VPN μέσω MikroTik με Fritz 5530AX

[gvard]

Καλησπέρα,

Έχει παρατηρήσει κάποιος το Fritz να δημιουργεί θέματα με VPNs που γίνονται πίσω από αυτό;

Πχ το Fritz κάνει PPPoE Passthrough, το PPPoE dial το κάνει ένα MikroTik πίσω από αυτό και πάνω στο MikroTik γίνεται ένα L2TP/IPsec VPN.

Παρατηρώ διάφορες συμπεριφορές σε γραμμή 1Gbit.

L2TP + IPsec over PPPoE = 330Mbit / >100ms μέσα από το VPN και <3ms έξω από το VPN όταν είναι τερματισμένο από κίνηση.

L2TP χωρίς IPsec over PPPoE = 290Mbit / >100ms μέσα και έξω από το VPN όταν είναι τερματισμένο από κίνηση.

L2TP + IPsec χωρίς PPPoE (το PPPoE το κάνει το ίδιο το Fritz) = 370Mbit / <7ms μέσα από το VPN και <3ms έξω από το VPN όταν είναι τερματισμένο από κίνηση.

L2TP χωρίς IPsec χωρίς PPPoE = 500Mbit / >100ms μέσα και έξω από το VPN όταν είναι τερματισμένο από κίνηση.

Επίσης όταν υπάρχει το >100ms lagάρισμα, παρατηρείται πως το ping προς το ίδιο το fritz τοπικά ανεβαίνει στα 50ms.

Παρόμοια συμπεριφορά έχει και με τα υπόλοιπα πρωτόκολλα πχ GRE, IPIP, EoIP.
Με PPTP είναι το χειρότερο απόλα, όπου παίζει max με 80-100Mbit και το ping πάει στο θεό.

Με ταυτόχρονα 2ο MikroTik πίσω από το Fritz με δικό του PPPoE dial και VPN, όταν κάνουν και τα 2 VPN κίνηση, φαίνεται να μοιράζονται 300-400Mbit μαζί και limitάρονται εκεί.
Αν το ένα MikroTik κάνει VPN traffic στα 350Mbit και το άλλο traffic χωρίς VPN, τότε το άλλο πιάνει τα υπόλοιπα 650Mbit του Gbit τερματίζοντας έτσι την γραμμή.

Επίσης όταν προκαλείται το lagάρισμα από τα παραπάνω VPN χωρίς IPsec, παρατηρείται το ίδιο lagάρισμα και στο 2ο MikroTik που έχει το δικό του PPPoE.

Με άλλα λόγια το Fritz φαίνεται να κάνει τελείως άκυρο QoS το οποίο ότι και να δοκίμασα να ορίσω στο Prioritization δεν άλλαξε τίποτα.

Έχει παρατηρήσει άλλος τέτοια συμπεριφορά;

Να σημειωθεί πως οι δοκιμές γίνονται με CCR από τη μία πλευρά και CHR από την άλλη χωρίς καθόλου firewall configuration και δεν τερματίζει κανένα single cpu core - οπότε δεν τίθεται θέμα bottleneck στο MikroTik. Το bottleneck το δημιουργεί το Fritz.

Άραγε έχει τύχει κάποιος από εδώ μέσα να έχει 1Gbit FTTH με Fritz μπροστά και εξοπλισμό MikroTik και να έχει δει το εν λόγω πρόβλημα; Δεν αναφέρω πως είναι θέμα του MikroTik, απλά αν σας έχει τύχει και το έχετε λύσει κάθε βοήθεια ευπρόσδεκτη!

[epp82]

Εγώ δεν μπορώ καν να κάνω ppoe dial αλλά μάλλον φταίει ότι είναι δύο διαφορετικών εταιριών accounts. Wind και cosmote.

[BillyVan]

Δε νομιζω οτι το Φριτζ εχει qos στην κληση που κανει το Μικροτικ.

Ειναι εντελως παθητικο κατα τη γνωμη μου

[Cha0s]

Δε νομιζω οτι το Φριτζ εχει qos στην κληση που κανει το Μικροτικ.

Ειναι εντελως παθητικο κατα τη γνωμη μου

Σίγουρα κάτι κάνει. Η συμπεριφορά του είναι αλλοπρόσαλη ανάλογα το είδος του traffic είτε μέσα είτε έξω από PPPoE.
Και το γεγονός ότι lagάρει όλο το fritz είναι ένδειξη ότι όχι μόνο κάτι κάνει, αλλά ότι κάνει το κάνει πολύ λάθος.

[BillyVan]

Qos παντως δεν ειναι αυτο το προβλημα.

Qos τα ρουτερ κανουν στη συνδεση που τα αφορα οχι σε αυτα που απλα παθητικα τα αφηνουν να περνανε.

Δοκίμασε αλλο modem router ή βαλε αυτο σε bridge αν εχει.

Μου κανει εντυπωση γιατι τα θεωρω κορυφη στο ειδος τους.

Ισως να τα παιζει απ το τραφικ...

Εχει μενου να δεις λιγο τη cpu του κατα τη διαρκεια των προβληματων?

[Cha0s]

Αρχικά να διευκρινήσω ότι μιλάω αποκλειστικά για το Fritz.

Qos τα ρουτερ κανουν στη συνδεση που τα αφορα οχι σε αυτα που απλα παθητικα τα αφηνουν να περνανε.

Υπάρχει κάπου documentation για αυτό;

Δοκίμασε αλλο modem router ή βαλε αυτο σε bridge αν εχει.

Δεν γίνεται αυτό. Το Fritz είναι δηλωμένο στον ΟΤΕ. Δεν μπορεί να μπει άλλος router. Και το fritz δεν υποστηρίζει bridge mode, μόνο PPPoE Passthrough.

Μου κανει εντυπωση γιατι τα θεωρω κορυφη στο ειδος τους.

Και τα Cisco κορυφαία είναι αλλά έχω δει ουκ ολίγα ηλίθια bugs σε εξοπλισμό εκατοντάδων χιλιάδων ευρώ.

Ισως να τα παιζει απ το τραφικ...

Εχει μενου να δεις λιγο τη cpu του κατα τη διαρκεια των προβληματων?

Ναι, παίζει κάτω από το 50% η CPU.
Δεν τα παίζει από το traffic. Όταν περνάει οτιδήποτε άλλο είδος κίνησης τερματίζει κανονικά το Gbit χωρίς να ιδρώνει ή να ανεβάζει ping το ίδιο το Fritz.
Εδώ μιλάμε ότι όταν περνάει VPN κίνηση το ίδιο το Fritz σηκώνει pings στην τοπική του IP από <1ms σε 50ms.

[BillyVan]

Ριξε μια ματια τι λεει ο φιλος

https://www.adslgr.com/forum/threads...56#post7321356

[Cha0s]

Έχω διαβάσει όλο το thread πριν ποστάρω εκεί.
Δεν αναφέρεται τίποτα σχετικά με το πρόβλημα που αναφέρω εκεί (και εδώ ο gvard).

[lghikas]

Μήπως παίζει κάτι με το MTU στα VPN tunnel και δεν μπορεί η CPU του Fritz να τα διαχειριστεί ? Τι τιμές έχεις σε κάθε άκρο/συσκευή ?

[Cha0s]

Στα GRE/IPIP/EoIP το υπολογίζει μόνο του το MikroTik και το δηλώνω καρφωτά και στην απέναντι μεριά μιας και η απέναντι μεριά δεν παίζει πάνω από PPPoE για να χάνει 8 bytes και το υπολογίζει λάθος.
Στα L2TP/IPsec παίζω με 1400MTU που είναι αρκετά μικρό για να χωρέσει στα 1500 bytes το όποιο overhead του L2TP και του IPsec μαζί.

Σε κάθε περίπτωση δεν παίζει fragmentation που να προκαλεί στο Fritz να κάνει κάτι παραπάνω.
Και εξάλλου το PPPoE γίνεται στο MikroTik με 1492, άρα το Fritz βλέπει πακέτα των 1500. Ότι fragmentation πιθανώς να γινόταν θα γίνονταν σε επίπεδο MikroTik και όχι σε επίπεδο Fritz για να του προκαλέσει φόρτο.

[lghikas]

Έχεις δοκιμάσει να κλείσεις τίποτα SPI / firewall στο fritz να δεις εάν αλλάζει συμπεριφορά ? Δεν ξέρω τι άλλο μπορεί να έχει το menu του... θα δοκίμαζα να τα απενεργοποιήσω όλα, ότι έχει, ακόμη και wifi και τίποτα green ethernet, να δω εάν λύνεται το πρόβλημα, εάν όχι, θα το έδινα bug στην AVM.

[BillyVan]

Σε γνωστο μου στη Λαρισα που αναβαθμισε απο 100 οπτικη σε 1G

παρουσιαστηκε ακριβως το ιδιο προβλημα.

Οτι ειναι πανω στο Φριτζ τερματιζει τη γραμμή.

pppoe κληση Μικροτικ και απο πισω το δικτυο του οτι και να εκανε παιρνει τα μισα

το ιδιο πανω κατω και απο vpn

Απ οτι φαινεται στο Fritz qos υπαρχει θεμα.

[broncogr]

Κανε μια δοκιμη με other provider προφιλ στο internet account του fritz
Δηλωσε 1100 d/l 110 u/l

[K1m0n]

Χωρίς να ξέρω τι ακριβώς συμβαίνει:
Τα fritz, γενικά, κάνουν routing wan->lan περισσότερο από gbit (όταν κάνουν αυτά το routing),
πράγμα από μόνο του αξιοσημείωτο.
Για να δούμε τέτοια νούμερα σε generic (non-networking) x86 platform θα έπρεπε να πάμε σε κάτι atom-based ή παραπάνω.
Τα soc που χρησιμοποιούν, είτε τα grx 550/350 στα dsl-based, είτε το 321 του 5530,
το επιτυγχάνουν αυτό με την χρήση ενός ή παραπάνω (τυπικά programmable) npu (network prossecing unit)
που είναι εντός του soc,
και το οποίο αναλαμβάνει qos/crypto και το λεγόμενο hardware nat (shortcut nat βασικά...),
γιατί αλλιώς αυτές είναι πολύ βαριές - "ακριβές" (όσον αφορά το cpu load%) δουλειές για να γίνουν από το slow path
(να περάσουν από όλο το packet prosseccing chain) σε ένα cpe που τρέχει πάνω σε mips και καλείται να εξυπηρετήσει gbit συνδέσεις.

Και τα ίδια πάνω-κάτω γίνονται σε όλα τα ανάλογα soc σε consumer all-in-one cpe.

Αν δεν ήταν έτσι, θα έπρεπε ή το x cpe να έχει πολύ ισχυρότερo soc/cpu ( άρα +bom/$, άρα -% κέρδους, άρα δεν το θέλουμε...),
ή θα έβλεπε μια μείωση του routing capacity της τάξης του 80-90% (μυρίζοντας τα νύχια μου, αλλά για τέτοιας τάξης μεγέθους μείωση μιλάμε).

Εκ των συμπτωμάτων που περιγράφονται,
κάνω την (βάσιμη?) υπόθεση ότι στα fritz η passthrough κίνηση ίσως(?) είναι non-accelerated,
στην οποία περίπτωση θα ήταν αναμενόμενο να βλέπει κανείς πολύ μικρότερα νούμερα και jitter στο passthrough session.

Δυστυχώς δεν έχω τρόπο να το δοκιμάσω καθότι μόνο μια ταπεινή vdsl @100 mbit έχω.

Ο μόνος που θα μπορούσε να απαντήσει σε αυτό θα ήταν το support της Avm,
άν κανείς έχει την υπομονή να επιδιώξει escalation σε κάτι πάνω του 1ού επιπέδου support.

Αν κάποιος έχει την απορία να διαβάσει τα σχετικά περί soc/npu πρέπει να ψάξει τα docs της intel/maxlinear
(τα οποία κατά πάσα βεβαιότητα θάναι πίσω απο nda wall).

Για το άμεσο πρόβλημα, θα δοκίμαζα να βγάλω το όποιο fritzbox εκτός και να δοκιμάσω χωρίς.

[gvard]

Σε ευχαριστώ για την απάντηση σου. Δεν έχω βρει τρόπο να βγει το Fritz εκτός, καρφώνοντας το SFP του σε ένα 4011 που έχω το γραφείο δεν κατάφερα καν να συγχρονίσει