Acces points halen snelheid niet

[Eskimoo]

Beste leden, hopelijk kunnen jullie mij helpen met het volgende probleem:

De acces points halen hun snelheid niet, namelijk rond de 120 mbps.
Er ligt 1gbps, en bedraad haal ik z'n 930mbps. er hangen in het gebouw 6 acces points, allemaal hetzelfde van aruba. deze haalt dus max 120, daarnaast heb ik andere acces points gebruikt van asus, dlink, ubiquiti, en ook deze komen niet veel verder.

Deze zijn gewoon bekabeld aansloten.

Het volgende is aansloten:
glasvezel - media converter van cisco, glas naar utp.
cisco utp -> fortigate firewall -> core switch -> switch 2 ->

Nu kan ik helaas van de cisco niet direct een acces point aansluiten, aangezien maar 1 utp output werkt, en die dus naar de firewall gaat.

Als ik de acces points inprik vanuit de switch met 3meter kabel krijg ik dezelfde snelheid.
Nu lijkt mij het dat er in de fortigate ergens een vlan of rule in zit die de speed tegen houden van de acces points.
Inmiddels na laten kijken door een externe it partij, en geven aan dat er niets mis is.
Kortom. hoe kan het nou dat ik maar 120mbps haal op de acces points met 1 gigabit lijn? dat had toch minstens wel 400mbps moeten zijn? alle kabels zijn trouwens cat 6a s/ftp
Ik heb inmiddels de draad kwijt... waar kan dit nou aan liggen? mis ik iets?

Switch: aruba 1930 Acces point: aruba ap305c fortigate: FGT60E

[dion_b]

Wat voor client(s) heb je waar je dit mee meet?
Op welke frequentieband ben je verbonden op dat moment?
Kun je uit de Aruba management-omgeving aangeven met welke signaalwaardes (RSSI in dBm) en data rates ze verbonden zijn?

120Mbps klinkt verdacht als wat ik zou verwachten dat je met een WiFi-6 2x2 client in 2.4GHz zou halen. Voor hogere snelheden moet jet met 5GHz verbonden zijn. Kunnen de clients wel 5GHz?

[Eskimoo]

Het zijn allemaal Lenovo 20VE laptops, maar ook met mijn telefoon iphone 15.
Laptops kunnen wifi 6, als ik ben verbonden met het wifi netwerk is hij verbonden met wifi 5.

Ik heb ook geswitcht van wpa3 naar wpa2, met wpa3 kan ik enkel wifi 6 ontvangen.
maar beide zelfde snelheid.

[Eskimoo]

[dion_b]

Aan slecht signaal ligt het alvast niet. Ik lees hier echter nog niet in terug welke frequentieband (of kanaal) gebruikt wordt en met welke data rate verbonden wordt.

[UTPBlokje]

De fortigate 60e heeft maar een throughput van 250Mbps met ngfw rules.
Overigens hoe voer je de speedtest uit?

[Eskimoo]

@UTPBlokje dat is de FG-60E niet de FGT-60E
Deze ziet er ook anders uit, de passtrough van fgt-60e kan ik niet vinden..
De speedtest voer ik uit op de laptop met speedtest.net

@dion_b zou morgen even kijken of ik dit kan vinden in de omgeving.

[mash_man02]

Welke kanaak breedte gebruik je op de 5Ghz en is dat ook waar je geteste client sop connecten ?

Ik heb het idee dat je 20Mhz draait.

[Yariva]

Eskimoo schreef op donderdag 16 mei 2024 @ 19:36:
@UTPBlokje dat is de FG-60E niet de FGT-60E
Deze ziet er ook anders uit, de passtrough van fgt-60e kan ik niet vinden..
De speedtest voer ik uit op de laptop met speedtest.net

@dion_b zou morgen even kijken of ik dit kan vinden in de omgeving.

Volgens mij worden de namen een beetje door elkaar gebruikt door Fortinet. Je kan er vanuit gaan dat FG60e / FGT60e het zelfde model is. Verschillende modellen in een serie van Fortinet worden vaak aangeduid met extra informatie na de serienaam zoals 60e-dsl of 60e-poe.

Die 250 met NGFW features enabled klopt wel degelijk, ik heb er hier zelf eentje in de meterkast hangen Maar voor uw gemoedsrust (en om te laten zien dat de unit fysiek ook het zelfde is): https://www.firewalls.com...ts/Fortinet/FG-FW-60E.pdf.

Is er een interne bron waar je mee kan spelen zodat je niet afhankelijk bent van de fortigate of de uitgaande verbinding? Zou je bijvoorbeeld ergens iPerf op kunnen installeren en vanaf je laptop een iPerf client kunnen opstarten om zo de verschillende onderdelen uit te sluiten? (hint: installeer de iPerf server op een vast apparaat zodat je niet de zelfde Wifi 'ruimte' gebruikt voor zowel rx als tx.)

[ Voor 18% gewijzigd door Yariva op 16-05-2024 20:07 ]

[Eskimoo]

@mash_man02 zou ik morgen even moeten nakijken, dit zou toch onmogelijk moeten zijn?
Daarnaast hebben alle andere 4 acces points hetzelfde, ook alle 30 laptops hebben dit probleem..

@Yariva
Betekent dit dan al de verklaring dat hij maar 250mbps passtrough heeft?
of zegt dit dan nog niets?
Ik haal bedraad namelijk wel 930mbps?

[laurens0619]

@Eskimoo
Wat is je linkrate?
Output van “netsh wlan show interfaces”

[Dyckie]

Heb je al eens getest met de laptop op de kabel waar de acces point aan hangt?

[dion_b]

Eskimoo schreef op donderdag 16 mei 2024 @ 19:36:
[...]

@dion_b zou morgen even kijken of ik dit kan vinden in de omgeving.

Draai op de laptop anders gewoon dit en post resultaat hier:

code:

netsh wlan show interface

[Eskimoo]

@dion_b @laurens0619

Wat mij opvalt is de mb rate, die is laag.. dit had toch wel 1200 mbps moeten zijn? met 1 van de andere acces points van asus bv, pakt die wel 1200 rate.



Zie hierboven,
@Dyckie
Ik heb niet aan alle kabels van de acces points de laptop gehangen.
deze komen ook enkel bij het plafond uit, bij alle 5.

Deze kabels zijn ook allemaal nieuw cat 6a s/ftp.
wel andere kabels die ook die lengte hebben gebruikt die in een paal uitkomen.
Bedraad geen probleem wifi wel problemen.

@Yariva ik kan enkel nog proberen om vanuit de cisco direct in de prikken in een switch, en dus niet langs de fortigate. dit moet ik dan wel even in het weekend doen, maar dat is de enige manier om uit te sluiten of dan die fortigate niet meer oke is?
Er is geen andere mogelijkheid na mijn weten om dit anders te testen, alles is aangesloten na de fortigate.

[ Voor 75% gewijzigd door Eskimoo op 17-05-2024 08:11 ]

[laurens0619]

@Eskimoo
Vergeet de kabels en de fortigate. Die link rate is je probleem

De vraag is even waarom je dan zon lage linkrate hebt. Je linkrate wordt bepaald door:
- Wat kan het wifi accesspoint theoretisch aan?
- Hoe staat het AP voor dat SSID ingesteld? (20, 40, 80, 160 mhz)?)
- Wat kan je client aan?
- Welke signaalsterkte heb je
- Wat hebben de client en ap kunnen overeenkomen

Als je eerder 1200 haalde dan kan je client dus 1200 aan.
Je accesspoint kan zo te lezen ook wel harder (als ik de juiste spec heb)

5GHz: Three spatial stream Single User (SU) MIMO for up
to 1,300 Mbps wireless data rate to individual 3x3 VHT80
client devices
• 5GHz: Two spatial stream Multi User (MU) MIMO for up
to 867 Mbps wireless data rate to up to two (1x1 VHT80)
MU-MIMO capable client devices simultaneously

Je signaalsterkte van 100% vind ik trouwens wel bijzonder. Ik zit hier 2m van het accesspoint en ik zit op 91%.
Ik heb al eens vaker gezien dat een ap staat te OVERSCHREEUWEN waarna snelheid en alles in elkaar stort. Misschien is dat er aan de hand?

[ Voor 50% gewijzigd door laurens0619 op 17-05-2024 10:30 ]

[dion_b]

Eskimoo schreef op vrijdag 17 mei 2024 @ 08:02:
@dion_b @laurens0619

Wat mij opvalt is de mb rate, die is laag.. dit had toch wel 1200 mbps moeten zijn? met 1 van de andere acces points van asus bv, pakt die wel 1200 rate.

[Afbeelding]

OK,

even doorlopen wat we hier zien:
- Realtek RTL8852BE ondersteunt zoals naam zegt WiFi-6. Als ik verdere specs opzoek zie ik dualband 2.4GHz+5GHz, 2x2 MIMO. Wat me niet duidelijk wordt is ondersteunde kanaalbreedtes, maar in ieder geval moet het tot 80MHz kanaalbreedte kunnen werken, anders zou je namelijk niet aan die 1200Mbps kunnen komen.
- Cipher CCMP is goed (als dat TKIP was geweest had dat vereist dat een aantal performancefeatures uit hadden moeten staan)
- kanaal 36 is drukte in de 5GHz, je zou mogelijk naar een rustigere kunnen kijken, bijvoorbeeld 100 of hoger. Sowieso is het verstandig goed naar de channel plan te kijken als je verschillende AP's van verschillende systemen door elkaar gebruikt - Aruba heeft een goede radio resource management, maar die management kan geen rekening houden met rogue AP's (APs in zelfde gebied die niet onder beheer van Aruba staan), dus dan moet je zelf handmatig kanalen gaan toewijzen.
- Receive en Transmit rate 286.5Mbps: belangrijke om hier te snappen is dat dit geen meetwaarde is, maar een instelwaarde. Dit is de optelsom van gevolgen van een hoop instellingen (aantal spatial streams, kanaalbreedte, modulatie, guard intervals etc). We weten dat AP en client 2 spatial streams aan kunnen. Dan kun je de rest aan de hand van een tabel als dit uitpluizen. Helaas maakt MS het ons wat lastiger door op 0.5Mbps af te ronden, maar er zijn twee mogelijke opties hier als we uitgaan van 286.8Mbps: 2 spatial streams, 20MHz kanaalbreedte, 08us guard interval en 1024-QAM modulatie, of 1 spatial stream, 40MHz kanaalbreedte, 0.8us guard interval en 1024QAM modulatie.

Aangezien client in staat is 2 spatial streams te doen ga ik uit van eerste geval - wat dus impliceert dat er op 20MHz (ipv 80MHz) gecommuniceerd wordt.

Dat kan twee redenen hebben:
1) in Aruba management staat 20MHz als kanaalbreedte ingesteld (in enterprise setups wordt vaak gebruik gemaakt van kleinere kanalen om efficientie en voorkomen van overlap tussen cellen te prioritiseren boven bandbreedte per cel; als ik me goed herinner staat bijv bij Aruba InstantOn 40MHz per default ingesteld)
2) er staat een breder kanaal ingesteld, bijvoorbeeld 80MHz, maar door interferentie is de AP teruggeschakeld naar een smaller kanaal. Dat heet 'coexistence'.

Zo'n breder kanaal van 80MHz bestaat feitelijk uit twee kanalen van 40MHz die elk uit twee kanalen van 20MHz bestaat. Een van die 20MHz-kanalen is altijd de 'primary'. Dat is hier kanaal 36, en 36+40 is de primary 40MHz blok. Als een AP in de secondary 40MHz blok van een 80MHz kanaal interferentie detecteert, hoort het terug te schakelen naar het primary 40MHz blok, detecteert het daar ook interferentie in de secundaire 20MHz, dan hoort het terug te schakelen naar de primary 20MHz. Consumentenhardware negeert deze eis van WiFi-spec in de regel en blaast vrolijk door op 80MHz (of zelfs 160MHz of 320MHz ), maar enterprise-grade spul neemt specs serieus en schakelt terug.

Kortom, je hebt hier linksom of rechtsom een probleem met je instellingen. Ofwel je hebt kanaalbreedte gewoo op 20MHz staan. In dat geval kun je het op 80MHz zetten en ben je hopelijk klaar. Danwel je staat al op 80MHz, maar je hebt je kanalen niet goed ingesteld. Zoals gezefd, als je verschillende WiFi-systemen door elkaar gebruikt kun je nadrukkelijk niet vertrouwen op 'auto' als instelling en moet je het handmatig doen. Aangezien dit AP op kanaal 36 zit heb ik het vermoeden dat je dat wel eens niet (goed) gedaan zou kunnen hebben.

laurens0619 schreef op vrijdag 17 mei 2024 @ 08:59:
[...]


Je signaalsterkte van 100% vind ik trouwens wel bijzonder. Ik zit hier 2m van het accesspoint en ik zit op 91%.
Ik heb al eens vaker gezien dat een ap staat te OVERSCHREEUWEN waarna snelheid en alles in elkaar stort. Misschien is dat er aan de hand?

Valt mee. MS heeft een IMHO onbegrijpelijke methode van indicatie van signaalsterkte gekozen. Het is gecapped op -50dBm=100%. _{Formule is: Signal=100-([RSSI in dBm]+50)*2} Alles daarboven is ook 100%. Signaal kan makkelijk beter zijn dan -50dBm, ik zit hier op 2m van m'n AP en mijn telefoon meet -35dBm. Dat zou Windows ook '100%' noemen. Als je op 2m afstand '91%' meet, betekent dat dat je op -54.5dBm zit. Allerminst rampzalig, maar ik zou eerder twijfelen aan jouw situatie dan die van TS op 2m met die waardes.

[Yariva]

Eskimoo schreef op vrijdag 17 mei 2024 @ 08:02:
...
Bedraad geen probleem wifi wel problemen.

@Yariva ik kan enkel nog proberen om vanuit de cisco direct in de prikken in een switch, en dus niet langs de fortigate. dit moet ik dan wel even in het weekend doen, maar dat is de enige manier om uit te sluiten of dan die fortigate niet meer oke is?
Er is geen andere mogelijkheid na mijn weten om dit anders te testen, alles is aangesloten na de fortigate.

Zolang het met de kabel goed gaat zal de 60e geen bottleneck zijn. Ik ga er ook vanuit dat je gebruik maakt van de zelfde FW policy voor uitgaand wifi verkeer als lokaal.

Sowieso kan zo'n 60e met gemak 1g pompen. Zodra je allemaal security functionaliteiten gaan aan zetten zoals antivirus, ips / ids, dingen waarvoor je diep in de applicatie laag van een pakket moet kijken zakt de snelheid naar beneden.

Maar zo te zien heb je al een boel tips gekregen om meer te focussen op het wifi netwerk

[Eskimoo]

@dion_b @Yariva @laurens0619

Inmiddels wat gevonden, de ap's staan inderdaad allemaal op 20mhz!
Dat lijkt dus probleem 1.
Deze gaan we aanpassen! top!

De volgende vraag duid dan wel op, met 3 andere merken zowel asus, dlink unifi, krijg ik dus wel 40/80mhz.
En dus die rate van 1200mpbs. maar ook dan krijg ik nog steeds maar rond de 150mbps binnen.
Dan had ik daar wel de goeie snelheid moeten hebben, maar dat is dus ook niet het geval.

[dion_b]

Eskimoo schreef op vrijdag 17 mei 2024 @ 14:23:
@dion_b @Yariva @laurens0619

Inmiddels wat gevonden, de ap's staan inderdaad allemaal op 20mhz!
Dat lijkt dus probleem 1.
Deze gaan we aanpassen! top!

De volgende vraag duid dan wel op, met 3 andere merken zowel asus, dlink unifi, krijg ik dus wel 40/80mhz.
En dus die rate van 1200mpbs. maar ook dan krijg ik nog steeds maar rond de 150mbps binnen.
Dan had ik daar wel de goeie snelheid moeten hebben, maar dat is dus ook niet het geval.

Dan zitten die dingen waarschijnlijk allemaal door elkaar te zenden, zie mijn tweede punt.

Zo te horen heb je een grotere installatie dan een gemiddeld thuisnetwerk. In dat geval moet je alle 5GHz-kanalen gebruiken, wil je 80MHz kanaalbreedte hebben en zou het kunnen dat je alsnog beter met 40MHz moet werken, of de plaatsing van AP's moet herzien.

Maak eens een overzicht van alle AP's die je hebt hangen en welk kanaal ze gebruiken. Zorg dat aangrenzende (in drie dimensies - let dus ook op verdieping erboven/eronder tenzij je zeer dikke betonvloeren hebt en metalen brandwerende deuren bij traphuizen) AP's niet in zelfde kanaal zitten. Gebruik voor 80MHz alleen:
36
52
100
116

Elke andere onderverdeling riskeert weer adjacent channel gedoe.

Kom je niet uit? overweeg dan alsnog 40MHz zodat je kunt kiezen uit: 36-44-52-60-100-108-116-124-132

Controleer ook de overlap tussen AP's. Je wilt als het even kan andere AP's ongeacht kanaal nooit sterker dan -67dBm detecteren, en in zelfde kanaal moet het onder de -83dBm zijn. Als je uitgegaan bent van 'one per room' kan het zijn dat je veel teveel hebt en dat performance verbeterd wordt door een aantal uit te schakelen en/of te verplaatsen.

[Eskimoo]

@dion_b

De verschillende merken heb ik enkel getest om te kijken of ik daar wel de snelheid mee haal.
Alles wat hier standaard hangt is van aruba.
De asus, dlink ect heb ik dus enkel als test aangesloten.
Verder heeft een IT bedrijf uitgemeten waar de acces points moet komen te hangen.
(neem aan dat ze weten wat ze doen, dus ga ik er vanuit dat dat goed is)

Ik ga vanmiddag vanuit de cisco gelijk inprikken op 1 van onze acces points, en kijken wat er gebeurd.
Mocht ik dan wel de snelheid halen, is het de fortigate.
Zo niet, dan is de acces point met instellingen alsnog niet goed.

Ik heb het een en ander nagekekn van de ngfw, maar kan weining vinden over wat die troughput dan ook is.
Lijk op een policy beleid die dan toegepas moet worden. maar dit vind ik nergens terug dat hij hem moet afknijpen of iets in de huidige instellingen van de fortigate.

Weet jij uberhaupt als je die specs ziet, of deze enigzins voldoet aan dus gigabit netwerk?
Of is het apparaat toch te oud, en moet deze gewoon vervangen worden?

[dion_b]

Eskimoo schreef op dinsdag 21 mei 2024 @ 11:14:
@dion_b

De verschillende merken heb ik enkel getest om te kijken of ik daar wel de snelheid mee haal.
Alles wat hier standaard hangt is van aruba.
De asus, dlink ect heb ik dus enkel als test aangesloten.
Verder heeft een IT bedrijf uitgemeten waar de acces points moet komen te hangen.
(neem aan dat ze weten wat ze doen, dus ga ik er vanuit dat dat goed is)

OK, maar constatering is dat het niet goed is. Feit dat het allemaal Aruba is maakt het iets eenvoudiger, maar ik zou zeker niet blind aannemen dat het goed is.