Router performance (WAN-LAN) met NAT, SPI en QoS?

[gctwnl]

Ik ben op zoek naar een betaalbare router/firewall voor tussen mijn nieuwe Ziggo zakelijk kabelverbinding en mijn LAN. Moet NAT, SPI, QOS hebben (dat laatste voor VoIP).

Nu zijn er vele performance cijfers voor dat spul, maar dat is meestal raw performance, die alleen maar gehaald wordt als je de firewall uitzet, geen QoS doet etc. Daar heb je dus niet zo veel aan. Ik begrijp dat sommige routers adverteren met (of gereviewed worden op) 800Mbps WAN-LAN, maar zet je firewall of QoS aan en het zakt naar zo'n 50MBps of nog veel lager.

Mijn vraag aan de kenners hier: welke routers hebben niet alleen goede eigenschappen als het gaat om support voor qos, spi, nat, etc. en met een behoorlijke robuustheid (hij mag niet gaan hangen als ik ergens anders in het land zit), maar halen dan ook nog ene fatsoenlijke performance als al die packet inspection e.d. aan staat?

[wvkreg]

WNDR3700 ofwel N600
pricewatch: Netgear WNDR3700 Simultaneous Dual-Band

[Dr Pro]

CheckPoint Edge N appliance.
Die dingen zijn niet stuk te krijgen! Super stabiel en erg snel.

http://www.checkpoint.com/products/utm-1-edge/index.html

Checkpoint is ook leading op netwerk security gebied, dus met die Firewall zit het wel goed

[GioStyle]

Draytek 2130N. Echt een uitstekende router, maar zit wel in de duurdere prijsklasse dan bijvoorbeeld de Netgear die hierboven werd aanbevolen.

[gctwnl]

wvkreg schreef op woensdag 06 april 2011 @ 09:50:
WNDR3700 ofwel N600
pricewatch: Netgear WNDR3700 Simultaneous Dual-Band

Ik heb op het net toch wat berichten gelezen dat hun routers niet zo stabiel zijn. Hoe zit dat?

[wvkreg]

Gebruik hem nu een jaar, zeer stabiel. VPN passtrough is moeilijk, rest van je wensen kan allemaal.
Er is inmiddels een V2 met meer (flash)memory.

[gctwnl]

Die checkpoint ziet er geweldig uit, maar is wel heel duur. Over Netgear lees ik te veel ellende, dat durf ik niet aan (los van dat er ook mensen heel tevreden zijn natuurlijk). Ik twijfel nu tussen
- DLINK 655
- Draytek 2130

[TWeaKLeGeND]

De netgear is perfect hoor, ellende had eerste rivisie, die ik zelf ook had, maar gewoon nieuwe gekregen van netgear binnen 2 dagen oid.

[KnetterGek]

Wat mij echt heel hard tegenvalt is dat er niemand een linkje geeft met feiten over de doorvoersnelheid van de door hem/haar aangeprezen router. Nu blijft het feitelijk bij mensen die roepen "de mijne is echt super goei!"

Ik zou zo graag wat cijfers zien zodat ik een goeie afweging kan maken - de TS is niet de enige die een slimme router zoekt in het "nog net voor thuis te doen" budget bereik.

Is er niemand die iets feitelijk onderbouwbaars aan kan dragen?

[redfoxert]

KnetterGek schreef op donderdag 07 april 2011 @ 10:34:
Wat mij echt heel hard tegenvalt is dat er niemand een linkje geeft met feiten over de doorvoersnelheid van de door hem/haar aangeprezen router. Nu blijft het feitelijk bij mensen die roepen "de mijne is echt super goei!"

Ik zou zo graag wat cijfers zien zodat ik een goeie afweging kan maken - de TS is niet de enige die een slimme router zoekt in het "nog net voor thuis te doen" budget bereik.

Is er niemand die iets feitelijk onderbouwbaars aan kan dragen?

Omdat niemand de moeite neemt om het zelf te testen zoals ze dat bijvoorbeeld doen op smallnetbuilder. Wellicht is het voor Tweakers.net een idee om een dergelijke test met enkele veel besproken routers op het forum om die tests aan te gaan. En dan dus ook daadwerkelijke doorvoersnelheden met SPI en dergelijke enabled

[Mr_gadget]

Kijk even op smallbuilder.net, die hebben een wan-lan doorvoer chart

[redfoxert]

Mr_gadget schreef op donderdag 07 april 2011 @ 10:39:
Kijk even op smallbuilder.net, die hebben een wan-lan doorvoer chart

Zoals eerder gezegd, die is met alle firewalling opties disabled. Zodra de firewall weer enabled word zakt de doorvoersnelheid in als een pudding.

[gctwnl]

redfoxert schreef op donderdag 07 april 2011 @ 10:41:
[...]


Zoals eerder gezegd, die is met alle firewalling opties disabled. Zodra de firewall weer enabled word zakt de doorvoersnelheid in als een pudding.

Dat is precies mijn zorg. Ik heb bijvoorbeeld nu een Linksys op een ADSL lijn van 8Mbps down en 1Mbps up. Als ik daar QoS aanzet dan zakt het verkeer in naar 1Mbps max, al is er volstrekt geen VoIP verkeer waarvoor ik QoS wil inzetten. Dat maakt QoS formeel wel beschikbaar op die router maar feitelijk onbruikbaar.

Ik ben op zoek naar een router met een fatsoenlijke firewall en QoS, waarbij de throughput rond de 100Mbps blijft als alle toeters en bellen (packet inspections e.d.) aan staan.

[Voor 13% gewijzigd door gctwnl op 07-04-2011 11:02]

[gctwnl]

GioStyle schreef op woensdag 06 april 2011 @ 09:55:
Draytek 2130N. Echt een uitstekende router, maar zit wel in de duurdere prijsklasse dan bijvoorbeeld de Netgear die hierboven werd aanbevolen.

Ik kijk nu naast de 2130 ook naar de 2920 (en nog naar de DLINK). Maar de DrayTeks lijken een complex en onhandig QoS systeem te hebben. Het lijkt er op dat je ruimte moet reserveren voor bepaald verkeer en mogelijk ben je die ruimte gewoon kwijt ook als er niets van dat verkeer aanwezig is. Bovendien kun je alleen percentages opgeven en niet absolute hoeveelheden. En het lijkt er op dat het eerder een soort beperking is van wat dat verkeer maximaal mag zijn (capping) dan dat het een garantie is wat het betreffende verkeer minimaal nodig heeft. Als dat zo is, dan is het geen QoS (een minimumgarantie) maar Bandwidth Management (een beperking) en dat is toch wel wat anders. Ik ben het nog verder aan het uitzoeken.

Ik wil gewoon een klein stukje van mijn bandbreedte keihard reserveren voor VoIP, maar die ruimte hoeft alleen gereserveerd te worden voor als er ook VoIP is. Nog makkelijker is dat ik verkeer op één van de ethernetporrten gewoon voorrang boven alles mag geven. Dan zet ik de VoIP telefoon wel op die poort. De rest van de protocollen mag het voorlopig wat mij betreft uitvechten.

[Shaggy_NL]

Kijk ook eens naar de Cisco RV 120W. Hier werkt hij heerlijk vlot met m'n UPC lijntje. Zat comfiguratie mogelijkheden zoals van Cisco gewend is, alleen dan met WebInterface. Performance vind ik zelf best aardig. incl. VLAN's en QoS.

[DaRoot]

gctwnl schreef op donderdag 07 april 2011 @ 10:55:
[...]

Dat is precies mijn zorg. Ik heb bijvoorbeeld nu een Linksys op een ADSL lijn van 8Mbps down en 1Mbps up. Als ik daar QoS aanzet dan zakt het verkeer in naar 1Mbps max, al is er volstrekt geen VoIP verkeer waarvoor ik QoS wil inzetten. Dat maakt QoS formeel wel beschikbaar op die router maar feitelijk onbruikbaar.

Ik ben op zoek naar een router met een fatsoenlijke firewall en QoS, waarbij de throughput rond de 100Mbps blijft als alle toeters en bellen (packet inspections e.d.) aan staan.

Beetje offtopic, maar welke Linksys gebruik je achter je ADSL? Heb thuis nog een WRT54G liggen met Open-WRT erop, die ik misschien nog ff achter mijn 8MBit ADSL wil hangen. Ik heb nu een Athlon64 met IPcop erop als router.. snel genoeg, maar zuipt ook wat stroom..

[KnetterGek]

gctwnl schreef op donderdag 07 april 2011 @ 11:00:
[...]
Ik kijk nu naast de 2130 ook naar de 2920 (en nog naar de DLINK). Maar de DrayTeks lijken een complex en onhandig QoS systeem te hebben. Het lijkt er op dat je ruimte moet reserveren voor bepaald verkeer en mogelijk ben je die ruimte gewoon kwijt ook als er niets van dat verkeer aanwezig is.

Het reserveren van bandbreedte is exact wat je wilt kunnen met QoS - je wilt bijvoorbeeld kunnen garanderen dat er 256kbit/sec beschikbaar is voor Expedited Forwarding-gemarkeerd VOIP verkeer, zodat je een bepaalde hoeveelheid calls altijd kunt hebben zonder dat je kwaliteitsellende meemaakt.
Het al dan niet beschikbaar zijn van deze bandbreedte zolang die niet gebruikt wordt kan wel routerafhankelijk zijn, maar ik kan me niet voorstellen dat er in deze tijd nog routers zijn die die bandbreedte gewoon glashard onbeschikbaar maken voor alle andere soorten data.

Bovendien kun je alleen percentages opgeven en niet absolute hoeveelheden.

Dit is gewoon kut natuurlijk.

Ik wil gewoon een klein stukje van mijn bandbreedte keihard reserveren voor VoIP, maar die ruimte hoeft alleen gereserveerd te worden voor als er ook VoIP is. Nog makkelijker is dat ik verkeer op één van de ethernetporrten gewoon voorrang boven alles mag geven. Dan zet ik de VoIP telefoon wel op die poort. De rest van de protocollen mag het voorlopig wat mij betreft uitvechten.

Mjah, enne... jouw provider, wat doet die met QoS? Want als ik QoS op onze routers zet en vervolgens vergeet m'n ISP te bellen, dan gaat mijn 256kbit voor VOIP netjes correct met EF tot aan de deur, en vanaf door wordt mijn VOIP verkeer gewoon met AF de wereld over gerouteerd naar een router in een andere fabriek. En de inkomende verkeersstroom is natuurlijk niet meer netjes met 256kbit gereserveerd voor VOIP...

Voor je je helemaal blind staart op QoS dus even kijken wat je ISP zoal toelaat. Bij een HuisTuinKeukenverbinding zullen ze jou écht niet Exppedited Forwarding naar de buitenwereld laten sturen, om nog te zwijgen van bandbreedtegaranties.

[Blisterin_Bull]

De netgear wndr4000 (jaja, weer een "mijn router is goed! post) schijnt veelbelovend te worden, alhoewel die nog niet uit is in Nederland.

[M2M]

is het niet een optie om zelf een router in elkaar te schroeven? Lijkt mij de perfecte oplossing op maat

[KnetterGek]

Blisterin_Bull schreef op donderdag 07 april 2011 @ 11:09:
De netgear wndr4000 (jaja, weer een "mijn router is goed! post) schijnt veelbelovend te worden, alhoewel die nog niet uit is in Nederland.

Dit is dus geenneens een "mijn router is goed" maar "dit kon wel eens gaaf zijn".
Hoe waardeer je dit inkoopadvies op een schaal van 1 tot 10 zelf?

M2M schreef op donderdag 07 april 2011 @ 11:11:
is het niet een optie om zelf een router in elkaar te schroeven? Lijkt mij de perfecte oplossing op maat

Een DIY routertje op een stukje PC hardware met een linux distro kan een oplossing zijn, maar de vraag is of je dit wilt in elke omgeving. Je wilt het ding tenslotte neerpleuren en nooit meer naar omkijken.
Het is zeker een optie, maar ik heb liever gewoon een appliance waarvan ik kan zeggen "kijk, die moet je kopen" en dan het ding even configgen en presto. Als er met een zelfbouwer wat mis gaat is de recovery cycle veel langer, zeker omdat degene voor wie ik het nodig heb in Italië zit, en dat is best ver voor "effe snel" internet herstellen

[Voor 45% gewijzigd door KnetterGek op 07-04-2011 11:13]

[aZuL2001]

Ik mis wat voor je verbinding je hebt.
Dan weten we ook niet naar wat voor throughput we op zoek zijn.


Kijk ik bij een Zywall USG 20 dan zie ik de volgende waarden :

SPI Firewall Throughput*1: 100 Mbps
VPN Throughput (3DES)*2: 30 Mbps
Max. Sessions*3: 6,000

Uitleg over hoe getest staat er ook bij

De Zywall USG 50 is al wat sneller, maar ook wat duurder.
SPI Firewall Throughput*1: 100 Mbps
VPN Throughput (3DES)*2: 50 Mbps
Max. Sessions*4: 10,000

Edit: Zywall's omdat ik daar wat ervaring mee heb

[Voor 3% gewijzigd door aZuL2001 op 07-04-2011 12:15. Reden: aanvulling]

[gctwnl]

Shaggy_NL schreef op donderdag 07 april 2011 @ 11:02:
Kijk ook eens naar de Cisco RV 120W. Hier werkt hij heerlijk vlot met m'n UPC lijntje. Zat comfiguratie mogelijkheden zoals van Cisco gewend is, alleen dan met WebInterface. Performance vind ik zelf best aardig. incl. VLAN's en QoS.

Dank voor de tip.

Hij haalt 95Mbps NAT volgens Cisco, dat is kennelijk zonder firewall en QoS. Maar wellicht is de 220W een optie (€225, dat wel). In ieder geval zo te zien veel goede mogelijkheden op dat ding.

Ik heb niet niet zo naar Cisco gekeken, aangezien mijn Linksys by Cisco zo hopeloos is als het om throughput gaat bij QoS, tenzij ik er keihard achter kan komen hoe goed de bandbreedte is met alle inspecties e.d. aan.

[Voor 5% gewijzigd door gctwnl op 07-04-2011 11:37]

[gctwnl]

KnetterGek schreef op donderdag 07 april 2011 @ 11:09:
Mjah, enne... jouw provider, wat doet die met QoS? Want als ik QoS op onze routers zet en vervolgens vergeet m'n ISP te bellen, dan gaat mijn 256kbit voor VOIP netjes correct met EF tot aan de deur, en vanaf door wordt mijn VOIP verkeer gewoon met AF de wereld over gerouteerd naar een router in een andere fabriek. En de inkomende verkeersstroom is natuurlijk niet meer netjes met 256kbit gereserveerd voor VOIP...

Voor je je helemaal blind staart op QoS dus even kijken wat je ISP zoal toelaat. Bij een HuisTuinKeukenverbinding zullen ze jou écht niet Exppedited Forwarding naar de buitenwereld laten sturen, om nog te zwijgen van bandbreedtegaranties.

Helemaal gelijk, natuurlijk. Maar ik maak mij eigenlijk alleen zorgen dat mijn eigen router de bottleneck is als daar druk download/backup verkeer op zit als ik aan het bellen ben. Daarbuiten op het dikke net van mijn provider hoop ik dan maar dat het goed komt met mijn piepstroompje op hun dikke infra

[KnetterGek]

gctwnl schreef op donderdag 07 april 2011 @ 11:21:
[...]
Helemaal gelijk, natuurlijk. Maar ik maak mij eigenlijk alleen zorgen dat mijn eigen router de bottleneck is als daar druk download/backup verkeer op zit als ik aan het bellen ben. Daarbuiten op het dikke net van mijn provider hoop ik dan maar dat het goed komt met mijn piepstroompje op hun dikke infra

Mijn ervaring is dat die dikke infra eerder de bottleneck gaat zijn dan je routertje thuis... Althans, in veel landen.
Daarom is het goed er in elk geval van bewust te zijn - maar dat is je gelukt

[gctwnl]

Gezien een beetje haast heb ik op basis van ook de handleiding de Cisco RV220W besteld. Die is als entry-level business model wel wat duurder (220 incl bezorging de volgende dag door MaxICT) en heeft geen briljante review op wireless performance bij smallnetbuilders, maar zijn specs op hetgebied van VPN, QoS, beveiliging en throughput lijken dik in orde.

Ik laat nog wel even weten over een tijdje wat de ervaringen zijn.

DrayTek 2130 of 2920 zou mijn tweede keus zijn geweest, waren ook snel en goed met het beantwoorden van pre-sales vragen
DLINK heeft niet snel genoeg antwoord gegeven op de gestelde vragen, dus die viel af (want ik heb haast)
Netgear vertrouw ik niet (vanwege slechte publiciteit op het net)
Linksys vertrouw ik niet (vanwege persoonlijke ervaring)

[Shaggy_NL]

gctwnl schreef op donderdag 07 april 2011 @ 14:19:
Gezien een beetje haast heb ik op basis van ook de handleiding de Cisco RV220W besteld. Die is als entry-level business model wel wat duurder (220 incl bezorging de volgende dag door MaxICT) en heeft geen briljante review op wireless performance bij smallnetbuilders, maar zijn specs op hetgebied van VPN, QoS, beveiliging en throughput lijken dik in orde.

Ik laat nog wel even weten over een tijdje wat de ervaringen zijn.

Lijkt me zeker interessant. Hier bevalt de RV 120W best goed (na z'n firmware update in 2010). Deze RV 220W was toen nog niet uit, dus geen idee hoe die is. Voor €140,- was deze 120W een fijne keuze. Mijn oude 3Com VPN Firewall zou volgends testen 29Mbit/s halen, maar ik kwam amper boven de 10Mbit/s uit, bleek toen ik m'n UPC snelheden eerst niet haalde. Deze Cisco is een vlot apparaatje naar mijn mening en ruim instelbaar.

DrayTek 2130 of 2920 zou mijn tweede keus zijn geweest, waren ook snel en goed met het beantwoorden van pre-sales vragen.
[...]

Aan DrayTek heb ik dus een gruwelijke hekel gekregen, sinds ik die tegen kwam op m'n vorige werk. Daar snel een Cisco 1941 ISR en een Cisco 886 ISR laten komen voor respetivelijk de hoofdlocatie en de 2e locatie. DrayTek is echt erger dan men er soms over praat. Met die apparaten wil je geen betrouwbare VPN opbouwen bijvoorbeeld.

[gctwnl]

Shaggy_NL schreef op donderdag 07 april 2011 @ 11:02:
Kijk ook eens naar de Cisco RV 120W. Hier werkt hij heerlijk vlot met m'n UPC lijntje. Zat comfiguratie mogelijkheden zoals van Cisco gewend is, alleen dan met WebInterface. Performance vind ik zelf best aardig. incl. VLAN's en QoS.

Additioneel vraagje: ik heb nu een RV220W en dat ziet er allemaal prachtig uit. Alleen de VPN handleiding vind ik onbegrijpelijk. Zo moet ik een remote FQDN WAN opzetten als ik clients met mijn lokale VPN wil connecten. Kortom, ik begrijp er helemaal niets van. Niet iets van een simpele L2TP opzet met een rijtje interne adressen die kunnen worden uitgedeeld. Bestaat er ook een begrijpelijker uitleg hoe ik die RV220W een goede VPN kan laten opzetten die ik vanaf een willekeurige locatie op het net met mijn laptopje kan benaderen?

[Shaggy_NL]

Zelf heb ik nooit als losse Cliënt ingelogd op m'n eigen routertje. Gezien de instellingen zou het moeten kunnen. Verder heb ik alleen Host to Host ervaring. IPsec tussen 2 netwerken zeg maar.

In de 120W te zien, moet het lukken met een Vista/Win7 bak PPTP. Van een andere gebruiker hier op GoT heb ik vernomen dat Cisco z'n eigen cliënt netjes werkt. Opzich ook één van de weinige fabrikanten die ik met extra programmatjes vertrouw, op netwerkgebied.

[gctwnl]

DLINK kwam later nog met een antwoord, maar raadde uiteindelijk de DSR-1000 aan en die is toch anderhalf keer de prijs van de Cisco RV220W. Wel met 3G failover en dual WAN, maar dat heb ik niet nodig.

Ik heb ook wat eerste ervaringscijfers voor de RV220W. Zeer onwetenschappelijke test: het downloaden met Safari van een dmg van Apple Support (compressed data). Mijn link is formeel 30Mbps down (we beginnen voorzichtig). Met NAT (die zet ik echt niet uit) en QoS (op een MAC adres) en 8 firewall rules (forwarders, de firewall blokt standaard alles inkomend) haal ik 2.7MB/s. QoS uitzetten maakt niets uit. Firewall rules disabelen ook niet (weghalen heb ik niet gedaan, maar ik ga er maar van uit dat Cisco dit slim heeft geprogrammeerd).

Wat is een goede speedtester?

[PcDealer]

Ik heb een (voor de thuisgebruiker normaliter onbetaalbare) SonicWALL NSA 240. 600Mbps wan2lan, UTM Performance 110 Mbps, (multi) wan failover, ids/ips, gateway antivirus/antispam, content filtering.

pricewatch: Sonicwall NSA 240 Total Secure
Datasheet: http://www.sonicwall.com/benelux/488_9198.html

[Voor 3% gewijzigd door PcDealer op 09-04-2011 08:46]

[Shaggy_NL]

gctwnl schreef op zaterdag 09 april 2011 @ 08:04:
[...]
Wat is een goede speedtester?

Ehhhhm, Speedtest.net misschien? Of bedoel je iets anders?

[WoC]

gctwnl schreef op zaterdag 09 april 2011 @ 08:04:
[..]
Wat is een goede speedtester?

Trek een testimage van bijvoorbeeld een anonymous universiteits-FTP-server af, bijvoorbeeld ftp.snt.utwente.nl en dan de map /pub/test. Of ftp.tudelft.nl en dan /pub/Speedtest. Je kunt dit via je browser doen, maar je kunt ook een ftp cliënt gebruiken (advies).
Of trek een dergelijke image van bijvoorbeeld http://www.bbned.nl/speedtest/

<edit>Zie dat je Ziggo hebt. Gebruik dan http://speedtest.ziggo.nl

[Voor 15% gewijzigd door WoC op 09-04-2011 14:42]

[gctwnl]

Mijn ervaringen met de RV220W zijn niet onverdeeld gunstig.

Het mappen van de (5) externe IP's naar interne servers/ports is b.v. complex en het goed mappen van outside IP's naar inside machines valt niet mee. Zo kun je gewoon port forwarding doen als je de hoofd-IP van je WAN gebruikt, maar voor de andere IP's moet je One-to-One NAT doen, wat feitelijk op hetzelfde neerkomt. Twee verschillende manieren om hetzelfde te doen, dus. Veel werkt verder goed, maar er zit ten minste één hele nasty bug in.

Wat de nasty bug betreft: de RV220W die aan NAT doet, kent aan het WAN-to-LAN verkeer op het LAN als afzender het LAN-adres van de router toe. Het gevolg? Alle externe IP's worden logisch gepromoveerd naar interne IP's.

Stel je RV220W heeft als intern LAN adres 192.168.1.1 en doet NAT met op je LAN een mail server. Niet zo raar. Je MTA die braaf alleen relay toestaat voor het interne LAN (b.v. door het accepteren van relay vanaf 192.168.1.1/24) verandert door de RV220W dan in een open relay op het internet. Want elke externe machine die naar jouw mail server gaat heet opeens 192.168.1.1. En omdat elke machine opeens het IP adres van de LAN-zijde van je router heeft, werkt anti-spam als DNSBL ook niet meer, want 192.168.1.1 staat echt niet in spamhaus of sorbs.

Stel je interne machines hebben een firewall met verschillende poorten open voor 192.168.1.1/24 en voor de rest. Ook dat onderscheid verdwijnt (hoewel het effect daarvan gering is omdat die services natuurlijk niet zoimaar bereikbaar zijn met NAT)

Maar dat een RV220W jouw MTA kan veranderen in een Open Relay als je pech hebt, dat lijkt me toch ééntje voor de hele snelle fix by Cisco.