VPN Performance / Zugriff

[Mac1309]

Guten Tag in die Synology-Runde .

Ich bin seit Montag Besitzer einer DS212j und habe die letzten beiden Tage damit verbracht mich etwas mit dem DSM und den Möglichkeiten vertraut zu machen.

Einen Großteil meiner Wünsche bzw. Anforderungen an die DS konnte ich erfüllen/umsetzen, allerdings kämpfe ich noch mit der VPN-Anbindung.
Bisher läuft die Datensicherung meiner privaten Daten über eine (Hamachi)LogMeIn-(Pseudo)-VPN-Verbindung zwischen einem externen Root-Server und meinem internen Windows 2008 R2-Server.
Bei der bisherigen Verbindung gibt es nichts zu meckern, alles läuft rund und auch recht performant. Never touch a running system ist mir bewusst, aber warum soll ich nicht die VPN-Möglichkeit der DS nutzen, wenn vorhanden und somit den LogMeIn-Dienst einmotten ?!

Nun habe ich den VPN-Server installiert und PPTP und OpenVPN eingerichtet und getestet. Dabei fallen mir 2 Dinge auf, wobei der 2. Punkt der "Übelste" ist.
1. Nach erfolgreicher Verbindung über VPN (egal ob PPTP oder OpenVPN) kann zwar die DS einen Remoteordner erstellen und per vergebenen IP auf den externen Server / Freigabe zugreifen, aber der externe Server findet die DS weder über den Netzwerknamen, noch über die "interne" IP.
2. Die Performance von Dateizugriffen/Übertragungen sind UNTERIRDISCH...wenn ich eine Datei vom externen Server auf die DS ziehe, wird diese Datei mit ca. 50-300kb/s übertragen. Die CPU-Auslastung der DS liegt dabei bei 30-50%, also sollte die CPU nicht der Flaschenhals sein.
Bevor jetzt der Einwand der Leitung kommt: Ich bin damit vertraut, dass DSL != Lan und es bei Verbindungen über das Internet dessen Regeln gelten und nicht die des interenen Netzes .
Der externe Server steht im 1und1-Rechenzentrum und ist dort entsprechend mit 100 Mbit angebunden. Da es ein Root-Server ist, nutze nur ich die Kiste und zum Zeitpunkt der VPN-Verbindung steht die volle Bandbreite zur Verfügung. Auf meiner privaten Seite ist die DS in einem Gigabit-Netzwerk lokal eingebunden und nach außen mit einer Kabel 100 Mbit-Verbindung verbunden. Im Download stehen 100 Mbit (ca. 12,5 - 13 MBit/s) zur Verfügung und im Upload 6 MBit (ca. 700 kb/s). Über die derzeitige Hamachi-Verbindung laufen Dateitransfers in beide Richtung annähernd des Maximums ab, über die DS-VPN eben mit den oben angesprochenen (stark schwankenden) Werten.

Die VPN-Verbindung habe ich nach der hier verfügbaren Anleitung mehrfach durchexerziert.

Hier noch die Daten der DS und der VPN-Einstellungen:
IP-DS: 192.168.x.100
IP-VPN: 10.0.0.0/24 (auch schon versucht mit 192.168.100.0/24, etc)
Bei PPTP habe ich den Haken "Standardgateway für das Remotenetzwerk verwenden" gesetzt, aber egal ob gesetzt oder nicht gesetzt, es bleibt bei der Performance.
Bei MTU (PPTP) habe ich nun auch etliche Werte versucht, bin mir aber bei dem Punkt nicht sicher, was ich dort eintragen soll, getestet bisher 1400, 1492 und 1500.



Was mache ich nun falsch oder sind 1,2 Ghz wirklich zu wenig um "mickrige" ~10MB/s per VPN hinzubekommen ?

Aus meinen Erfahrungen mit FritzBox/en und Shrewsoft VPN weiß ich, dass auch mit einer "echten" VPN-Verbindung mehr möglich sein sollte. btw: ist es möglich mit Shrewsoft auf den DS-VPN zuzugreifen und ja, welche Einstellungen müsste ich in Shrewsoft vornehmen ?

Für Tipps wäre ich dankbar.

Gruß Mac

 

[jahlives]

Zuerst einmal hat OpenVPN ein Maximum von 10MBit/s. Das ist scheinbar den Konzept von OpenVPN geschuldet. Dann hast du bei VPN eine Verschlüsselung obendrauf, welche die Performance je nach Algo/Schlüssellänge nochmal kräftig drücken kann. Dann kommt noch die VPN Implementation von Synology dazu, die afaik ein NAT macht, was die Performance nochmals drückt.
Mein Tipp wäre: Schau dir mal das Wiki an. dort haben wir was zu OpenVPN von ipkg. Damit wäre kein NAT involviert, sondern man kann es via Routing machen, was deutlich schneller ist als NATen. Am schnellsten wäre es wenn das VPN gebridged wäre, was aber leider nicht geht, weil Syno die Bridgeunterstützung im Kernel nicht aktiviert hat.
Ich messe mal bei mir wie schnell ein "gebridgtes" OpenVPN ist und stell das hier rein

 

[jahlives]

Also hier mal die Messung bei mir. Zuerst von einem non-VPN-Client durch die Bridge ins OpenVPN und dann zum Server im RZ:

D:\>iperf.exe -c 10.66.77.5 -t 30
------------------------------------------------------------
Client connecting to 10.66.77.5, TCP port 5001
TCP window size: 8.00 KByte (default)
------------------------------------------------------------
[156] local 192.168.199.11 port 49462 connected with 10.66.77.5 port 5001
[ ID] Interval       Transfer     Bandwidth
[156]  0.0-30.0 sec  18.6 MBytes  5.18 Mbits/sec

Client ist ein Windows7 auf einem Billigstlaptop

Nun die Messung direkt zwischen zwei OpenVPN Punkten d.h. ohne Bridge

root@vesteralen:~ # iperf -c 10.66.77.5 -t 30
------------------------------------------------------------
Client connecting to 10.66.77.5, TCP port 5001
TCP window size: 16.0 KByte (default)
------------------------------------------------------------
[  3] local 10.66.77.1 port 52623 connected with 10.66.77.5 port 5001
[ ID] Interval       Transfer     Bandwidth
[  3]  0.0-30.0 sec    128 MBytes  35.8 Mbits/sec

client ist eine DS1511+ mit einem Debian Squeeze. Der Server ist derselbe wie beim Windowstest

 

[Mac1309]

Hallo jahlives,

vielen Dank für deine Ausführungen.
Das mit den 10Mbit und OpenVPN ist mir in den Netzwerkeinstellungen aufgefallen, wäre aber nicht ganz so dramatisch, weil ich die Datensicherung (also "schreiben") eh "nur" mit 6 MBit durchführen kann. Allerdings erreiche ich ja selbst im Lesemodus nur ca. 1-2,5 Mbit. Bei PPTP wurde aber mit 100-Mbit verbunden, hat die Übertragungsgeschwindigkeit leider nicht wirklich interessiert...

Wenn ich das richtig verstehe, ist die DS als NAT einfach mit VPN etwas überfordert.
Den Part mit dem ipgk habe ich schon gesehen, dass geht mir als Windows-ITler aber etwas zu weit und ich möchte ungern mit Console und hastenichtgesehen-linux-Befehlen weitere Stunden verbringen .

Es bleibt mir dann eben nur die Option, dass bestehende LogMeIn-Szenario weiterhin zu verwenden.
Ich hatte einfach die Hoffnung, dass ich eine Konfiguration übersehen hätte oder auf der Windows-Serverkiste nur einen bestimmten VPN-Client oder Einstellung gebraucht hätte.

Nochmals Danke !

Gruß Mac

 

[Puppetmaster]

Zum Schluß mußt du aber noch verraten, wer sich da im Hintergrund deines Desktop räkelt...!

 

[Mac1309]

Zum Schluß mußt du aber noch verraten, wer sich da im Hintergrund deines Desktop räkelt...!

U got a PN

Gruß Mac