filesharing via VPN in China

[two-one]

Hoi,

Ik ben bezig om een VPN op te zetten naar een kantoor van ons in Shanghai.
Dat werkt allemaal prima, echter het overhalen van bestanden via de VPN gaat erg langzaam.

De verbinding is echter snel genoeg (2mbit), alleen de latency(pin tijden) is slecht (tussen de 300 en 600ms)!

Ik heb begrepen dat het windows filesharing protocol erg vaak gegevens over een weer stuurt om zaken te checken e.d. Ik schat zo in dat daar het probleem zit.

Iemand een creatieve oplossing hiervoor?

Alvast bedankt,
Toine

[ThinkPad]

DC++ o.i.d gaan gebruiken.

Word op LAN party's ook bijna altijd gebruikt, aangezien Windows Filesharing het hele netwerk langzaam maakt.

[ Voor 14% gewijzigd door ThinkPad op 13-08-2007 11:30 ]

[RiCkY82]

ftp protocol gebruiken ipv windows file sharing?

[TrailBlazer]

om het even iets beter te onderbouwen allemaal.
Je loopt tegen je TCP window size aan. Je windowsize geeft aan hoeveel bytes er verzonden mogen worden voordat er een ack komt. stell je mag 4500 bytes versturen per window. Hierna moet de ontvangende kant zeggen ok die heb ik. Het duurt echter 600 milliseconden voordat je deze acknowledgment krijgt. Als je dit uitrekens kom je dan ongeveer op 60Kbit/seconde uit. Er zijn wel methodes (window size verhogen) die dit opvangen maar dan moet je ff googlen.
http://www.onlamp.com/pub...005/11/17/tcp_tuning.html

[ Voor 5% gewijzigd door TrailBlazer op 13-08-2007 12:04 ]

[jvanhambelgium]

In functie van hoe belangrijk dit allemaal is kan je ook overwegen om een WOC te plaatsen (vb van Riverbed, DE referentie op die gebied)
WOC = Wan Optimalisation Controller

http://www.riverbed.com/products/appliances/


Kan "overall" de performantie met 10x tot 100x verbeteren door tal van inventieve technieken.

Indien het geen geld mag kosten kan je mischien overwegen te beginnen spelen met vb inderdaad de windowing binnen TCP. Maar indien de lijn mischien "overall" ook wat "onbetrouwbaar" is gaat dat u ook schaden indien je een grote window gaat gebruiken. (en de overall performantie mischien gemiddeld nog omlaag trekken)


Wij hebben verschillende klanten van de aardkloot) die dikwijls Riverbed WOC gebruiken voor offices in vb Jakarta etc dewelke geen superdeftige lijnen hebben/garanderen.


Jan

[TrailBlazer]

jaa Riverbed wat een kleredingen zijn dat zeg. Als ze het doen zijn het mooie dingen maar als ze het niet doen geen touw aan vast te knopen waarom niet. Ook de optimalisatie die ze halen In onze beste gevallen een factor 4 ofzo hoewel het natuurlijk sterk aan het type verkeer ligt.
Asymetrische routeringen snappen ze niks van (ok ik geef toe het is ook niet netjes van ons)
Allerlei gekke problemen met exchange gehad bleek de router geen keepalives vanaf de centrale riverbed naar de exchange server te sturen. Helaas gooide firewall na een uur de sessie eruit.
Redirecten met WCCP ook al stonden er passthrough policies toch het verkeer omzeep helpen.
Downgraden van software kan gewoon niet lijkt het wel.
Het heeft een mooie interface en veel potentie maar wat een hell om aan de praat te krijgen.

had ik al gezegd dat ik geen fan ben van die dingen

[ Voor 3% gewijzigd door TrailBlazer op 13-08-2007 13:00 ]

[jvanhambelgium]

> had ik al gezegd dat ik geen fan ben van die dingen

Hmm, ik heb zo de indruk...

>Als ze het doen zijn het mooie dingen maar als ze het niet doen geen touw aan vast te knopen >waarom niet.

Tja, het zijn erg complexe dingen waaraan geraakt gaat worden en troubleshootin is plots héél wat moeilijker. Zowel op tcp/ip niveau, file-caching etc maken het er allemaal niet makkelijker op.

> Asymetrische routeringen snappen ze niks van ok ik geef toe het is ook niet netjes van ons

Inderdaad, niet netjes van jullie ;-)


Al deze producten zijn zo cutting-edge dat het nog wel wat zal duren en early adopters vreten altijd de bonen ;-)

[TrailBlazer]

jvanhambelgium schreef op maandag 13 augustus 2007 @ 13:37:
> had ik al gezegd dat ik geen fan ben van die dingen

Hmm, ik heb zo de indruk...

>Als ze het doen zijn het mooie dingen maar als ze het niet doen geen touw aan vast te knopen >waarom niet.

Ik snap de syntax niet ik snap niet hoe ik dingen kan troubleshooten en ik heb serieus een hoop documentatie doorgelezen. Ik heb het idee dat je enkel kan troubleshooten door de configuratie door te spitten. Bij cisco kan ik met een hoop commando's vaak het meeste wel oplossen.

Tja, het zijn erg complexe dingen waaraan geraakt gaat worden en troubleshootin is plots héél wat moeilijker. Zowel op tcp/ip niveau, file-caching etc maken het er allemaal niet makkelijker op.

> Asymetrische routeringen snappen ze niks van ok ik geef toe het is ook niet netjes van ons

Inderdaad, niet netjes van jullie ;-)

Tja opeens gebruiken we MPLS ipc leased lines. Hierdoor gedraagt het een en ander zoch toch net wat anders de backbone is daar niet heel erg op gebouwd

Al deze producten zijn zo cutting-edge dat het nog wel wat zal duren en early adopters vreten altijd de bonen ;-)

true

[jvanhambelgium]

En je heb nog altijd de mogelijkheden de producten van Juniper,Expand Networks,Packeteer,Cisco en nog tientallen anderen te gebruiken die in de sector actief zijn.
Volgens Gartners' Magic Quadrant zitten in de top 3 : Riverbed,Juniper en Expand Networks.

Vroeger was het allemaal nog simpel ;-)


MPLS,VPLS,GMPLS ;-) Allemaal toffe materie maar je krijgt er soms grijs haar van als je allemaal up-to-speed moet blijven.
Tegenwoordig spreken we over VLL's en lichtpaden ;-)
of zo van, nou de klant wil "een lamda'tje" ;-) ipv een lijntje ;-)

[jvanhambelgium]

offtopic,

@trailblazer,

Welke versie van RiOS geeft je zo'n troubles ? 4.0 of een eerdere ?

[TrailBlazer]

jvanhambelgium schreef op maandag 13 augustus 2007 @ 13:57:
offtopic,

@trailblazer,

Welke versie van RiOS geeft je zo'n troubles ? 4.0 of een eerdere ?

heel veel problemen gehad met eigenlijk alle 2.1.* we zijn nu aan het testen zo te zien met 4.0.1d en 4.0.2 Ik weet er verder weinig van af dat doet een andere afdeling alleen zij maken het officieel tot een goed product en dat was het niet

[Equator]

Even back ontopic:
Cisco heeft ook een soort filecaching systeem (WAFS, Wide Area FileSystem) wat de verbinding tussen 2 lokaties op bestandsniveau het e.e.a. kan tunen.

Bij LNV hebben we dat een tijdje getest en ik moet zeggen dat we daar best een performance verbetering zagen.

Oplossingen zoals DC++ of FTP zijn leuk voor een enkel persoon, maar je kan een compleet bedrijf niet gebruik van DC++ laten maken denk ik Al is het alleen maar vanwege het feit dat gebruikers graag met de standaard tools willen werken..

[ Voor 30% gewijzigd door Equator op 13-08-2007 14:34 ]

[two-one]

Equator schreef op maandag 13 augustus 2007 @ 14:32:
Oplossingen zoals DC++ of FTP zijn leuk voor een enkel persoon, maar je kan een compleet bedrijf niet gebruik van DC++ laten maken denk ik Al is het alleen maar vanwege het feit dat gebruikers graag met de standaard tools willen werken..

Inderdaad... dit klinkt niet zo aantrekkelijk...
overigens klinkt de bovengenoemde hardware oplossingen ook niet echt aantrekkelijk voor deze situatie.
Het is allemaal vrij klein dus hebben we met budget en praktische toepasbaarheid te maken.
In shanghai een doos neerzetten die bijna niemand begrijpt kan wel es wat probleempjes gaan opleveren vrees ik.
Is die Cisco oplossing een software oplossing?

gr.toine

[Bl@ckbird]

jvanhambelgium schreef op maandag 13 augustus 2007 @ 13:54:
Volgens Gartners' Magic Quadrant zitten in de top 3 : Riverbed,Juniper en Expand Networks.

Dit rapport is alweer achterhaald, omdat men niet de nieuwste producten hebben getest.

[Equator]

toineneman schreef op maandag 13 augustus 2007 @ 14:52:
[...]

Inderdaad... dit klinkt niet zo aantrekkelijk...
overigens klinkt de bovengenoemde hardware oplossingen ook niet echt aantrekkelijk voor deze situatie.
Het is allemaal vrij klein dus hebben we met budget en praktische toepasbaarheid te maken.
In shanghai een doos neerzetten die bijna niemand begrijpt kan wel es wat probleempjes gaan opleveren vrees ik.
Is die Cisco oplossing een software oplossing?

Nope, dis Cisco oplossing is een appliance, en verder transparant voor de gebruikers..

gr.toine

Groeten hoeft niet op het forum.. Wij tweakers groeten elkaar per default..

Certeon is ook een mogelijke oplossing. Die doen ook CIFS accelleratie

[ Voor 4% gewijzigd door Equator op 13-08-2007 15:10 ]

[Bl@ckbird]

Equator schreef op maandag 13 augustus 2007 @ 15:08:
[...]

Nope, dis Cisco oplossing is een appliance, en verder transparant voor de gebruikers..

Zowel als appliance en als Network Module in ISR routers. (2811 and up)

Packeteer ondersteund overigens SMB signing.
Security-wise misschien intressant. Bij andere fabrikanten moet je dit uit zetten.

[Verwijderd]

Beste,

We hebben net hetzelfde probleem als u.

Het probleem ligt waarschijnlijk niet aan u maar aan de chinese overheid.

Alle internetverkeer die voorbij de chinese grenzen gaat moet gescand worden door de isps. Dat gebeurt door de lokale isp die uw chinees bedrijf bij aangesloten is, maar ook nog door een van de grotere isps waarbij de kleinere isp is aangesloten.

Dit is ondermeer de reden waarom google zichzelf 'verkocht' aan china.
Vroeger was google quasi niet bereikbaar voor chinese mensen door die scanning. (vertragingen, onbereikbaarheid). Als oplossing is er dan een aparte google server gebouwd in china (die onder chinese censuur valt).

Dit is dus een probleem waar zelfs de grootste IT bedrijven problemen mee hebben.

[jvanhambelgium]

@dimbiaenpet

Je hebt daar wel groot gelijk, het IS een feit dat elke bit die in en uit China gaat wel degelijk onder de loep genomen gaat worden door 1 of ander obscuure appliance ;-)
Mischien allemaal overwegen om zware AES encryptie tussen de links te gebruiken ... mischien zal je merken dat deze encrypted links niet eens kunnnen ;-)

[two-one]

jvanhambelgium schreef op maandag 13 augustus 2007 @ 15:49:
Je hebt daar wel groot gelijk, het IS een feit dat elke bit die in en uit China gaat wel degelijk onder de loep genomen gaat worden door 1 of ander obscuure appliance ;-)
Mischien allemaal overwegen om zware AES encryptie tussen de links te gebruiken ... mischien zal je merken dat deze encrypted links niet eens kunnnen ;-)

Dat lijkt me sterk. We gebruiken nu 1024bit 3des encryptie op onze IPsec VPN.
Is de inhoud van dit verkeer -realtime- te monitoren?

[ Voor 0% gewijzigd door two-one op 13-08-2007 16:46 . Reden: spelfout ]

[jvanhambelgium]

Neen, in realtime niet hoor. Ik denk ook niet dat de Chineese overheid dat gaat doen voor het gros van de traffiek. Maar het is een feit dat een transit-punten in/uit China wel degelijk de nodig appliances hebben die denkelijk alle niet encrypted traffic netjes opvolgen ;-)
Ze zullen ook niet kunnen verbieden deze VPN traffiek van en naar China toe te laten, alhoewel dat ze denkelijk lastig worden omdat ze zo geen zicht hebben over wat er over gaat ;-) Het zou wel eens propagande tegen het regime kunnen zijn...

[TrailBlazer]

toineneman schreef op maandag 13 augustus 2007 @ 16:22:
[...]


Dat lijkt me sterk. We gebruiken nu 1024bit 3des encryptie op onze IPsec VPN.
Is de inhoud van dit verkeer -realtime- te monitoren?

3des is maar 168 bit toch. Mischien is je DH keyexchange wel 1024 maar het geencrypte verkeer is maar 168 bit. Overigens dit is met geen mogelijkheid realtime te kraken tenzij de chinezen kunnen wat nog niemand kan. Deze key wordt vaak ook nog elk uur opnieuw verstuurd.

[two-one]

TrailBlazer schreef op maandag 13 augustus 2007 @ 18:34:
[...]

3des is maar 168 bit toch. Mischien is je DH keyexchange wel 1024 maar het geencrypte verkeer is maar 168 bit. Overigens dit is met geen mogelijkheid realtime te kraken tenzij de chinezen kunnen wat nog niemand kan. Deze key wordt vaak ook nog elk uur opnieuw verstuurd.

inderdaad, klopt helemaal. Foutje van mijn kant.