[Linux] Iptables lage performance

[stfn345]

Het is alweer ff geleden dat ik een eigen topic heb gemaakt, maar here it goes:

Ik heb sindskort een glasvezel verbinding (100mbit full duplex).
Deze heb ik aangesloten op een P4 3.0ghz router met 1 gig ram, en 2 gbit nics (Intel Pro 1000).
Debian etch en een 2.6.18 kernel.

Ik heb een heel simpel NAT Iptables rulesetje opgezet:

code:

modprobe ipt_MASQUERADE
iptables -F;
iptables -t nat -F;
iptables -t mangle -F
iptables -t nat -A POSTROUTING -o eth2 -j MASQUERADE

#Port forwards
iptables -A PREROUTING -t nat -i eth2 -p tcp --dport 113 -j DNAT --to 192.168.1.2:113
iptables -A PREROUTING -t nat -i eth2 -p tcp --dport 443 -j DNAT --to 192.168.1.2:3389
iptables -A PREROUTING -t nat -i eth2 -p tcp --dport 12000 -j DNAT --to 192.168.1.5:12000
iptables -A PREROUTING -t nat -i eth2 -p tcp --dport 26730 -j DNAT --to 192.168.1.2:26730

echo 1 > /proc/sys/net/ipv4/ip_forward

Werkt allemaal super.

Nu komt het probleem:

Aan deze nat box hangen een paar clients (tevens Intel pro 1000 nic). -
Wanneer ik een speedtest op internet (http) doe met een 1gb.bin file, komt deze netjes op ca 11,5MB/s binnen. Perfect - het maximale van de internet verbinding wanneer ik gebruik maak van het web. Ook ftp werkt naar behoren, wanneer ik gebruik maak van de standaard poorten. (21 voor control)


Wanneer ik echter een ftp sessie open naar een ftp buiten mijn eigen netwerk op een vreemd poortnummer (vanaf de client), dan komt het op max 2 a 3 MB/s binnen.

Doe ik een FXP (site to site transfer) vanaf die zelfde ftp, naar de FTP die op mijn linuxdoos draait, dan gaat het wel op 11MB/s) (dus de data komt van buiten mijn netwerk tot op mijn router - alleen de control verbinding wordt op de client gebruikt)


Omdat de download via http en normale ftp wel op volle snelheid gaat en op "vreemde poort" ftp niet, vermoed ik dat de iptables ergens de mist in gaan. Op de server is meer dan voldoende CPU + ram beschikbaar om zijn werk te doen.

Ik heb ook een test gedaan vanaf de clients naar de router zelf. Hier haal ik netjes 20+MB/s (zoals gbit zou moeten geven). Tevens heb ik ftp client gewisseld, maar hetzelfde resultaat bleef.

Noot: wanneer ik meerdere threads gebruik komt het WEL op maximale snelheid binnen, maar het lijkt ergens gelimiteerd te zijn.

Kortom:

- Snelheid van client naar router is OK (20MB/s+)
- Downloaden via HTTP vanaf de client is OK (11.5MB/s)
- Downloaden via normaal FTP vanaf de client is OK (10MB/s)
- een FXP naar een ftp server die op de router draait is OK (11.5MB/s) (de Remote FTP snelheid dus goed)
- Ik heb ftp client gewisseld
- Ik heb windowsize op zowel linux als windows geprobeerd aan te passen - helpt niet
- Windows firewall staat uit

Ik hoop dat iemand me een beetje in de goede richting kan duwen



Ik hoop dat jullie het een beetje snappen.

[LauPro]

Doet die FXP niet aan een vorm van encryptie ofzo? Of misschien is gewoon de snelheid voor FXP-transfers gecapped?

[stfn345]

LauPro schreef op maandag 03 maart 2008 @ 01:07:
Doet die FXP niet aan een vorm van encryptie ofzo? Of misschien is gewoon de snelheid voor FXP-transfers gecapped?

Zowel de client FTP download en de FXP doen aan encryptie, maar de FXP verbindingen gaan wel op volle snelheid en de client ftp downloads niet.

Snelheid is niet gecapped. Als ik dezelfde download start (non-FTP)op de router zelf haal ik wel volle snelheid. Doe ik dit vanaf een client dan is het ineens een stuk slomer. (Zelfde FTP, zelfde settings, zelfde tijdstip etc.)

Dit komt op meerdere ftp's voor. (niet specifiek 1 FTP)

Edit:Hieronder van Laupro: die waarde uitgezet in de kernel config. Geen resultaat - blijft gaar..

[ Voor 7% gewijzigd door stfn345 op 03-03-2008 01:39 ]

[LauPro]

Er is voor NAT&ftp een speciale module die het verkeer in goede banen zou moeten leiden. Dit kan zorgen voor soms rare resultaten, kan je die eens proberen uit te schakelen? (CONFIG_NF_CONNTRACK_FTP)

[stfn345]

LauPro schreef op maandag 03 maart 2008 @ 01:18:
Er is voor NAT&ftp een speciale module die het verkeer in goede banen zou moeten leiden. Dit kan zorgen voor soms rare resultaten, kan je die eens proberen uit te schakelen? (CONFIG_NF_CONNTRACK_FTP)

Misschien dat dit een beter tijdstip is en iemand een oplossing weet
Ik heb zelf al geprobeerd diverse modules te loaden of unloaden, maar geen resultaat.

[neh]

Kun je eens kijken of er een snelheidsverschil tussen een passive & active FTP download is?

[LauPro]

Kan je voor de gein eens een VPN trekken tussen die server en je client, en dan FXP'en?

[stfn345]

neh schreef op maandag 10 maart 2008 @ 19:01:
Kun je eens kijken of er een snelheidsverschil tussen een passive & active FTP download is?

Net getest, passive en active maakt niets uit. Ik zit me net te bedenken, misschien dat onsbrabantnet een filter op FTP traffic heeft? - bij FXP wordt er alleen een data connectie opgezet van poort naar poort. misschien dat dit niet als ftp wordt gezien?

Edit: het is geen filtering/traffic shaping.
Een normale download van ftp://ftp.surfnet.nl/pub/...5.1.0CD-2006-12-30-EN.iso

Doet het op zowel de gateway als client goed.

Alleen wanneer vanaf een TLS/SSL ftp iets download gaat het een stuk trager dan wanneer ik het naar mijn gateway fxp.

edit2: Heb net mijn ftp client een bepaalde poort range gegeven voor active FTP. en een public ip specified. HET WERKT!! joehoe.. (Dus toch active/passive verhaal)

Thanks

[ Voor 34% gewijzigd door stfn345 op 10-03-2008 20:25 ]