The universe tends toward maximum irony. Don't push it.

    Zitat von Win98SE4ever

    ich meinte ns1 in Finnland

    ja ich weiss nicht so recht was das ist ich hab auf konsole und cloud compute gedrueckt und dann einen server materialisiert - ich schau mal was das ist...

    debian CX23| x86| 40 GB - und die behaupten der hat 4GB RAM was natuerlich viel zu viel ist.

    The universe tends toward maximum irony. Don't push it.

    2 Mal editiert, zuletzt von webdesignheld (19. April 2026 um 20:17)

    Zitat von ckd

    Der Flaschenhals ist die Verschluesselung von IPsec, weniger die Hardware. Der realistische Durchsatz liegt bei etwa -- oder besser gesagt, "nur" 75 MBit.

    Exakt das ist das Thema. CPU rödelt auf den Routern bei 99% Auslastung weil über den Tunnel Backups laufen.
    Daher geht es schon primär um mehr CPU-Leistung. Und um Router, die vielleicht tatsächlich mit mehr als einem Core umgehen können und die S2S-Verschlüsselung nicht nur auf einem Core abarbeiten… Meint: auch mit einer 192 Core-CPU kann man da erstaunlich schlechte Ergebnisse erzielen.

    Zitat von ckd

    Vergleich doch mal die Hardware gaengiger Firewallprodukte, dort wird der IPsec Passthrough fast immer mit angegeben, i. d. R. zwischen 50 und 100 MBit, je nach Verschluesselungsalgorithmus und sonstigen Sicherheitsfeatures. Ist wie bei einem Proxy auch, wenn IPS/IDS, Virenscanner usw. dazwischengeschaltet werden.

    Das weiß ich ja und da bin ich ja mit 50 MBit down längst, da gehen mit Kompression auch mal 7-8 MB/s drüber. Da ist aber Ende der Fahnenstange - nicht nur für das VDSL sondern vor allem auch für die CPU des Routers. Mir geht es da eher um Faktor 20 bis 200. Natürlich i.d.R. verteilt aber im Maximum auch auf einer Verbindung bis 1 GBit/s oder 10 Gbit/s.

    Zitat von ckd

    Luefterlose Hardware gibt es en masse, selbst Cisco bietet mit der CBS 250 Reihe luefterlose managed Switches fuer das Buero an. Anbieter wie Protectli bieten dann die Hardware fuer den Proxmox Hypervisor / Hardware Firewall / Linux Server, ebenfalls passiv gekuehlt. Ein kleiner Luefter direkt ueber der passiv gekuehlten Hardware in einem kleinen Netzwerkschrank bewirkt dann wahre Wunder. In meinem Buero ist es schon seit Jahren fluesterleise, keine aktiven Komponenten mehr.

    Protectli ist schonmal ein Ansatz, da sieht man auch etliche Modelle mit real 1GBit+-Durchsatz, bei knapp über 4 GBit ist mit IPSec (5 GBit mit Wireguard) aber definitiv auch mit dem größten Gerät Schluss.

    Da hatte ich schon nachgeschaut, aber wenn mir ein Computer sagt, alles in Ordnung, dann glaube ich das halt nicht so ohne weiteres, vor allem nicht, wenn es bei zwei Providern nicht funktioniert, und heute ist nicht morgen, jedenfalls noch nicht.

    Zitat von darkstar

    Exakt das ist das Thema. CPU rödelt auf den Routern bei 99% Auslastung weil über den Tunnel Backups laufen.
    Daher geht es schon primär um mehr CPU-Leistung. Und um Router, die vielleicht tatsächlich mit mehr als einem Core umgehen können und die S2S-Verschlüsselung nicht nur auf einem Core abarbeiten… Meint: auch mit einer 192 Core-CPU kann man da erstaunlich schlechte Ergebnisse erzielen.

    Das weiß ich ja und da bin ich ja mit 50 MBit down längst, da gehen mit Kompression auch mal 7-8 MB/s drüber. Da ist aber Ende der Fahnenstange - nicht nur für das VDSL sondern vor allem auch für die CPU des Routers. Mir geht es da eher um Faktor 20 bis 200. Natürlich i.d.R. verteilt aber im Maximum auch auf einer Verbindung bis 1 GBit/s oder 10 Gbit/s.

    Protectli ist schonmal ein Ansatz, da sieht man auch etliche Modelle mit real 1GBit+-Durchsatz, bei knapp über 4 GBit ist mit IPSec (5 GBit mit Wireguard) aber definitiv auch mit dem größten Gerät Schluss.

    Die Sophos Appliances koennen das, dank eines dedizierten Chips der die FastPath-Beschleunigung macht. Selbst die kleinsten Appliances sind dort mit 6 GBit/s angegeben bei IPsec Passthrough. Die spannende Frage, was ist dir das wert -- denn unter 4k im Jahr kommste da nicht weg und die Hardware Appliances wurden absichtlich inkompatibel gemacht mit der (kostenlosen) Softwareversion. ^^

    https://www.sophos.com/de-de/products/next-gen-firewall/xgs-smb-branch-office-firewalls

    There are only 10 types of people in the world: those who understand binary, and those who don't.