Hilfegesuch bei Telekom VDSL Anschluss mit VIGOR167 und pfSense

sysadminfromhell

@nonick said in Hilfegesuch bei Telekom VDSL Anschluss mit VIGOR167 und pfSense:

@sysadminfromhell said in Hilfegesuch bei Telekom VDSL Anschluss mit VIGOR167 und pfSense:

Danke dir vielmals!

Gern geschehen.

@sysadminfromhell said in Hilfegesuch bei Telekom VDSL Anschluss mit VIGOR167 und pfSense:

wie reduzierst du dein Package Loss bei hoher auslastung?
Benutzt du da die Traffic Sharper?

Das ist Bufferbloat. Das kannst du hier testen.
Bufferbloat Test by Waveform

So sieht es die Dokumentation von Netgate vor.
https://docs.netgate.com/pfsense/en/latest/recipes/codel-limiters.html

Und so würde ich es machen (ohne dem ICMP)
https://isc.sans.edu/forums/diary/Securing+and+Optimizing+Networks+Using+pfSense+Traffic+Shaper+Limiters+to+Combat+Bufferbloat/27102/

So ähnlich könnte dann das Resultat aussehen wenn es funktioniert.

Super, vielen Dank. Bin jetzt von B- auf A gekommen. Denke mal mehr ist da nicht drin. Wobei da steht dass der Ping dann zwischen 10 und 15 ist was denke ich ok ist.

sysadminfromhell

@nonick said in Hilfegesuch bei Telekom VDSL Anschluss mit VIGOR167 und pfSense:

@sysadminfromhell said in Hilfegesuch bei Telekom VDSL Anschluss mit VIGOR167 und pfSense:

Danke dir vielmals!

Gern geschehen.

@sysadminfromhell said in Hilfegesuch bei Telekom VDSL Anschluss mit VIGOR167 und pfSense:

wie reduzierst du dein Package Loss bei hoher auslastung?
Benutzt du da die Traffic Sharper?

Das ist Bufferbloat. Das kannst du hier testen.
Bufferbloat Test by Waveform

So sieht es die Dokumentation von Netgate vor.
https://docs.netgate.com/pfsense/en/latest/recipes/codel-limiters.html

Und so würde ich es machen (ohne dem ICMP)
https://isc.sans.edu/forums/diary/Securing+and+Optimizing+Networks+Using+pfSense+Traffic+Shaper+Limiters+to+Combat+Bufferbloat/27102/

So ähnlich könnte dann das Resultat aussehen wenn es funktioniert.

Hi, du ich brauch doch nochmal deine Hilfe und zwar hab ich ein kleines Problem festgestellt und ich habe dazu leider nichts finden können:

Ich verwende auch port Forwarding und jetzt wird es tricky, lass ich die Floating Rules für die Shaper aktiv dann kann ich keinerlei Port Forwarding verwenden und auch eingehender Verkehr verhält sich sehr komisch (ssh (TCP-22) ist aufeinmal offen?).
Hab ich die Floating rules einfach falsch gebaut bzw. gibt es da noch was zu beachten?

Beste Grüße und vielen Dank für deine super Hilfe!

nonick

@sysadminfromhell Du hast als Aktion statt Match - Pass und zusätzlich Quick ausgewählt. Damit sind das Firewallregeln und kein Filter.

Bob.Dig

@nonick Wobei das bei Limitern normal ist und laut offizieller Anleitung aus der Doku so zu machen ist. Aber die Regeln sind halt fehlerhaft und nicht 1zu1 übernommen worden. Hier wurde quasi die Firewall komplett abgeschaltet!!

nonick

@bob-dig Laut Netgate Dokumentation ja, aber meiner Meinung nach völlig falscher Ansatz. Du erstellst unter Floating Rule eine Firewallregel die alles darf, unabhängig von den eigentlichen Regeln des jeweiligen Interface. Das ist ein riesiges Sicherheitsrisiko!

Bob.Dig

@nonick Jetzt darf ich mal widersprechen.
Die offizielle Regel ist ja nur WAN-Adresse ausgehend, d.h. hier muss schon vorher etwas den Traffic erlaubt haben und damit ist das sauber.

PS: Wenn mir jemand sagt, wie ich die Regeln wieder einzeilig bekomme, wäre ich dankbar!

nonick

@bob-dig said in Hilfegesuch bei Telekom VDSL Anschluss mit VIGOR167 und pfSense:

Jetzt darf ich mal widersprechen.

Gerne
Das stimmt, sonst wäre das von Netgate auch völlig falsch und grob fahrlässig. Um aber wie in diesem Fall nicht versehentlich die Firewall zu öffnen empfiehlt sich immer bei Traffic Shaper Regeln Match statt Pass zu wählen. Netgate macht das ja auch so über dem Assistenten wenn man Traffic Shaper Regeln erstellt. Damit ist man auf der sicheren Seite und überschreibt keine andere Firewallregel.

Bob.Dig

@nonick said in Hilfegesuch bei Telekom VDSL Anschluss mit VIGOR167 und pfSense:

Netgate macht das ja auch so über dem Assistenten wenn man Traffic Shaper Regeln erstellt.

Shaper ≠ Limiter

Wobei hier gab es ja zuletzt Änderungen am Code, vielleicht muss man das in Zukunft nicht mehr unterscheiden?

sysadminfromhell

@nonick said in Hilfegesuch bei Telekom VDSL Anschluss mit VIGOR167 und pfSense:

@sysadminfromhell Du hast als Aktion statt Match - Pass und zusätzlich Quick ausgewählt. Damit sind das Firewallregeln und kein Filter.

Super da hab ich einfach Blind der Anleitung gefolgt
Danke dir, bist mein Held der Woche

Beste Grüße,

Bob.Dig

@sysadminfromhell said in Hilfegesuch bei Telekom VDSL Anschluss mit VIGOR167 und pfSense:

Super da hab ich einfach Blind der Anleitung gefolgt

Leider nein, sonst wäre dir dieser Fauxpas ja nicht passiert. Aber zumindest dein Nick passt.

renegade

Das ist ja eine klasse verlinkte Anleitung!
Die werde ich bei mir auch mal umsetzen.
Frage dich noch habe: wenn ich die Limiter gemäß Anleitung umgesetzt habe, braucht es dann noch den Shaper, den ich per Wizard erstell habe?
Im Netzwerk wird sehr viel mit MS Teams gearbeitet.

NOCling

Limiter nutzt Trafic Shaping, man kann den manuell anlegen ohne Assistent.
Wichtig Floating out mit match und auf keinen Fall quick, dann läuft es auch.
Und zur Sicherheit noch mal ICMP out regeln davor, sonst klemmt das schon mal mit der einen oder anderen Version und der Dpinger liefert verzerrte Werte und max Last.

QoS ist noch mal eine eigene Sache für sich, kann man auch machen um dann noch mal gewissen Dienste, wenn die denn das Flag mit bringen, per Sonderspur direkt am Limiterstau vorbei zu mogeln.