Performance zwischen zwei vLAN

[AliManali]

Hi

Ich habe eine Zywall, und danach einen Switch. Auf den Switch fahre ich tagged mit 3 vLANs. Wenn ich nun iperf zwischen zwei vLAN laufen lasse, dann komme ich nur auf 40MB/s. Ist das normal? Ich dachte eigentlich, dass der Netzwerkverkehr auf dem Switch bleibt und somit 120MB/s durchkommen müssten. Oder gehen die Daten auf dem tagged Kabel hin und her, und das ist der Flaschenhals?

 

[sch4kal]

Zwischen VLANs muss geroutet werden, dann packt deine Zywall eben nicht mehr.

 

[underclocker2k4]

So schauts aus. Solange der Switch nicht routet, braucht es eine weitere Instanz.
Zwischen zwei VLANs muss immer geroutet werden. Wäre eine Verbindung auf L2 möglich, dann wären es keine getrennten VLANs, sondern eben eins.

Daher VLAN<->VLAN = Routing = Router/L3-Switch

Wird leider allzugerne vergessen, wenn man da einsteigt. VLAN heißt für den Homeuser immer getrennte Netze.
Kann man sich so vorstellen, als wenn man sich @home 10 Switche hinstellt, die alle miteinander nichts zu tun haben. Will man diese Switche nun verbinden, kann man sie entweder alle einfach zusammenstecken = ein großes LAN/L2-Segment=1 VLAN=es gibt keine Trennung mehr (zumindest auf L2 nicht mehr) oder aber ich will die weiterhin getrennt haben, dann brauche ich irgendeinen Vermittler, dieser nennt sich dann Router.
Jetzt gibt es Switche, die haben einen Router gleich mit eingebaut, ändert aber nichts daran, dass man eben einen Router braucht, bzw. die Funktion auf diesem Switch auch aktivieren muss.

Die Frage, die automatisch hochkommen müsste, lautet also, wie verbinde ich denn die VLANs miteinander. (und, habe ich dafür die ausreichende Performance)

 

[AliManali]

Hmm, das ist blöd. Ich habe für napp-it AiO mit NFS, der Zywall, den vSphere Kernel, IPMI und so extra ein separates Management VLAN gemacht. Und halt jetzt gedacht, ich könne die napp-it VM mit durchgereichtem HBA gleich noch als Netzlaufwerk verwenden. Aber mit 40 MB/s macht das nicht wirklich Spass.

Da werde ich wohl nicht drum herum kommen, napp-it eine zweite NIC zuweisen, was ich eigentlich verhindern wollte.

Ich würde meinen, die Zywall 110 hätte genug Leistung. Sehe ich das aber richtig, dass da das Kabel selbst, bzw. der Netzwerkport daran schuld ist, weil da die Daten zuerst zur Zywall und dann wieder zurück geschoben werden? Sollte mit Duplex nicht in beide Richtungen gleichzeitig 1 Gb/s möglich sein?

 

[underclocker2k4]

Duplex so sollte es sein, allerdings mit 1Gb/s. Allerdings ist das Teil nun nicht unbedingt nen performantes Gerät.
Du kannst ja mal testhalber über 2 separate Ports der FW mit jeweils einem Subnetz, sprich also aktiviertem Routing, schauen, was geht, wenn du das auf dediziertem Wege probierst. (sprich also z.b. 2 Rechner dediziert nehmen)

Hast du denn mal getestet, was du in dem lokalen Netz wer napp für Transferraten schaffst. Der Speed kann letztendlich an allem liegen.

 

[AliManali]

Ja, danke!

Habe jetzt mal napp-it eine zweite NIC zugewiesen. Da flutscht es wie es soll mit >120 MB/s. Allerdings hatte ich ja extra ein separates VLAN für die Management Sachen angelegt, insbesondere wegen NFS. Aber egal, ist ja eh nur Laborbetrieb, bizli Spielzeug- und Gameserver.

Ich hätte noch die Möglichkeit das Management VLAN mit einer separaten Strippe zu versorgen. Also dass ich von der Firewall zum Switch doppelt fahre, einmal mit dem Management VLAN, einmal mit den anderen beiden VLAN's getagged. Ich glaube irgendwie noch nicht so recht daran, dass die Zywall zu schwach ist. Die wurde vor ein paar Jahren mal noch hoch gelobt, was den Durchsatz angeht. Das ist mir im Moment aber zu gewagt, ich habe keine Lust mir mit der VLAN- und Port Konfiguration an der Firewall den Ast abzusägen. Nacher läuft wieder gar nichts, alles schon gehabt. Insbesondere auch, weil ich mein Notebook gerade längerfristig ausgeliehen habe. Hoffe das Guzli kommt bald wieder mal.

 

[underclocker2k4]

Performant ist halt immer relativ.
Ich meine, dass das Teil irgendwas an 1,5Gb/s an IPSEC schafft, dennoch kann es sein, dass der Routingprozess unzureichend implementiert ist oder dass die restliche Auslastung so groß ist, dass es da Stress gibt.
Es gibt viele Gründe.
Fakt ist aber, dass das Teil eben perse keine 1,5Tb/s im L3 kann, wo man dann in der Regel nicht davon ausgeht, dass es daran liegt.
(das wäre dann die Leistungsklasse ausgewachsener Geräte...)

 

[AliManali]

Mir reicht 1 Gb/s. Hängen halt unzählige Hosts bzw. VMs dran. Die machen nicht viel im Netzwerk, aber Kleinvieh macht halt auch Mist. Wenn ich dann den Lappi wieder mal da habe, teste ich das mit zwei VLANs über zwei Ports. VPN läuft eh alles separat in VMs.

 

[sch4kal]

Ja, danke!

Habe jetzt mal napp-it eine zweite NIC zugewiesen. Da flutscht es wie es soll mit >120 MB/s. Allerdings hatte ich ja extra ein separates VLAN für die Management Sachen angelegt, insbesondere wegen NFS. Aber egal, ist ja eh nur Laborbetrieb, bizli Spielzeug- und Gameserver.

Ich hätte noch die Möglichkeit das Management VLAN mit einer separaten Strippe zu versorgen. Also dass ich von der Firewall zum Switch doppelt fahre, einmal mit dem Management VLAN, einmal mit den anderen beiden VLAN's getagged. Ich glaube irgendwie noch nicht so recht daran, dass die Zywall zu schwach ist. Die wurde vor ein paar Jahren mal noch hoch gelobt, was den Durchsatz angeht. Das ist mir im Moment aber zu gewagt, ich habe keine Lust mir mit der VLAN- und Port Konfiguration an der Firewall den Ast abzusägen. Nacher läuft wieder gar nichts, alles schon gehabt. Insbesondere auch, weil ich mein Notebook gerade längerfristig ausgeliehen habe. Hoffe das Guzli kommt bald wieder mal.

Du weißt, das du den NFS Zugriff auch in napp-it einschränken kannst ?! sowas wie rw=192.168.x.x/32,root=192.168.x.x/32

 

[AliManali]

Ja, das hat mir letzhin schon einer im ZFS Sammler gesagt. Hab ich auch schon mal getestet heute mit einer Platte. Mein Hauptshare bekommt das sicher noch, aber da muss ich zum basteln halt immer ne Zeit finden, in der nicht viel los ist. Und Neustart geht auch immer mindestes eine halbe Stunde. Ich werds am napp-it und per Zywall beregeln dann. napp-it hätte zusätzlich noch eine eigene ip based firewall, aber da muss ich mich noch einlesen. Habe noch nie eine Firewall per Configfiles administriert. Weil im Moment hängt NFS nackt im LAN. Aber ja, das war der Grund, wieso ich das so kompliziert eingerichtet habe. Bastelbude halt.