Iperf per Passwort zugänglich machen. Sense mit 2x WAN.

AliManali

cpt sunday flyer
Thread Starter
Mitglied seit
07.03.2012
Beiträge
4.767
Ort
Ostschweiz
Hi

Mein Kumpel arbeitet bei einem Cable Provider. Er hat mich jetzt schon mehrere male angefragt, ob er irgendwie bei mir messen könne. Wär für mich btw auch interessant, so als Gegenstelle zu fungieren. Bekomme bald meine zweite 10/10er Leitung, die hängen dann beide an meiner sense. Beide WAN per doppelt NAT, die Sense einwählen lassen geht leider nicht.

An der Sense hängt im Moment getagged mein Server an einer Strippe mit mehreren VLAN. Da soll dann aber auch die zweite Anbindung rauf getagged werden. Die beiden Leitungen sollen dann per Source NAT geregelt raus, keine Ahnung. Bin da neu bei den Senses, mit der Zywall hatte ich mal was ähnliches am laufen. Hoffe kriege das irgendwie ohne asymetrisches Routing gebacken.

Wie stelle ich da am einfachsten ein iperf im Netz per pw zur Verfügung? Am liebsten ohne VPN, weil da würde wohl meine uralt Firewall gnadenlos einknicken. Also iperf als VM auf dem Server per Passwort aus dem Internet erreichbar. Über die jeweilige IP. Wenn es geht, über die selbe Strippe Sense > Server. Habe leider keinen Switch, und an der Firewall nur 6 Ports. Würde gerade noch so aufgehen, wenn ich den Server mit zwei Strippen anfahren müsste. Lieber wär mir aber eine einzelne. Im schlimmsten Fall halt 2 VMs und zwei Strippen zum Server. Ungern.

Mal so als erste Anwendung, die an beiden Leitungen redundant verfügbar ist.

Müsste auch iperf sein. Einfach mal ein File über einen SSL TCP Stream runter laden hatten wir schon getestet, aber da komme ich dank overall uralt Hardware nur auf unterirdische Werte.

Gruss und danke
 
Zuletzt bearbeitet:
Wenn Du diese Anzeige nicht sehen willst, registriere Dich und/oder logge Dich ein.
Wenn Du das möglichst "barrierefrei" zugänglich machen möchtest im Sinne von "es sind keine extra VPN Clients etc erforderlich"kann man das wie folgt umsetzen:

Mit Apache Guacamole kann man per Webbrowser eine SSH oder RDP Verbindung auf einen beliebigen, von Guacamole ererichbaren Client machen(!).

Technisch ist das recht simpel umzusetzen:
- beliebigen Ziel Client (Windows/Linux) in extra Netz / vLAN, entweder als VM oder sogar als eigene HW
- per reverse proxy -> Linux mit Docker, und dort den Guacamole Container draufpacken
- im reverse proxy schaltest Du erstmal "Basic Auth" ein
- in Guacamole 2fa aktivieren und Verbindungen konfigurieren

Damit das ganze auch sicher ist, läuft das dann so ab:
Wenn jemand die URL im Browser aufruft kommt erstmal die Abfrage User+PW vom proxy Webserver.
Danach kommt der reguläre Login von Guacamole: User+PW, und hier haben wir dann natürlich TOTOP eingeschaltet, d.h. Code eingabe erforderlich.
Danach kommt man zur Überischt der konfigurierten Verbindungen -> Vebindung auswählen.
Man kann in der Verbindung die Zugangsdaten hinterlegen, oder man muss an dieser Stelle noch die Zugangsdaten der jeweiligen Maschine eingeben.

Wären also in Summe: 3x Username + PW + 1x TOTP Code einzugeben.
Das sollte ausreichend sicher sein, zumal man die Reverse Proxy Adresse auch kennen muss, da alle anderen Anfragen direkt ins leere laufen.

Gua PW1.png
gua pw 2.png


gua 1.png
 
Zuletzt bearbeitet:
Alternativ, einen nicht standard Port für den iperf nutzen.
Zwar könnte da jemand mit etwas Zeit und Lust auch drauf kommen, aber das ist dann doch sehr unwahrscheinlich.

Ich bin den Weg über Wireguard gegangen, aber wie du schon schriebst muss dafür die Performance gegeben sein.
Hardware ersetzen dafür, besonders bei deinen Homelabmöglichkeiten würde ich dann aber auch nicht, verstehe ich :)

Oder... den iperf Vorgang umdrehen.
Nur zur Steuerung den Wireguard nutzen und dahinter dann von dir aus auf das Ziel zugreifen das testen möchte.
Mit -d lässt sich ja die Richtung der iperf3 Tests drehen / auf Bidirektional drehen.
 
Ja, glaube, lass iperf einfach auf irgendeinem wilden Port laufen. Kann ja da die VM dazu runterfahren. Soll mich mein Kumpel anrufen, wenn er was messen möchte. Das wird am einfachsten sein.

Den Server werde ich wohl einfach 2x getrennt getagged anfahren. Geht genau auf mit den Ports.
 
Okay, kriege da per TCP 2.3 Gbit. Das ist ein bisschen mehr, als wir über einen einzelnen TCP Download vom Webserver per https von aussen erreichten. Das schwankte so zwischen 1 und 1.5 Gbit/s. Beim Speedtest kriege ich meist so 5.5/5.5, aber der wird halt mehrere Streams gleichzeitig nutzen.

Per UDP finde ich irgendwie die Syntax nicht, um grössere Pakete zu senden. Die Option -l funktioniert nicht so wie gewünscht. Standardmässig bekomme ich 1 Mbit/s.

Gibt es da noch Schrauben, an denen ich drehen könnte? Getestet habe ich zwischen einem physischen Gateway und einem VLAN auf dem Server. Von aussen noch nicht getestet.

IPS Mode habe ich deaktiviert.


Screenshot 2025-03-07 135019.jpg



Screenshot 2025-03-07 135059.jpg
 
Was passiert wenn du mit -R reverse testest, oder mit -Z die Zerocopy verwendest? Eventuell auch mal mit -P die Anzahl der Verbindungen auf bspw. 20 hochstellst?
-u mal probiert? Passiert es nur bei v4 oder auch v6? Wie ist die MTU?
 
Ja, genau, mit -P 20 komme ich knapp auf 9 Gbit/s zwischen LAN und DMZ. -Z hat nicht funktioniert. Mit -R sieht es etwa gleich aus. Aber danke mal für den Tipp mit -P.

Der untere Screenshot ist mit -u gemacht. Denke, da ist per einzelnem TCP Stream halt einfach nicht mehr drin.

IPv6 habe ich deaktiviert, hier läuft alles über IPv4. MTU wird auf Standard sein, denke 1500. Switch gibt es ja keinen.

Habe es auf WAN getestet, da komme ich auf ca. 3.2 Gbit/s in beide Richtungen. Werde noch einen Luxxer belästigen, der hat eine Leitung die garantiert 9 Gbit/s bringt. Mal sehen, was bei dem raus springt.
 
Wenn ich deinen iperf Server mal ordentlich DoSsen soll, sag Bescheid. Dann hänge ich meinen Desktop mal mit 100G ran.
 
@sch4kal: 100Gbit Internet-Breakout? RESPEKT!
 
Hardwareluxx setzt keine externen Werbe- und Tracking-Cookies ein. Auf unserer Webseite finden Sie nur noch Cookies nach berechtigtem Interesse (Art. 6 Abs. 1 Satz 1 lit. f DSGVO) oder eigene funktionelle Cookies. Durch die Nutzung unserer Webseite erklären Sie sich damit einverstanden, dass wir diese Cookies setzen. Mehr Informationen und Möglichkeiten zur Einstellung unserer Cookies finden Sie in unserer Datenschutzerklärung.


Zurück
Oben Unten refresh