Heiniger-NetComputerHeimnetzwerk

Commentaire

Heimnetzwerk — 2 commentaires

  1. Hoi Daniel

    ich würde beim aktuellen Lay­out bleiben. Um gute VoIP Qual­ität zu gewährleis­ten, ist der direk­teste Anschluss immer der beste (und die FritzBox hat zumin­d­est das Shaping/QoS fürs VoIP am besten im Griff).

    Was du dir auch noch bewusst sein musst betr­e­f­fend Shap­ing: Wirk­lich bee­in­flussen kannst du generell nur aus­ge­hen­den Traf­fic (egal, ob die Verbindung von innen nach aussen oder von extern zu dir hergestellt wurde, rel­e­vant ist dann nur die Rich­tung des Daten­trans­fers). Denn nur aus­ge­hen­der Traf­fic kann (ob bei FritzBox oder Lin­ux Fire­wall) auf der Fire­wall aus­ge­bremst (zurück­ge­hal­ten) wer­den und in genau der gewün­scht­en Geschwindigkeit und Pri­or­isierung in Rich­tung Kabelmo­dem los­ge­lassen wer­den. Einge­hen­der Traf­fic kommt ein­fach mal so schnell wie möglich bis zum Shap­ing Gerät (Frit­box oder Lin­ux) und kann dort höch­stens noch durch gezielte Paket Drops kün­stlich herun­terge­bremst wer­den. Wir haben daher auf den einge­hen­den Traf­fic keinen wirk­lichen Ein­fluss auf die QoS/Priorisierung.

    Auf der FritzBox müsste somit vorallem der Uplink Speed angegeben wer­den kön­nen (z.B. bei einem 25000/1500 Abo würdest du vielle­icht 1450 als Uplink speed kon­fig­uri­eren (damit der Aus­ge­hende Fire­wall Verkehr auf jeden Fall ein klein wenig langsamer ist als der real zur Ver­fü­gung ste­hende Link (um zu ver­hin­dern, dass es dann nicht doch beim Modem nochmals zum stauen kommt –> QoS Kon­trolle wäre dahin).

    wenn das Shap­ing richtig eingestellt ist (sprich: eben der Uplink speed auf dem Shap­ing Gerät sich­er leicht tiefer ist als physisch ver­füg­bar), soll­test du den erwäh­n­ten Effekt nicht haben. Sprich voller Upload dürfte den Down­load nicht gross aus­brem­sen und umgekehrt.
    Du kannst es sel­ber tunen/ermitteln, indem du jew­eils während eines vollen Up- bzw. Down­loads ein ping aus­führst und die Shap­ing Werte solange nach unten kor­rigierst, bis die Antwortzeit­en der Pings auch trotz laufen­d­em Up- oder Down­load noch OK sind.

    Um die Sicher­heit zu erhöhen, kannst du fol­gen­des beachten:
    — Über­lege dir, ob du wirk­lich SSH nach aussen offen haben willst. SSH/Shell Zugriff ermöglich wie kor­rekt bemerkt auch ohne Prob­leme den Zugriff aufs restliche Netz und erweit­erten Zugriff auf den Serv­er. Bietest du stattdessen nur FTP (ohne Shell: d.h. die User erhal­ten als Shell /bin/false (siehe /etc/passwd)) an, sind zwar die über­tra­ge­nen Dat­en unver­schlüs­selt (je nach Dat­en dürfte dies nur unter­ge­ord­net von Bedeu­tung sein), dafür kann der Serv­er nicht als Hop in dein Netz miss­braucht wer­den (empfehle vsft­pd mit chroot=~ (sprich: jed­er User kann sein per­sön­lich­es Home-Dir nicht verlassen)).

    Gruss
    Martin

  2. Vie­len Dank, Martin

    Die Sache mit dem Traf­fic Shap­ing ist doch die: Ank­om­mende TCP-Daten­pakete müssen vom TCP/IP-Stack quit­tiert wer­den. Das Quit­tungspaket geht an den Absender zurück und enthält die Infor­ma­tion, ob das gesendete Paket fehler­frei angekom­men ist oder nicht. Damit ein von mir ver­an­lasster Down­load (z.b. beim Browsen) flüs­sig hereinkommt, müssen diese Quit­tungspakete rasch und unge­hin­dert über den Upstream-Kanal fliessen kön­nen. Wenn nun gle­ichzeit­ig ein FTP-Upload die gesamte Upstream-Über­tra­gungska­paz­ität belegt, dann gehen die Quit­tungspakete nicht sofort los, son­dern müssen jew­eils ein biss­chen warten, bis im FTP-Daten­strom die näch­ste Lücke kommt. Die für dieses Warten benötigte Zeit hängt davon ab, wie gross die FTP-Daten­pakete sind, und wie gross der Sendepuffer ist, der vom TCP/IP-Stack benutzt wird. Die Quit­tungspakete sel­ber sind klein (nur wenige dutzend Bytes), die FTP-Daten­pakete so gross wie möglich (nor­maler­weise im Bere­ich 1500 Bytes). Die Grösse des Sendepuffers ist mir grade nicht bekan­nt. Aber jeden­falls führt dies dazu, dass bei gle­ichzeit­ig laufen­d­em FTP-Upload ein HTTP-Down­load nur stock­end hereinkommt, obwohl die Down­stream-Daten­rate bei weit­em nicht voll aus­genutzt wird.

    Darum ist Traf­fic Shap­ing emi­nent wichtig, nicht nur für VoIP, son­dern auch dann, wenn damit zu rech­nen ist, dass die Leitung nicht nur von einem selb­st benutzt wird. Deshalb werde ich, sobald ich dazu komme, mir die Zeit dafür zu nehmen, mein Heim­net­zw­erk in Rich­tung Vari­ante 2 weiterentwickeln.

    Gruss
    — Daniel

css.php