Internetsnelheid via VPN server op eigen router

[belly89]

Ik heb thuis met succesvol een VPN server weten in te stellen en het principe werkt. Voor hetgeen waarvoor ik de verbinding gebruik is een "simpele" pptp verbinding voldoende. Ik heb dit ingesteld op een TP-Link WDR4300 met DD-WRT erop geïnstalleerd. Hierover was zeer veel informatie te vinden op dit forum, daarvoor dank.

Nu heb ik thuis (waar de VPN server staat) glasvezel met een down/up van 50 Mb (binnenkort waarschijnlijk 100 Mb). Deze snelheid haal ik ook als ik het test op speedtest.net. als ik op locatie 2 (45 Mb down getest met speedtest.net) de VPN verbinding aanzet haal ik "slechts" een verbinding van 13 Mb.

Nu zijn mijn vragen als volgt:

1. Zal dit aan de CPU (560 MHz) van de router (TP-link WDR4300) liggen? Deze loopt aardig vol als ik de speedtest aanzet via de VPN verbinding. Of ligt dit ergens anders aan?

2. Als het inderdaad aan de CPU ligt de volgende vraag: Gezien ik vanaf 2, 3 of zelfs 4 locaties via de VPN internetstreams wil afspelen is een hogere snelheid wel vereist. kan ik dit bewerkstelligen door een andere, "zwaardere", router aan te schaffen? Zo ja, welke zal dit aankunnen met een budget rond de 150 euro? (wil gezien de energiekosten en investering liever geen server neerzetten) Of gaat het dit niet worden?

Lang verhaal, hoop dat alles een beetje duidelijk is!

Alvast bedankt!

[RGAT]

Met een VPN speedtest zal je eerst data van speedtest op je netwerk krijgen (max. 45Mb/s dus) en dan uploaden naar je client, dus wat is je maximale upload snelheid op het netwerk zelf, zonder VPN?

[Orion84]

RGAT schreef op dinsdag 20 januari 2015 @ 10:44:
Met een VPN speedtest zal je eerst data van speedtest op je netwerk krijgen (max. 45Mb/s dus) en dan uploaden naar je client, dus wat is je maximale upload snelheid op het netwerk zelf, zonder VPN?

Uhh, nee, met een speedtest via VPN download je de speedtest data via je VPN netwerk. De data gaat dus eerst via de VPN server 'thuis' en dan door naar de VPN client op locatie 2.

Eerste bottleneck is dus de download van 'thuis', dan de upload van 'thuis', daarna de download van locatie 2.

(tenzij je de upload test van speedtest bedoelt natuurlijk)

Een kleine overhead door VPN was wel te verwachten, maar 13Mbps is inderdaad wel wat weinig. Kan inderdaad aan de processor van de router liggen. Andere optie is dat je verbinding thuis geen 50Mbps full-duplex is, maar slechts half-duplex, waardoor je theoretisch max. 25Mbps zou kunnen halen. (bij films streamen die staan opgeslagen op de 'thuis' locatie heb je dat probleem overigens natuurlijk niet)

Je zou ook eens kunnen kijken of andere VPN protocollen beter presteren.

Zelf gebruik ik doorgaans OpenVPN (via een Asus AC66U router of via mijn Synology NAS). Maar aangezien mijn upload slechts 18Mbps is, kan ik niet veel zinnigs zeggen of die router veel sneller presteert.

[RGAT]

Orion84 schreef op dinsdag 20 januari 2015 @ 10:51:
[...]

Uhh, nee, met een speedtest via VPN download je de speedtest data via je VPN netwerk. De data gaat dus eerst via de VPN server 'thuis' en dan door naar de VPN client op locatie 2.

Eerste bottleneck is dus de download van 'thuis', dan de upload van 'thuis', daarna de download van locatie 2.

(tenzij je de upload test van speedtest bedoelt natuurlijk)

Een kleine overhead door VPN was wel te verwachten, maar 13Mbps is inderdaad wel wat weinig. Kan inderdaad aan de processor van de router liggen. Andere optie is dat je verbinding thuis geen 50Mbps full-duplex is, maar slechts half-duplex, waardoor je theoretisch max. 25Mbps zou kunnen halen. (bij films streamen die staan opgeslagen op de 'thuis' locatie heb je dat probleem overigens natuurlijk niet)

Je zou ook eens kunnen kijken of andere VPN protocollen beter presteren.

Zelf gebruik ik doorgaans OpenVPN (via een Asus AC66U router of via mijn Synology NAS). Maar aangezien mijn upload slechts 18Mbps is, kan ik niet veel zinnigs zeggen of die router veel sneller presteert.

Dat zeg ik ook, alleen niet zo uitgebreid, ik nam aan dat een 50Mbit abo geen dikke upload zal hebben, een slordige 18 tot 20Mbit upload zal het wel op blijven hangen, en dan kan je wel leuk 45Mbit thuis doen, die VPN client zit altijd tegen die upload aan.
Daarmee is die eerste bottleneck die je noemt dus sowieso niet het probleem, die loopt prima, de tweede mogelijk wel en de derde kan inderdaad ook nog.
Overigens, dat half-duplex gaat hier ook niet op als TS 45Mbit op speedtest haalt

[Orion84]

RGAT schreef op dinsdag 20 januari 2015 @ 10:55:
[...]


Dat zeg ik ook, alleen niet zo uitgebreid, ik nam aan dat een 50Mbit abo geen dikke upload zal hebben, een slordige 18 tot 20Mbit upload zal het wel op blijven hangen, en dan kan je wel leuk 45Mbit thuis doen, die VPN client zit altijd tegen die upload aan.
Daarmee is die eerste bottleneck die je noemt dus sowieso niet het probleem, die loopt prima, de tweede mogelijk wel en de derde kan inderdaad ook nog.

Lezen is een kunst, zie de topicstart, daar staat heel duidelijk:

glasvezel met een down/up van 50 Mb

Glasvezel is doorgaans symmetrisch en de topicstarter zegt zelf ook down/up van 50Mb.

RGAT schreef op dinsdag 20 januari 2015 @ 10:55:
[...]
Overigens, dat half-duplex gaat hier ook niet op als TS 45Mbit op speedtest haalt

Wel degelijk. Want tijdens die test was er geen sprake van VPN waarbij de data tegelijk naar binnen en naar buiten moet.

[ Voor 17% gewijzigd door Orion84 op 20-01-2015 10:58 ]

[RGAT]

Orion84 schreef op dinsdag 20 januari 2015 @ 10:57:
[...]

Lezen is een kunst, zie de topicstart, daar staat heel duidelijk:

[...]


Glasvezel is doorgaans symmetrisch en de topicstarter zegt zelf ook down/up van 50Mb.

Ik heb nog geen koffie gehad....
Maar 13Mb van de 50Mb is wel erg laag, heb wat gezocht en kwam hier uit: http://gathering.tweakers.net/forum/list_messages/1595936
Ben bang dat het niet gaat lukken.

[ Voor 21% gewijzigd door RGAT op 20-01-2015 11:02 ]

[Palthe]

Kun je niet een pc of een laptopje aan je netwerk thuis hangen met VPN open?
Dan heb je in ieder geval een full-blown cpu die het werk verricht en kun je die bottleneck uitsluiten.
VPN inrichten onder Windows is heul makkelijk (heb ik ook op mijn nuc-je) en (moderne) laptop/desktop cpu's moeten om dat soort load lachen vermoed ik.

Edit: ah, in het kader van leren lezen: is zo'n nuc-je niet wat voor je? Het is een "servertje" met een celeron erin (in mijn geval de 2830) en idle trekt ie misschien 6 watt of zo. Hoef je niet van wakker te liggen.
Je bent dan voor 160 euro wel klaar inclusief geheugen en hdd/ssd (ik was voor 200 euro klaar inclusief 8 GB en 128 GB SSD). Voordeel is dat je ook meteen een volwaardige mediaplayer hebt dan.
Dit is exclusief OS dan, maar goed daar heb je allerlei alternatieven voor.

[ Voor 41% gewijzigd door Palthe op 20-01-2015 11:10 ]

[belly89]

Bedankt voor de snelle reacties, gezien jullie elkaar in de eerste posts al gecorrigeerd hebben zal ik dit niet meer doen

Orion84 schreef op dinsdag 20 januari 2015 @ 10:51:

Je zou ook eens kunnen kijken of andere VPN protocollen beter presteren.

Zelf gebruik ik doorgaans OpenVPN (via een Asus AC66U router of via mijn Synology NAS). Maar aangezien mijn upload slechts 18Mbps is, kan ik niet veel zinnigs zeggen of die router veel sneller presteert.

Een ander protocol zit ik eerlijk gezegd niet heel erg op te wachten, PPTP is makkelijk in te stellen en verder geen software benodigd op alle apparaten die er verbinding mee maken. Heb slechts een basiskennis, met veel lezen en proberen kom ik vaak een heel eind, maar daar houdt het wel bij op!

Orion84 schreef op dinsdag 20 januari 2015 @ 10:57:
[...]

Wel degelijk. Want tijdens die test was er geen sprake van VPN waarbij de data tegelijk naar binnen en naar buiten moet.

Klopt inderdaad. die 45 Mb haal ik bij locatie 2 zonder de VPN verbinding. Met VPN is dit dus 13Mb

RGAT schreef op dinsdag 20 januari 2015 @ 10:58:
[...]


Ik heb nog geen koffie gehad....
Maar 13Mb van de 50Mb is wel erg laag, heb wat gezocht en kwam hier uit: http://gathering.tweakers.net/forum/list_messages/1595936
Ben bang dat het niet gaat lukken.

vond zelf 13Mb ook wel erg laag, het hoeft natuurlijk niet precies 50 te zijn, maar in die buurt zou wel handig zijn!!

Durf eigenlijk niet met zekerheid te zeggen of het full-duplex of half-duplex is, meende mij te herinneren dat dit bij glasvezel full-duplex is.

palthe schreef op dinsdag 20 januari 2015 @ 11:01:
Kun je niet een pc of een laptopje aan je netwerk thuis hangen met VPN open?
Dan heb je in ieder geval een full-blown cpu die het werk verricht en kun je die bottleneck uitsluiten.
VPN inrichten onder Windows is heul makkelijk (heb ik ook op mijn nuc-je) en (moderne) laptop/desktop cpu's moeten om dat soort load lachen vermoed ik.

Edit: ah, in het kader van leren lezen: is zo'n nuc-je niet wat voor je? Het is een "servertje" met een celeron erin (in mijn geval de 2830) en idle trekt ie misschien 6 watt of zo. Hoef je niet van wakker te liggen.
Je bent dan voor 160 euro wel klaar inclusief geheugen en hdd/ssd (ik was voor 200 euro klaar inclusief 8 GB en 128 GB SSD). Voordeel is dat je ook meteen een volwaardige mediaplayer hebt dan.
Dit is exclusief OS dan, maar goed daar heb je allerlei alternatieven voor.

Dit zal ik inderdaad eerst even kunnen testen, dit moet mijn systeem wel aankunnen inderdaad ;-) als dit werkt weet ik in ieder geval waar het probleem zit. Een nuc-je zou ook een optie zijn, echter zou ik hier eens in moeten duiken wat ik dan precies nodig heb!

[ Voor 6% gewijzigd door belly89 op 20-01-2015 11:29 ]

[Palthe]

170 euro was wel heel optimistisch zag ik al aan mijn eigen factuur , ik was voor 200 euro klaar met dus de goedkoopste nuc en 8 GB SODIMM. Hier kom je ook wel weg met 2 of 4 GB geheugen.
Ik heb daar nog een SSD bij gezet, maar daar kun je natuurlijk enorm op besparen.

[Mijzelf]

Ja het kan zeker aan je CPU liggen. Maar je schrijft dat je internetstreams wilt gaan tunnelen. Waarom zou je die willen encrypten?

Over een 'nuc' of whatever achter je router, PPTP gebruikt GRE, en ik weet dat veel routers maar een beperkt aantal GRE tunnels tegelijk kunnen dragen. (Waarbij 'beperkt aantal' best 1 kan zijn). Waarom dat zo is weet ik niet, en ook niet of DD-WRT er ook 'last' van heeft.

[belly89]

palthe schreef op dinsdag 20 januari 2015 @ 11:41:
170 euro was wel heel optimistisch zag ik al aan mijn eigen factuur , ik was voor 200 euro klaar met dus de goedkoopste nuc en 8 GB SODIMM. Hier kom je ook wel weg met 2 of 4 GB geheugen.
Ik heb daar nog een SSD bij gezet, maar daar kun je natuurlijk enorm op besparen.

dit zal inderdaad wel iets boven mijn budget liggen, zal me hier eens in verdiepen

Mijzelf schreef op dinsdag 20 januari 2015 @ 11:48:
Ja het kan zeker aan je CPU liggen. Maar je schrijft dat je internetstreams wilt gaan tunnelen. Waarom zou je die willen encrypten?

Over een 'nuc' of whatever achter je router, PPTP gebruikt GRE, en ik weet dat veel routers maar een beperkt aantal GRE tunnels tegelijk kunnen dragen. (Waarbij 'beperkt aantal' best 1 kan zijn). Waarom dat zo is weet ik niet, en ook niet of DD-WRT er ook 'last' van heeft.

Ik kan gerust met meerdere apparaten tegelijk verbinding maken met de VPN server, dit levert geen problemen op. Weet niet of je dit bedoelt met beperkt aantal GRE tunnenls?

De voornaamste reden waarvoor ik een VPN verbinding gebruik is om ervoor te zorgen dat de apparaten op het hetzelfde/thuis ip-adres zitten. Hoeft van mij niet perse over een beveiligde verbinding....

[Mijzelf]

belly89 schreef op dinsdag 20 januari 2015 @ 11:56:
[...]


Ik kan gerust met meerdere apparaten tegelijk verbinding maken met de VPN server, dit levert geen problemen op. Weet niet of je dit bedoelt met beperkt aantal GRE tunnenls?

Ja en nee. Zolang de server op de router draait is dit geen probleem, denk ik. Pas als de server achter de router staat gaat dit tellen. De restrictie zit op het routeren van GRE tunnels, niet op het 'endpoint zijn'.

De voornaamste reden waarvoor ik een VPN verbinding gebruik is om ervoor te zorgen dat de apparaten op het hetzelfde/thuis ip-adres zitten. Hoeft van mij niet perse over een beveiligde verbinding....

Voor zover ik weet kun je in DD-WRT de encryptie op PPTP uitzetten. Dan is volgens mij de login nog steeds beveiligd (die is op een challenge gebaseerd), maar het verkeer is verder niet encrypted. Je kunt het proberen. Overigens kost tunnelen nog steeds meer processor kracht dan simpel routeren. Aangezien de paketten worden geencapsuleerd moet de payload verschoven worden in het geheugen.

[Thralas]

belly89 schreef op dinsdag 20 januari 2015 @ 11:27:
Een ander protocol zit ik eerlijk gezegd niet heel erg op te wachten, PPTP is makkelijk in te stellen en verder geen software benodigd op alle apparaten die er verbinding mee maken. Heb slechts een basiskennis, met veel lezen en proberen kom ik vaak een heel eind, maar daar houdt het wel bij op!

Toch zou ik PPTP willen afraden. OpenVPN access server is gratis bruikbaar tot 2 gelijktijdige gebruikers (wel enkel te installeren op Linux, of direct te booten als virtual machine). SoftEther VPN is volgens mij ook redelijk gebruiksvriendelijk (nooit geprobeerd) en implementeert zelfs 4 protocollen.

Een nuc-je zou ook een optie zijn, echter zou ik hier eens in moeten duiken wat ik dan precies nodig heb!

Dat lijkt inderdaad wel de meest handzame oplossing voor acceptabele performance. Als ruimte niet kritisch is krijg je echter met een budget Haswell (AES-NI) of bordje met integrated CPU nog iets meer bang-for-buck.

Mijzelf schreef op dinsdag 20 januari 2015 @ 11:48:
Ja het kan zeker aan je CPU liggen. Maar je schrijft dat je internetstreams wilt gaan tunnelen. Waarom zou je die willen encrypten?

Ik vrees dat je met een zo'n TP-Linkrouter weinig keus hebt..

edit:
Oh DD-WRT, dat schept mogelijkheden qua tunneling inderdaad. En anders wel met OpenWRT..

edit:
Yup, dat kan, zowel bij PPTP als OpenVPN zonder cipher. Kun je in ieder geval aan de gang zonder crypto..

Over een 'nuc' of whatever achter je router, PPTP gebruikt GRE, en ik weet dat veel routers maar een beperkt aantal GRE tunnels tegelijk kunnen dragen. (Waarbij 'beperkt aantal' best 1 kan zijn). Waarom dat zo is weet ik niet, en ook niet of DD-WRT er ook 'last' van heeft.

Goed punt. Non-TCP/UDP/ICMP IP-protocollen icm. consumentenrouters is soms problematisch. Kan me voorstellen dat het als client prima werkt (PPTP is helaas nog populair), maar succes met het invullen van je GRE NAT forwarding als je kunt kiezen uit 'TCP' of 'UDP

Wat weer een extra argument is om een protocol te gebruiken dat gewoon over UDP (of desnoods TCP) werkt. OpenVPN bijvoorbeeld.

[ Voor 7% gewijzigd door Thralas op 20-01-2015 12:22 ]

[belly89]

Mijzelf schreef op dinsdag 20 januari 2015 @ 12:10:
[...]

Ja en nee. Zolang de server op de router draait is dit geen probleem, denk ik. Pas als de server achter de router staat gaat dit tellen. De restrictie zit op het routeren van GRE tunnels, niet op het 'endpoint zijn'.

oke duidelijk.

Mijzelf schreef op dinsdag 20 januari 2015 @ 12:10:
[...]

Voor zover ik weet kun je in DD-WRT de encryptie op PPTP uitzetten. Dan is volgens mij de login nog steeds beveiligd (die is op een challenge gebaseerd), maar het verkeer is verder niet encrypted. Je kunt het proberen. Overigens kost tunnelen nog steeds meer processor kracht dan simpel routeren. Aangezien de paketten worden geencapsuleerd moet de payload verschoven worden in het geheugen.

Dit klinkt eerlijk gezegd wel interessant om te testen (ga ik vanavond even doen). als daarmee de snelheid al omhoog gaat zal dit al kunnen schelen

Thralas schreef op dinsdag 20 januari 2015 @ 12:13:
[...]

Toch zou ik PPTP willen afraden. OpenVPN access server is gratis bruikbaar tot 2 gelijktijdige gebruikers (wel enkel te installeren op Linux, of direct te booten als virtual machine). SoftEther VPN is volgens mij ook redelijk gebruiksvriendelijk (nooit geprobeerd) en implementeert zelfs 4 protocollen.

zal me ook daar eens in verdiepen. gezien de beveiliging dus niet echt belangrijk is leek me dit meer dan voldoende. zitten dus nog wel wat andere restricties aan.

Thralas schreef op dinsdag 20 januari 2015 @ 12:13:

Ik vrees dat je met een zo'n TP-Linkrouter weinig keus hebt..

edit:
Oh DD-WRT, dat schept mogelijkheden qua tunneling inderdaad. En anders wel met OpenWRT..

edit:
Yup, dat kan, zowel bij PPTP als OpenVPN zonder cipher. Kun je in ieder geval aan de gang zonder crypto..

[...]

Goed punt. Non-TCP/UDP/ICMP IP-protocollen icm. consumentenrouters is soms problematisch. Kan me voorstellen dat het als client prima werkt (PPTP is helaas nog populair), maar succes met het invullen van je GRE NAT forwarding als je kunt kiezen uit 'TCP' of 'UDP

Wat weer een extra argument is om een protocol te gebruiken dat gewoon over UDP (of desnoods TCP) werkt. OpenVPN bijvoorbeeld.

Inderdaad DD-WRT, dit ga ik dus testen. dan moet ik de "MPPE Encryption" uitzetten denk ik? Wat betreft het GRE protocol, dit gaat met de router zelf dus wel goed! en moet Broadcast Support bij de VPN server eigenlijk aan of uit staan?

[Mijzelf]

belly89 schreef op dinsdag 20 januari 2015 @ 12:33:
Inderdaad DD-WRT, dit ga ik dus testen. dan moet ik de "MPPE Encryption" uitzetten denk ik?

Ja.

moet Broadcast Support bij de VPN server eigenlijk aan of uit staan?

Hangt ervan af of je broadcast wilt

Waarschijnlijk niet. Broadcasts worden hoofdzakelijk gebruikt voor detectie van apparaten. Als jij een netwerk printer aansluit wordt die automagisch gevonden, hetzij doordat hij broadcast 'Ik ben een printer', of omdat het OS roept: 'is er nog een printer in de zaal?'.
Verder gaan dingen als WOL met een broadcast.

[belly89]

Mijzelf schreef op dinsdag 20 januari 2015 @ 12:55:
[...]

Ja.

[...]

Hangt ervan af of je broadcast wilt

Waarschijnlijk niet. Broadcasts worden hoofdzakelijk gebruikt voor detectie van apparaten. Als jij een netwerk printer aansluit wordt die automagisch gevonden, hetzij doordat hij broadcast 'Ik ben een printer', of omdat het OS roept: 'is er nog een printer in de zaal?'.
Verder gaan dingen als WOL met een broadcast.

Oke mooi. Broadcasts heb ik voor mijn doel dus inderdaad niet nodig, zal ik dus ook uitzetten.

[mati1983]

De rekenkracht van de CPU in dergelijke routertjes is zeer beperkt. Een soort rekenmachine.. ;-)
Kun je je resources monitoren wanneer je data door je tunnel verstuurt? Waarschijnlijk staat je CPU op 100% te knallen. Wellicht is een alternatief protocol of de encryptie aanpassen een oplossing inderdaad.

Een mooie oplossing zou een edgerouter Lite zijn. Genoeg instelmogelijkheden en wél de nodige power.
Gebasseerd op Vyatta en daarmee wel iets uitdagender dan de standaard hiep-hiep-hoera-huis-tuin-en-keuken-router, maar zeker de moeite waard!

pricewatch: Ubiquiti EdgeRouter Lite 3-Poort Router

[BlueInk]

zal me ook daar eens in verdiepen. gezien de beveiliging dus niet echt belangrijk is leek me dit meer dan voldoende. zitten dus nog wel wat andere restricties aan.

Beveiliging is altijd belangrijk!
Er is/zijn zelfs al vpn-provider(s) die PPTP ondersteuning hebben stopgezet:
http://www.securitykiss.c...ticles/pptp_discontinued/
Misschien toch maar voor een ander protocol kiezen? L2TP staat sterker in zijn schoenen.

[Thralas]

mati1983 schreef op dinsdag 20 januari 2015 @ 14:49:
Een mooie oplossing zou een edgerouter Lite zijn. Genoeg instelmogelijkheden en wél de nodige power.

Naast het feit dat TS aangeeft niet heel erg in de materie te zitten, en ik me daardoor afvraag of de ERL wel zo'n handige keuze is, hangt dat 'power' nogal af van je toepassing.

quote: https://tweakers.net/prod...-lite-3-poort-router.html

De performance is dik in orde, dit is de reden waarom ik de EdgeRouter in huis heb gehaalt. Routing en firewalling zou hij gewoon de gigabit lijn dicht moeten trekken. IPSec ligt boven de 100Mbit/s, echter moet je oppassen. Deze performance komt omdat zowel de crypto als de routing is geaccelereerd. Zodra je protocol kiest wat hij niet kan accelereren schijnt de performance minder te worden. Bijvoorbeeld OpenVPN is niet aan te raden, dit heeft geen acceleratie. Verwacht niet meer dan 20Mbit/s.

Ergo: accelerated IPsec wil wel, maar dan zit je daar aan vast. Al het andere kun je wel vergeten met je 2 MIPS64 cores

[mati1983]

Ik was inderdaad een beetje kort door de bocht.. Thanks voor je aanvulling.

Wel schijnt de webinterface aanzienlijk te zijn verbeterd de laatste tijd, maar het blijft inderdaad lastiger dan de gemiddelde router.

Het andere wat je meldt klopt ook. Echter, een ander alternatief voor het vermelde budget ken ik niet. Het inzetten van een PCtje met bv pfsense is ook een optie, maar het inzetten van een volledige server was geen optie zo begreep ik.

[Pakjebakmeel]

PPTP wil je niet.. einde verhaal..

L2TP zou kunnen maar dan wil je het beveiligen met IPSec. Echter is op een edgerouter L2TP niet geaccelereerd en daarom ook traag. Verwacht maximaal 20Mbit/s. De Edge moet het hebben van offload, de CPU zelf is niet zo snel.

OpenVPN werkt prima maar draait in 'userspace', zelfs op snellere hardware zijn de resultaten tegenvallend. Dit heeft te maken met de interrupts en de calls tussen userspace en kernelspace. Op mijn D2700 bordje haalde ik maximaal 25 a 30 Mbit/s met 100% CPU load.

Ikzelf heb 2 EdgeRouter Lite's aangeschaft om IPSec in tunnel mode te draaien tussen 2 sites maar mijn resultaten zijn zeer teleurstellend. Zie inderdaad mijn bovenstaande review en vooral het linkje naar mijn topic op het EdgeRouter forum. De software is bugged blijkbaar en ik haal geen hoge throughput. Echter in mijn lab test, gewoon 2 ERL's aan elkaar zonder internet ertussen ging beter. De IPSec tunnel ging richting 100+Mbit/s. Helaas wil dit niet werken via het WAN zoals vermeld in het topic. Hier dus:

http://community.ubnt.com...-issue/m-p/1153938#M53574

Momenteel draai ik IPSec op Ubuntu server. Aan de ene kant in een VM op een gentoo doos, aan de andere kant op een Atom D2700 bordje. Ik kan je melden dat de D2700 (net) in staat is om 180Mbit/s aan te tikken met AES192 encryptie. Je router gaat dat nooit halen, zelfs een edgerouter niet als het naar behoren werkt.

Echter is dat niet routed maar policy based, ik denk dat dit al ingewikkeld genoeg is en zeer specifieke kennis vereist om op te zetten. VTI's ben ik zelf nog niet mee bezig geweest. Je zou dan moeten connecten met een ShrewSoft VPN client of iets dergelijks voor client-access. Ik draai het gewoon in tunnel tussen 2 subnets.

[belly89]

mati1983 schreef op dinsdag 20 januari 2015 @ 14:49:
De rekenkracht van de CPU in dergelijke routertjes is zeer beperkt. Een soort rekenmachine.. ;-)
Kun je je resources monitoren wanneer je data door je tunnel verstuurt? Waarschijnlijk staat je CPU op 100% te knallen. Wellicht is een alternatief protocol of de encryptie aanpassen een oplossing inderdaad.

Een mooie oplossing zou een edgerouter Lite zijn. Genoeg instelmogelijkheden en wél de nodige power.
Gebasseerd op Vyatta en daarmee wel iets uitdagender dan de standaard hiep-hiep-hoera-huis-tuin-en-keuken-router, maar zeker de moeite waard!

pricewatch: Ubiquiti EdgeRouter Lite 3-Poort Router

CPU loopt inderdaad aardig op bij 1 internetstream (720p) op groot scherm. langzaam loopt die dan naar de 100%. De router zal hem wel niet worden gezien de kennis hier waarschijnlijk bij mij ontbreekt

BlueInk schreef op dinsdag 20 januari 2015 @ 14:52:
[...]

Beveiliging is altijd belangrijk!
Er is/zijn zelfs al vpn-provider(s) die PPTP ondersteuning hebben stopgezet:
http://www.securitykiss.c...ticles/pptp_discontinued/
Misschien toch maar voor een ander protocol kiezen? L2TP staat sterker in zijn schoenen.

Had ik inderdaad begrepen , wil op den duur mezelf wel in een ander protocol gaan verdiepen, nu is dat niet echt haalbaar

Thralas schreef op dinsdag 20 januari 2015 @ 15:04:
[...]

Naast het feit dat TS aangeeft niet heel erg in de materie te zitten, en ik me daardoor afvraag of de ERL wel zo'n handige keuze is, hangt dat 'power' nogal af van je toepassing.

[...]

Ergo: accelerated IPsec wil wel, maar dan zit je daar aan vast. Al het andere kun je wel vergeten met je 2 MIPS64 cores

mati1983 schreef op dinsdag 20 januari 2015 @ 15:26:
Ik was inderdaad een beetje kort door de bocht.. Thanks voor je aanvulling.

Wel schijnt de webinterface aanzienlijk te zijn verbeterd de laatste tijd, maar het blijft inderdaad lastiger dan de gemiddelde router.

Het andere wat je meldt klopt ook. Echter, een ander alternatief voor het vermelde budget ken ik niet. Het inzetten van een PCtje met bv pfsense is ook een optie, maar het inzetten van een volledige server was geen optie zo begreep ik.

Zonder hele duidelijke webinterface ga ik er denk ik niet uitkomen. Veel informatie binnengekomen (moet het allemaal nog even rustig testen, verwerken, nog een keer lezen en nogmaals verwerken ), maar zou een "snelle/moderne" PC/laptop als VPN router in theorie deze snelheid wel kunnen halen? dit voor mijn beeldvorming en evt. toekomstplannen

Pakjebakmeel schreef op dinsdag 20 januari 2015 @ 15:34:
PPTP wil je niet.. einde verhaal..

L2TP zou kunnen maar dan wil je het beveiligen met IPSec. Echter is op een edgerouter L2TP niet geaccelereerd en daarom ook traag. Verwacht maximaal 20Mbit/s. De Edge moet het hebben van offload, de CPU zelf is niet zo snel.

OpenVPN werkt prima maar draait in 'userspace', zelfs op snellere hardware zijn de resultaten tegenvallend. Dit heeft te maken met de interrupts en de calls tussen userspace en kernelspace. Op mijn D2700 bordje haalde ik maximaal 25 a 30 Mbit/s met 100% CPU load.

Ikzelf heb 2 EdgeRouter Lite's aangeschaft om IPSec in tunnel mode te draaien tussen 2 sites maar mijn resultaten zijn zeer teleurstellend. Zie inderdaad mijn bovenstaande review en vooral het linkje naar mijn topic op het EdgeRouter forum. De software is bugged blijkbaar en ik haal geen hoge throughput. Echter in mijn lab test, gewoon 2 ERL's aan elkaar zonder internet ertussen ging beter. De IPSec tunnel ging richting 100+Mbit/s. Helaas wil dit niet werken via het WAN zoals vermeld in het topic. Hier dus:

http://community.ubnt.com...-issue/m-p/1153938#M53574

Momenteel draai ik IPSec op Ubuntu server. Aan de ene kant in een VM op een gentoo doos, aan de andere kant op een Atom D2700 bordje. Ik kan je melden dat de D2700 (net) in staat is om 180Mbit/s aan te tikken met AES192 encryptie. Je router gaat dat nooit halen, zelfs een edgerouter niet als het naar behoren werkt.

Echter is dat niet routed maar policy based, ik denk dat dit al ingewikkeld genoeg is en zeer specifieke kennis vereist om op te zetten. VTI's ben ik zelf nog niet mee bezig geweest. Je zou dan moeten connecten met een ShrewSoft VPN client of iets dergelijks voor client-access. Ik draai het gewoon in tunnel tussen 2 subnets.

Duidelijk verhaal, bedankt! merk al wel dat ik het concept VPN server "iets" heb overschat. ga het allemaal nog even rustig doorlezen.


Jullie horen nog van mij wat betreft de opties die al beschreven zijn en ik één deze dagen kan uitproberen. Iedereen in ieder geval al bedankt voor de replies!

[Pakjebakmeel]

Ik heb ook zo snel geen pasklare oplossing..

De simpele webbased oplossingen bieden geen performance door de software implementatie of tekortkomen van de CPU.

Edgerouter zou kunnen werken als je geen last hebt van dezelfde problemen als ik. Echter vereist het kennis en je komt sowiezo niet ver boven de 100Mbit/s ALS het werkt.

Mikrotik is leuk maar alles wat geen cloud core router is (had zelf een 493g) performt ook niet beter dan 20 a 25 Mbit/s. En bovendien vereist het wederom kennis.

De encryptie op die snelheid vereist nogal wat power. Je gaat dan snel naar de duurdere Cisco oplossingen die tevens kennis vereisen of desktop hardware maar dat wordt knutselen en kennis vergaren.

Als ik dit zelf zou doen zou ik een MiniITX bordje nemen met de goedkoopste i3 die AES-NI instructies ondersteund icm met een shrewsoft VPN cliënt. Native IPSec geeft dan de beste performance.

Deze hardware icm strongswan zou 500 Mbit/s aan moeten kunnen, maar je moet weten wat je doet. Zowel met de Linux CLI alsmede netwerk, routing en IPSec policies.

Dit is door een IPSec tunnel met AES192 getermineerd door een D2700:





Strak 180Mbit/s dus maar wel flinke CPU load.. Atom redt het maar net.

[ Voor 17% gewijzigd door Pakjebakmeel op 20-01-2015 17:37 ]

[mati1983]

Kijk eens naar pfsense. Met wat (oudere) hardware zou je een heel eind moeten kunnen komen.
Gisteren nog zitten spelen; ik trek makkelijk 100/100 door een openvpn tunnel over een 100/100 lijntje met ca. 50% CPU load op een AMD E350 bordje.

Zo'n bordje is zuinig en met geïntegreerde CPU en NIC al te halen voor 5-6 tientjes..

Zoek even op youtube voor een pfsense tutorial. Werkt zo goed als out-of-the-box en geheel via een duidelijke webinterface te besturen.

[Thralas]

belly89 schreef op dinsdag 20 januari 2015 @ 16:34:
Zonder hele duidelijke webinterface ga ik er denk ik niet uitkomen. Veel informatie binnengekomen (moet het allemaal nog even rustig testen, verwerken, nog een keer lezen en nogmaals verwerken ), maar zou een "snelle/moderne" PC/laptop als VPN router in theorie deze snelheid wel kunnen halen? dit voor mijn beeldvorming en evt. toekomstplannen

Met gemak. Helemaal als de desbetreffende processor AES-NI ondersteunt, dan is zelfs 1000/1000 geen probleem qua crypto.

Probeer even het een en ander uit, en kijk wat het makkelijkste werkt voor jouw situatie.

- Windows: SoftEther VPN
- Dedicated/VM/LiveCD: OpenVPN AS / pfSense

pfSense is eigenlijk een firewalldistro, dat kan zowel een voordeel als ontzettende overkill zijn.

De bottomline is dat je die 100/100 probleemloos gaat halen met redelijk recente x86 hardware of zo'n simpel bordje als de poster boven me voorstelt. Als het ook nog future proof (> 100/100) moet zijn is iets met AES-NI verstandig. En in dat laatste geval is het zinnig om uit te zoeken of je nog andere toepassingen hebt, als je toch 'fatsoenlijke' x86 hardware hebt draaien (NAS?)

[belly89]

Heb de encryptie en broadcast uitgezet. Dit scheelt aanzienlijk. Haal nu een snelheid van bijna 26 Mb per seconde via speedtest.net. Toch een verdubbeling van de snelheid. Nog steeds niet wat ik voor ogen had, gezien mijn internet snelheid waarschijnlijk ook nog eens gaat stijgen. Gewoon een laptop/pc aansluiten als vpn server moet ik nog uitproberen, daar gaat helaas nu niet lukken. Hoop ik van de week nog even te kunnen testen.

Pakjebakmeel schreef op dinsdag 20 januari 2015 @ 16:46:
Ik heb ook zo snel geen pasklare oplossing..

De simpele webbased oplossingen bieden geen performance door de software implementatie of tekortkomen van de CPU.

Edgerouter zou kunnen werken als je geen last hebt van dezelfde problemen als ik. Echter vereist het kennis en je komt sowiezo niet ver boven de 100Mbit/s ALS het werkt.

Mikrotik is leuk maar alles wat geen cloud core router is (had zelf een 493g) performt ook niet beter dan 20 a 25 Mbit/s. En bovendien vereist het wederom kennis.

De encryptie op die snelheid vereist nogal wat power. Je gaat dan snel naar de duurdere Cisco oplossingen die tevens kennis vereisen of desktop hardware maar dat wordt knutselen en kennis vergaren.

Als ik dit zelf zou doen zou ik een MiniITX bordje nemen met de goedkoopste i3 die AES-NI instructies ondersteund icm met een shrewsoft VPN cliënt. Native IPSec geeft dan de beste performance.

Deze hardware icm strongswan zou 500 Mbit/s aan moeten kunnen, maar je moet weten wat je doet. Zowel met de Linux CLI alsmede netwerk, routing en IPSec policies.

Dit is door een IPSec tunnel met AES192 getermineerd door een D2700:

[afbeelding]

[afbeelding]

Strak 180Mbit/s dus maar wel flinke CPU load.. Atom redt het maar net.

Wil ik optimaal gebruik kunnen maken van mijn verbinding en het mezelf niet te moeilijk maken, moet ik toch naar iets van een systeempje met een processor die AES-NI ondersteunt en hierop bijv. pfsense op draaien.

mati1983 schreef op dinsdag 20 januari 2015 @ 16:46:
Kijk eens naar pfsense. Met wat (oudere) hardware zou je een heel eind moeten kunnen komen.
Gisteren nog zitten spelen; ik trek makkelijk 100/100 door een openvpn tunnel over een 100/100 lijntje met ca. 50% CPU load op een AMD E350 bordje.

Zo'n bordje is zuinig en met geïntegreerde CPU en NIC al te halen voor 5-6 tientjes..

Zoek even op youtube voor een pfsense tutorial. Werkt zo goed als out-of-the-box en geheel via een duidelijke webinterface te besturen.

ziet er redelijk "makkelijk" uit, m.a.w. denk dat ik hier wel uit moet gaan komen qua de installatie van de software. de vraag is alleen of ik ergens een setje zou kunnen krijgen van een processer met werkgeheugen (hdd heb ik evt. nog wel) en case voor een leuk prijsje.... (houd me aanbevolen)

Thralas schreef op dinsdag 20 januari 2015 @ 17:08:
[...]


Met gemak. Helemaal als de desbetreffende processor AES-NI ondersteunt, dan is zelfs 1000/1000 geen probleem qua crypto.

Probeer even het een en ander uit, en kijk wat het makkelijkste werkt voor jouw situatie.

- Windows: SoftEther VPN
- Dedicated/VM/LiveCD: OpenVPN AS / pfSense

pfSense is eigenlijk een firewalldistro, dat kan zowel een voordeel als ontzettende overkill zijn.

De bottomline is dat je die 100/100 probleemloos gaat halen met redelijk recente x86 hardware of zo'n simpel bordje als de poster boven me voorstelt. Als het ook nog future proof (> 100/100) moet zijn is iets met AES-NI verstandig. En in dat laatste geval is het zinnig om uit te zoeken of je nog andere toepassingen hebt, als je toch 'fatsoenlijke' x86 hardware hebt draaien (NAS?)

Heb nu inderdaad geen plannen voor een NAS systeem o.i.d., daar hoeft bij dit project geen rekening mee gehouden te worden mocht ik hier voor kiezen. een leuk geprijsd/zuinig systeempje die mij een snelle verbinding geeft is op dit moment het belangrijkste..

[Pakjebakmeel]

Je hebt encryptie uitgezet.. Dat klinkt verstandig. Sneller is het wel ja.

[belly89]

Pakjebakmeel schreef op dinsdag 20 januari 2015 @ 20:23:
Je hebt encryptie uitgezet.. Dat klinkt verstandig. Sneller is het wel ja.

Ik gebruik alleen een VPN verbinding voor het tunnelen van een internetstream (i.v.m. het ip-adres). Mijn gevoel zegt mij dat dit niet "minder" veilig is als gewoon surfen zonder VPN verbinding, of zie ik dit verkeerd?

Mocht ik voor een andere oplossing kiezen (zoals o.a. jij al eerder hebt beschreven, met een nieuw systeempje) dan ga ik wel kijken naar een ander protocol, bijvoorbeeld L2TP/IPSec.

[Mijzelf]

belly89 schreef op woensdag 21 januari 2015 @ 10:14:
[...]
Mijn gevoel zegt mij dat dit niet "minder" veilig is als gewoon surfen zonder VPN verbinding, of zie ik dit verkeerd?

Nee. De stream gaat naar buiten zoals die binnenkomt. Waarom zou je hem encrypten tussendoor?

Je kunt ook veilig browsen door de tunnel. Een https verbinding is al encrypted, en bij een http verbinding kon het je blijkbaar al niet schelen.

Encryptie wordt pas belangrijk als je van buitenaf apparaten binnen die lan gaat benaderen. Als je je daar zorgen over maakt zou je een firewall regel in je router kunnen zetten dat VPN clients alleen het internet op mogen.

[Pakjebakmeel]

Het probleem is dat als die VPN wordt misbruikt dat ze ook meteen bij jou binnen zijn. Niet zozeer het verkeer zelf wat er doorheen gaat. Ik weet niet welke VPN oplossing je momenteel gebruikt maar als het username en password ook plain text gaat is het alleen een kwestie van onderscheppen.

[mati1983]

belly89 schreef op dinsdag 20 januari 2015 @ 20:09:
ziet er redelijk "makkelijk" uit, m.a.w. denk dat ik hier wel uit moet gaan komen qua de installatie van de software. de vraag is alleen of ik ergens een setje zou kunnen krijgen van een processer met werkgeheugen (hdd heb ik evt. nog wel) en case voor een leuk prijsje.... (houd me aanbevolen)

Ik heb vorige week nog een goedkoop doosje gemaakt:

pricewatch: Gigabyte GA-C1037UN-EU
Zit CPU onboard (genoeg power voor openvpn 100/100 tunnel
2 NICs

Nog wat geheugen erbij (2gb is zat) --> 30,- ong

Kastje miniitx incl voeding ca. 50,-
bv: pricewatch: Spire PowerCube SPM210B-300W-PFC

Verder heb je nog ergens 100+ MB aan opslag nodig.. Bijvoorbeeld een (oud) hard diskje of een USB stick

[Mijzelf]

Pakjebakmeel schreef op woensdag 21 januari 2015 @ 13:15:
Het probleem is dat als die VPN wordt misbruikt dat ze ook meteen bij jou binnen zijn. Niet zozeer het verkeer zelf wat er doorheen gaat. Ik weet niet welke VPN oplossing je momenteel gebruikt maar als het username en password ook plain text gaat is het alleen een kwestie van onderscheppen.

Het gaat om PPTP, zoals in de startpost staat, en de login daarvan is challenge gebaseerd. Dus username&password gaan niet plain over internet.

PPTP wordt niet meer als erg veilig gezien, maar dat staat hier verder los van.

[belly89]

Mijzelf schreef op woensdag 21 januari 2015 @ 10:39:
[...]

Nee. De stream gaat naar buiten zoals die binnenkomt. Waarom zou je hem encrypten tussendoor?

Je kunt ook veilig browsen door de tunnel. Een https verbinding is al encrypted, en bij een http verbinding kon het je blijkbaar al niet schelen.

Encryptie wordt pas belangrijk als je van buitenaf apparaten binnen die lan gaat benaderen. Als je je daar zorgen over maakt zou je een firewall regel in je router kunnen zetten dat VPN clients alleen het internet op mogen.

zo dacht ik het dus ook. de firewall zo instellen kan ik nog wel doen als extra zekerheid... Weet je zo of dit makkelijk in is te stellen?

Pakjebakmeel schreef op woensdag 21 januari 2015 @ 13:15:
Het probleem is dat als die VPN wordt misbruikt dat ze ook meteen bij jou binnen zijn. Niet zozeer het verkeer zelf wat er doorheen gaat. Ik weet niet welke VPN oplossing je momenteel gebruikt maar als het username en password ook plain text gaat is het alleen een kwestie van onderscheppen.

onderstaande quote van Mijzelf eerder in dit topic suggereert toch dat het niet alleen een kwestie van onderscheppen is (tenminste, zo lees ik het ):

Voor zover ik weet kun je in DD-WRT de encryptie op PPTP uitzetten. Dan is volgens mij de login nog steeds beveiligd (die is op een challenge gebaseerd), maar het verkeer is verder niet encrypted

Zou het zelf niet weten!! laat het nu ook maar even zo tot ik een andere oplossing heb (leuk geprijsd systeempje o.i.d.).

mati1983 schreef op woensdag 21 januari 2015 @ 13:18:
[...]


Ik heb vorige week nog een goedkoop doosje gemaakt:

pricewatch: Gigabyte GA-C1037UN-EU
Zit CPU onboard (genoeg power voor openvpn 100/100 tunnel
2 NICs

Nog wat geheugen erbij (2gb is zat) --> 30,- ong

Kastje miniitx incl voeding ca. 50,-
bv: pricewatch: Spire PowerCube SPM210B-300W-PFC

Verder heb je nog ergens 100+ MB aan opslag nodig.. Bijvoorbeeld een (oud) hard diskje of een USB stick

Thanks voor de tip ga er naar kijken! als er nog meer suggesties zijn, dan hoor ik het uiteraard graag!!


Edit (tegelijk bezig geweest met typen :

Mijzelf schreef op woensdag 21 januari 2015 @ 15:48:
[...]

Het gaat om PPTP, zoals in de startpost staat, en de login daarvan is challenge gebaseerd. Dus username&password gaan niet plain over internet.

PPTP wordt niet meer als erg veilig gezien, maar dat staat hier verder los van.

Bedankt voor de verdere uitleg

[ Voor 8% gewijzigd door belly89 op 21-01-2015 15:54 ]

[Mijzelf]

belly89 schreef op woensdag 21 januari 2015 @ 15:53:
zo dacht ik het dus ook. de firewall zo instellen kan ik nog wel doen als extra zekerheid... Weet je zo of dit makkelijk in is te stellen?

Ik ken DD-WRT verder niet, maar je hebt een range aan IP's toegewezen voor de VPN clients. In de firewall moet je iets invoeren als:

Source: VPN-client-range
Destination: LAN-range
Action: Drop

[belly89]

Mijzelf schreef op woensdag 21 januari 2015 @ 16:56:
[...]

Ik ken DD-WRT verder niet, maar je hebt een range aan IP's toegewezen voor de VPN clients. In de firewall moet je iets invoeren als:

Source: VPN-client-range
Destination: LAN-range
Action: Drop

Heb hier nog even naar gekeken maar kon dit zo niet vinden ook Google bracht mij hier net verder mee helaas!


Nog een een korte update/bevestiging. Heb als test een laptop laten fungeren als VPN server en hier extern een VPN verbinding mee gemaakt. Zoals de meest al al voorspelden, de snelheid werd inderdaad behaald.

Ga nu op zoek naar de beste zuinige/leuk geprijsde oplossing. Indien ik hier nog hulp bij nodig heb zal dit denk ik via een ander topic moeten lopen?

In ieder geval, iedereen bedankt voor de hulp