Newsgroup: it.comp.os.linux.sys
Titolo: velocizzare la vpn

Con openvpn metto in comunicazione la sede con varie filiali: una a 400 
km da qui, e una in america..
Senza contare i vari commerciali che, spesso, sono in viaggio.
Con la vpn usano soprattutto il gestionale via terminal server. Diciamo 
che in media ci sono 6 connessioni vpn (nemmeno troppe, direi)
Ovviamente tutti si lamentano perché la connessione è lenta.
Qui in sede siamo appena passati ad una hdsl da 1.6Mb effettivi 
simmetrici (da una normale adsl 20Mb); tra qualche giorno devo sentire 
le prime impressioni.
Cosa posso inventare per velocizzare le vpn? Mi vengono in mente:
- per le filiali: far passare il terminal server fuori dalla vpn, 
abilitando il firewall solo ai loro ip pubblici. Secondo voi è 
rischioso? I nodi internet che ci stanno in mezzo saranno mai 
interessati a sniffarci i dati? Bah..
- aggregare più adsl/hdsl sulla vpn. Ne ho sentito parlare in un sito, 
ma non so il termine tecnico di questa operazione. Qualcuno ha provato? 
La velocità della vpn raddoppia/triplica/etcc.. ?
- passare ad una lina dedicata; ho provato a guardare su internet, ma 
credo che i costi saranno così alti che converrà comprare una licenza 
del gestionale per ogni filiale (ognuna di loro ha una ragione sociale 
diversa e un db dedicato: avendoli tutti sullo stesso server risparmiamo 
qualche decina di migliaia di euro di licenze del gestionale). Comunque 
sto convocando qualche fornitore per avere le idee più chiare e 
preventivi veri.
Alessandro

 Cosa posso inventare per velocizzare le vpn? 
[cut]
   Ti dico forse una banalita': hai provato ad abbassare gli MTU ??? Con 
le vpn su (h/a)dsl abbiamo ottenuto dei miglioramenti impressionanti...
Vh
-- 
                          |   L'ultima volta che ho fatto
\|/ ____ \|/   \ ||_|     |   sesso ???
"@'/ ,. \`@"    \|| |     |   Era notte, era buio,
/_| \__/ |_\ Vax Headroom |   ero solo...
   \__U_/                 |                 Daniele Luttazzi

 La velocità della vpn raddoppia/triplica/etcc.. ?
Dipende da una moltitudine di fattori.
Per prima cosa, puoi aggregare (o, meglio ha senso aggregare) solamente
linee tra loro omologhe. Quindi -ad es- 2 HDSL da 1.6 Mbps (che poi son
quelle spacciate per "due mega").
Seconda cosa, le linee devono essere con lo stesso ISP.
Terza cosa, l'aggregazione te la deve fare l'ISP.
Più che altro, indaga con altri fornitori per linee di altra tipologia
nella tua zona. Oggi come oggi una 10Mbit SDH con consegna in ethernet
costa più o meno come una coppia di HDSL, se sei in grado di
contrattualizzare per tempi sufficientemente lunghi e se non stai in
culo al mondo...
Quindi la domanda si ribalta: dove stai? :-P
-- 
Paranoia is a disease unto itself. And may I add: the person standing
next to you may not be who they appear to be, so take precaution.
-----------------------------------------------------------------------------
http://bofhskull.wordpress.com/

 Quindi la domanda si ribalta: dove stai? :-P
Beh, se l'aggregazione la fanno loro (o la possono fare loro) allora 
posso fare a meno di pensarci.
La prossima settimana ho già fissato con qualcuno. Sentiamo un po' cosa 
mi dicono.
Grazie
Alessandro

 le vpn su (h/a)dsl abbiamo ottenuto dei miglioramenti impressionanti...
Non ci ho proprio pensato.. soprattutto non capisco il motivo del 
miglioramento.
Voi a quanto lo avete abbassato?
Ale

 Voi a quanto lo avete abbassato?
   1200 "per sicurezza" (se l'ipotesi e` vera), ma gia` a 1400 andava 
meglio...
La nostra ipotesi e` che ci possano essere problemi di 
frammentazione/deframmentazione[1] dei pacchetti IP quando li veicoli in 
IPSEC (dove c'e` "meno spazio")... Ma certezze non ne ho, anche perche` non 
abbiamo mai indagato oltre...
Vh
[1] - Ovviamente questo dovrebbe dipendere dai router: noi stiamo usando dei 
Cisco 1721 in remoto ed un 3640 (mi pare) in locale...
-- 
                          |   Non e' vero che il vino risolve
\|/ ____ \|/   \ ||_|     |   tutti i problemi...
"@'/ ,. \`@"    \|| |     |   Il primo problema e' scegliere
/_| \__/ |_\ Vax Headroom |   il vino...
   \__U_/                 |

 sufficientemente lunghi e se non stai in culo al mondo...
Proprio sicuro?Su un sito a 15km da Firenze non c'è nessuna copertura a 
parte E1 in PDH che costano un botto (un tot a km).
-- 
"Never underestimate the bandwidth of a station wagon full of tapes
hurtling down the highway" - Andrew S. Tanenbaum
http://blog.mainardi.me
python -c "print 'bG9ybWF5bmFAZ21haWwuY29t'.decode('base64')"

 parte E1 in PDH che costano un botto (un tot a km).
Mah. Poesse che la mia percezione sia un po' falsata ma qui da me
(leggasi: la eroghiamo noi), una SDH da 10Mbit SDH con piena banda
internet siamo sui 1500€/mese, con contratto biennale.
Che non è proprio 2*HDSL, ma poco ci manca...


 
Non male come prezzo...Mica siete presenti in zona Firenze? Potrebbe 
essere interessante per fare il WISP :-)
In uno di questi posti per la backhauling abbiamo usato un ponte radio, 
ma è troppo instabile e servirsi degli E1 di Telecom è controproducente.


Mandi! Alessandro
  In chel dì si favelave...
A> Cosa posso inventare per velocizzare le vpn? Mi vengono in mente:
Una ventina di sedi connesse con openvpn. ;)
1) più banda hai, meglio è. Nel dettaglio, nella sede centrale ho due
 HDSL.
2) se possibile tieni la HDSL solo per le VPN, e comprati un'altra ADSL
 da quattro soldi per il traffico web.
3) gioca a priorizzare (priorità alle sedi rispetto ai vendotoiri) e
 limitare (una sede ha 4 utenti? gli dai 256k di banda massima) il
traffico.
-- 
 Che ruolo può avere all'interno di una società uno che non parla ed il cui
 curriculum é misero? IL Presidente.		(Si Può Fare - Nello)

 ma è troppo instabile e servirsi degli E1 di Telecom è controproducente.
Instabile? A quanti km sei?
Nicola.
-- 
chi va pian va san e va lontan

 Nicola.
Una ventina.


 parte E1 in PDH che costano
Stai a vedere che quel "sito" siamo noi! :-D
o comunque siamo quelli della porta accanto
Ale

 IPSEC (dove c'e` "meno spazio")... Ma certezze non ne ho, anche perche` non
Ipsec? Ma io uso openvpn..
Beh, tentar non nuoce, guardo di fare un test
Ale

    In chel dì si favelave...
Punto 1 e 2 già applicati (punto 1: io ho solo un hdsl)
Il 3 può essere interessante
Le due hdsl come le hai configurate? Fai passare alcune sedi sulla prima 
e le altre sulle seconda? Il risultato com'e'?
Giusto per rendere l'idea: pingo la filiale nel nord italia a 60ms di 
notte e 120 di giorno
L'america in questo momento la sto pingando a 160ms.
Diciamo che già oltre i 400/500 il terminal server diventa 
inutilizzabile. Oltre gli 800 il sistema appare bloccato.
Altra domanda interessante: per trasferire i file come fate? Pensavo a 
un client ftp che passa per l'adsl.. non volevo intasare la vpn ad ogni 
pdf trasferito. Per ora usano l'email "remota" che, appunto, utilizza l'adsl
Ale

 essere interessante per fare il WISP :-)
Non abbiamo POP da quelle parti, ergo per consegnarvi il traffico la SDH
dovrebbe fare (attualmente) Firenze-Milano, con conseguente aggravio di
costi rispetto a chi abbia già un datacenter in zona...
Oh, poi se vuoi noi si fa tutto, eh... :-P


 Beh, tentar non nuoce, guardo di fare un test
   Facci sapere, hai visto mai...
Saluti...
Vh
-- 
                          | Mi sto arrabbiando...
\|/ ____ \|/   \ ||_|     | ...non vi piacerebbe vedermi
"@'/ ,. \`@"    \|| |     |    arrabbiato...
/_| \__/ |_\ Vax Headroom |
   \__U_/                 |       Dr. David Bruce Banner

 Una ventina.
Tanti, in effetti.
Ci vorrebbe almeno un punto intermedio.
A Roma ho alcuni ponti hiperlan che coprono distanze paragonabili, ma li realizzo
con tre punti: sorgente, destinazione e un ripetitore su Monte Mario. (anche perché
in quei casi non ho neanche visibilità ottica diretta.)

 Una ventina.
Ok, instabile! :P


Il Fri, 11 Mar 2011 00:44:21 +0100, Alessandro scrisse:

Quel "sito" è Montelupo F.no :-)


 noi si fa tutto, eh... :-P
Anche la ditta per cui lavoro ha il POP a Milano.
Siete al MIX?


 Siete al MIX?
Yep.


 Yep.
Anche noi :-)
Abbiamo un po' di roba a Caldera-Avalon e un po' di roba al MIX.


Mandi! Alessandro
  In chel dì si favelave...
A> Le due hdsl come le hai configurate? Fai passare alcune sedi sulla prima 
A> e le altre sulle seconda? Il risultato com'e'?
Il bonding me lo gestisce il provider, a dire il vero ho una dual HDSL
e non due HDSL. ;-)
A> Altra domanda interessante: per trasferire i file come fate? Pensavo a 
A> un client ftp che passa per l'adsl.. non volevo intasare la vpn ad ogni 
A> pdf trasferito. Per ora usano l'email "remota" che, appunto, utilizza l'adsl
Batch notturni, abbiamo la fortuna di chiudere la notte. ;-)
-- 
  Dio del cielo se mi vorrai
  in mezzo agli altri uomini mi cercherai		(F. De Andre`)