[Kaufberatung] Router für KMU

[Yoginator]

Hey Hardwareluxx Gemeinde,

Ich habe mehrere kleine Projekte am laufen die ziemlich viele Connections (Sessions) benötigen wo auch mein derzeitiges bottleneck ist.
Ich kenne mich nun nicht extrem gut mit Routern aus, deshalb frag ich einfach mal hier nach.

Kurz zu meinem Setup:
2 VDSL 50 Leitungen mit jeweils einem Router dran

Router 1:
Draytek Vigor 2860 wird mit dem internen Modem benutzt und geht auch super, daher will ich diesen auch behalten. (auch wegen dem vorhanden WLAN)

Router 2:
Draytek Vigor 2850 also der Vorgänger, hier wird ein externes Speedport HS 300 Vdsl modem benutzt. Der Router läuft auch super, allerdings macht der mir einfach zu früh zu, deshalb soll dieser ausgetauscht werden.


Ich habe bereits mit Draytek telefoniert und mich beraten lassen, als damals dann der Vigor 2860 rauskam meinte ein Draytek Mitarbeiter das dieser die doppelte CPU und Ram Leistung hat als der ältere Vigor 2850, also gekauft, getestet und tatsächlich konnte der Vigor 2860 etwas mehr als das doppelte leisten. Soweit war dann auch alles gegessen, da ich ja plötzlich die 3 fache Leistung hatte, nun ist allerdings der Zeitpunkt gekommen wo es wieder knapp wird und die Leistung einfach nichtmehr ausreicht

Erneut mit Draytek telefoniert meinte der Mitarbeiter das der Vigor 2860 schon einer der stärksten geräte sei, arg viel mehr können die teureren auch nichtmehr.

Am liebsten hätte ich einen Router der an die 50.000 gleichzeitige Sessions aushält (der Vigor 2850 fängt an bei ~3700 Sessions zu hängen, der 2860 bei ~8000)

Selbst hab ich mir schon ein paar Cisco geräte angeschaut, unterm strich kenne ich mich aber dann einfach zu wenig aus um genau zu sagen was ich brauche.

Nochmal kurz und knapp was ich brauche:
-Router der ziemlich viele Connections (Sessions) aushält
-Router braucht kein WLAN (nicht schlimm wenn vorhanden)
-Router braucht kein internes VDSL Modem (nicht schlimm wenn vorhanden)
-Telefonanschlüsse werden auch nicht benötigt, habe ich ja am Vigor 2860 dann

Schonmal ein riesen Dankeschön an jeden der mir etwas weiterhilft!

 

[bst92]

Eventuell willst du mal einen Blick auf pfSense werden. Das kann dann natürlich auf einer breiten Palette an Hardware laufen.

 

[Eye-Q]

Ich meine auch, dass man bei 50.000 gleichzeitigen Verbindungen mit herkömmlicher Router-Hardware nicht mehr auskommt, da die CPUs meistens zu schwach sind. Da muss mindestens ein Atom bzw. AMD E-Series Dualcore rein. Da gibt es Mini-ITX-Mainboards für schmales Geld, dann noch 2 GB RAM und eine kleine HDD/SSD, wo dann pfSense o.ä. läuft und schon hat man ein zukunftssicheres System.

 

[hominidae]

+1
50k connections wird schwer zu finden sein, siehe auch: Router Charts - Maximum Simultaneous Connections - SmallNetBuilder.

Was ist denn Dein Budget? ich würde entweder bei Csco oder Lancom anfragen.

Ansonsten selbstbauen...für nen Router mit pot. FW mindestens mal 4xLAN.
Ich bin mir nicht sicher, ob die PC-Engines APU boards (Dual-Cores) das auch schaffen (PC Engines apu system boards)...die wären für pfsense meine erste Wahl.
Ansonsten was hiervon mit mehr Oumpf: http://geizhals.at/de/?cat=mbson&xf=3206_4x+Gb+LAN#xf_top

 

[GrafikTreiber]

Kann da auch nur zu pfSense raten, da hast du nach oben hin einfach alle Möglichkeiten. Das sollte mit einer PC Engines APU klappen, wenn die Rechenleistung nicht mehr ausreicht kann man ja einfach eine Nummer höher gehen und eine Atom Avoton Lösung verwenden z.B. das Supermicro A1SAi-2750F, das hat auch IPMI und ECC-Support. Und wenn das dann immer noch nicht reicht, dann einfach ein Xeon und fertig.

 

[Yoginator]

Wenn ich mir jetzt z.b. so ein Board hole wie hominidae geschrieben hat, muss ich dann nur noch ne kleine SSD und Ram Riegel dazukaufen?
Dann quasi die Router software von pfSense draufspielen und das ding sollte laufen?
Hat so etwas schonmal jemand gemacht hier? Schwer?

Evtl. ist es ja doch mal ein versuch wert, ich hab hier zwar schon einen Router gefunden mit einem Intel Atom, allerdings kommt das ganze halt aus US und wenn das ganz und gar nicht klappt hab ich ein 1000$ gerät rumliegen und kann es nicht nutzen.

http://store.netgate.com/Firewall/C2758.aspx

Das teil wäre es, evtl ja auch "einfach" nachzubauen

 

[bst92]

Also ich habe eine pfSense Installation in einer virtuellen Maschine auf meinem ESXi-Server laufen und bisher (~10 Monate) keinen Aussetzer oder Hänger gehabt. Als Modem dient mir ein ZyXEL VMG1312-B30A.

 

[hominidae]

..Ja, ich denke in dem netgate Teil ist eines dieser Boards drin: http://geizhals.at/de/?cmp=1088133&cmp=1088146#xf_top (wg. intel LAN...die anderen sind passiv und haben Marvell LANs).
Ich würde sicherheitshalber nochmal checken das pfsense die Treiber für den i354 hat.
Der C2750 hat ein wenig mehr Power als der C2758 wg. d. TurboBoost Feature.

...im Prinzip hast Du Recht...RAM und ne kleine SSD dazu...noch ein Gehäuse + NT...pfsense drauf...fertig.

Edit: denke im netgate ist doch ein anders Board, da dort S0-DIMs drin sind.
Alle Boards, die ich hier finde, mit intel LAN haben DDR3-UDIMMs....

Edit2: ...sowas gibt es auch barebone-mässig von SM: http://www.supermicro.com/products/system/1U/#C-Series

Edit3: i354 ist wohl seit v2.1.1 drin: https://blog.pfsense.org/?p=1238 ..recht neu...aktuell ist 2.1.4

 

[TCM]

Ich frag mich, was diese Router-Kistchen als System haben, wenn 50k states ein Problem darstellen. Irgendwie etwas lächerlich, dass sowas heutzutage noch Thema ist.

"Huge amounts of RAM are not needed -- 32MB should be plenty for close to 30,000 states, which is a lot of states for a small office or home application. Most users will find a "recycled" computer more than enough for a PF system -- a 300MHz system will move a large number of packets rapidly, at least if backed up with good NICs and a good ruleset. "

PF: Performance

States skalieren normalerweise logarithmisch. Verdoppeln der Stateanzahl erfordert einen Lookup mehr.

 

[Yoginator]

Wenn ich mir diesen Artikel so durchlese steht da ja drin das z.b. Multi Core überhaupt nichts bringt, warum also einen Intel Atom 8 Core da reinbauen?

Langsam bin ich mir nichtmehr ganz sicher ob es überhaupt an den Connections liegt, da Draytek meinte der Router sollte eigentlich an die 50.000 Connections aushalten (macht aber ja schon bei ~8.000 zu)
Evtl. sind das einfach zuviele Packets die da permanent rausgeschickt und empfangen werden und der Router deshalb nichtmehr mitkommt.

Ich hab ehrlich gesagt kein problem da nun 500+ euro auszugeben, hauptsache ich hab endlich meine Ruhe und das Zeug läuft wie es laufen sollte. (Meine 2 Draytek Router haben zusammen ja auch schon ne stange geld gekostet )


Sind das eigentlich spezielle Boards die genau für soetwas ausgelegt sind oder wie muss ich das sehen?
Hätte hier z.b. noch einen alten Q6600 mit 8 Gb Ram und nem Maximus Formula Board, könnte ich das ganze damit testen? Behalten würde ich das dann trotzdem nicht so, da die Kiste ja einfach viel zu groß ist.

 

[hominidae]

....pfsense basiert auf FreeBSD...der pfsense Prozess nutzt einen Core -> je höher der sinlge-core CPU passmark umso besser für die Performance
Weitere Cores werden genutzt für alles was pfense "auslagert", zB OpenVPN/SSL, squid, snort, ....

....ausprobieren kannste das immer...im Zweifel später zu nem besseren, neuen Board migrieren.
Ne PC-Engines APU mit Gehäuse, mSSD und NT kommt so auf knapp unter 200EUR: PC Engines APU1C4 Bundle (Board, Netzteil, Speicher, Gehäuse) - varia-store.com

 

[TCM]

Evtl. sind das einfach zuviele Packets die da permanent rausgeschickt und empfangen werden und der Router deshalb nichtmehr mitkommt.

Ja genau. Am besten lässt du die Router auch mal verschnaufen, indem du sie über Nacht ausschaltest. Router müssen auch schlafen.

50Mbps routet dir jeder olle Pentium 1. Die Interrupt-Last dafür dürfte um ein Vielfaches höher sein als die dämlichen state lookups, weswegen ich nicht verstehe, dass alle auf die maximale Stateanzahl gucken bzw. warum die überhaupt eine Rolle spielen sollte.

 

[Yoginator]

Naja, also 50 Mbps nutze ich ja nichtmal aus, es werden ca. 20 mbps downstream und 7 mbps upstream genutzt.

Im jetzigen Router kann ich es halt nur an hand der connections erkennen, das ab einem gewissen punkt das ding einfach in die knie gezwungen wird, ich nehme halt mal an das dass ding einfach zuwenig power dafür hat

 

[Shiga]

Ich kann die PC Engines APU mit pfSense oder iPfire wärmstens empfehlen,
eine SSD braucht es nicht umbedingt, das Ding hat auch einen SD-Karten Reader auf dem Board verbaut.

So als Tipp:
Kauf dir eine Kingstons 30GB SSD, die 16GB von PC-Engines ist schrott,
Random Read/Write-Werte sind zum kotzen und mir ist schon eine abgeraucht.

 

[Michael`]

- Was meinst du mit Sessions? NAT-Sessions? Sind die kurzlebig?
- Wie lange darf der Router ausfallen?

 

[Yoginator]

- Was meinst du mit Sessions? NAT-Sessions? Sind die kurzlebig?
- Wie lange darf der Router ausfallen?

Hmm also im Draytek Router ist das unter Data Flow Monitor -> Sessions
Ich bin mir relativ sicher das es sich hierbei um Connections handelt.


Habe nun mit hominidae schon ein System zusammengestellt für einen selbstgebauten Router, denke ich werde das heute noch bestellen und dann hier nochmal posten ob alles geklappt hat.

 

[Michael`]

Hmm also im Draytek Router ist das unter Data Flow Monitor -> Sessions
Ich bin mir relativ sicher das es sich hierbei um Connections handelt.


Habe nun mit hominidae schon ein System zusammengestellt für einen selbstgebauten Router, denke ich werde das heute noch bestellen und dann hier nochmal posten ob alles geklappt hat.

Dann sind das TCP-Sessions (die gleichzeitig auch NAT-Sessions sind, oder hast du dort mehrere Subnetze? Wenn ja, dann nimm einen extra Router dafür).
Das verwundert mich etwas. Selbst in Firmen, in denen intensiv an den Arbeitsplätzen mit Internet gearbeitet wird kalkuliert man mit ca. 40-80 Sessions pro host, die aber alle sehr kurzlebig sind (Webseite ansurfen). Bei deinen 50.000 Sessions (da werden ja schon die verfügbaren 16-bit Ports knapp) wären das 625-1300 hosts die gleichzeitig jeweils 40-80 Sessions offen haben. Das schafft die PC Engines APU nicht (CPU limitiert)! Reines routing bestimmt, aber wenn noch NAT und/oder Firewall mit an hast dann niemals.

 

[Yoginator]

Dann sind das TCP-Sessions (die gleichzeitig auch NAT-Sessions sind, oder hast du dort mehrere Subnetze? Wenn ja, dann nimm einen extra Router dafür).
Das verwundert mich etwas. Selbst in Firmen, in denen intensiv an den Arbeitsplätzen mit Internet gearbeitet wird kalkuliert man mit ca. 40-80 Sessions pro host, die aber alle sehr kurzlebig sind (Webseite ansurfen). Bei deinen 50.000 Sessions (da werden ja schon die verfügbaren 16-bit Ports knapp) wären das 625-1300 hosts die gleichzeitig jeweils 40-80 Sessions offen haben. Das schafft die PC Engines APU nicht (CPU limitiert)! Reines routing bestimmt, aber wenn noch NAT und/oder Firewall mit an hast dann niemals.

Naja es sind nicht soviele Hosts, derzeit sind es rund 12 Hosts auf denen aber pro Host 1000-1500 Sessions sind.

Mehrere Subnetze nutze ich nicht nein.

Was meinst du den an was es liegen könnte?
Die Sessions bleiben meistens auch länger bestehen, also ich glaube nicht das die groß kurzlebig sind.

 

[Michael`]

Naja es sind nicht soviele Hosts, derzeit sind es rund 12 Hosts auf denen aber pro Host 1000-1500 Sessions sind.

Mehrere Subnetze nutze ich nicht nein.

Was meinst du den an was es liegen könnte?
Die Sessions bleiben meistens auch länger bestehen, also ich glaube nicht das die groß kurzlebig sind.

Welche Dienste laufen denn auf den 12 hosts?

 

[TCM]

Das schafft die PC Engines APU nicht (CPU limitiert)! Reines routing bestimmt, aber wenn noch NAT und/oder Firewall mit an hast dann niemals.

Wieso?! Wenn es geroutet werden kann, dann geht das auch mit Filter. Was für Paketfilter setzt ihr denn ein?!

 

[Yoginator]

Welche Dienste laufen denn auf den 12 hosts?

Es handelt sich dabei um keine standard dienste, das sind dienste von eigens geschriebenen programmen
Spielt ja auch keine wirkliche Rolle, jedenfalls benötigen diese halt eine hohe anzahl an connections

 

[Michael`]

Wieso?! Wenn es geroutet werden kann, dann geht das auch mit Filter. Was für Paketfilter setzt ihr denn ein?!

Je mehr an den Datenpaketen gemacht werden muss, desto mehr CPU kostet es. Ist doch logisch. Bei NAT muss die CPU sich auch noch die NAT-Table aufbauen und Verbindungen verwalten.

- - - Updated - - -

Es handelt sich dabei um keine standard dienste, das sind dienste von eigens geschriebenen programmen
Spielt ja auch keine wirkliche Rolle, jedenfalls benötigen diese halt eine hohe anzahl an connections

Ah ok. Wie wird denn die Last auf die zwei WAN-Anschlüsse verteilt?
Wenn du selber bauen möchtest und dich deine eigene Arbeitszeit nichts kostet, dann würde ich einen kleinen Core i5 mit mind. 2GB RAM und pfSense nehmen. Keine Realtek NICs. Bei Dell gibts solche Systeme für < 750 Euro mit 5 Jahre Hardware Next Business Day Support.
Wenn du nicht selber bauen möchtest, dann kommst du nicht unter 2500 Euro (Mindestens Cisco 2901 mit ADSL HWICs plus Dienstleistungskosten für Konfiguration und Support).

 

[Yoginator]

Ich hab mich länger mit hominidae unterhalten und schon was zusammengestellt.
Also ich werde da nun definitiv etwas selbst zusammenbauen.
Zuerst wird es mal mit einem 30 Eur Celeron getestet, den kann ich ja dann jederzeit nachrüsten.
Bei dem Board was wir rausgesucht haben sind Intel NICs verbaut, sollte also passen

 

[TCM]

Je mehr an den Datenpaketen gemacht werden muss, desto mehr CPU kostet es. Ist doch logisch. Bei NAT muss die CPU sich auch noch die NAT-Table aufbauen und Verbindungen verwalten.

Mir scheint aber, dass du das gewaltig unterschätzt, was eine CPU leistet und überschätzt, was ein Paketfilter an CPU braucht und wie sich die Anzahl der States auf die benötigte Leistung auswirkt.

Nochmal: PF: Performance

Wenn das Routing leistungsmäßig geht, dann ist das Filtern nichts im Vergleich, und 50Mbps routet wie gesagt jeder Rechner von der Müllhalde. Ein aktuelles APU ALIX wäre völliger Overkill, irgendwelche i5 erst recht.

Zuerst wird es mal mit einem 30 Eur Celeron getestet, den kann ich ja dann jederzeit nachrüsten.
Bei dem Board was wir rausgesucht haben sind Intel NICs verbaut, sollte also passen

Wird völlig ausreichen.

 

[Yoginator]

Hmm, da stellt sich mir aber dann die frage warum mein jetziger router das ganz und gar nicht packt?
Ich hab quasi schrott gekauft oder deren software ist so ressourcen intensive wie eine glühbirne.

 

[TCM]

Was diese Spielzeugkistchen meist nicht viel haben, ist RAM.

 

[Yoginator]

Was diese Spielzeugkistchen meist nicht viel haben, ist RAM.

an dem wirds wohl dann liegen!
Naja, nun ist alles bestellt und hoffentlich kommt das Zeug am DO/FR schon an, ich werd euch aufjedenfall auf dem laufenden halten

 

[bst92]

Wie ist denn der aktuelle Stand?

 

[Yoginator]

1 teil war kurzfristig nicht versandfertig (obwohl als Lager angeben)
Ist aber nun unterwegs und schon bei mir in der nähe (laut tracking), sollte also morgen ankommen

 

[Yoginator]

So die ganze geschichte kam nun an und wurde auch direkt zusammengebaut.

Nach anfangs ziemlichen problemen beim installieren von pfSense (der fehler war letztendlich, das ich einen anderen treiber laden musste, da das USB Keyboard nicht mit dem standard treiber ging...) läuft nun alles rund und das ding hängt am Netz.
Auch schon alles gestartet was ich so da habe und siehe da, es läuft!!
Es könnte an der CPU usage gelegen haben, im moment ist da ein Celeron 2 core drin und die auslastung ist auf ca 10% (glaube kaum das ein Draytek Router eine solche CPU drin hat, also eher um einiges schwächer)
Der Ram war es definitiv nicht, von 8 GB werden gerade einmal 2% benutzt.

MBUF Usage sehe ich hier die bei 20% ist, das könnte natürlich auch ein knackpunkt gewesen sein.
State Table Size ist bei 2%, also dick luft nach oben.

Unterm Strich bin ich super glücklich das ich das alles hinbekommen habe und alles so läuft wie gedacht (hoffentlich bleibt das auch so )

Danke an alle die mitgeholfen haben!!