Re: [lmn] Langsamer CoovaChilli
hi nochmal, >> mit welchem befehl und auf welchem rechner hast du denn die mss gesetzt? > ifconfig tun0 mtu 1421 > ifconfig eth1 mtu 1421 > > die MSS ist doch eigentlich eine reine Rechengröße, die das TCP > berechnet und die maximale "Nutzlast" auszuhandeln. :-) nee. der korrekte platz ist in der firewall... /usr/sbin/iptables -t mangle -A POSTROUTING -p tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1421:65535 -j TCPMSS --clamp-mss-to-pmtu ggf den pfad anpassen... jonny ___ linuxmuster-user mailing list linuxmuster-user@lists.linuxmuster.net https://mail.lehrerpost.de/mailman/listinfo/linuxmuster-user
Re: [lmn] Langsamer CoovaChilli
hallo mathias, > wenn ich mir die Ausgabe von iptables -L etwas genauer anschaue, ändert > sich nix, wenn ein Client per DHCP eine IPAdresse erhält oder wenn sich > jemand beim Coovachilli anmeldet. dein befehl zeigt ja auch nicht alles an. da fehlen mindestens die forward und mangle chain. am besten schaust du dir das ganze mittels iptables-save an. das zeigt dann auch verwertbares :) jonny ___ linuxmuster-user mailing list linuxmuster-user@lists.linuxmuster.net https://mail.lehrerpost.de/mailman/listinfo/linuxmuster-user
Re: [lmn] Langsamer CoovaChilli
Hallo Jonny, am besten schaust du dir das ganze mittels iptables-save an. das zeigt dann auch verwertbares :) hab ich gemacht. Leider werde ich daraus nicht schlau... Vielleicht siehst du da was. Gruß, Mathias # Generated by iptables-save v1.4.12 on Wed Dec 23 23:32:47 2015 *nat :PREROUTING ACCEPT [466:40857] :INPUT ACCEPT [82:4920] :OUTPUT ACCEPT [251:16014] :POSTROUTING ACCEPT [141:9354] -A PREROUTING -s 192.168.0.0/16 ! -d 192.168.0.1/32 -i tun0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 8080 -A POSTROUTING -o eth0 -j MASQUERADE COMMIT # Completed on Wed Dec 23 23:32:47 2015 # Generated by iptables-save v1.4.12 on Wed Dec 23 23:32:47 2015 *mangle :PREROUTING ACCEPT [5318:1542971] :INPUT ACCEPT [3495:1263977] :FORWARD ACCEPT [411:90805] :OUTPUT ACCEPT [3450:1465118] :POSTROUTING ACCEPT [3861:1555923] -A PREROUTING -s 192.168.0.0/16 -d 192.168.0.1/32 -p tcp -m tcp --dport 8080 -j DROP -A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu COMMIT # Completed on Wed Dec 23 23:32:47 2015 # Generated by iptables-save v1.4.12 on Wed Dec 23 23:32:47 2015 *filter :INPUT DROP [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [3450:1465118] -A INPUT -i eth1 -j DROP -A INPUT -d 192.168.0.1/32 -i tun0 -p icmp -j ACCEPT -A INPUT -d 192.168.0.1/32 -i tun0 -p udp -m udp --dport 53 -j ACCEPT -A INPUT -d 192.168.0.1/32 -i tun0 -p udp -m udp --dport 67:68 -j ACCEPT -A INPUT -d 255.255.255.255/32 -i tun0 -p udp -m udp --dport 67:68 -j ACCEPT -A INPUT -d 192.168.0.1/32 -i tun0 -p tcp -m tcp --dport 8080 -j ACCEPT -A INPUT -d 192.168.0.1/32 -i tun0 -p tcp -m tcp --dport 443 -j ACCEPT -A INPUT -d 192.168.0.1/32 -i tun0 -p tcp -m tcp --dport 80 -j ACCEPT -A INPUT -d 192.168.0.1/32 -i tun0 -p tcp -m tcp --dport 4990 -j ACCEPT -A INPUT -d 192.168.0.1/32 -i tun0 -p tcp -m tcp --dport 3990 -j ACCEPT -A INPUT -d 192.168.0.1/32 -i tun0 -j DROP -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -i eth0 -p tcp -m tcp --dport 22 --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT -A INPUT -i eth0 -j REJECT --reject-with icmp-port-unreachable -A INPUT -i eth1 -j DROP -A INPUT -p tcp -m tcp --dport 80 --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT -A INPUT -p tcp -m tcp --dport 443 --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT -A INPUT -p tcp -m tcp --dport 3990 --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT -A INPUT -i lo -j ACCEPT -A FORWARD -i tun0 -o eth0 -j ACCEPT -A FORWARD -i tun0 ! -o eth0 -j DROP -A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu -A FORWARD -o tun0 -j ACCEPT -A FORWARD -i tun0 -j ACCEPT -A FORWARD -o eth1 -j DROP -A FORWARD -i eth1 -j DROP -A FORWARD -i eth1 -j DROP -A FORWARD -o eth1 -j DROP COMMIT # Completed on Wed Dec 23 23:32:47 2015 # Generated by iptables-save v1.4.12 on Wed Dec 23 23:31:58 2015 *nat :PREROUTING ACCEPT [109:17056] :INPUT ACCEPT [1:60] :OUTPUT ACCEPT [26:1644] :POSTROUTING ACCEPT [22:1366] -A PREROUTING -s 192.168.0.0/16 ! -d 192.168.0.1/32 -i tun0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 8080 -A POSTROUTING -o eth0 -j MASQUERADE COMMIT # Completed on Wed Dec 23 23:31:58 2015 # Generated by iptables-save v1.4.12 on Wed Dec 23 23:31:58 2015 *mangle :PREROUTING ACCEPT [1279:99633] :INPUT ACCEPT [1238:93936] :FORWARD ACCEPT [4:354] :OUTPUT ACCEPT [1350:317745] :POSTROUTING ACCEPT [1354:318099] -A PREROUTING -s 192.168.0.0/16 -d 192.168.0.1/32 -p tcp -m tcp --dport 8080 -j DROP -A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu COMMIT # Completed on Wed Dec 23 23:31:58 2015 # Generated by iptables-save v1.4.12 on Wed Dec 23 23:31:58 2015 *filter :INPUT DROP [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [1350:317745] -A INPUT -i eth1 -j DROP -A INPUT -d 192.168.0.1/32 -i tun0 -p icmp -j ACCEPT -A INPUT -d 192.168.0.1/32 -i tun0 -p udp -m udp --dport 53 -j ACCEPT -A INPUT -d 192.168.0.1/32 -i tun0 -p udp -m udp --dport 67:68 -j ACCEPT -A INPUT -d 255.255.255.255/32 -i tun0 -p udp -m udp --dport 67:68 -j ACCEPT -A INPUT -d 192.168.0.1/32 -i tun0 -p tcp -m tcp --dport 8080 -j ACCEPT -A INPUT -d 192.168.0.1/32 -i tun0 -p tcp -m tcp --dport 443 -j ACCEPT -A INPUT -d 192.168.0.1/32 -i tun0 -p tcp -m tcp --dport 80 -j ACCEPT -A INPUT -d 192.168.0.1/32 -i tun0 -p tcp -m tcp --dport 4990 -j ACCEPT -A INPUT -d 192.168.0.1/32 -i tun0 -p tcp -m tcp --dport 3990 -j ACCEPT -A INPUT -d 192.168.0.1/32 -i tun0 -j DROP -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -i eth0 -p tcp -m tcp --dport 22 --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT -A INPUT -i eth0 -j REJECT --reject-with icmp-port-unreachable -A INPUT -i eth1 -j DROP -A INPUT -p tcp -m tcp --dport 80 --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT -A INPUT -p tcp -m tcp --dport 443 --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT -A INPUT -p tcp -m tcp --dport 3990 --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT -A INPUT -i lo -j ACCEPT -A FORWARD -i tun0 -o eth0 -j ACCEPT -A FORWARD -i tun0 ! -o eth0 -j DROP -A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS
Re: [lmn] Langsamer CoovaChilli
Hi Jonny, :-) nee. der korrekte platz ist in der firewall... /usr/sbin/iptables -t mangle -A POSTROUTING -p tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1421:65535 -j TCPMSS --clamp-mss-to-pmtu Ich hab's mal mit iptables -t mangle -A POSTROUTING -p tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1421:65535 -j TCPMSS --clamp-mss-to-pmtu probiert. Eine Fehlermeldung gab's keine. Leider ist der upstream immernoch lahm. Gruß, Mathias ___ linuxmuster-user mailing list linuxmuster-user@lists.linuxmuster.net https://mail.lehrerpost.de/mailman/listinfo/linuxmuster-user
Re: [lmn] Langsamer CoovaChilli
hallo, mit welchem befehl und auf welchem rechner hast du denn die mss gesetzt? hast du dir mal die gesamte liste der firewallregeln auf dem chilli mal bezüglich qos angeschaut? am besten einmal ohne eingeloggte clients und einmal, wenn dein "upstream testclient" eingeloggt ist... jonny Mathias Rettich schrieb: > Hallo Jonny, > > so, ich hab's mal ausprobiert... > Leider hat sich am upstream nichts geändert :-( > > Gruß, > > Mathias > ___ > linuxmuster-user mailing list > linuxmuster-user@lists.linuxmuster.net > https://mail.lehrerpost.de/mailman/listinfo/linuxmuster-user > ___ linuxmuster-user mailing list linuxmuster-user@lists.linuxmuster.net https://mail.lehrerpost.de/mailman/listinfo/linuxmuster-user
Re: [lmn] Langsamer CoovaChilli
Hallo Jonny, mit welchem befehl und auf welchem rechner hast du denn die mss gesetzt? ifconfig tun0 mtu 1421 ifconfig eth1 mtu 1421 die MSS ist doch eigentlich eine reine Rechengröße, die das TCP berechnet und die maximale "Nutzlast" auszuhandeln. hast du dir mal die gesamte liste der firewallregeln auf dem chilli mal bezüglich qos angeschaut? am besten einmal ohne eingeloggte clients und einmal, wenn dein "upstream testclient" eingeloggt ist... ja, mit iptables -L da gab's kein qos. Als nächstes versuche ich mal den coovachilli manuell zu installieren. Ich werde berichten. Gruß, Mathias ___ linuxmuster-user mailing list linuxmuster-user@lists.linuxmuster.net https://mail.lehrerpost.de/mailman/listinfo/linuxmuster-user
Re: [lmn] Langsamer CoovaChilli
Hallo Jonny, wenn ich mir die Ausgabe von iptables -L etwas genauer anschaue, ändert sich nix, wenn ein Client per DHCP eine IPAdresse erhält oder wenn sich jemand beim Coovachilli anmeldet. Ich hab mal die Ausgaben von iptables drangehängt. Gruß, Mathias Chain INPUT (policy ACCEPT) target prot opt source destination DROP all -- anywhere anywhere ACCEPT icmp -- anywhere 192.168.0.1 ACCEPT udp -- anywhere 192.168.0.1 udp dpt:domain ACCEPT udp -- anywhere 192.168.0.1 udp dpts:bootps:bootpc ACCEPT udp -- anywhere 255.255.255.255 udp dpts:bootps:bootpc ACCEPT tcp -- anywhere 192.168.0.1 tcp dpt:http-alt ACCEPT tcp -- anywhere 192.168.0.1 tcp dpt:https ACCEPT tcp -- anywhere 192.168.0.1 tcp dpt:http ACCEPT tcp -- anywhere 192.168.0.1 tcp dpt:4990 ACCEPT tcp -- anywhere 192.168.0.1 tcp dpt:3990 DROP all -- anywhere 192.168.0.1 ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED ACCEPT tcp -- anywhere anywhere tcp dpt:sshflags: FIN,SYN,RST,ACK/SYN REJECT all -- anywhere anywhere reject-with icmp-port-unreachable DROP all -- anywhere anywhere ACCEPT tcp -- anywhere anywhere tcp dpt:httpflags: FIN,SYN,RST,ACK/SYN ACCEPT tcp -- anywhere anywhere tcp dpt:httpsflags: FIN,SYN,RST,ACK/SYN ACCEPT tcp -- anywhere anywhere tcp dpt:3990flags: FIN,SYN,RST,ACK/SYN ACCEPT all -- anywhere anywhere Chain FORWARD (policy ACCEPT) target prot opt source destination ACCEPT all -- anywhere anywhere DROP all -- anywhere anywhere TCPMSS tcp -- anywhere anywhere tcpflags: SYN,RST/SYN TCPMSS clamp to PMTU ACCEPT all -- anywhere anywhere ACCEPT all -- anywhere anywhere DROP all -- anywhere anywhere DROP all -- anywhere anywhere DROP all -- anywhere anywhere DROP all -- anywhere anywhere Chain OUTPUT (policy ACCEPT) target prot opt source destination Chain INPUT (policy ACCEPT) target prot opt source destination DROP all -- anywhere anywhere ACCEPT icmp -- anywhere 192.168.0.1 ACCEPT udp -- anywhere 192.168.0.1 udp dpt:domain ACCEPT udp -- anywhere 192.168.0.1 udp dpts:bootps:bootpc ACCEPT udp -- anywhere 255.255.255.255 udp dpts:bootps:bootpc ACCEPT tcp -- anywhere 192.168.0.1 tcp dpt:http-alt ACCEPT tcp -- anywhere 192.168.0.1 tcp dpt:https ACCEPT tcp -- anywhere 192.168.0.1 tcp dpt:http ACCEPT tcp -- anywhere 192.168.0.1 tcp dpt:4990 ACCEPT tcp -- anywhere 192.168.0.1 tcp dpt:3990 DROP all -- anywhere 192.168.0.1 ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED ACCEPT tcp -- anywhere anywhere tcp dpt:sshflags: FIN,SYN,RST,ACK/SYN REJECT all -- anywhere anywhere reject-with icmp-port-unreachable DROP all -- anywhere anywhere ACCEPT tcp -- anywhere anywhere tcp dpt:httpflags: FIN,SYN,RST,ACK/SYN ACCEPT tcp -- anywhere anywhere tcp dpt:httpsflags: FIN,SYN,RST,ACK/SYN ACCEPT tcp -- anywhere anywhere tcp dpt:3990flags: FIN,SYN,RST,ACK/SYN ACCEPT all -- anywhere anywhere Chain FORWARD (policy ACCEPT) target prot opt source destination ACCEPT all -- anywhere anywhere DROP all -- anywhere anywhere TCPMSS tcp -- anywhere anywhere tcpflags: SYN,RST/SYN TCPMSS clamp to PMTU ACCEPT all -- anywhere anywhere ACCEPT all -- anywhere anywhere DROP all -- anywhere anywhere DROP all -- anywhere anywhere DROP all -- anywhere anywhere DROP all -- anywhere anywhere Chain
Re: [lmn] Langsamer CoovaChilli
Hallo Jonny, so, ich hab's mal ausprobiert... Leider hat sich am upstream nichts geändert :-( Gruß, Mathias ___ linuxmuster-user mailing list linuxmuster-user@lists.linuxmuster.net https://mail.lehrerpost.de/mailman/listinfo/linuxmuster-user
Re: [lmn] Langsamer CoovaChilli
hallo mathias, > Wenn ich also die große Datei vom Client auf den Server hochlade, gehen > die Datenpakete nur durch die Monowall bzw. wenn ich CoovaChilli benutze > durch den CoovaChilli. chilli benutzt iptables zum erstellen des captive portals. die probleme sind also quasi dieselben, wie bei einer firewall :-) also ist entweder in deiner config irgendwo eine qos beschränkung aktiviert, oder es liegt auch hier ein mtu problem vor. ich würde bei chilli eh eine maximale mss von 1441 vorschlagen. bei deinem problem würde ich diese sogar zb auf 1421 runtersetzen... jonny ___ linuxmuster-user mailing list linuxmuster-user@lists.linuxmuster.net https://mail.lehrerpost.de/mailman/listinfo/linuxmuster-user
Re: [lmn] Langsamer CoovaChilli
Hallo Jonny, ich würde bei chilli eh eine maximale mss von 1441 vorschlagen. bei deinem problem würde ich diese sogar zb auf 1421 runtersetzen... ich probier's morgen mal aus. Gruß, Mathias ___ linuxmuster-user mailing list linuxmuster-user@lists.linuxmuster.net https://mail.lehrerpost.de/mailman/listinfo/linuxmuster-user
Re: [lmn] Langsamer CoovaChilli
Am 19.12.2015 um 19:56 schrieb Mathias Rettich: > ...Unter Monowalll tritt diese Problem nicht auf: Wieso jetzt plötzlich monowall?? (btw: http://www.golem.de/news/firewalls-monowall-wird-aufgegeben-1502-112378.html ) Dann scheint das Problem ja nicht am coovachilli sondern an der Firewall resp. dem IPFire zu liegen -- oder wie sollen wir dich verstehen? Michael ___ linuxmuster-user mailing list linuxmuster-user@lists.linuxmuster.net https://mail.lehrerpost.de/mailman/listinfo/linuxmuster-user
Re: [lmn] Langsamer CoovaChilli
Hallo Michael, Wieso jetzt plötzlich monowall?? Monowall habe ich aus dem linuxmuster.net: http://www.linuxmuster.net/wiki/anwenderwiki:wlan:monowall Lieber wäre mir der CoovaChilli! Dann scheint das Problem ja nicht am coovachilli sondern an der Firewall resp. dem IPFire zu liegen -- oder wie sollen wir dich verstehen? Nein, IPFire ist überhaupt nicht beteiligt. Die Monowall ist genau wie der coovachilli mit einer Netzwerkkarte im grünen Netz und an der anderen Netzwerkkarte hängen die Accesspoints. Ich nutze die Monowall nur als Capative Portal. Wenn ich also die große Datei vom Client auf den Server hochlade, gehen die Datenpakete nur durch die Monowall bzw. wenn ich CoovaChilli benutze durch den CoovaChilli. Gruß, Mathias ___ linuxmuster-user mailing list linuxmuster-user@lists.linuxmuster.net https://mail.lehrerpost.de/mailman/listinfo/linuxmuster-user
Re: [lmn] Langsamer CoovaChilli
...Unter Monowalll tritt diese Problem nicht auf: Von 19:41 bis 19:48 Ich habe wieder die große Datei per sftp vom Server heruntergeladen: 10 MB/s bei voller CPU-Auslastung Von 19:50 bis 19:54 Die Datei wird per sftp auf den Server hochgeladen: 14 MB/s bei voller CPU-Auslastung Von 19:56 bis 20:02 Die Datei wird per cifs auf den Server hochgeladen: 6 MB/s bei voller CPU-Auslastung Hier wird der Rechner voll ausgelastet. Wenn man mich fragt, warum ich dann nicht mit der MonoWall arbeite: 1) Bei Coovachilli haben nur die Nutzer Zugang zum Internet, die in der Gruppe p_WiFi sind. So kann man wunderbar steuern, wer Zugang zum WLAN hat und wer nicht. 2) Und schließlich ist der Anmeldebildschirm echt gelungen. Großes Lob an die Entwickler! Vielen Dank schon mal für's Mitdenken, Mathias ___ linuxmuster-user mailing list linuxmuster-user@lists.linuxmuster.net https://mail.lehrerpost.de/mailman/listinfo/linuxmuster-user
Re: [lmn] Langsamer CoovaChilli
Hi > http://www.linuxmuster.net/wiki/anwenderwiki:wlan:monowall Ok, wusste bisher nicht, dass die m0n0wall auch als Captive-Portal arbeiten kann. Ich kann leider zum Problem nicht viel beitragen -- aber du bist scheinbar nicht der einzige bzw: betrifft das hier sonst keinen? Eine Suche nach "coovachilli upstream limit" liefert jedenfalls jede Menge Treffer -- aber keine richtige Lösung. Ich habe den upstream bei uns noch nicht über den coovachilli ausprobiert. Michael ___ linuxmuster-user mailing list linuxmuster-user@lists.linuxmuster.net https://mail.lehrerpost.de/mailman/listinfo/linuxmuster-user
Re: [lmn] Langsamer CoovaChilli
Hallo Jürgen, bei uns können die Schüler auch mit ihren eigenen Laptops arbeiten und im Internet surfen. Und mit den Schullaptops dann auch auf ihre Daten zugreifen. Natürlich können Sie dann auch im grünen Netz wilde Dinge machen. Aber das können sie auch, wenn sie völlig unbeobachtet im Mediationsraum sind. In Pfullendorf sind die Schüler noch harmlos. Wenn sich das ändern sollte, muss ich mir das nochmal durch den Kopf gehen lassen... Das Problem mit dem langsamen Coova würde ich trotzdem gerne in den Griff bekommen. Gruß, Mathias ___ linuxmuster-user mailing list linuxmuster-user@lists.linuxmuster.net https://mail.lehrerpost.de/mailman/listinfo/linuxmuster-user
Re: [lmn] Langsamer CoovaChilli
Hallo Mathias, > Das Problem mit dem langsamen Coova würde ich trotzdem gerne in den > Griff bekommen. ich denke nicht, dass sich das in den Griff bekommen läßt: das ist Struckturbedingt. Der Coovachilli ist ein Capturing Prtal: su bekommst als erste Seite, egal wenlche du aufrufst, eine Loginseite und authentifizierst dich. Danch geht alles durch einen https Tunnel: also auch deine cifs Sachen: und das ist eben nicht Performant: ein Protokoll in einem anderen drin. Daher: guter Down/Upload aber schlechte cifs performance. Du kannst versuchen den coova Hardwaretechnisch auf zu rüsten und schauen, ob es dann schneller wird. Du kannst im Netz suchen, ob man da caches vergrößern kann auf dem Coova: aber es wird behelfsmäßig bleieben. Man kann eine Kreutzschlitzschraube mit einem Schlitzschraubenzieher öffnen: leicht ist das nicht. VIele Grüße Holger -- Mein öffentlicher PGP-key ist hier hinterlegt: pool.sks-keyservers.net ___ linuxmuster-user mailing list linuxmuster-user@lists.linuxmuster.net https://mail.lehrerpost.de/mailman/listinfo/linuxmuster-user
Re: [lmn] Langsamer CoovaChilli
Hallo Holger, > Daher: guter Down/Upload aber schlechte cifs performance. Das leuchtet schon ein. Nur 60 MBit/s upstream und 12 kBit/s downstream das ist 5000 fach langsamer! Gibt es da eventuell einen "Schalter" der den upstream für cifs oder ssh künstlich drosselt? > Du kannst versuchen den coova Hardwaretechnisch auf zu rüsten und > schauen, ob es dann schneller wird. Bisher lief der coova unter Proxmox. Ich werde ihn mal auf einem alten Server installieren. Mal sehen, ob's was bringt... Viele Grüße, Mathias ___ linuxmuster-user mailing list linuxmuster-user@lists.linuxmuster.net https://mail.lehrerpost.de/mailman/listinfo/linuxmuster-user
