Newsgroup: it.comp.reti.cisco
Titolo: Basse prestazioni con tunnel ipsec

Salve ragazzi.. solo un parere da chi ha piu' esperienza di me in
VPNs.
Ho implementato una configurazione a stella dove il router A istanzia
3 tunnel verso i router B,C,D.
E' normale avere delle latenze medie di 800-1000ms (RTT) fra il router
A e uno qualunque degli altri router collegati in VPN..?
Apprezzerei qualsiasi idea o opinione..
PS. Utilizzo IPsec-GRE e la seguente e' la configurazione sul router
A
crypto isakmp policy 10
 hash md5
 authentication pre-share
crypto isakmp key pharmacy address 0.0.0.0 0.0.0.0 no-xauth
!
crypto isakmp client configuration group VPN_group
 key pharmacy
 dns 10.0.10.1
 domain pharmacy.local
 pool vpn-pool
!
!
crypto ipsec transform-set myset esp-3des esp-md5-hmac
!
!
crypto map ipsec-map client authentication list user_authen
crypto map ipsec-map isakmp authorization list group_author
crypto map ipsec-map client configuration address respond
crypto map ipsec-map 10 ipsec-isakmp
 description tunnel_to_Fourways
 set peer 81.*.*.*
 set transform-set myset
 match address Adarshi-Fourways
crypto map ipsec-map 20 ipsec-isakmp
 description tunnel_to_Butterfly
 set peer 86.*.*.*
 set transform-set myset
 match address Adarshi-Butterfly
crypto map ipsec-map 30 ipsec-isakmp
 description tunnel_to_Walworth
 set peer 84.*.*.*
 set transform-set myset
 match address Adarshi-Walworth


Immagino che tu ti riferisca a latenze rilevate con il classico ping di 
windows o linux senza indicare opzioni particolari.
In linea di massima le latenze all'interno di un tunnel ipsec, soprattutto 
per pacchetti di piccole dimensioni, debbono essere circa le stesse che 
rilevi al di fuori del tunnel, ad esempio pingando gli ip pubblici dei 
terminatori vpn tra di loro.
Se i due dati corrispondono il tuo problema è legato in qualche modo alla 
connettività, che può voler dire una bassa qualità della banda ma anche che 
le linee sono perennemente sature.
Se non corrispondono hai un problema probabilmente sul router centrale.
Ciao,
        Tosh. 

 le linee sono perennemente sature.
conosci un modo per verificarlo in maniera certa.. quali test posso
effettuare sulla banda in modo che ne so, da avere un log che dimostri
le prestazioni della connessione? Ti chiedo questo perche' il mio ISP
continua a sostenere che non ci sono problemi sulla connessione
Mi servere risolvere questo problema in quanto il server dietro il
router centrale replica un istanza di db a tutti gli host dietro i
router B,C,D e a volte i processi di sincronizzazzione si interrompono
completamente (o addirittra non partono) per via dei delay sulle
VPNs.
Idee??
gz

1000ms e altri di 80ms
Normalmente le latenze aumentano, tra le altre cose, con l'avvicinarsi alla 
saturazione del canale, quindi quasi certamente hai a disposizione meno 
banda di quella che ti serve, che questo sia dovuto ad un errato calcolo, a 
qualche applicazione fuori controllo (p2p ad esempio) o al provider che non 
mantiene gli impegni questo è tutto da verificare.
Una cosa che farei è mettere in piedi uno strumento di monitoraggio della 
banda come mrtg o prtg, in questo modo puoi avere un idea di quanta banda il 
tuo router sta maneggiando e capire se sia coerente con quella nominale del 
canale.
Ciao,
         Tosh.

 canale.
ok seguendo il tuo consiglio.. ho installato PRTG Network Monitor in
modo da monitorare il traffico sull interfaccia dialer. Spero di
reperire dati interessanti.. altrimenti provero' con PRTG Traffic
Grapher in modo da sniffare il traffico e vedere cosa eventualmente
satura la banda.
Ad ogni modo, grazie per i consigli e spero di contare ancora sul tuo
aiuto nell analizzare i miei dati.
Ciao