Zugriff auf W2K3 Server über VPN langsam

[Sharky]

Hallo ihr lieben,

ich greife über einen (Hardware)-VPN auf den Server in einer Niederlassung zu.
Dort haben wir eine 2Mb SDSL Leitung und in der Zentrale 4 MB SDSL.

Wenn ich nun eine Datei von 220 kByte von dort nach hier kopieren möchte dauert es ca. 3 Sekunden bevor Windows mit dem kopieren beginnt. Der ganze kopiervorgang dauert dann auch ca. 3 Sekunden. Das ist natürlich viel zu langsam.

Schlimm ist es wenn ich die Datei (Excel) direkt öffnen möchte. Bis Excel die Tabelle anzeigt vergehen gut 10 Sekunden.

Was kann man denn da machen?

[Bernhard Geyer]

Wie hoch ist die PING-Zeit?
Was ist wenn die Datei z.B. mit Total Commander kopiert wird?

[ringli]

Geht es schneller wenn du dir die Freigabe/Verbindung als Laufwerk mountest?

[mkinzler]

Wieviel Benutzer greifen den zu?
2Mbit bedeutet ja eine Bruttoübertagungsrate von 256kb/s. Durch Verschlüsselung u.ä. entsteht ja noch Overhead, was die real übertragbare Datenmenge noch reduziert.

[Sharky]

Zitat:

Zitat von Bernhard Geyer

Wie hoch ist die PING-Zeit?
Was ist wenn die Datei z.B. mit Total Commander kopiert wird?

Hallo Bernhard,

ein Ping dauert im Schnitt 46 ms
Auch mit dem Total Commander geht es nicht schneller.

Zitat:

Zitat von ringli

Geht es schneller wenn du dir die Freigabe/Verbindung als Laufwerk mountest?

Hallo ringli,
die Freigaber ist auf einen Laufwerksbuchstaben gemauntet.

Zitat:

Zitat von mkinzler

Wieviel Benutzer greifen den zu?
2Mbit bedeutet ja eine Bruttoübertagungsrate von 256kb/s. Durch Verschlüsselung u.ä. entsteht ja noch Overhead, was die real übertragbare Datenmenge noch reduziert.

Über die Leitung arbeiten 3 Leute mit SAP. Dies erzeugt nicht viel Last. Ich habe es auch schon zu einer Uhrzeit getestet wo keiner arbeitet.

Mit einem Testprogramm wie z.b Netio komme ich auf runde 200kb/s im up- und downstream.

[mkinzler]

Besteht eine Vertrauensstellung zwischen den Netzen?

[Sharky]

Zitat:

Zitat von mkinzler

Besteht eine Vertrauensstellung zwischen den Netzen?

Ist alles eine Domäne (ein ActiveDirectory)

[mkinzler]

Vielleicht wäre der Einsatz von Terminalssevices eine Alternative

[Sharky]

Zitat:

Zitat von mkinzler

Vielleicht wäre der Einsatz von Terminalssevices eine Alternative

In diesem Fall leider nicht. Es geht um einen unserer Vorstände der sowohl in der Niederlassung als auch in der Zentrale arbeitet.
Da er auch nocht studierter Informatiker ist wäre eine TS für ihn zu kompliziert ;-)

[mkinzler]

Dann vielleicht Citrix, dann merkt er es nicht :zwinker:

[Seven]

Sind die jeweiligen Rechner unter c:\windows\system32\drivers\etc\hosts eingetragen?

Weiss zwar nicht ob es schneller geht, aber unter Linux hat es bei uns geklappt ;)

[Sharky]

Zitat:

Zitat von Seven

Sind die jeweiligen Rechner unter c:\windows\system32\drivers\etc\hosts eingetragen?

Weiss zwar nicht ob es schneller geht, aber unter Linux hat es bei uns geklappt ;)

Nö, das sind sie nicht. Sie stehen aber im DNS-Server. Das sollte eigentlich keine Probleme machen.

[Assertor]

Hi Sharky,

hast Du im RRAS Manager der Server mal die DNS Auflösung über die VPN-Brücke kontrolliert? Stell da mal auch mal das Log an. Da kann es auch zu Konflikten wegen der Broadcasts über die Brücke kommen.

Zusätzlich ist bei W2K3 auch die eingeschaltete Kerberos5 bei jeder Netzwerk-Verbindung ein kleines Bottleneck bei der Verbindung.

Edit: Hast Du schon die Server mit MSBPA mal geprüft?

Gruß Assertor

[Sharky]

Zitat:

Zitat von Assertor

Hi Sharky,

hast Du im RRAS Manager der Server mal die DNS Auflösung über die VPN-Brücke kontrolliert? Stell da mal auch mal das Log an. Da kann es auch zu Konflikten wegen der Broadcasts über die Brücke kommen.

Hai Assertor,

Der RRAS Dienst ist glaube ich überhaupt nicht aktiviert. Da in jeder Niederlassung ein DNS-Server läuft dürfte eigentlich keine DNS Auflösung über den VPN-Tunnel stadfinden.

Zitat:

Zusätzlich ist bei W2K3 auch die eingeschaltete Kerberos5 bei jeder Netzwerk-Verbindung ein kleines Bottleneck bei der Verbindung.

Da werde ich mal schauen.

Zitat:

Edit: Hast Du schon die Server mit MSBPA mal geprüft?

:?:

[Assertor]

Zitat:

Zitat von Sharky

Der RRAS Dienst ist glaube ich überhaupt nicht aktiviert. Da in jeder Niederlassung ein DNS-Server läuft dürfte eigentlich keine DNS Auflösung über den VPN-Tunnel stadfinden.

Ok, wie baust Du dann den VPN-Tunnel auf? Router-basiert? Welches Gerät/Modell - Netgear ist hier z.B. nicht die Granate...

Zitat:

Zitat von Sharky

Zitat:

Zitat von Assertor

Edit: Hast Du schon die Server mit MSBPA mal geprüft?

:?:

http://www.msexchangefaq.de/tools/bpa.htm
und wenn es ein SBS ist:
http://www.microsoft.com/downloads/d...DisplayLang=en

Gruß Assertor

[Sharky]

Zitat:

Zitat von Assertor

... Ok, wie baust Du dann den VPN-Tunnel auf? Router-basiert? Welches Gerät/Modell - Netgear ist hier z.B. nicht die Granate...

Darum schrieb ich ja im Eingagsposting: ;-)

Zitat:

Zitat von Sharky

... ich greife über einen (Hardware)-VPN auf den Server in einer Niederlassung zu. ...

Dabei verwende ich Bintec R1200 Router.

Die beiden Links werde ich mir mal ansehen.
Danke.

[Assertor]

Zitat:

Zitat von Sharky

Darum schrieb ich ja im Eingagsposting: ;-) ... ich greife über einen (Hardware)-VPN auf den Server in einer Niederlassung zu. ... Dabei verwende ich Bintec R1200 Router.

Mann, Sharky - ich soll auch noch gewissenhaft jeden Satz lesen? Zusammen mit der Büroarbeit lebe ich ja nicht so lange, um das zu schaffen :mrgreen:

Gut, dann ist alles mit MS BPA und Kerberos5 prinzipiell hinfällig. Bleibt die Frage, ist es PPTP oder IPSec. Was sagen die Logs der (beiden?) Router dazu? Timeout oder Cert/Handshake-Probleme?

Generell: Excel legt imho eine Kopie der zu bearbeitenden Datei im Ordner der Quelle (!) an, also geht die Datei einmal zu Dir, Kopie wird zurück an den Server geschickt. Das bedeutet bis zum Öffnen vergeht ~ 2x Dateigröße / (Übertragungsgeschwindigkeit-Protokolloverhead für TCP/IP und VPN).

VPN ergbit an sich mehr Sinn, wenn es wirklich mit einem TS/Citrix läuft. Für Netzwerk-Shares ist das eher nicht geeignet wegen der von Dir beobachteten Performance-Probleme. Alternativ kannst Du auch max 2 Admin-Sessions per RDP über die VPN aufbauen bzw. - so wie ich bei meinen Kunden mache - per RDP-TS mit SSL/TLS Cert.

Dann kompensierst Du die Sicherheitsprobleme von reinem RDP auf Port 3389 mit dem SSL/TLS. CA-Authority ist ja beim Server für Self-Signing dabei. PPTP ist da auch nicht wirklich sicherer.

Gruß Assertor