OpenVPN Durchsatz - wie 200Mbit schaffen?

Exordium

Ich hatte für das HW Measuring für die pfSense eines Freundes ein ähnliches Problem.

Ich hatte glücklicherweise Zugriff auf diverse Boxen mit unterschiedlichen CPUs und bin nach diesem Performancetest vorgegangen, der erschreckend realistische OpenVPN Resultate lieferte:

https://forum.netgate.com/topic/94091/asus-n3050i-c-for-openvpn-100mbit-wan/10

Erkenntnis: Diese kleinen Atom-Stinker und kastrierten, Lowtakt-CPUs taugen nichts für anständige OVPN-Performance.

200MBit+ VPN Durchsatz gab es z.B. mit nem i3 5005U 2.0GHz

Er hat jetzt ein aktuelles Mini-ITX mit stromsparenden i3 und kann über seinen VPN Provider seine 200MBit im Downstream voll nutzen.

sensemann

Cool, danke dir für diesen Link!
Auf dem SuperMicro board A1SRM-LN7F-2358 mit Atom C2358 kommt immerhin: 100 raus. Aber in der Praxis nur ca. 27...

Auf dem APU 4B4 sind es laut diesem Test theoretisches maximum 40.. Praxis höchstens 20.

Was wäre deine board/Cpu empfehlung (was auch in ein 1HE gehäuse passt), mit mind 4x Ethernet, gerne auch ein paar mehr?

Gladius

Es gibt ja inzwischen auch diverse ARM-Teile (SG-1000, SG-3100) von Netgate.
Denen traue in Bezug auf eine befriedigende OpenVPN Leistung nicht viel zu
und habe nie über einem Einsatz bei mir zu Hause nachgedacht. Dieser
Entschluß beruht aber nicht (Bauchgefühl) auf belastbaren Meßwerten.

Wem gelingt es mit nachvollziehbaren Argumenten und Fakten
mich vom Gegenteil zu überzeugen?

LG

Rico

Der Werte zur SG-3100 habe ich oben geschrieben, die sind selbst getestet.

-Rico

Gladius

@rico said in OpenVPN Durchsatz - wie 200Mbit schaffen?:

Der Werte zur SG-3100 habe ich oben geschrieben, die sind selbst getestet.

Das Testszenarium ist leider unklar. Sind diesbezüglich Angaben möglich?

Unklar ist auch warum AEAD-Ciphers nicht besser abschneiden.
Meine eigenen Tests geben das nicht her.

LG

viragomann

Ich habe zuhause solch eine chinesische QOTOM-Kiste, Q350G4, mit einem i5-4200U. Die hat 4 NICs und 8GB RAM und kostet mit SSD knapp 300 Euro.
Die Lieferung dauert aber 3 Wochen.

Ich habe auf diesem die pfSense und einen Cloudserver virtualisiert laufen, ausgeliefert wurde die Kiste aber mit vorinstallierter pfSense .
Der Durchschnittsverbrauch liegt bei etwa 7 Watt.

Die VPN-Performance habe ich allerdings noch nicht getestet, die wäre wohl eher durch meine 16 Mbit/s-Anbindung eingeschränkt. Aber wenn es um die CPU-Leistung geht, lässt sich der Prozessor wohl gut einschätzen.

Gladius

@viragomann said in OpenVPN Durchsatz - wie 200Mbit schaffen?:

QOTOM-Kiste, Q350G4

@viragomann said in OpenVPN Durchsatz - wie 200Mbit schaffen?:

ausgeliefert wurde die Kiste aber mit vorinstallierter pfSense .

Sehr zur Freude von Netgate. Wo kein Kläger, da kein Richter.
Naja, wenn die Kiste ihr Geld wert ist.

LG

viragomann

Das war zu Ende letzten Jahres. Mittlerweile hat sich das vielleicht auch geändert.
Und der zuständige Richter würde wohl in China sitzen...

Bislang läuft sie ganz fein.

Lg

sensemann

@viragomann was sind denn die werte auf deiner china-kiste nach diesem bench?

https://forum.netgate.com/topic/94091/asus-n3050i-c-for-openvpn-100mbit-wan/10

Hole mir dann das QOTOM Mini PC Q575G6 mit i7-7500U, 6x Eth, dann ist "Ruhe"

JeGr

@exordium said in OpenVPN Durchsatz - wie 200Mbit schaffen?:

Erkenntnis: Diese kleinen Atom-Stinker und kastrierten, Lowtakt-CPUs taugen nichts für anständige OVPN-Performance.

Also wo DIE Erkenntnis herkommt, habe ich keine Ahnung, sie stimmt allerdings schlichtweg nicht. Soviel sei gesagt, wir haben bei einem Kunden einen Cluster aus 2 Atom 2558er Kisten und die wuppern locker mehr als 100MBit/s mit OpenVPN. Warum ich das genau weiß? Wir mussten bei dem Kunden via remote physikalische Server in virtuelle überführen (P2V) und haben daher nen ziemlich konstanten Traffic über den Tunnel gehabt - und hatten da locker 18-20 MB/s (Byte, nicht Bit). Das sind dann zwischen 150 und 200Mbps.

Nur weil eine Kiste Atom heißt (die N Kisten auch), sind die nicht gleich mies oder gut :)

Gruß

viragomann

@sensemann
Müsste ich austesten, wenn ich zuhause bin.
Ich schätzte mal, so um die 200. Aber hat dieses Ergebnis tatsächlich mit der praktischen Realität zu tun?

Rico

@gladius said in OpenVPN Durchsatz - wie 200Mbit schaffen?:

Das Testszenarium ist leider unklar. Sind diesbezüglich Angaben möglich?

Ziemlich straight forward, OpenVPN RAS mit default Settings aufgesetzt, eine potente Kiste an den WAN Port gehängt und eine an LAN.
Von WAN Seite aus mit dem RAS verbunden und dann über verschiedene Protokolle Daten auf den Rechner im LAN geprügelt, hauptsächlich über FTP.
Dann zwischen den gängigen Encryption Algorithm wie oben beschrieben getestet.

-Rico

Gladius

@Rico

Die SG-3100 kann nach den hier übermittelten Werten von weder vom Preis noch von der OpenVPN Leistung
mit meiner "Bastellösung" mithalten. Ich hatte so einTeil nie in die engere Wahl einbezogen als es um
die Ablösung meiner AP1D. ging. Bauchgefühle haben manchmal auch ihr Gutes.

Für den Hausgebrauch aber ist so ein Teil vermutlich doch leistungsfähiger bzgl. OpenVPN als eine APU2xyz.
ARM auf dem Vormarsch?
LG

Rico

Ich habe im professionellen Bereich die Schnauze voll von Bastellösungen. ;-) Stabilität und maximal guter Support sind mir da wichtiger als die letzten paar MBit aus den Euros zu quetschen.
Außerdem ist OpenVPN ja leider nicht das Performance Monster und einiges hinter IPsec. Multi-Core Support muss endlich mal her.
Die Werte von oben sind natürlich Single Thread/Instance.

-Rico

viragomann

@sensemann said in OpenVPN Durchsatz - wie 200Mbit schaffen?:

@viragomann was sind denn die werte auf deiner china-kiste nach diesem bench?

Auf der virtualisierten pfSense:
11,8 s
271 Mbit/s

Am Basissystem (OpenSUSE Leap 42.3):
7,63 s
419 Mbit/s

Besser als ich erwartet hatte.

Grüße

Exordium

hah, habe meinen Zettel mit den Benchmarks wieder gefunden. Hier mal diverse Kombinationen, darunter auch paar Router mit Linux und OVPN:

Meine Box pfsense mit i3 5005U: 233 MBit
Firewall Firma: SuperMicro mit Xeon D-1518: 257 MBit
TestFW Firma: Atom C2550: 136 MBit
Netgear R7000 Router: 50 MBit
WRT 1900 AC: 58 MBit
Mein PC Intel i7 4790k: 640MBit
Supermicro FW Appliance mit Intel N3700: 93 MBit

So weit die Theorie...

Mangels High-Speed Internet kann ich die theoretischen Werte zu Hause aber nicht überprüfen.

Der Netgear R7000 brachte aber beim Freund der über 200MBit Downstream verfügt, ziemlich genau die errechneten 50 MBit/s. Ein Netgear R4300 brachte 18MBit in der Praxis.

Exordium

@jegr said in OpenVPN Durchsatz - wie 200Mbit schaffen?:

@exordium said in OpenVPN Durchsatz - wie 200Mbit schaffen?:

Erkenntnis: Diese kleinen Atom-Stinker und kastrierten, Lowtakt-CPUs taugen nichts für anständige OVPN-Performance.

Also wo DIE Erkenntnis herkommt, habe ich keine Ahnung, sie stimmt allerdings schlichtweg nicht. Soviel sei gesagt, wir haben bei einem Kunden einen Cluster aus 2 Atom 2558er Kisten und die wuppern locker mehr als 100MBit/s mit OpenVPN. Warum ich das genau weiß? Wir mussten bei dem Kunden via remote physikalische Server in virtuelle überführen (P2V) und haben daher nen ziemlich konstanten Traffic über den Tunnel gehabt - und hatten da locker 18-20 MB/s (Byte, nicht Bit). Das sind dann zwischen 150 und 200Mbps.

Nur weil eine Kiste Atom heißt (die N Kisten auch), sind die nicht gleich mies oder gut :)

Gruß

Der 2558 liegt vermutlich tatsächlich in dem Bereich bis 200MBit, davon ausgehend dass er nen Tacken schneller als ein 2550 ist, der auf die errechneten 136 MBit kommt.

Die "Sparbrötchen" Appliances sind ja nicht verkehrt. Benötige ich allerdings die volle Kapazität durch einen verschlüsselten Tunnel, ist das was anderes als bisserl Paket-Filter und Proxy auf der Kiste. Und dann möchte man ja auch nicht immer am Limit kratzen, sondern noch kleinwenig Luft nach oben haben. Sparen ok, aber nicht um jeden Preis :-)

Exordium

@sensemann said in OpenVPN Durchsatz - wie 200Mbit schaffen?:

Cool, danke dir für diesen Link!
Auf dem SuperMicro board A1SRM-LN7F-2358 mit Atom C2358 kommt immerhin: 100 raus. Aber in der Praxis nur ca. 27...

Auf dem APU 4B4 sind es laut diesem Test theoretisches maximum 40.. Praxis höchstens 20.

Was wäre deine board/Cpu empfehlung (was auch in ein 1HE gehäuse passt), mit mind 4x Ethernet, gerne auch ein paar mehr?

Puh, ich kann die fertige SuperMicro Appliance 1HE (oder Nachfolger) aus meine Signature empfehlen.

Die hat nen Xeon, 6 Ethernet, 2 Optical. Inzwischen 5 x verbaut. Das Board gibts sicher auch einzeln. In einem älteren Post habe ich die Dinger auch vorgestellt.

Gladius

Die Telekom liefert mir stabil 80 MBit/s down und 40 MBit/s up. Meine "Bastellösung" (siehe Signatur)
hat in Kombination mit meinem VPN-Anbieter keinerlei Probleme über den OpenVPN-Tunnel
Daten in der höchstmöglichen Geschwindigkeit zu liefern. Es wird mit AES-256-GCM verschlüsselt.

Die CPU-Auslastung liegt bei ca. 15% laut pfSense GUI.

Diese in der Praxis erzielten Werte interpretiere ich nun dahin gehend, daß das Ende der
Fahnenstange noch nicht erreicht ist. In Ermangelung eines schnelleren Internetanschlußes
kann ich diesbezüglich keine weiteren Informationen liefern.

Können diese von mir genannten belastbaren Informationen anderen eine
Orientierungshilfe geben?

LG

Exordium

Ja, das stimmt. Bei einer Dualcore-CPU und voll ausgenutztem OVPN-Tunnel zeigt das System 50% an. Ein Tool das die Cpu-Core Last anzeigt bescheinigt dies. Ein Core ist dann zu 100% "belegt", der andere setzt Spinnweben an.