iT邦幫忙

2

台灣和美國二地,經過Firewall VPN通道,實際跑的速度 (2/17已解決)

  • 分享至 

  • xImage

各位好,
碰到一個客戶環境,問題如標題,說明如下:

環境說明:
台灣 & 美國二地是用 Firewall 建立 Site-to-Site VPN
美國的 Wan 是1Gb/1Gb,台灣的 Wan 是 100Mb/100Mb,上下行都是企業對稱頻寬。
台灣查看Wan 流量,上下行平日大約都在 30~50Mb/s,偶有到 70Mb/s
美國流量較高,但平日也在150~300Mb/s 左右,偶到 500Mb/s
現在經過二地VPN,光是用 MS 網路分享,傳檔都有400kb/s 以下,有時還會突然變成 0 ,然後過了1~2秒,又繼續跑。
二地用內部IP, 經VPN通道互Ping 回應值在 120~140ms,偶有到160ms, 但是長Ping 下來,並不會斷。

除了傳檔慢外,中間有些服務也會慢,Web 會慢到show 404
台灣及美國,當地的上網服務都是OK的,但就是跨國掉得太差了

請問有沒有那位大大,有可以明顯提昇二地傳輸效率的方法?

2/17 最近更新 -結案
謝謝各位大大,昨日在主機上抓封包,最後有把問題方向抓出來了。

他們中間有資安設備在 Monitor 內容(它會做Content 內容分析),它是用旁路(Switch mirror port)方式監看網路流量&行為,現在測的結果,是他會把某些流量誤判,並且擋掉 "某些Session"(不是全擋,所以有時又通)。

一直沒有想到這台設備會誤判,這台資安設備,在架構上是旁路(非一進一出),後來是抓包後,發現對 Web Server 的封包,有些就有去無回。
所以,如 "窮嘶發發發" 大大的計算也是正確的,中-美之間 VPN 流量跑到400kb/s很合理,流量是慢,但並不應該會慢到斷。
後來把Server IP "by-pass 阻斷功能",Web 開啟就很順,流量測起來還是在400kb/s 左右,但Web 都OK了。 --結案--

看更多先前的討論...收起先前的討論...
cmwang iT邦大師 1 級 ‧ 2025-02-14 10:36:54 檢舉
這麼說好了,Public Internet先天上就無法保證服務品質,真要保證品質的話就只能走專線,so....
ming9900 iT邦新手 3 級 ‧ 2025-02-14 11:45:50 檢舉
這我了解,只是 美國1Gb/s,台灣100Mb/s,在二地平常流量都還不到50%的狀況下,跑傳檔,只有400Kb/s。心態有點OOXX。
rb1102 iT邦研究生 1 級 ‧ 2025-02-14 13:05:38 檢舉
兩邊什麼型號firewall?
DennisLu iT邦好手 1 級 ‧ 2025-02-14 13:33:03 檢舉
雙方什麼型號的要補上吧。
那你有測試離峰的純開port的非vpn下的點對點傳輸嗎?
分享器有些規格書寫得很清楚vpn傳輸效率是多少跟你上網效率是兩回事。
然後你兩地site to site ,user上網跟site to site共用路由器跟流量嗎?
有沒有考慮上網與vpn流量同台共用影響?
有些公司是上網從gw出去,site to site的流量 從另外一台走。

user上網設置直接gw出去還是透過site to site vpn 從另外一邊出去?
有些公司的子公司,上網流量是統一透過vpn從總公司出去,


知道怎麼走,再看假如user的上網行為可以影響到兩地穩定的環境,那要想想怎麼調整或限制。

很多種考量。還有台灣流量出國的本身就比在國內更不保證了。
ming9900 iT邦新手 3 級 ‧ 2025-02-15 02:43:42 檢舉
回答一下大大的詢問:
二地是 SonicWall NSA4600 系列,VPN 的設定很簡單,是把二地的內網都Allow 互通。
台灣有第二條Wan,是光世代 300Mb/100Mb 非對稱的,User 上網優先走光世代,光世代斷了,才會走100M/100M 線路,Server 出去優先走 100Mb, 有斷才會改走光世代。
有試過台灣端改用 光世代建VPN通道,但結果反應更差,光Ping 都會偶有 Timeout,傳檔也是跑一下就約0k/s, 總之更糟,所以又改回100Mb

中美二地,平常並不會有太多Client 的流量互傳,這次會特別說到測速,是因為美國有一個Web Portal ,在台灣開很慢,有時失敗就顯示 Error 404,所以才會想測一下二地的速度。才發現傳檔最多跑到400kb/s
海纜斷掉影響應該是很大
首先 100Mbps / 8 = 12.5MB/s
接著做 VPN 要速度會剩下四分之一 12.5/ 4 = 3.125
正常網路傳輸會有耗損在砍一半 3.125 / 2 = 1.06
加上一些遠距離海纜的損耗 400KB/S 個人認為很正常 ...
建議是買CDN吧,CDN 雖然不及時同布,至少速度會讓人很滿意
ming9900 iT邦新手 3 級 ‧ 2025-02-17 11:44:10 檢舉
謝謝大大回應,問題已解決。
DennisLu iT邦好手 1 級 ‧ 2025-02-20 15:42:29 檢舉
如果軟體商遇到這個,客戶端又沒有你這樣追查到這程度,應該被打得不明不白還找不出問題原來不在產品身上。

2 個回答

0
mytiny
iT邦超人 1 級 ‧ 2025-02-15 11:26:39

依現況在網路連接與路由上
應該沒有什麼好檢討
主要應該先檢討IPsec VPN的設定與效能

SonicWall的IPsec VPN沒有加速晶片處理
效能上會比較弱,需要CPU/MEMORY硬扛
查表NSA4600效能還不到Fortigate-40F等級
日後如果繼續用現行VPN架構
可以考慮更換,且使用SD-WAN功能

目前建議嘗試檢討IPsec VPN設定
例如嘗試降低兩方加解密演算法
甚至先以MD5試做
如果確實有助於兩邊檔案傳輸
則表明主要應是效能不足
如果沒啥變化
就要向兩邊ISP業者探詢原因了

看更多先前的回應...收起先前的回應...
ming9900 iT邦新手 3 級 ‧ 2025-02-15 13:59:33 檢舉

謝謝
Mytiny 大大提出可實作的測試方向,這很有幫助。

ming9900 iT邦新手 3 級 ‧ 2025-02-17 11:43:53 檢舉

謝謝大大回應,問題已解決。

mytiny iT邦超人 1 級 ‧ 2025-02-18 15:00:31 檢舉

很抱歉!沒有預判到正確的方向上

不知是否能提供大致的網路架構示意圖
很好奇兩邊SonicWall在結構中所在的位置
因為是旁路(Switch mirror port)
卻又能擋掉 "某些Session"
這好像得 in-line mode ?
那IPsec就不是SonicWall做的?

再次致歉!

ming9900 iT邦新手 3 級 ‧ 2025-02-19 09:13:10 檢舉

二地VPN架構很單純,就只是Firewall Site-to-Site VPN

是他有另外1台 "專用設備",是在 Firewall 內部,接在 L3 Switch上。
L3 Switch 有設定 Mirror port ,把所有流量的封包 Mirror 一份給這個 "專用設備",這台設備有 Monitor + 阻斷異常連線的功能。

然後它就"誤判(或是誤設定?)",造成阻斷了這個服務,但奇葩的是,它又不是全阻斷,是部份會斷,所以才會操作起來慢,又偶可以打開。

mytiny iT邦超人 1 級 ‧ 2025-02-19 22:45:44 檢舉

沒有圖還是有些不好想像
是 one-arm sniffer ?
SonicWall不知還可以回吐控制命令?
沒關係,只是好奇就不再多問了
感謝您的回應

0
bluegrass
iT邦高手 1 級 ‧ 2025-02-17 10:00:14

美國的 Wan 是1Gb/1Gb, 台灣的 Wan 是 100Mb/100Mb

旦兩邊ISP的海外頻寬是多少? 有些情況下ISP表示的頻寬可能是指本地速度

看更多先前的回應...收起先前的回應...
ming9900 iT邦新手 3 級 ‧ 2025-02-17 11:39:17 檢舉

謝謝大大回應,問題已解決。

bluegrass iT邦高手 1 級 ‧ 2025-02-17 11:49:43 檢舉

還以為解決方向是調整TCP_MSS

ming9900 iT邦新手 3 級 ‧ 2025-02-17 12:34:42 檢舉

回大大,剛才測了一下 封包 size 最大是跑到 1471 (防火牆的Interface MTU 是設定1500) ,封包再大就會被切割 ,但這的確和本次 Web 開啟失敗或是 VPN 傳輸慢無關。

ping x.x.x.x -l 1471 -f (超過後就提示封包要切割)

bluegrass iT邦高手 1 級 ‧ 2025-02-18 19:30:16 檢舉

你應該用MTUROUTE來測, 會比較現實

https://ithelp.ithome.com.tw/upload/images/20250218/20102031T0EeFj8N8w.jpg

ming9900 iT邦新手 3 級 ‧ 2025-02-19 09:04:02 檢舉

謝謝 b大,這個工具沒用過,好像不錯,我研究一下

我要發表回答

立即登入回答