Hohe Latenzen zu 1780EW-3G

[pal]

Hallo,

ich habe zur Zeit den 1780EW-3G als Router. Aktuell leide ich daran, dass die Latenzen zu und durch den Router sporadisch sehr hoch sind. Die Latenzen wandern dann zwischen 200 und 600 ms. Ab und zu sind kurze Lichtblicke drin und irgend wann ist der Spuk dann wieder vorbei, bis es wieder von vorne los geht.
CPU-Last liegt eigentlich immer so zwischen 15 und 30%. Auf den zwei Internetverbindungen (einmal ADSL mit 13 MBit und einmal CompanyConnect mit 8,6 MBit synchron) ist kaum was los.

Hat jemand eine Idee, was da los sein könnte? Schafft der Router vllt. nur eine bestimmte Anzahl an offenen Verbindungen? Mir fällt einfach nichts vernünftiges ein, was ich unternehmen könnte. Außer einen anderen Router besorgen - das könnte möglicherweise helfen.

Achja, die Firmware ist: 8.80.0135Rel

Ich sollte vielleicht noch erwähnen: ich bin per Kabel verbunden. Die Latenzen prüf ich einfach per Ping auf die Router-IP.


Danke und MfG,
PaL

[MariusP]

Hi,
Du bist der einzige der diesen Router verwendet?

CPU-Last liegt eigentlich immer so zwischen 15 und 30%.

Vor dem Wort "eigentlich" habe ich etwas Angst, daher:
In den "kritischen" Phasen steigt da der der Speicherbedarf und CPU des Gerätes stark an?
"rep 1 ls Status/Hardware-Info/Free-Memory-KBytes ; ls Status/Hardware-Info/CPU-Load-1s-Percent"

Gruß

[pal]

Hallo MariusP,

ich bin der Einzige, der diesen Router verwendet, stimmt.

Das 'eigentlich' ist ein etwas ungünstiges Füllwort von mir. Tatsächlich habe ich die CPU-Last nie über 30% gesehen.
Das Kommando von dir ist schon mal recht hilfreich für die Trickkiste. Vielen Dank. Die langsame Aktualisierung der Werte im LANmonitor ist eher ungünstig, wenn man den Wert beobachten möchte.
Ich werde morgen mit dem besagten Kommando beobachten wie die Werte sind, wenn was los ist. Jetzt mit kaum Verkehr sind die Werte die meiste Zeit i.O. mit lediglich einzelnen Ausreißern bis zu 200ms. Wohlgemerkt nur zum Router. Externe Netze sind nicht beteiligt. Die CPU-Last liegt jetzt bei 1-7%.

Arbeitsspeicher ist übrigens bei 66,3 MByte von 128 MByte. Im Trace rührt sich hier im Moment kaum was. Ich werde wie gesagt mich dazu morgen nochmal melden.

MfG,
PaL

[pal]

Ich habe die Latenzen und dazu die CPU und den Arbeitsspeicher nun einige Tage beobachtet. Ich konnte aber keinen Zusammenhang dazwischen herstellen.
Was ich gesehen habe ist, dass es durchaus Spitzen bei der CPU-Last um 60% Prozent gibt, die man so im LANmonitor nicht mitbekommt. Auf die Latenzen haben sich diese Spitze jedoch nicht sichtbar ausgewirkt.
Anders herum, wenn die Latenzen gerade sehr hoch sind, verhält sich die CPU-Last unauffällig. Damit meine ich, es schaut aus wie immer. Manchmal ist die Last ganz niedrig, so um die 5%, i.d.R. so zwischen 10 und 25%. Selten hab ich hier Spitzen über 40% gesehen.
Beim Arbeitsspeicher konnte ich gar keine echte Veränderung feststellen. Die Werte bleiben hier immer dicht an 67500 KBytes.

Ich werde mir nun vermutlich als kurzfristige Lösung den 1781EF+ zulegen. Der hat ja anscheinend mehr Leistung.

[MariusP]

Hi,
Versuch mal bitte deinen Aufbau und deine Konfiguration genauer zu beschreiben.
Dazu ob du irgendetwas Besonderes mit dem Router machst wie VPN oder so?
Diese "Phasen" kommen die in regelmäßigen Abständen?
Vom Load-Balacing habe ich leider wenig Ahnung und kann daher nicht sagen ob das Problem dort entsteht.
Was passiert denn wenn du nur einen der DSL-Anschlüsse testweise verwendest?
Gruß

[pal]

Hey MariusP,
ich weiß nicht genau, ob ich etwas besonderes mache, aber es läuft relativ viel über den Router.
Ich habe zwei WLAN-Netze, allerdings werden die nicht viel genutzt. Ein Standort ist per VPN angebunden. Dort befinden sich aber nur zwei Mitarbeiter. Ich habe 8 ARF-Kontexte für verschiedene Netze die ich trenne. Darunter befinden sich natürlich auch die 2 WLAN-Netze und das per VPN angebundene Netz. Der Rest sind lokale Netze.
Load-Balancing nutze ich nicht, da ich damit in der Vergangenheit schlechte Erfahrung gemacht habe. Der zweite Anschluss soll verhindern, dass das Surfen der Mitarbeiter die Performance der wichtigen Dienste runter zieht.
Ich habe um die 100 Firewall-Regeln, da ich mit DENY-ALL arbeite und alle Zugriffe explizit freigebe.
Mit nur einem DSL-Anschluss kann ich mal testen. Allerdings glaube ich, dass sich das genauso verhalten wird, da ich den 2. Anschluss geholt habe, nachdem ich zum ersten mal mit den Latenz-Problemen zu kämpfen hatte. Ich dachte mir damals, dass wir vermutlich einfach zu viele Connections offen haben und daher die Leitung verstopft.

Nächste Woche müsste irgendwann der neue Router kommen. Da bin ich mal gespannt, ob sich damit was ändert.

Ach ja .. ich habe zu den "Phasen" keine Regelmäßigkeit feststellen können. Das einzige was ich feststellen konnte ist, dass sie häufiger auftreten wenn mehr Nutzer am Netzwerk sind. Also wenn nur 4 Nutzer da sind gibt es nur recht selten Ausreißer. Bei 30 Nutzern treten dann immer wieder diese "Phasen" auf. So als Größenordnung ..

Vielen Dank fürs lesen (und Antworten )
Gruß,
PaL

[MariusP]

Hi,
Da du ja anscheinend kein Load-Balancer verwendest, wirst du deine Route statisch über die beiden Internet-Gegenstellen verteilt haben.
Nun die Frage, welche der Dienste VPN, Mitarbeiter sind auf welche Gegenstellen verteilt.
Du kannst du dabei mal "ls Status/WAN/Throughput/" anschauen dann siehst Du wieviel Up/Down bei dir auf den beiden DSLs los ist.
Vielleicht ist ja auf deinem 13MBit ADSL der Upload nicht ausreichend.
Über welche der Gegenstellen hast du denn den Ping wohin getestet?

Bei 30 Nutzern

Ich dachte es gebe nur dich und die 2 Mitarbeiter.

Gruß

[pal]

Ganz statisch sind die Routen nicht. Per Routing-Tag wird ein Großteil der ausgehenden http- und https-Verbindungen über die zweite Leitungen geroutet.

Nun die Frage, welche der Dienste VPN, Mitarbeiter sind auf welche Gegenstellen verteilt.

Also Dienste sind auf der VPN-Route alle erlaubt. Es sind zwei Mitarbeiter die per VPN angebunden sind. Sämtlicher Traffic der VPN-Verbindung läuft über den CompanyConnect-Anschluss.

Bzgl. "ls Status/WAN/Throughput/": den Durchsatz habe ich im LANmonitor ja schon beobachtet. Allerdings habe ich da ebenfalls keinen Zusammenhang zwischen Latenz und Traffic feststellen können, zumal die Latenzen ja unabhängig vom WAN-Interface bereits auftreten.

Vielleicht ist ja auf deinem 13MBit ADSL der Upload nicht ausreichend.
Über welche der Gegenstellen hast du denn den Ping wohin getestet?

Den Ping habe ich direkt auf den Router abgesetzt. In meinem Fall '192.168.40.10'.

Bei den besagten '2 Mitarbeitern' handelt es sich um die, die per VPN angebunden sind. Am lokalen Standort sind wir etwas über 40.

MfG,
PaL

[Bernie137]

Moin,

Ich habe um die 100 Firewall-Regeln, da ich mit DENY-ALL arbeite und alle Zugriffe explizit freigebe.

Das ist prinzipiell OK mit Deny-ALL, aber 100 Firewall Regeln ist ordentlich fett. Da würde ich ansetzen es zu vereinfachen.

Vielleicht denkst Du auch mal darüber nach, diese Konstellation auf mehrere Geräte aufzuteilen. Klingt nach eierlegender Wollmilchsau. Und eine Redundanz zu haben ist vielleicht auch nicht ganz verkehrt.

Viele Grüße
Heiko

[MariusP]

Hi,

ich bin der Einzige, der diesen Router verwendet, stimmt.

Am lokalen Standort sind wir etwas über 40.

Wie denn nun?

Den Ping habe ich direkt auf den Router abgesetzt. In meinem Fall '192.168.40.10'.

So viel Delay auf dem Ethernet klingt natürlich hart.
Also ist der Hauptverdächtige doch eine irgendwie ausgeartete Auslastung des Routers.
Ich schau mal was ich noch rausbekomm.
Gruß

[backslash]

Hi pal,

hast du die Latenzen nur auf den zwei VPN-Verbindungen oder auch ins Internet?
Sind die VPN-Verbindunegn "nativ" oder nutzt du IPSec-over-HTTPS?

Gruß
Backslash

[MariusP]

Den Ping habe ich direkt auf den Router abgesetzt. In meinem Fall '192.168.40.10'.

So viel Delay auf dem Ethernet klingt natürlich hart.

Also auf jedenfall auch auf den Router an den er wohl direkt angeschlossen ist.

[pal]

Oh Hallo, so viele Antworten. Das freut mich.

@Bernie137
Ja, ein paar Firewall Regeln könnte man vermutlich vereinfachen. Aber ein Großteil ist glaub ich tatsächlich notwendig. Wir haben z.B. ca. 20 öffentliche IP4-Adressen auf denen extern erreichbare Services laufen. Dann haben wir ein getrenntes Netz mit VMs, die sich zu Kundensystemen per VPN (der VPN-Client hat hier nix mit dem Router zu tun) verbinden. Hier haben viele Systeme eigene Regeln.
Es gibt einfach viele Ausnahmen. Grundsätzlich sollten viele Firewall-Regeln ja kein Problem sein, oder? Mal abgesehen davon, dass man leicht den Überblick verliert.
Den Router auf mehrere Geräte aufteilen werde ich demnächst machen. Ich habe ja den 1781EF+ bestellt und werden dann nur noch das WLAN über den 1780EW-3G laufen lassen. Vor dem 1780EW-3G hatte ich einen 1711 VPN. Ich wollte dann die zwei eigentlich mittels VRRP laufen lassen für Ausfallsicherheit. Allerdings hat das einfach nicht geklappt und ich hatte regelmäßig Verbindungsunterbrechungen. Außerdem muss man dann auch alle Regeln immer doppelt pflegen was ein nicht unerheblicher Mehraufwand ist. Deswegen werde ich vermutlich weiterhin keine Redundanz haben.


@MariusP
Oh, hoppla . Ich habe deine Frage 'Du bist der einzige der diesen Router verwendet?' auf die Router-Serie bezogen und als Ironie gedeutet. Hups. Ich mach in Zukunft vielleicht besser den Ironie-Smilie dazu wenn ich was anders sage als ich es meine. Sorry für die Verwirrung die ich da gestiftet habe.


@Backslash
Die Latenzen treten schon zum Router selbst hin auf und diese Latenzen sind dann auch auf allen folgenden Verbindungen sichtbar. D.h. sowohl bei den VPN-Verbindungen als auch bei den normalen Verbindungen ins Internet. IPSec-over-HTTPS ist bei der VPN-Verbindung auf 'aus' gestellt.





Was mir gerade noch als evtl. ungewöhnliche Konfiguration einfällt: können VLANs Probleme machen? Ich habe ja 8 unterschiedliche Netz die ich per VLAN auseinander halte. Beim WAN habe ich auch 2 VLANs für die 2 Internet-Verbindungen.
Vielleicht kommen beim Router ja zu viele Pakete an, die nicht für den Router bestimmt sind und verstopfen dann irgendwelche Buffers. Andererseits sollten die Switches in unserem Netzwerk die Daten nicht wie ein Hub an alle Ports schicken, sondern nur zu den Ports an denen auch die Zieladresse existiert.



MfG,
PaL

[Bernie137]

Hallo PaL,

also mein Eindruck ist wirklich, dass Du dem Gerät etwas viel zumutest. Mach bitte eine Diensttrennung.

Es gibt einfach viele Ausnahmen. Grundsätzlich sollten viele Firewall-Regeln ja kein Problem sein, oder?

Kurzfassung: Doch sind ein Problem, kosten Rechenleistung.

Bei DENY-ALL muss halt jedes einzelene Datenpaket betrachtet und von der Firewall behandelt werden. Jeder Traffic muss über die CPU und es soll noch VPN, WLAN Verschlüsselung und VLAN gerechnet werden. Auch noch irgendwelche Syslog oder SNMP Meldungen in Firewall Regeln aktiviert? Solche Meldungen verschlechtern es akut, ganz besonders bei Regeln die bei 90% des Traffics matchen.

Viele Grüße
Heiko

[MariusP]

Hi,
Nun sie kosten wenn ich mich richtig erinner pro Session hauptsächlich beim Sessionaufbau viel, nicht aber im laufenden Betrieb?
Gruß