IPSEC Site-To-Site VPN Slow

What happens if you disable snort with an exception?

Cheers - Bob

Sorry for any short responses.  Posted from my iPhone.

Stupid question. As you're talking about adsl...this means you have asynchronous bandwidths...usually uplink is 5-10 times slower than downstream.

Is the remote uplink of your tunnel even able to deliver data faster than those 2...4Mbit you receive on the local site? This speed looks quite ok to me for a "normal" adsl uplink?

Sorry for short answers and typos. was written on mobile using astaro.org app.

What happens if you disable snort with an exception?

Cheers - Bob

Sorry for any short responses.  Posted from my iPhone.

No difference, did that and also for appcontrol.

Stupid question. As you're talking about adsl...this means you have asynchronous bandwidths...usually uplink is 5-10 times slower than downstream.

Is the remote uplink of your tunnel even able to deliver data faster than those 2...4Mbit you receive on the local site? This speed looks quite ok to me for a "normal" adsl uplink?

Sorry for short answers and typos. was written on mobile using astaro.org app.

My Connection is 24/3Mbit ADSL. My actual speed is 13-14/2-2,5Mbit
The remote site is 15/10Mbit via Radio and that it is actual speed as well.

Both connections can download at there max speed and upload at there max speed without issues when the IPSEC is not in use. 
I can upload without issues to the remote site since I will not be able to send at 3-4Mbit.
But when I download it stops... And the remote site can deliver more. This is just so obvious when i use multiple FTP transfers.

The first say 10sec the file transfer is using the entire connection 10Mbit when I look in FileZilla but then drops to 3-4Mbit.

I looked at the packtfilterlogs and I can not find any thing that is related. Im thinking more and more on this as an buffer issue? Is there any way to check this?

Best Regards,
Frank

Your idea makes sense, Frank.  Can you get your reseller to submit a ticket to Sophos Support?

Cheers - Bob

Your idea makes sense, Frank.  Can you get your reseller to submit a ticket to Sophos Support?

Cheers - Bob

Hi Bob,

We are both home users [:$]

We are evaluation it at work at the moment for the WAF support. It will if successful replace our TMG infrastructure as reverse proxy.
But I don't think it's fair to contact them regarding this.

Is there any other things I can check? If there are buffer issues then is there an way to see this?
In my Cisco switches i can see it on the interfaces.

Best Regards
Frank

I know this is an old thread, but I ran into pretty much the exact scenario described here except that our sides were using different hardware. One side was using a cisco ASA 5510 and the other was a UTM 9.3.10 virtual appliance.

Just like the OP, the symptom was that each individual connection stream could only use about 2-5MB of bandwidth, but we could use multiple connections at the same time to get the full speed of our connection (about 80MBs).

In our case, it was a problem with the Cisco ASA's software. We never found out exactly what, but replacing the config from scratch, with identical settings for the IPSEC tunnel, on the ASA resolved the issue. No changes where needed on the UTM.

I know this is an old thread, but I ran into pretty much the exact scenario described here except that our sides were using different hardware. One side was using a cisco ASA 5510 and the other was a UTM 9.3.10 virtual appliance.

Just like the OP, the symptom was that each individual connection stream could only use about 2-5MB of bandwidth, but we could use multiple connections at the same time to get the full speed of our connection (about 80MBs).

In our case, it was a problem with the Cisco ASA's software. We never found out exactly what, but replacing the config from scratch, with identical settings for the IPSEC tunnel, on the ASA resolved the issue. No changes where needed on the UTM.

Speaking of the ASAs, by default the hardware crypto accelerator is not enabled. This is usually the cause for slow IPsec VPNs on ASAs.

To check the status

show crypto accelerator statistics

To enable

crypto engine accelerator

Also experiencing poor bandwidth via site-to-site.  My observations should it help:

scp a 1 GB file:
  From: UTM-9.315-2  s/w
  To: UTM-8.310  s/w

Scenario 1
-------------
275 KB/s  over site-to-site IPSec VPN (AES-128 PFS,) no IPS enabled on either end. Destination is metal host on a 1-Gbit network.

Scenario 2
-------------
6.6 MB/s directly to destination firewall where source is behind firewall.

Comment
-----------
The metal host in Scenario 1 pulled the 1 GB file from the destination firewall in Scenario 2 @ 55 MB/s.

Hello,

 

 i know it's an old thread: I had the same issue, disabling UDP flood protection did the trick for me.

Hi, and welcome to the UTM Community!

Rather than disable UDP flood protection for everything, check the Intrusion Prevention log to see what Exception(s) you need to add.

Cheers - Bob