IPSEC sehr langsam

[godsnumb]

Hallo zusammen,

ich habe versucht einiges selbst zu erlesen aber irgendwie ist so richtig keine Lösung dabei.

Ich habe eine Opnsense auf Vmware (6.7U3). Diese hat diverse Nics im Netz und mehrere als WAN. Die Adapter sind alle E1000E. Ipsec läuft in diverse Standorte (>20Tunnel) stabil. Auf der Gegenseite befindet sich ein TP-Link ER605 (Omada). In Phase 1 habe ich folgende Konfig: AES (256 Bits) + SHA1 + DH-Gruppe 14 und Phase 2: AES256 + SHA1+ DH-Gruppe 5.

Leider machen alle Tunnel nicht mehr wie 2MB/s. An der Opnsense ist ein 200/200 Glasfaser Anschluss. An den anderen Standorten schwankt es zwischen 50Mbit VDSL und 1Gbit Glas.

Der Ping ist zwischen 10 und 18ms (was ich völlig in Ordnung finde). Leider ist es auch so, wenn es etwas Traffic auf der Leitung ist, der Ping dementsprechend hoch geht. Die Leitung am der Opnsense liegt laut Speedtest völlig an und auch auf der Gegenseite.

Habt ihr Ideen oder Vorschläge oder ähnliches? Laut HW Info ist die Opnsense nicht ausgelastet oder an ihren Grenzen.

Danke euch

[micneu]

moin, wie sieht es auch, schon mal einen test dire4kt auf blech gemacht.
da du lieder nichts schreibst zu:
- wie genau ist die sense konfiguriert (was wurde ihr an hardware gegeben)
- auf was für einer hardware läuft die vm (gerne so viel informationen wie möglich)
- geht es um einen geschäftlichen oder privaten einsatz (frage nur da ich im geschäftlichen bereich einiges an hardware voraussetze und auch bei der hardware keinen müll wie realtek NIC`s

[godsnumb]

Die Sense läuft aufn DL380 G8 mitn E5-2696. Die VM hat (4 cores, 4 threads) erhalten, 12GB RAM und läuft auf SAS SSD Storage. Ja es ist Geschäftlich und als HW ist eine NetXen HP NC375TNIC verbaut. Im Cluster sind übrigens 3 Server und auf allen 3 konnte ich das Problem nachvollziehen.

Ich habe iwo aufgeschnappt man solle Hardwareprüfsummenentlastung, Hardware-TCP-Segmentierungsentlastung, hardwareseitige Entlastung für großen Datenempfang deaktivieren. Was ich auch bereits getan habe.

Die version sollte die aktuellste sein
OPNsense 23.1_6-amd64
FreeBSD 13.1-RELEASE-p5
OpenSSL 1.1.1s 1 Nov 2022