QOS im VPN für definierte Port

[flashmop]

Hallo Zusammen,

ich betreibe ein Site-to-Site VPN, in welcher ich auf einen Seite (Netz 2) ein Server stehen habe, auf der aus dem Netz 1 (192.168.0.0/24) auf das Netz 2 (192.168.100.0/24) zugegriffen werden muss.

Auf dem Netz 2 habe ich bereits eine Firewallregel erstellt, welche einen Upload von 256kbit reservieren soll und zugleich habe ich das DSCP "CS3" als Priorität gesetzt (der Grund ist auch eine geringe Latenz, welche ich bei Downloads aus dem Netz 2 ins Internet erreichen möchte). Leider scheint diese nicht anzusprechen (lt Trace), vlt. habe ich auch einen Gedankenfehler. Als Basis habe ich die QOS Einstellungen aus dem Voip KB von Lancom genommen.

Könnt Ihr mir bitte eine Gedankenstütze geben, hänge damit jetzt schon einige Tage an diesem Problem.

Filter 00000005 from Rule PRIO_1:
Protocol: 6
Src: 00:00:00:00:00:00 192.168.100.79/255.255.255.255 17200-17200 (NETZ 2)
Dst: 00:00:00:00:00:00 192.168.0.3/255.255.255.255 0-0 (NETZ 1)
use routing tag 0
ignore connection state
Limit per conn.: after transmitting or receiving of 0 kilobits per second
actions after exceeding the limit:
accept
send SNMP trap

conditional: if DSCP == CS3
Fragmentation: after transmitting a packet on a WAN interface
fragment all packets sent to the interfaces to 256 bytes

conditional: if DSCP == CS3
Fragmentation: after transmitting or receiving a packet on a WAN interface
reduce the interface's PMTU to 256 bytes
---
conditional: if DSCP == CS3
Limit per user: guarantee a minimum for transmitting of 256 kilobits per second on a WAN interface
actions after exceeding the minimum:
accept
reject sessions, if bandwidth cannot be assigned

Trace:

Code: Alles auswählen

[VPN-Packet] 2016/02/24 13:16:02,413  Devicetime: 2016/02/24 13:16:03,915
for send: 192.168.100.79->192.168.0.3   52  TCP port 17200->3115
-->IPv4 Header
Version             : 4
Header Length       : 20
ToS/DSCP            : (0x00) (Precedence 0) / (DSCP CS0/BE)
Total length        : 52
ID                  : 1111
Fragment            : Offset 0 DontFrag
TTL                 : 63
Protocol            : TCP
Checksum            : 20938 (OK)
Src Address         : 192.168.100.79
Dest Address        : 192.168.0.3
-->TCP Header
Src Port            : 17200
Dest Port           : 3115
Sequence Number     : 661078206
Ack Number          : 1909205921
Header Length       : 32
Flags               : ACK
Window Size         : 1332
Checksum            : 18646 (OK)
Urgent Pointer      : 0
-->TCP Options
No-Operation        :
No-Operation        :
Time Stamp          : Curr 568703223 Echo 2075957128

[Bernie137]

Hi,

ich betreibe ein Site-to-Site VPN, in welcher ich auf einen Seite (Netz 2) ein Server stehen habe, auf der aus dem Netz 1 (192.168.0.0/24) auf das Netz 2 (192.168.100.0/24) zugegriffen werden muss.

Das heißt Zugriff von 192.168.0.0/24 (Src) auf 192.168.100.0/24 (Dst).

Code: Alles auswählen

Src: 00:00:00:00:00:00 192.168.0.3/255.255.255.255 0-0 (NETZ 1)
Dst: 00:00:00:00:00:00 192.168.100.79/255.255.255.255 17200-17200 (NETZ 2)

vg Bernie

[flashmop]

Hallo Bernie,

vielen Dank für deine Hilfe, habe es jetzt erstmal wie folgt umgesetzt:

Filter 00000001 from Rule PRIO_PORT:
Protocol: 6
Src: 00:00:00:00:00:00 0.0.0.0/0.0.0.0 0-0
Dst: 00:00:00:00:00:00 0.0.0.0/0.0.0.0 17200-17200
use routing tag 0
Limit per conn.: after transmitting or receiving of 0 kilobits per second
actions after exceeding the limit:
accept
send syslog message
send SNMP trap
---
Limit globally: guarantee a minimum for transmitting or receiving of 100 kilobits per second on a WAN interface
actions after exceeding the minimum:
accept
reject sessions, if bandwidth cannot be assigned

Werde die nächsten Tage die IP Adressen nach und nach eintragen, um zu sehen, das die Regel auch angesprochne wird.

Kennst du dich auch mit dem QOS Einstellungen etwas aus? Beim Voip (in meinem Fall mein Home Asterisk Server) wird die QOS vom Asterisk mitgegeben, so das ich dem Lancom als bsp "DSCP == EF" mitgeben kann. Wenn dies jetzt von der Quelle nicht mitgegeben wird, bringt mir die DSCP Einstellung vermutlich gar nichts, oder?

[Jirka]

Hi,

Wenn dies jetzt von der Quelle nicht mitgegeben wird, bringt mir die DSCP Einstellung vermutlich gar nichts, oder?

Du kannst dann in der Firewall vom LANCOM umtaggen und so im Router in die entsprechende Warteschlange kommen.

Viele Grüße,
Jirka

[flashmop]

Hallo Jirka,
Das hört sich richtig gut an. Hast du mir dazu ein Bsp, muss gestehen, mit umtaggen hatte ich bisher nichts zutun.

Vielen Dank