UDM Pro SE -> INTER VLAN Geschwindigkeit nur max. 1,5 Gbit/s trotz 10 Gbit/s Anbindung an USW Enterprise 48 POE

Quote from Fuhunter

Router-on-a-stick

Quote from Fuhunter

können überhaupt kein 10GBit/s Inter-Vlan Routing

Just my two cents

Wenn du über EINEN 10Gb/s Physischen Port von einem VLAN ins andere Traffic schickst. Dann
lieg es in der Natur der Dinge das du auf max 5Gb/s kommst... Der Traffic muss durch den Port rein und wieder raus.
+ overhead (Ethernet, VLAN, kleine Pakete) Natührlich < als NicSpeed/2

Das sind dann auf einmal die 3-4Gb/s bei den "alten" Kisten garnicht soo schlecht.

Fast native erreichst du dann wenn du VLAN A auf dem einem SFP hast und VLANB auf den anderen SFP.
Da bremst dann CPU aus wenn noch das IDS noch mitschnorchelt und 8 Millionen Regeln checken muss.
oder Otto seine mit seinen 8000 Firewall Regeln, die jeden Port einzeln Matchen noch dazu kommen.

Jap da stimm ich Dir zu. Theoretisch sollten 5G drinnen sein, selbst wenn es 4.5 wären, wäre ich zufrieden. Aber naja ist ohne Layer 3 switch nicht möglich

Quote from gierig

Wenn du über EINEN 10Gb/s Physischen Port von einem VLAN ins andere Traffic schickst. Dann
lieg es in der Natur der Dinge das du auf max 5Gb/s kommst...

da bin ich jetzt aber neugierig bzw. verwundert.

Wenn ich meinen Server mit Daten von meinem PC vollpumpe und gleizeitig ein Backup vom Server auf Server 2 läuft, hab ich einen Durchstz vion 20Gbit über ein 10G Nic.

10 senden und 10 empfangen. Deswegen ja full-duplex...

P.S.: natürlich keine vollen 10, aber 8-9 in jede Richtung gehen schon...

Dein PC (Vlan A) sendet Daten zum Server (Vlan B)
Schöne TCP Verbindung.

Deine 500Mb File muss also in VLAN A Ins Router Interface geschoben werden (Am RX, Receiver), von Ethernet / Vlan Frame befreit werden
eine Routing Entscheidung muss getroffen werden und das ganze wieder in einen Ethernet/Vlan Frame verpackt werden.
Auf dem gleichen interface ins LAN Interface (TX, Tranciver) gepumpt werden. Dein Server muss das empfangen und Bestätigen
(ACK) sonst sagt der Client schnell.. oh das ist nicht angekommen das sende ich nochmal (Retransmission).

Daraus ergibt sich das das aus dem 500Mb Daten die da rüberschiebst, für das Routing interface nun 1000Mb geworden sind (einmal rein, einmal raus)
Der Switch Port wo der Router dran hängt muss Seinerseits auch Quasi für jedes Zweite Packer den Weg Umschalten von
Port 1 (Router) zu Port 2 (Cleint im VlanA) oder zu Port 3(Server in Vlan B) und ggf. das VLAN Tag hinzufügen / entfernen.

Das ist Grundlegend so. Egal ob da ein 5 Euro Plastik Router, oder eine 100K Cisco Machine die Routing in Hardware macht.

Besser wird es erst wenn der Switch Selber Routen kann und dann sagen kann Verbinden Port 2 mit Port 3 und lass die machen.
(oder halt unterschiedliche Uplinks der VLANS zum router)

Ja soweit logisch, dann hab ich das oben falsch gelesen.
Ich bin von ausreichend physischen Ports ausgangen. (Server 1 an P1 vom L3-Switch, Server 2 an Port 2, PC an Port 3 etc...)

Nö, das passiert bei inter vlan Routing über einen gemeinsamen Uplink zum Router (deswegen auch "Route on a Stick"
Das was wohl auch 90% aller machen die keine L3 Switche haben oder halt sich mit Firewall Regeln austoben wollen.

Servus,

so es hat einen Moment gedauert, aber ich musste erstmal recherchieren und durch den Kopf gehen lassen, was Du da geschrieben hast gierig.

Quote from gierig

Daraus ergibt sich das das aus dem 500Mb Daten die da rüberschiebst, für das Routing interface nun 1000Mb geworden sind (einmal rein, einmal raus)

...

Port 1 (Router) zu Port 2 (Cleint im VlanA) oder zu Port 3(Server in Vlan B) und ggf. das VLAN Tag hinzufügen / entfernen.

Das spielt bei Full Duplex einfach keine Rolle meiner Meinung nach.
Im Endeffekt ist hier Port 1 das Nadelöhr im Layer 3, aber wenn ich Daten von Client => Server verschiebe ist es irrelevant. Es wird erst zum Problem wenn z.B. parallel von Server => Client Daten geschoben werden, dann teilen sie sich die Bandbreite von 10Gbit/s untereinander auf und in der Theorie, würde es sich halbieren.

Quote from Nutzer666

da bin ich jetzt aber neugierig bzw. verwundert.

Wenn ich meinen Server mit Daten von meinem PC vollpumpe und gleizeitig ein Backup vom Server auf Server 2 läuft, hab ich einen Durchstz vion 20Gbit über ein 10G Nic.

10 senden und 10 empfangen. Deswegen ja full-duplex...

P.S.: natürlich keine vollen 10, aber 8-9 in jede Richtung gehen schon...

In kurz das hier ist korrekt.

Entweder habe ich es generell falsch verstanden, dann bitte vielleicht mit anderen Worten noch einmal mir erklären Aber mein Kenntnisstand ist folgender:

Annahme: alles ist per 10G FDX untereinander verbunden.

Half Duplex => Es stehen zwar 10Gbit/s zur Verfügung, aber jeweils nur in eine Richtung Tx oder Rx. Die andere Seite muss warten.
Full Duplex => Es stehen 10Gbit/s zur Verfügung und zwar in beide Richtungen Tx und Rx gleichzeitig. Bedeutet Bidirektional hat man insgesamt 20Gbit/s an Bandbreite zur Verfügung.

Dr. Google hat das so verglichen, das Half Duplex wie ein Walkie Talkie ist bei dem immer nur einer Sprechen kann, während Full Duplex beide Teilnehmer gleichzeitig Sprechen können z.b. normales Telefon.

Dies bedeutet das im "router on a stick"-Modell, welches sämtliches Traffic über das einzelne 10G Interface am Gateway schleust, eine Übertragungsgeschwindigkeit von 10Gbit/s möglich sein sollte. Natürlich gibt es hier Retransmissions, Overhead etc., sodass die 10Gbit/s ein theoretische Maximalwert sind. Realitätsnah sind hier denke ich aber schon ab 8-9Gbit/s+ realistisch.
Wenn jetzt hier noch bei UniFi eine CPU Limitierung reinhaut, wovon ich sehr sehr stark ausgehe (Firewallregeln, IDS/IPS etc), dann liegt die geringe Bandbreite einfach daran und nicht, dass das Kabel oder Netzwerk dies nicht kann.

Ohne IDS/IPS sollte man also möglichst nah dran an den realistischen Maximalwert drankommen. Ist dem nicht so, stimmt es einfach nicht was UniFi einem hier verspricht.
Aktives IDS/IPS sollte dann die Angegebene Limitierung von 5Gbit/s greifen.

Selbstverständlich ist es am besten einen Layer 3 Switch zu verwenden bzw. das Switching sollte generell auf einem Switch stattfinden für maximale Performance, aber von meinem Verständnis her sollte es beim "router on a stick" keine Rolle spielen wo es stattfindest, sofern IDS/IPS deaktiviert ist.

Das ist korrekt, sofern wir von Traffic im selben vlan sprechen!

Sobald Traffic geroutet wird, von vlan x nach vlan y sieht das ganz andere aus!

Du hast z.B.einen L2 switch (USW-Aggregation) an den alle 10G-clients angeschlossen sind.

PC an Port 1 in vlan 1

Server an Port 2 in vlan 2

Der USW-Aggregation hängt über eine 10G Leitung an der UDM-Pro, welche das Routing übernimmt. USW-Aggregation Port 8 zu udm Port 11

Somit gehen die Pakete vom PC in Port 1 vom USW-Aggregation und von dort (Port 8 ) in die udm Port 11

Jetzt gehen die Pakete wieder von Port 11 der UDM in Port 8 des USW-Aggregation und dann weiter über Port 2 in den server

Somit sehen wir, dass der Port 11 der UDM als auch der Port 8 vom switch komplett ausgelastet sind. Jeweils 10G senden als auch 10G empfangen. Hier ist das Limit erreicht.

Wenn jetzt ebenfalls traffic von vlan 2 in vlan 1 fließt, kommt es zu Einschränkungen in der Bandbreite.

Das betrifft nicht nur vlan 1 und 2 sondern jeglichen L3-Traffic, da alles durch Port 11 der UDM-pro muss

Also irgendwo ist noch ein Knoten drinnen.

Du beschreibst das gleiche was ich im Kopf habe und oben beschrieben habe:

Vlan A => Vlan A wird alles auf dem Switch verarbeitet und ergo volle Bandbreite.

Vlan A => Vlan B die 8-9Gbit/s drinnen. Hier sind ist schon möglicher anderer L3 Traffic/Noise what ever abgezogen. Wie kommst Du jetzt auf <5Gbit/s? Es war doch nie de Rede, dass hier zwei Geräte gleichzeitig File übers L3 verschieben?

Quote from Fuhunter

Mit anderen Worten, die UniFi Gateways, die es Stand heute gibt, können überhaupt kein 10GBit/s Inter-Vlan Routing, unabhängig davon ob jetzt CyberEngine oder sonst welche Policy aktiv sind

Habe gerade gesehen, dass diese Aussage so absolut doch nicht stimmt. Das UXG-Fiber macht 10Gbit/s+ und ich vermute, das ja quasi baugleiche UCG-Fiber schafft es dann auch. Zu sehen hier. Auch in diesem Test schneidet das EFG aber gemessen an seinem Preis in Bezug auf den Durchsatz ziemlich enttäuschend ab.

Ja, ihr habt recht. Die Empfangsbestätigungen brauchen auch Platz. Aber die gehören auch zum Overhead.

Man sollte bei diesen Betrachtungen immer die Physikalische Datenrate betrachten, nicht das was am PC als Nutzdaten heraus kommt.

Quote from Networker

Habe gerade gesehen, dass diese Aussage so absolut doch nicht stimmt. Das UXG-Fiber macht 10Gbit/s+ und ich vermute, das ja quasi baugleiche UCG-Fiber schafft es dann auch. Zu sehen hier. Auch in diesem Test schneidet das EFG aber gemessen an seinem Preis in Bezug auf den Durchsatz ziemlich enttäuschend ab.

Ah das ist ganz neu, kannte ich noch nicht. Das einzige Problem, was ich mit seiner Methode habe ist: Er testet alle 20 VLANs gleichzeitig. Mir fehlt hier ein Test zwischen 2 Clients im Single Stream. Soweit ich weiß ist z.B. SMBv3 Multichannel fähig, aber ob das auch aktiv ist auf beiden Geräten.....
In den Kommentaren unten hat auch einer geschrieben "Teste mal einen einzelnen Stream zwischen 2 clients, hier gibt es schlechtere Ergebnisse".

Aber in den Tests sieht man ganz gut, warum es eine NPU braucht bzw. welchen Vorteil es bringt so etwas zu haben. UniFi nennt es Hardware Acceleration.

Ich brauch noch ein bisschen Hardware dann kann ich etwas mehr Testen.

Willkommen zurück und gute Genesung weiterhin!

Quote from bc-nero

OK, ich lerne ja gerne weiter, was kann man mit der Anpassung der Subnetzte machen, das hab ich noch nicht so verstanden?

VLANs sind kein Selbstzweck. Wieviele VLANs Ihr braucht und welche Geräte wo hineingehören, ist auch primär keine technische, sondern eine organisatorische Frage. Und hängt davon ab, wie feingliedrig ein Netz überwacht und gesteuert werden soll/muss.

Sehr kleine Firmen und Arztpraxen haben oft gar keine VLANs, dementsprechend auch kein Problem mit begrenztem Datendurchsatz durch einen Router. Das ist nicht prinzipiell unsicher oder schlecht, aber gibt eben keinerlei Möglichkeit zur Kontrolle und Beschränkung über eine Firewall (in Richtung Internet natürlich schon).

Wenn es nun nicht zwingend ist, Computer z.B. nach Abteilungen in VLANs zu gruppieren, kann man sie in ein gemeinsames VLAN mit den Servern packen, dann entsteht kein Flaschenhals. In wieweit so eine Konfiguration Risiken untragbar erhöht, kann man nur für jeden Fall individuell beantworten. Es läuft auch immer auf die Frage hinaus, wieweit man den Geräten im eigenen Netzwerk vertraut.

Ich denke, das ist in etwa, was Kollege Simsi1986 meinte.

Die Subnetzmaske bestimmt einzig und alleine die potentiell möglichen Adressen/Hosts in einem Netzwerk. Mit Performance hat das null und nichts zu tun.

Quote from Networker

Es läuft auch immer auf die Frage hinaus, wieweit man den Geräten im eigenen Netzwerk vertraut.

Meistens wichtiger: den Mitarbeiter. Da werden die Handys per USB angeschlossen oder der USB-Stick mit den Urlaubsfotos etc.

Quote from phino

Meistens wichtiger: den Mitarbeiter. Da werden die Handys per USB angeschlossen oder der USB-Stick mit den Urlaubsfotos etc.

Das stimmt, ist aber thematisch eine ganz andere Baustelle.

Leider habe ich die Antworten vor Monaten nicht bemerkt.

Bei den Subnetzen ist mein Gedanke, dass man sich ggf. nicht auf max. 254 nutzbare IPs begrenzen braucht und dadurch ggf. Netze trennt die mit größere Maske zusammengefasst werden können um mögliches Routing zu vermeiden.

Vorausgesetzt es ist mit gewissen Sicherheitsaspekten vereinbar. Wie eben schon beschrieben sollte eine Segmentierung zur Umschiffung der Limitierung bei der eingesetzten Hardware auf das notwendigste reduziert werden - also nicht organisatorisch sondern funktional trennen. Notfalls erkennbar, ob man den Zugriff auf der Firewall zwischen den Netzen besonders eingeschränkt hat - wenn sich zwei Netze sowieso komplett untereinander erreichen dürfen dann kann überlegen sie zusammenzulegen.