PRQ VPN problem, nätverksexperter sökes!

Permalänk
Medlem

PRQ VPN problem, nätverksexperter sökes!

En vänn till mig har en vpn tunnel från PRQ, tjänsten är 10/10mbit och han hostar web via den.

Konfigurationen: en windows maskin med apache/xamp på windows 2008 direkt kopplat till fiberlan uttag (telia) dvs ingen utrustning imellan server och isp.

Problemet: uppladdningshastigheten via tunneln är full fart (10mbit) men nedladdningen är olidligt seg, runt 0.4mbit i bästa fall 0.8mbit.

Felsökning gjord av mig: Testat på 3 olika datorer med olika nätverkskort. Testat med 2 olika OS (win7 / win2008). Testat med 6 olika openvpn klienter (från gamla till nya). Testat med annan ISP (testade köra tunneln från mig istället med comhem), testat olika openvpn konfigurationer allt ger samma resultat.

Testade installera DUMeter för att kolla om det var bredbandskollen som ljög och värdena ser konstiga ut. Laddar jag ner en fil via http eller ftp så får jag ca 30/40kb/s men dumeter visar 1000+kb/s på nedladdningen vilket indikerar för mig att det är skyhöga packetloss eller så vet inte paketen vart det skall ta vägen och de få som når fram leder till resultatet 40kb/s.

Jag är ingen nätverksexpert och jag kan inte förstå vad som är fel, vi har som sagt testat olika datorer, olika isp, olika klienter samt konfigurationer och olika operativsystem. Jag har själv haft en tunnel från PRQ för länge sedan och hade aldrig några såna här problem så nått säger mig att det är felkonfigurerat från deras sida, men jag kan knappast veta det för jag har ingen kunskap i detta område.

Någon som är bra på nätverk som kan hjälpa mig felsöka detta? Vad kan man göra? PRQ svarar inte, dom är väldigt svåra att få tag på , vilket är både på gott och ont

Permalänk
Medlem

Hade det inte krävs OpenVPN så hade jag gärna hjälpt till om jag tillfört någonting. Har tyvärr bara satt upp OpenVPN en gång (iofs nyligen) där jag kör mot Ipredator för att dölja barnens framfart på nätet.

Permalänk
Medlem

Vad du skulle kunna göra är att köra det där efter att ha installerat wireshark på datorn. När du sedan kör exempelvis ftp mot servern så kan man via wireshark se exakt hur paketen kommer och lämnar datorn. Är det en massa packet loss kan man i sådana fall se "resends" på paket och bättre förstå vad som går fel.

Permalänk
Medlem

Det kan vara problem med att standard MTU storleken är för stor, prova och ställ ner den lite i OpenVPN.

Permalänk
Medlem
Skrivet av JRE:

Det kan vara problem med att standard MTU storleken är för stor, prova och ställ ner den lite i OpenVPN.

Bra tänkt. Såg att det ofta är en issue med OpenVPN. På min brandvägg pillar jag mycket hellre på TCPMSS, men här har jag svårt att tro att det är möjligt utan man får ställa om MTU istället.

MTU handlar om maxstorleken på ett paket som kan skickas. I och med att VPN innebär att man tar ett paket och sätter på en ny header, en trailer (med HASH för att verifiera att exakt samma paket som stoppades in kommer ut på andra sidan) så kan man inte skicka lika stora paket som om man skulle skicka sakerna okrypterade. Därför är det väldigt ofta problem med MTU.

Sedan kan jag utveckla PMTU-discovery, Don't fragment-flagga osv, men i korthet så rekommenderas att man miskar storleken på MTU.

Permalänk
Medlem

Ett sätt att testa vad du kan ha för MTU är att från kommandoprompten i windows skriva:
ping X.X.X.X -l 1400 -f

Parametrarna -l innebär paketlängd och -f innebär att flaggan "don't fragment" sätts på paketet. I det senare fall så ska en router på vägen som tycker att paketet är för stort kasta bort det och skicka tillbaka ett ICMP felmeddelande (packet too large, don't fragment flag set). Om OpenVPN lägger på den flagan när den krypterar paketet bör du genom lite testande komma fram till den maximala paketstorleken du kan ha utan att det blir paketförluster.

Permalänk
Medlem

Tack för tipsen,

Körde dos kommandot och den högsta "mtu" som jag får svar på från ping.sunet.se är 1470 , om jag sätter högre säger den : Packet needs to be fragmented but DF set.

Så optimala mtu är 1470? Uppföljningsfråga, hur ställer jag MTU till 1470 i openvpn? Googlar jag hittar jag bara MTU för "tun" men PRQ kör TAP.

såhär ser deras konfiguration ut.

dev tap remote 88.80.xx.xx float 88.80.xx.xx port 5024 ifconfig 88.80.xx.xx 255.255.255.128 route-gateway 88.80.xx.xx redirect-gateway def1 secret prq.key cipher AES-128-CBC dhcp-option DNS 88.80.8.8 route-method exe route-delay 2

Tack igen för tipsen!

Permalänk

Om din maximala pingpaketet är 1470 är din maximala mtu 1470+28=1498.

Pröva då parametern mssfix 1498 i konfigurationsfilen.

Mer om OpenVPN och dess parametrar: https://community.openvpn.net/openvpn/wiki/Openvpn23ManPage

Edit: mssfix 1440 är nog ett rätt säkert värde att börja att testa med.

Permalänk
Medlem
Skrivet av rvin82:

Tack för tipsen,

Körde dos kommandot och den högsta "mtu" som jag får svar på från ping.sunet.se är 1470 , om jag sätter högre säger den : Packet needs to be fragmented but DF set.

Så optimala mtu är 1470? Uppföljningsfråga, hur ställer jag MTU till 1470 i openvpn? Googlar jag hittar jag bara MTU för "tun" men PRQ kör TAP.

såhär ser deras konfiguration ut.

dev tap remote 88.80.xx.xx float 88.80.xx.xx port 5024 ifconfig 88.80.xx.xx 255.255.255.128 route-gateway 88.80.xx.xx redirect-gateway def1 secret prq.key cipher AES-128-CBC dhcp-option DNS 88.80.8.8 route-method exe route-delay 2

Tack igen för tipsen!

1470 är helt omöjligt in i VPN-tunneln. Då är det nog så att det har fragmenterats innan. Max MTU är 1500 (beroende på om man räknar ethernet, VLAN, jumboframes osv) normalt. Det finns inte en chans att 1470 inklusive headers och tail på VPN går igenom:/

Permalänk
Medlem

mssfix hjälper inte, testat lite olika värden, jag märker att de första paketen laddas ned går i full hastighet sen sjunker det väldigt snabbt ner till under 1mbit om detta nu ger några ledtrådar

EDIT: fast skulle det verkligen kunna vara MTU då upladdningen alltid gått i full hastighet? är inte MTU värdet detsamma för både download och upload? Det är alltså bara download som går segt, upload går i max hastighet varje gång.

Tacksam för vidare tips, galet klurigt problem!

Permalänk
Medlem
Skrivet av rvin82:

mssfix hjälper inte, testat lite olika värden, jag märker att de första paketen laddas ned går i full hastighet sen sjunker det väldigt snabbt ner till under 1mbit om detta nu ger några ledtrådar

EDIT: fast skulle det verkligen kunna vara MTU då upladdningen alltid gått i full hastighet? är inte MTU värdet detsamma för både download och upload? Det är alltså bara download som går segt, upload går i max hastighet varje gång.

Tacksam för vidare tips, galet klurigt problem!

Det är samma, men om vi säger att andra sidan har korrekt MTU. Då skickar den paket med en storlek som kommer fram till din sida helt korrekt.
Däremot så skickas dina paket in för stora och det blir packet loss, kastade paket osv.

Den sida som tar emot data i princip behöver bara skicka ett ACK(nowledge) då och då, vilket är ett väldigt litet paket. Det är sällan eller aldrig så att den skickar fullstorlekspaket.

Permalänk
Medlem

Ah jag förstår, då är det alltså något med mtu ändå alltså för alla symptom stämmer väll ganska bra på att mtun skulle vara fel. frågan är bara vilken mtu som gäller, märker absolut ingen skillnad mellan alla de värdena jag testat (1400,1440,1458,1500)

Permalänk
Medlem
Skrivet av rvin82:

Ah jag förstår, då är det alltså något med mtu ändå alltså för alla symptom stämmer väll ganska bra på att mtun skulle vara fel. frågan är bara vilken mtu som gäller, märker absolut ingen skillnad mellan alla de värdena jag testat (1400,1440,1458,1500)

Gå ned på typ 1200 och se. Det ska fortfarande fungera och den enda nackelen är att du skicka fler och mindre paket. På snabba länkar på långa avstånd kommer det att bli sämre, men i det här fallet bör du inte märka någon väsentlig skillnad.
FYI: Streaming påverkas inte då streamad data brukar vara UDP och framförallt väldigt mycket mindre paket.

Jag tror att du kanske hamnar lite under 1400 i slutänden. i IPSec VPN brukar MTU vara typ 1420, men jag vet inte hur mycket overhead OpenVPN innebär då det.

Permalänk
Medlem

Lite lurigt då du kör med tap, prova ändra MTU direkt på tap enheten i windows servern

http://www.sysadmintutorials.com/tutorials/microsoft/windows-2008-r2/how-to-set-windows-2008-r2-mtu/

Skickades från m.sweclockers.com

Permalänk
Medlem

Har du provat att kolla vilken hastighet du får utan kryptering?
Om du kör tap, prova att inte köra den bryggad mot ditt nic.

Permalänk
Medlem
Skrivet av JRE:

Lite lurigt då du kör med tap, prova ändra MTU direkt på tap enheten i windows servern

http://www.sysadmintutorials.com/tutorials/microsoft/windows-2008-r2/how-to-set-windows-2008-r2-mtu/

Skickades från m.sweclockers.com

Bra tips, skall testa detta, ändrade ändast mtu i openvpn och på TAP adaptern, inte på den fysiska.

Skrivet av VexedRelic:

Har du provat att kolla vilken hastighet du får utan kryptering?
Om du kör tap, prova att inte köra den bryggad mot ditt nic.

Jag tror endast det går att stänga av krypteringen om man har tillgång till konfigureringen på server sidan och det har jag inte, det ända jag kan ställa in från server side är comp-lzo on eller off.

Jag kör obryggat läge, har inte testat brygga, finns det fördelar med att brygga adaptern, kanske är detta som skapar problemet?

Ska försöka hinna göra fler tester ikväll.

Permalänk
Medlem

Tänkte uppdatera denna tråd då jag gjort fler tester idag och inget har givit några nya resultat, går det att utesluta fel hos mig nu? Är det PRQ som fallerar med konfigurationen på sin sida? Vad mer kan jag testa? Hade stora förhoppningar på netsh kommandot då den interna nic drivern inte hade någon option för att ändra mtu, men det gjorde ingen skillnad (ja jag startade om)

eh nu plötsligt verkar det funka bättre efter jag bytte tillbaka till mtu 1500, måste göra lite mer tester innan jag säger något, vore lagom sjukt om det helt plötsligt hoppade igång

Permalänk
Medlem

Tror jag hittat felet, verkar inte som att all trafik går genom tunneln, fattar inte hur jag får tunneln att köra all trafik både in och ut.

Testade köra bridge på kortet men det resulterade i ingen anslutning alls, ger en bridge adapter ett nytt mac-id ? tror ispn låser dhcpn till x antal mac adresser och det kanske är därför det inte ville funka med bridge?

Permalänk
Medlem

Okej jag tror jag hittat felet, tydligen något fel med tap drivaren i windows vista+ som orsakar detta, inte ensam om det. Det förklarar saken varför jag aldrig hafr problem med vpn tunnlar förut förut då jag alltid kört win2003, de os jag testat med nu är ju win7, win2008 och win8 alla lider av problemet.

Verkar inte vara någon som löst detta så blir väll att nedgradera alternativt ge sig in i linux världen

referens: https://forums.openvpn.net/topic14122.html?hilit=slow%20windo...