10Gbit Netzwerkkarte > PROXMOX > OPNsense > VM - Netzwerkdurchsatz

[BKH]

Hallo,

ich bin momentan mit einem sehr interessanten Problem beschäftigt, auf welches ich auch nach längerer Suche keine Antwort gefunden habe.

Ich habe einen Server mit einer Intel 10-Gbit-Netzwerkkarte:

lspci | grep Network
04:00.0 Ethernet controller: Intel Corporation 82599ES 10-Gigabit SFI/SFP+ Network Connection (rev 01)

Auf dieser Netzwerkkarte habe ich die notwendige Netzwerkbrücke für Proxmox angelegt, über die auch die einzelnen VM kommunizieren.
Vor die einzelnen VM habe ich eine OPNsense als Firewalllösung geschaltet, die den VM als Gateway nach außen dient.

Am Host erreiche ich direkt über die Netzwerkbrücke eine Datenrate von ~1GB/s, wenn ich dann allerdings dir OPNsense dazwischenschalte sinkt der Durchsatz auf erstaunliche ~160MB/s. Die Netzwerkkarten sind an der OPNsense per Virtio angelegt und die OPNsense verfügt über im host-Modus betriebene CPU.
Auch an den virtuellen Maschinen ist der Netzwerkdurchsatz entsprechend dem Durchsatz ander OPNsense festzustellen.
An der OPNsesen wird im Dashboard allerdins eine 10Gbit-Karte erkannt, nur der Datendurchsatz ist nicht dementsprechend.
Gibt es eine Möglichkeit hier für ein "Mehr" an Durchsatz zu sorgen?

Viele Grüße

PS: Ich habe meinen "Subscription Key" eingetragen, allerdings wird der entsprechende Hinweis nicht in meinem Profil angezeigt ...

 

[Thalix]

NAT und IDS Suricata abschalten.

 

[BKH]

Danke für den Hinweis.
Suricata ist nicht aktiv und war es auch noch nie.

Bezüglich NAT:
Das hatte ich bisher noch nicht versucht, da ich die Gefahr sehe, die Firewall-Funktionalität zu verlieren.
Gibt es hier etwas zu beachten oder Erfahrungswerte?

 

[whiterabbit]

Hi.
War da nicht was, dass FreeBSD den Netzwerkkartentyp e1000 performanter unterstützt als virtIO? Schon mal ausprobiert? Ist ja schnell umgestellt ...

 

[AndrwHmmr]

Gilt auch für OPNsense https://pve.proxmox.com/wiki/PfSense_Guest_Notes

"IMPORTANT: Enter the web GUI and go in System > Advanced > Networking and flag Disable hardware checksum offload. If you don't do it layer3 traffic from lan to wan will not work, or will be really slow (but traffic to/from the firewall will work fine: see the pf sense wiki about virtio for details"