bintec RS353jw - Hinweise zur Bandbreitenbegrenzung von IPSec-Verbindungen bei Überlastsituationen

bintec RS353jw - Hinweise zur Bandbreitenbegrenzung von IPSec-Verbindungen bei Überlastsituationen

Vorbemerkungen:

• Defaultmäßig sind IPSec-Schnittstellen in ihrer Sendedatenrate erstmal nicht begrenzt. Daher empfiehlt es sich bei Überlastsituationen
  im Zusammenhang mit IPSec-Verbindungen die IPSec-Schnittstellen mittels QoS Traffic Shaping in ihrer Sendedatenrate zu beschränken.
  
• Im Beispiel wird ein bintec RS353jw mit Software-Version 10.1.21 Patch 7 verwendet, die Konfiguration erfolgt mittels GUI.
  
• Andere bintec Router mit vergleichbaren Software-Versionen sind identisch bzw. analog zu konfigurieren.
  
• Exportieren Sie Ihre aktive Konfiguration in eine externe Datei, bevor Sie mit Änderungen an der Konfiguration beginnen.
  

Funktion des Traffic Shapings:

Die grundsätzliche Funktion von QoS und Traffic Shaping ist sehr gut in der Online-Hilfe und im Manual beschrieben:
Traffic Shaping: "Aktivieren oder deaktivieren Sie eine Begrenzung der Datenrate in Senderichtung."
Maximale Upload-Geschwindigkeit: "Nur für Traffic Shaping = aktiviert. Geben Sie für die ausgewählte Schnittstelle
eine maximale Datenrate in kBit pro Sekunde in Senderichtung ein. Mögliche Werte sind 0 bis 1000000.
Der Standardwert ist 0, d.h. es erfolgt keine Begrenzung, die ausgewählte Schnittstelle kann ihre maximale Bandbreite belegen."

Vorgehensweise:

Die Sendedatenrate eines Interfaces wird festgelegt im GUI-Menü "Netzwerk" unter "QoS" auf dem Tab "QoS-Schnittstellen/Richtlinien" mit "NEU":

1. Als "Schnittstelle" das IPSec-Interface auswählen, im Beispiel "IPSecPeer-1".
2. Das "Traffic Shaping" auf "Aktiviert" umschalten.
3. Die "Maximale Upload-Geschwindigkeit (in kbit/s)" auf einen ausreichenden niedrigen Wert setzen, im Beispiel 2000 kbit/s.
   
4. Die "Größe des Protokoll-Headers unterhalb Layer 3" entsprechend der individuellen Verbindungssituation auswählen, im VDSL-Beispiel "IPSec via PPPoE und VLAN".
   
5. Die "Verschlüsselungsmethode" der IPSec-Verbindung wählen, im Beispiel "AES128, AES192, AES256, Twofish - (Cipher-Blockgröße=128 bit)".
   
6. Abschließen mit "OK".

Beispiel für das GUI-Menü zur Aktivierung der Sendedatenratenbegrenzung (Traffic Shaping) für ein IPSec-Interface:

Bild 1: GUI-Menü zur Aktivierung der Begrenzung der Datenrate eines IPSec-Interfaces ("IPSecPeer-1") in Senderichtung (Traffic Shaping)

Sinnvollerweise müssen alle vorhandenen IPSec-Schnittstellen auf diese Weise in Senderichtung limitiert werden, insbesondere auch auf allen IPSec-Gegenstellen.

Abschlußbemerkung:

Vergessen Sie nicht Ihre gewünschte Einstellung bootfest zu speichern (z.B. auf der Konsole mit "cmd=save") und Ihre aktiven Konfigurationen regelmäßg in externe Dateien zu exportieren.

Basis:

Erstellt: 18.5.2017
Produkt: RS353jw
Release: 10.1.21.107
KW: 20/2017
kst