iT邦幫忙

0

Fortinet Ipsec Site to Site VPN效能

vpn

各位邦友,小弟有一個問題想請教大家,我兩棟大樓辦公室都有中華電信500/250Mb的線路,我用兩台NB直接接中華電信小烏龜,然後用Iperf測試,都有150Mb的的速度,但我用Fortinet200D和100D,然後用預設的範本去建立Ipsec site ti site VPN,再用Iperf測試,怎麼跑都大約只有100Mb上下,我詢問經銷商工程師,他給我他自己的測試報告(下面引用),想請問大家這樣測試準嗎?我個人的理解是就算單一檔案,也要跑到150Mb以上,而且測試Ipsec VPN的效能,不是要用一個檔案去測試會比較準,還是我認知有錯?

我在公司實測 2 台 Fortigate 100d 作 IPSEC VPN 傳輸測試,10個 FTP task 同時傳輸的情況下,可以達到 30 MB,約等於 240 Mbps,如果單純使用 Lan speed test 軟體測試約 79 Mbps,我是用 FileZilla Server 跟 Client,只有2台筆電,傳輸設定選擇最大可以同時傳輸10個檔案!另外2台筆電的檔案都是在 SSD 上作讀寫!

2 個回答

WilliamHuang
iT邦研究生 1 級 ‧ 2015-12-17 15:06:30
【**此則訊息已被站方移除**】
0
mytiny
iT邦大師 1 級 ‧ 2015-12-18 16:05:20

版大看來對IPsec VPN的傳輸速度不是很滿意
因為兩端傳輸,只能用最小台的效能為準,
小弟查一下資料,FG-100D在64 Bytes的傳輸情況下,只有200 Mbps
而IPSec Throughput 512 Byte Packet的狀況下,也只有 450 Mbps
因為使用IPsec VPN,兩端設備都要拆解、加密、解密網路封包
所以如果檔案越小,切封包越細,則花的功夫越多,效能越差
要解決這種情況,切勿購買FG-100D這種無NP加速晶片的機款

至於原廠測出來的數據為何較高,揣測通常與採用的模式,與環境的單純與否有關
其IPsec VPN的模式有兩種

  1. Policy-based : tunnel-mode VPN
  2. Route-based : interface-based VPN
    如想知道其差異,請看以下鏈結第23頁
    http://docs.fortinet.com/uploaded/files/1881/fortigate-ipsecvpn-52.pdf

最後小弟再說一下,Fortinet為其公司商標名稱
而Fortigate只是其中一種產品,尚有多種為100D,200D的型別
應說明清楚,避免混淆之

謝謝你的講解,所以我不透過VPN直接對接,可以到150Mb,透過VPN只能到100Mb,是因為加解密的問題,導致這樣結果是正常的?

mytiny iT邦大師 1 級 ‧ 2015-12-21 20:56:35 檢舉

版大別誤會,小弟只是試著解釋"可能的"原因
如果能用大封包傳送,加上VPN採用橋接非路由模式
或許大檔傳久一點可以得到你要的效果?

另外,有試過不是用VPN,而是用兩端ip對應的方式傳檔
會不會傳輸的效果可以更高呢?
若效果更高或是達到你預計效果,
是不是表示VPN設定可做一些調整來改善效果
例如加密等級不要太高,或用policy-base VPN ?

了解,我沒有誤會,只是好奇,我有試過兩端IP對應的方式傳檔,確實效過比較好,加密我只剩下3DES,可是效果還是一樣,Policy Route會比較複雜,所以沒有考慮,看起來是fortigate 100D效能的問題?

我要發表回答

立即登入回答