UDM Pro SE -> INTER VLAN Geschwindigkeit nur max. 1,5 Gbit/s trotz 10 Gbit/s Anbindung an USW Enterprise 48 POE

Genau dafür gibt es Layer 3 Switches. Diese routen selbst zwischen den VLANs. Darum kann die Firewall des Routers auch nicht wirklich eingreifen und man hat nur die Möglichkeit ACLs zu nutzen, die deutlich gröber sind als Firewall rules.

An die 10Gbit wirst Du nicht rankommen, wenn die UDM routen muss. Mit IDS/IPS max 3.5Gbit angegeben und das vermutlich mit optimalen Bedingungen.

Routing zwischen Vlans läuft über die UDM und da ist bei max 3,5 Gbit/s Schluss (siehe die IDS/IPS Beschreibung).

Alternativ könntest du L3 Routen auf den Switchen anlegen um mehr Performance zu bekommen, aber das hat auch Nachteile (findest du hier im Forum).

Kannst du nicht ne zusätzliche 10Gbit Karte ins Cluster bauen, diese dann in ein VLAn mit deinem Client und dem Client eine zusätzliche NIC geben, welche in deinem normalen Work VLAN läuft?

Dann VLAN isolation für das VLAN mit den 10Gbit Nics und die andere NIC hängt ja dann in deinem normalen Work VLAN

Alternativ kannst du dir auch das Unifi EFG anschauen, das macht 12,5 Gbit mit IDS/IPS
Wann man bei deinem Setup von einem Peak von 200 Kabelgebundenen Clients ausgeht, wird die UDM SE eh den Arsch zu machen.
Vermutlich musst du auch beim EFG einige VLANs über die L3 Switche routen lassen.

Leider works as designed bzw. in gewisser Weise aber auch bemerkenswert, dass dies noch immer Stand der Technik ist bzw. noch immer Anwendung findet: Routing via Switch > Routing via Firewall.

Zumindest für die VLANs die nicht strikt mit Firewall voneinander getrennt werden sehe ich die üblich Vorgehensweise, dass Routing über den L3 Switch zu bewerkstelligen. Auf IDS/IPS muss nicht zwangsweise verzichtet werden, da Zugriff auf WAN nach wie vor über die Firewall geht. Stichwort Transfer-VLAN - bin mir nicht sicher ob nochmal ein eigenes VLAN benötigt wird oder das bereits vorhandene VLAN genau diesen Zweck erfüllt.

Ansonsten gäbe es noch etwas Potential für Feintuning (Design der VLANs in Frage stellen - d.h. überprüfen: gibt es potentiell VLANs die konsolidiert werden könnten, ggf. mit Anpassung der genutzten Subnetze) und natürlich noch eine Neuanschaffung um den Flaschenhals etwas zu kompensieren: bereits angesprochenes Enterprise Fortress Gateway (EFG) - etwas günstiger wäre die UDM Pro Max, aber da ist der Sprung ggü. der SE nicht wirklich der Rede Wert).

Zur Frage bzgl. TrueNAS kannst du dann auch gleich das NAS ins gleiche Netz wie die Workstation stecken sofern vertretbar, besser natürlich wie von defcon beschrieben, dass du das NAS zusätzlich im Client Subnetz erreichbar machst (d.h. zusätzliche physikalische Verbindung) oder wenn es nur um einen Client geht umgedreht, den dann zusätzlich ins gleiche Netz der NAS mit zusätzlicher NIC bringen.

Quote from bc-nero

Wäre eine gute Idee, der Cluster ist aber ein Proxmox - Cluster, hier geht der komplette Verkehr laut den internen Regeln von Proxmox raus, ich kann (soweit ich es weiß) nicht einer VM einfach einen anderen Weg (Nic/VLAN) geben für den Transfer zu einem einzelnen PC. Ich hab es am PC auch mal mit einer statischen Route versucht [route add [NET] MASK [NETMASK] [GATEWAYIP]], das hat Unifi laut iperf3 leider nicht interessiert, oder ich hab da was falsch gemacht, die Geschwindigkeit war auf jeden Fall identisch gewesen ...

Man kann einer VM vom mehrere virtuelle NIC geben.

Aber wenn nur einige PCs mit den großen Datenmengen arbeiten ist es vermutlich leichten diesen eine zusätzliche nic zu verpassen. Da reicht ja dann vermutlich ein 1/2,5 GBIT wenn schon ein 10 GBIT drinnen steckt.

phino Guter Punkt, bietet ansonsten ggf. auch noch eine weitere Option den Durchsatz zu verbessern.

bc-nero Wie ist denn das NAS ausgestattet? Full-Flash, Hybrid oder HDD?

Ansonsten wäre auch relevant: wie viele gleichzeitigen Zugriffe (siehe vorheriger Einwand - wenn idR parallel zugegriffen wird reichen auf Clientseite 2,5 Gbit/s) - Gewissheit schaffst du, wenn du testweise mal mit dem Client im gleichen VLAN wie das NAS reale Daten überträgst. Aus vorherigem Text ist nicht so ganz klar, ob die max. 5 Gbit/s am Client auf solchem Praxistest beruht.

Quote from bc-nero

Sorry, ich bin mit der Familie heute vor dem Karneval im Rheinland in den Schnee geflüchtet und konnte heute leider nicht früher antworten

Und in den Bergen findet man einen Ort, der nicht in Karneval macht, Ich fahre bewusst nicht in dieser Zeit zum Skifahren.

Quote from bc-nero

5Gbit/s + wird das TrueNAS bestimmt nicht schaffen

Wie kommst du darauf?

Quote from bc-nero

Micron 7400 Pro U2

Das sind doch NVMe der Enterprise-Klasse. Die lasten 10 oder 25 Gbit/s Netzwerk locker aus

Zum Thema EFG möchte ich gerne auf folgendes Video verweisen. Hier wurde auch explizit der Inter-VLAN Traffic getestet: EFG
Kurz um: Das Geld kannst Du Dir sparen, die kann auch keine 10Gbit/s und auch die UDM Pro Max (besitze ich selbst), ist nicht besser als die UDM SE.

Ich habe vor 4 Jahren bzgl. des "Router-on-a-stick" Setups ein Ticket bei UniFi aufgemacht mit folgender Antwort (ich spare Euch mal die Details):

"When testing speed between the networks, then the the inter-VLAN traffic is routed via the UDM-Pro, then the performance will be limited due to the router-on-a-stick setup. You can get increased inter-VLAN performance is available when using a L3 switch such as the USW-Pro-24-PoE."

Mit anderen Worten, die UniFi Gateways, die es Stand heute gibt, können überhaupt kein 10GBit/s Inter-Vlan Routing, unabhängig davon ob jetzt CyberEngine oder sonst welche Policy aktiv sind und man ist gezwungen auf einen L3 Switch zu setzen. Dieser bietet dann aber z.B. "nur" ACLs und keine IPv6 Funktionalität.
Persönlich finde ich dies eine Irreführung seitens UniFi, denn sie werben mit ganz anderen Sachen, und eine Frechheit. (To Be Fair: die Gatways sind echt günstig und könne viel für diesen Preis.)

Wenn Du echte 10G im internen Netz haben willst, musst du die Endgeräte entweder alle in ein VLAN packen, alles auf einen L3 Switch schieben oder zu einem anderen Hersteller wechseln.

#Sadbuttrue

bc-nero Für die weitere Optimierung würde ich überlegen, welche Geräte auf den NVMe Pool zugreifen müssen und in wie weit die Netzwerksegmentierung dann mit der Firewall abgesichert sein muss. Und am Ende alle Netze die nicht aus Sicherheitsgründen getrennt sind über den Switch routen. Falls das nicht möglich ist bleibt nur die Multi-Interface Methode, hier wäre dann am günstigsten, das NAS auch im LAN der Clients erreichbar zu machen.

Fuhunter Liegt dann wohl an der zugrundeliegenden Architektur und reiht sich gut in die miserable Backplane der in den Gateways verbauten Switches. Schade, dass sich daran bis heute und auch mit dem EFG nichts geändert hat. Bestätigt aber auch die von mir verinnerlichte Logik: internes Routing nicht über den Router sondern den Core-Switch.

Danke für den informativen Beitrag, Fuhunter !

Das ist in der Tat blöd und auch fragwürdig, wenn man die Werbeaussagen bedenkt. Ob man "IDS/IPS Throughput" 1:1 mit "Inter-VLAN-Speed" übersetzen kann, müssen vermutlich Juristen klären, aber dass z.B. die UDM-Pro-Max offenbar nur auf 80% der genannten 5 Gbps am WAN kommt, ist schon ein klarer Mangel.

Vermutlich dauert es noch ein paar Jahre, bis man sich echten 10G-Durchsatz erschwinglich für Zuhause kaufen kann.

Es gibt aktuell Gerüchte das es ein neues Gateway mit dem Namen "UDM (Pro) XG" oder so ähnlich registriert wurde und "demnächst" kommen soll. Wann und was es genau können soll weiß aber noch niemand.

Persönliche Erfahrung mit dem UniFi Universum haben mir gezeigt, dass hier viel mehr "schein als sein" das Unwesen treibt. Es ist simpel aufzusetzen und zu betreiben, wenn man aber etwas tiefer gräbt und es sinnvoll nutzen will, z.B. Inter VLAN Traffic, IPv6 oder Geschwindigkeiten die mehr als 1G sind, dann wird's problematisch. Gefühlt sind das hier halbfertige Produkte gegenüberstehend dem was beworben wird.

Ich selbst würde gerne ein komplettes 10G Netz bei mir betreiben, zum einen warum nicht? wenn man es kann und IT vernarrt ist :D, zum anderen da ich doch häufig große Dateien verschiebe durch Videoschnitt etc. und 1G einfach nicht ausreicht, bin hierbei leider jedoch auf einige Probleme gestoßen. Sei es, dass die Netzwerkkomponenten kein 10G im Inter-Vlan können, oder kein IPv6 wenn ich es über einen Layer 3 Switch betreibe, oder das die UNAS Pro einfach nicht einmal solide 2.5G schafft, sobald Festplatten verschlüsselt sind und man gerade einmal 1G bekommt mit Glück (Wurde mir von UniFi offiziell bestätigt in einem Supportticket, nachdem ich ein halbes Jahr mit denen blöde rumgeschrieben hatte. Boten mir zwar an das sie mir den Kauf Rückerstatten, wenn ich das Gerät zurücksende. Dadurch das aber schon ein halbes Jahr vergangen ist: Wohin mit den Daten? Man kann ja schlecht einfach alle Platten ausbauen und irgendwo neu reinstecken. Die müssen ja zwischengespeichert werden, was temporär neue Platten bedeutet und unnötig Geld verbrennt...).
Es ist alles ein bisschen enttäuschend, wenn die Erwartungen, Zeit und die Kohle die man da reingesteckt hat, am Ende nicht das gewünschte Ergebnis liefern...
Ach und dann wäre da noch das Problem das es eine Mietwohnung ist und ich daher weitestgehend Fanless bleiben will, um nicht die Krise zu kriegen im HomeOffice

Btw. ein Super Tool um ein paar Bottlenecks im UniFi Netzwerk aufzudecken bzw. zu analysieren ist dieses Tool hier: https://github.com/Ozark-Connect/NetworkOptimizer Kann ich wärmstens empfehlen.

Ich glaube kaum, dass Ubiquiti für eine neue Dream Machine die Plattform komplett umkrempelt.

Die Produkte sind in gewisser Weise modular - siehe Vergleich UDM und UCG. Sowohl bezogen auf die Software als auch Hardware. Und diese Kombination ist derzeit nicht in der Lage performantere Inter-VLAN Geschwindigkeit auf dem Gateway zu realisieren (birgt wiederum die Transparenz, dass der angegebene IDS Durchsatz auch für Inter-VLAN Bandbreite gültig ist). Mit anderen Gateways der Preisklasse sieht es nicht besser aus und ist Technologie-Bedingt.

Problem ist auch, dass mit Ubiquiti eine breitere Masse auch aus dem Semi-Professionellen Umfeld erreicht werden mit spezifischen "Sonderwünschen" die im gewerblichen zumindest in der Masse nur untergeordnete Rollen spielen. Den meisten Unternehmen geht es nur darum, dass es stabil läuft und bei Ausfällen schnelle Abhilfe gewährleistet ist (was man gerade in dieser Preisregion alleine schon dadurch abbildet, dass man die Hardware doppelt vorhält um einen Herstellertausch ohne Downtime zu realisieren)

Nunja sie müssen dafür nicht Ihre Platform komplett umkrempeln. Es reicht schon wenn sie die CPU Upgraden und einen dedizierten Netzwerkchip (NPU) einbauen.
Dies haben sie z.b. bei der UCG Fiber getan. Ich habe eine von UniFi geschickt bekommen um IPv6 über PPoE Probleme zu testen, da die Fiber einen extra Netzwerkchip besitzt.
Ansonsten wären bei der geringen Hardwareleistung nicht solche Geschwindigkeiten möglich und ich kann bestätigen, dass Fiber schneller ist als die UDM Pro Max. wenn auch nur um 200Mbit/s.

Ich sehe das Problem darin, dass sie es falsch bewerben und ich gebe Dir recht Simsi1986 sie versuchen mit Ihren günstigen Preisen für das gebotene Leistungsniveau die breite Masse anzusprechen (welches auch gelingt wie man sieht).
Wo ich Dir jedoch nicht zustimme ist das Thema Unternehmen und Semi-Professionell. Inter-VLAN ist kein Sonderwunsch sondern der DeFacto Standard in der heutigen IT Welt.

Schade das man für so etwas auf die großen Firmen zurückgreifen muss, um dass zu bekommen was man will (Cisco, Fortinet um nur mal 2 zu nennen), preislich sind wir dann aber auch jenseits von gut und böse, gerade wenn es für Semiprofis ist

Das UCG fiber schafft bei mir Inter-VLAN 2500MBit. Der Flaschenhals sind die 2.5 GB zu meinem PC.

Meine vorherige UDM Pro war aber auch nicht so schlecht, wie hier geschrieben wird. Siehe hier.