Schlechte performance zwischen internen Subnetzen

sioren

Hallo zusammen,

ich habe seit vielen Jahren eine pfSense im Einsatz. Ich kämpfe seit ein paar Wochen mit schlechtem Durchsatz innerhalb der internen Netze. Diese sind durch VLANs getrennt und die pfSense bildet das Bindeglied. Betreibe ich die pfSense normal bekomme ich nicht mehr als 500 Mbit per Sekunde von Subnetz A nach Subnetz B. Sobald ich unter System/Advanced/Firewall & NAT den haken bei "Disable all packet filtering" setze, bekomme ich vom Client den 1Gbit voll ausgelastet, so wie es sein soll. Somit ist die umliegende Infrastruktur nicht das Problem. Die pfSense lauft aktuell auf einem PC Engines APU4D4 und vorher auf einer Sophos XG105, das Problem bestand indentisch bei beider Hardware. Wie von pfSense empfohlen bei Performance Problemen habe ich die haken bei "Disable hardware checksum offload","Disable hardware TCP segmentation offload" und "Disable hardware large receive offload" gesetzt, leider ohne Änderung. Hat jemand irgendeine Idee?

ich danke!

Beste Grüße

micneu

@sioren

bitte mal einen grafischen netzwerkplan, das hilft deine konfiguration zu verstehen
bitte so viel informationen wie möglich
welche sense version genau
betrifft es nur das interne routing?
was für eine internet anbindung hast du?

JeGr

@sioren

Hi! Ein paar Anmerkungen dazu:

@sioren said in Schlechte performance zwischen internen Subnetzen:

. Betreibe ich die pfSense normal bekomme ich nicht mehr als 500 Mbit per Sekunde von Subnetz A nach Subnetz B.

Gemessen wie? Single Thread iPerf? Dann wären 500 Mbps recht normal. Datenübertragungen laufen aber oft/meist mit mehr als einem Link, damit wären knapp 1G zu erreichen.

Zudem

XG105 - keine Ahnung welche Revision oder was da an HW verbaut ist, die Box ist aber auch seit 2018/2019 abgekündigt und EOS/EOL. Wenns stimmt was ich kurz gefunden habe ist das ein Atom E3825. Das ist jetzt nicht gerade die Wuchtbrumme und schon gar nicht auf Netzwerk Traffic optimiert
APU - ebenfalls abgekündigt seitens AMD und jetzt schon locker eine Dekade alt. Kann mit müh' und Not eben Gigabit erreichen aber mit so kleinen und alten SOCs/CPUs wirds eben irgendwann eng wenn man immer mehr Performance abverlangt.
Internet via PPPoE + APU ist ebenfalls oft eine harte Kombi und sollte vermieden werden wenn man Gigabit anpeilt.

Ansonsten wurden mit 2.5 und 2.6 schon häufiger mit APU2/3/4 (ist ja alles dasselbe) mit MultiQueue/Channel Verbindungen mehrfach Gigabit erreicht wenn auch nur knapp.

-> https://teklager.se/en/knowledge-base/apu2-1-gigabit-throughput-pfsense/

Wenn man aber wie oben gefragt nur single-channel iperf testet, dann kommt man eher auf 400-500 Mbps. Wie auch im Test lesbar mussten die früheren Tweaks die man gemacht hat in neueren Versionen nicht mehr nachgeholt werden weil OOTB das schon sauber lief. In einem älteren Beitrag war zudem auch schon zu lesen, dass die APUs generell recht unterschiedlich performten, je nach BIOS geflasht war. Das mag also auch eine Relevanz haben.

Cheers

NOCling

Damit leben oder mal nach einer Sophos SG125/135 Rev. 3 schauen.
Da ist ein auf Netzwerk optimierter C3k Atom drin mit 4 Kernen und 1,6/2,2GHz.
Mit der Plus hast vollen Quick Assist Support, da rennt dann im LAN das Gbit nicht nur durchs Regelwerk sonder sogar durch eine IPsec Tunnel.