Verbesserung des Durchsatzes und der Leistung von Site-to-Site-VPNs

Befolgen Sie diese empfohlenen Best Practices, um den Site-to-Site-VPN-Durchsatz zu optimieren und gleichzeitig eine stabile Konnektivität aufrechtzuerhalten. Sie können die Leistung maximieren, indem Sie das VPN-Gateway, die kryptografischen Einstellungen (mit IKEv2 und AES- GCM ), das Routing und die Netzwerkparameter (MTU/MSS) konfigurieren. Im Aktiv-Aktiv-Modus mit aktiviertem verteiltem Datenverkehr kann ein routenbasiertes VPN unter optimalen Bedingungen einen Gesamtdurchsatz von bis zu 2 Gbit/s unterstützen.

Der Durchsatz kann in den folgenden Szenarien geringer sein:

  • Es wird ein richtlinienbasiertes VPN verwendet.
  • Der verteilte Verkehr ist nicht aktiviert.
  • Nur ein einziger Verkehrsfluss ist aktiv.
  • Das Peer-VPN-Gerät ist CPU-begrenzt.
  • Das Netz wird fragmentiert.

Der tatsächliche Durchsatz hängt von der Kapazität der Peer-Geräte, der verfügbaren ISP-Bandbreite, der Routing-Konfiguration, der Paketgröße, den Verkehrsmustern und anderen Umgebungsfaktoren ab. Die folgende Anleitung behandelt die Auswahl des Modus, die kryptografische Abstimmung, die Netzwerkkonfiguration und bewährte Betriebsverfahren, um Ihnen zu helfen, eine optimale Leistung zu erzielen.

Vorbereitende Schritte

Um optimale Ergebnisse zu erzielen, sollten Sie diese Empfehlungen befolgen:

  • Testen Sie die Leistung in Ihrer eigenen Testumgebung, bevor Sie sie in der Produktion einsetzen.
  • Stellen Sie sicher, dass Ihr lokales VPN-Gerät Ihren Anforderungen an den Durchsatz entspricht.
  • Vergewissern Sie sich, dass die Bandbreite Ihres Internetanbieters mit Ihrer erwarteten VPN-Kapazität übereinstimmt.

Bevor Sie fortfahren, müssen Sie die folgenden Voraussetzungen erfüllen:

  • Vergewissern Sie sich, dass Ihr Site-to-Site-VPN-Gateway eingerichtet ist und dass beide VPN-Tunnel aktiv sind.
  • Überprüfen Sie, ob Sie berechtigt sind, die Konfigurationseinstellungen auf dem lokalen Peer-Gerät zu ändern.
  • Stellen Sie sicher, dass das Gateway und das Peer-Gerät IKEv2 und AES‑GCM unterstützen.
  • Vergewissern Sie sich, dass Sie über die Berechtigungen zum Ändern der MTU- und MSS-Einstellungen auf Ihrem lokalen Gerät verfügen.
  • Installieren Sie iperf sowohl auf einer virtuellen Serverinstanz von IBM Cloud als auch auf Ihrem Host vor Ort, um die Leistung zu überprüfen.

Wählen Sie den VPN-Modus für maximalen Durchsatz

IBM Cloud unterstützt sowohl routenbasierte als auch richtlinienbasierte Site-to-Site-VPN-Modi. Die Wahl des Modus wirkt sich direkt auf den erreichbaren Durchsatz aus.

Routenbasiertes VPN (empfohlen)

Das routenbasierte VPN bietet das höchste Durchsatzpotenzial. Beim Einsatz im Aktiv-Aktiv-Modus mit aktivierter Verkehrsverteilung kann der Verkehr über beide Tunnel gleichzeitig fließen.

Zur Maximierung des Durchsatzes:

  1. Verwenden Sie ein routenbasiertes VPN.
  2. Konfigurieren Sie Tunnel zu den beiden routenbasierten öffentlichen VPN-IP-Adressen.
  3. Aktivieren Sie Verkehr verteilen, damit beide Tunnel den Verkehr aktiv weiterleiten.
  4. Erzeugen Sie beim Testen mehrere gleichzeitige Verkehrsströme, um die verfügbare Bandbreite vollständig zu nutzen.

Die bei kontrollierten Tests beobachtete Leistung zeigt, dass ein einzelner Tunnel ca. 1.6 Gbit/s bewältigen kann, mit einer Gesamtleistung von bis zu 2 Gbit/s über beide Tunnel, wenn er mit den empfohlenen architektonischen und kryptografischen Einstellungen konfiguriert wird. Diese Zahlen sind Beispiele aus Tests und können in Ihrer Umgebung nicht garantiert werden.

Wenn der verteilte Verkehr deaktiviert ist, wird der Verkehr jeweils nur von einem Tunnel übertragen, was in der Regel zu einem geringeren Gesamtdurchsatz führt.

Richtlinienbasiertes VPN

Das richtlinienbasierte VPN unterstützt jeweils nur einen einzigen aktiven Tunnel. Der sekundäre Tunnel wird nur während der Ausfallsicherung aktiv.

Da der Datenverkehr nicht auf die Tunnel verteilt werden kann, ist der Durchsatz in der Regel geringer als bei routenbasierten VPN. Verwenden Sie richtlinienbasiertes VPN nur dann, wenn Ihre Netzwerktopologie oder die Beschränkungen der Peer-Geräte dies erfordern.

Verschlüsselungsalgorithmen: AES vs. AES- GCM

Der VPN-Verkehr wird mit IPsec verschlüsselt, wobei die Wahl des Verschlüsselungsalgorithmus sowohl die Sicherheit als auch die Leistung beeinflusst:

  • AES (Advanced Encryption Standard)- Ein weit verbreiteter Verschlüsselungsstandard, der hohe Sicherheit bietet. Bei Verwendung mit separatem Hashing für die Integrität (AES-CBC) entsteht ein etwas höherer Overhead.

  • AES- GCM (Galois/Counter Mode)- Eine moderne Variante von AES, die Verschlüsselung und Integritätsprüfung in einem einzigen Vorgang kombiniert. AES- GCM unterstützt die parallele Verarbeitung und bietet im Allgemeinen einen höheren Durchsatz als das Standard-AES-CBC.

Verwenden Sie AES- GCM, wenn dies von beiden VPN-Peers unterstützt wird, um den Durchsatz zu maximieren, ohne die Sicherheit zu beeinträchtigen.

Die folgende Tabelle fasst die Mindestdurchsatzwerte der Benchmarks zusammen, die innerhalb des internen Netzwerks von IBM getestet werden. Diese Zahlen geben wieder, was unter kontrollierten Testbedingungen beobachtet wurde und sind keine Garantie für die tatsächliche Leistung in Ihrer Umgebung. Der tatsächliche Durchsatz hängt von der Kapazität der Peer-Geräte, der verfügbaren ISP-Bandbreite, der Routing-Konfiguration, der Paketgröße, den Verkehrsmustern, der Rechnerkapazität und anderen Netzwerkbedingungen ab.

Beispiel für einen Benchmark-Durchsatz für ein routenbasiertes und richtlinienbasiertes VPN mit AES- und GCM-Chiffre-Suites.
VPN-Modus Nur AES AES- GCM
Routenbasierte verteilte ~1.6 Gbit/s ~1.6 Gbit/s
Routenbasierte nicht verteilte ~674 Mbps ~1.11 Gbit/s
Richtlinienbasiert ~598 Mbps ~1.11 Gbit/s

Konfigurieren Sie die Verschlüsselungseinstellungen für die Leistung

In einem Site-to-Site-VPN zwischen einem IBM Cloud VPC und Ihrem lokalen Netzwerk wird der Datenverkehr mit dem IPsec-Protokoll verschlüsselt. Bevor die Verschlüsselung beginnt, wird ein sicherer Schlüsselaustausch mit Hilfe des Internet Key Exchange (IKE)-Protokolls durchgeführt, das aus zwei Phasen besteht:

  • Phase 1: Stellt einen sicheren und authentifizierten Kommunikationskanal zwischen VPN-Peers her.
  • Phase 2: Aushandlung der IPsec-Sicherheitsassoziationen (SA), die zur Verschlüsselung des tatsächlichen Datenverkehrs verwendet werden.

Die Wahl der Verschlüsselungsmethode wirkt sich direkt auf die VPN-Leistung aus, da Verschlüsselungs-, Hashing- und Schlüsselaustauschvorgänge CPU-Ressourcen auf beiden Peers verbrauchen. Die Auswahl effizienter und sicherer Algorithmen trägt zur Maximierung des Durchsatzes und zur Aufrechterhaltung einer stabilen Konnektivität bei.

Wählen Sie die IKE-Protokollversion

IKE stellt den sicheren, authentifizierten Kommunikationskanal zwischen VPN-Geräten her. Er handelt die Sicherheitsparameter aus, tauscht die Schlüssel aus und baut den verschlüsselten Tunnel auf.

IBM Cloud unterstützt sowohl IKEv1 als auch IKEv2. IKEv2 wird jedoch empfohlen, weil es:

Verwenden Sie IKEv2, wenn dies von Ihrem Peer-Gerät unterstützt wird.

Phase 1 (IKE) kryptografische Einstellungen

In Phase 1 authentifizieren sich die VPN-Peers gegenseitig und bauen einen sicheren Kanal für die weitere Verhandlung auf. Mit Hilfe von Hashing-Algorithmen wird sichergestellt, dass die über den VPN-Tunnel gesendeten Daten nicht manipuliert werden. Sie erstellen einen eindeutigen Fingerabdruck (Hash) der Daten, der auf der Empfängerseite überprüft wird. Weitere Informationen finden Sie unter Unterstützte Algorithmen in Phase 1.

Konfigurieren Sie die folgenden Werte für Phase 1:

  • Authentifizierung: SHA‑256 oder SHA‑384
  • Diffie-Hellman (DH)-Gruppe: 14 oder 19
  • Lebenszeit: Standard, es sei denn, Ihre Umgebung erfordert kürzere Intervalle

Vergewissern Sie sich, dass der gewählte Hashing-Algorithmus von Ihrem Peer-Netzwerk unterstützt wird. Andernfalls verwenden Sie SHA-256 oder SHA-384, sofern nicht stärkere Algorithmen für die Einhaltung der Vorschriften erforderlich sind.

Phase 2 (IPsec) kryptografische Einstellungen

In Phase 2 handeln die VPN-Peers IPsec-SAs aus, die festlegen, wie der tatsächliche Datenverkehr verschlüsselt wird. Verschlüsselungscodes verschlüsseln die Daten und schützen die Vertraulichkeit Ihres Datenverkehrs, so dass nur befugte Parteien ihn lesen können. Weitere Informationen finden Sie unter Unterstützte Algorithmen in Phase 2.

Konfigurieren Sie die folgenden Werte für Phase 2:

  • Verschlüsselung: AES‑GCM (empfohlen)
  • Lebenszeit: Standard für Stabilität

AES-GCM liefert in der Regel einen höheren Durchsatz als AES-CBC. Es unterstützt die parallele Verarbeitung und bietet einen integrierten Integritätsschutz, so dass kein separates Hashing erforderlich ist.

Optimieren Sie MTU und MSS, um die Fragmentierung von Paketen zu verhindern

Netzwerkparameter wie MTU (Maximum Transmission Unit) und MSS (Maximum Segment Size) können den VPN-Durchsatz direkt beeinflussen. Fragmentierung oder Paketverluste verringern die Leistung.

Um MTU und MSS zu optimieren, gehen Sie folgendermaßen vor:

  1. Setzen Sie die MSS auf Ihrem lokalen Gerät auf 1360 bytes. Dieser Wert berücksichtigt den IPsec-Overhead und vermeidet die Fragmentierung von TCP-Paketen. Weitere Informationen finden Sie unter MSS-Klemmung zur Begrenzung der MSS von TCP-Paketen.

  2. Überprüfen Sie die MTU mit Hilfe von Ping-Tests, bei denen die Größe des Pakets überprüft wird.

    ping -s 1472 -M do DESTINATION

    Dabei gilt:

    -s 1472
    Sendet ein Paket mit 1472 Bytes Nutzlast.
    -M do
    Setzt das Flag "Don't Fragment" (DF), um eine Fragmentierung zu verhindern.
    DESTINATION
    IP-Adresse oder Hostname, die Sie testen möchten.

    Unter Windows:

    ping www.example.com -f -l 1472

    Dabei gilt:

    -f
    Setzt das "Don't Fragment"-Flag im Paket, mit dem Sie die maximale Größe testen können, die ohne Fragmentierung gesendet werden kann.
    -l
    Gibt die Größe der Nutzlast in Bytes ohne Header an.

    Für IBM VPN for VPC beträgt die MTU 1500 Bytes und die empfohlene MSS ist 1360 Bytes. Falls eine Fragmentierung auftritt, reduzieren Sie die MTU auf 1490 bytes.

Die Optimierung dieser Parameter kann dazu beitragen, dass der verfügbare VPN-Durchsatz voll genutzt wird.

Konfigurieren Sie das VPN-Gateway

Durch die Optimierung des VPN-Gateways wird sichergestellt, dass der Datenverkehr effizient fließen kann und beide Tunnel verwendet werden, sofern sie unterstützt werden.

Gehen Sie folgendermaßen vor, um die Einstellungen des VPN-Gateways zu optimieren:

  1. Aktivieren Sie einen routenbasierten VPN-Modus mit verteiltem Verkehr.

    • Routenbasiertes VPN- Der Verkehr fließt durch beide VPN-Tunnel gleichzeitig, wenn die Option "Verkehr verteilen" aktiviert ist. Außerdem ermöglicht der Anschluss mehrerer Peers an das Gateway eine bessere Verteilung der Verkehrslast, was den Gesamtdurchsatz verbessern kann. Weitere Informationen finden Sie unter Verteilen des Datenverkehrs für ein routenbasiertes VPN.

      Bei einer auf statischen Routen basierenden VPN-Verbindung ohne verteilten Verkehr wird nur ein Tunnel verwendet, was den Gesamtdurchsatz verringert.

    • Richtlinienbasiertes VPN- Es ist jeweils nur ein VPN-Tunnel aktiv. Der sekundäre Tunnel wird nur aktiv, wenn der primäre ausfällt, was den Durchsatz verringert. die Funktion "Verkehr verteilen" ist in diesem Modus nicht verfügbar.

  2. Stellen Sie sicher, dass sich das VPN-Gateway in derselben Verfügbarkeitszone befindet wie Ihre VPC-Subnetze, um zonenübergreifende Latenz zu vermeiden. Weitere Informationen finden Sie unter Wann wird der Datenverkehr nicht über ein routenbasiertes VPN-Gateway geleitet?

  3. Verlegen Sie Tunnel mit hohem Verkehrsaufkommen auf ein dediziertes VPN-Gateway, da der Gesamtdurchsatz von der Gesamtkapazität des Gateways abhängt. Wenn Sie mehrere Verbindungen auf einem einzigen Gateway eingerichtet haben, sollten Sie in Erwägung ziehen, diese auf ein separates Gateway zu verlagern, um die Belastung der gemeinsam genutzten Geräte zu verringern und die Stabilität des Durchsatzes zu verbessern.

  4. Deaktivieren Sie ungenutzte Tunnel, da diese den IKE- und Rekeying-Overhead erhöhen können, die alle ver- und entschlüsselt werden müssen.

  5. Stellen Sie sicher, dass die Routen ordnungsgemäß in die VPC-Routing-Tabellen übertragen werden. Die Quell-IP-Adressen müssen mit den konfigurierten lokalen VPN-Subnetzbereichen übereinstimmen, um eine Umgehung des Datenverkehrs zu verhindern. Stellen Sie außerdem sicher, dass keine überlappenden CIDRs existieren.

  6. Aktivieren Sie NAT-T. Wenn sich Ihr VPN-Gerät vor Ort hinter NAT befindet oder der ESP-Datenverkehr (Encapsulating Security Payload) von Zwischengeräten blockiert wird. NAT-T kapselt IPsec-Pakete in UDP ein, so dass der Verkehr NAT-Geräte durchqueren kann.

Überprüfung betrieblicher Erwägungen

Andere betriebliche Faktoren können die VPN-Leistung beeinträchtigen:

  • Stellen Sie sicher, dass die Firewalls in Ihrem Peer-Netzwerk IBM Cloud VPC CIDRs zulassen, um Drosselungs- und Ratenbegrenzungsfehler zu vermeiden.
  • Vergewissern Sie sich, dass Ihr ISP den Netzwerkverkehr nicht beschränkt.
  • Wenn Sie andere Umgebungen oder Workloads über Transit Gateway verbinden, verwenden Sie nur richtlinienbasierte VPNs (routenbasierte werden in dieser Topologie nicht unterstützt). Weitere Informationen finden Sie unter Konfigurieren der Routenfortpflanzung für VPN-Gateways.

Validierung des Durchsatzes

Testen Sie regelmäßig den VPN-Durchsatz mit Hilfe von Netzwerk-Performance-Tools wie iperf, damit die Leistung innerhalb der erwarteten Bereiche bleibt. Sie müssen iperf sowohl auf dem Server- als auch auf dem Client-System installieren. Gehen Sie folgendermaßen vor, um iperf zu verwenden:

  1. Starten Sie auf dem Server ( IBM Cloud oder lokaler Host) den iperf Server, der auf eingehende Verbindungen wartet:

    iperf -s

  2. Starten Sie auf dem Client einen Test vom Client zum Server:

    iperf -c SERVER_IP_ADDRESS

  3. Überprüfen Sie die Ausgabe auf Bandbreite, Übertragungsgeschwindigkeit und andere Metriken.

Wenn Sie diese Best Practices befolgen, können Sie den Site-to-Site-VPN-Durchsatz erheblich verbessern und gleichzeitig eine sichere und stabile Konnektivität aufrechterhalten.

Nachdem Sie diese Schritte durchgeführt haben, messen Sie den VPN-Durchsatz erneut und vergleichen Sie die Ergebnisse mit den Basiswerten, die Sie vor den Änderungen erfasst haben. Dieser Vergleich bestätigt, dass die Optimierungen wirksam sind, und ermöglicht es Ihnen, verbleibende Engpässe zu identifizieren, wie z. B. CPU-Limits von Peer-Geräten, ISP-Einschränkungen oder ineffiziente Verkehrsmuster.

Wenn der Durchsatz immer noch nicht Ihren Anforderungen entspricht, überprüfen Sie jeden Konfigurationsbereich methodisch und validieren Sie die Leistung nach jeder Anpassung. Kontinuierliche Tests und Optimierungen tragen dazu bei, dass Ihre VPN-Bereitstellung in Ihrer Umgebung so effizient und zuverlässig wie möglich funktioniert.