Test de Sophos Firewall-prestaties met iPerf

iPerf is een goed hulpmiddel als u de prestaties van een specifieke netwerkroute wilt meten. Voor een Sophos Firewall geldt dit bijvoorbeeld voor tests tussen twee interne netwerken, over een site-to-site VPN verbinding, over Remote Access VPN of tussen een client achter de firewall en een server op internet.

Een iPerf-test vervangt geen normale applicatietest of een pure WAN-snelheidstest rechtstreeks op de firewall. Het beantwoordt een andere vraag: hoeveel TCP- of UDP-doorvoer bereikt deze ene route tussen twee gedefinieerde eindpunten onder de geselecteerde testomstandigheden?

Toepassingsgebied en meetmodel

iPerf is handig als u een specifieke afstand reproduceerbaar wilt meten. Voordat opdrachten worden uitgevoerd, moet duidelijk zijn wat er wordt gemeten en wat de test bewust niet beantwoordt.

Wanneer iPerf zinvol is

iPerf is vooral handig wanneer een prestatieverklaring reproduceerbaar moet zijn:

• na een firewallmigratie of een modelwijziging
• voor en na wijzigingen in firewallregels, IPS, TLS Inspection of traffic shaping
• voor langzame verbindingen tussen VLAN’s of locaties
• voor VPN prestatieproblemen via IPsec, SSL VPN of Sophos Connect
• voor UDP-onderwerpen zoals spraak, conferentiestreams of bepaalde industriële toepassingen
• om onderscheid te maken tussen firewall, WAN, WLAN, client, server en applicatie

Voor een pure internettest vanuit een firewall-perspectief is het artikel Internetsnelheidstest via de Sophos Firewall CLI geschikter. Sophos Firewall Controleer prestatiestatistieken is ook geschikt voor het classificeren van het firewallgebruik.

Wat iPerf meet

iPerf brengt een testverbinding tot stand tussen een server en een client. De gemeten waarde geldt dus voor precies dit pad, deze richting, deze poort, dit protocol en deze eindpunten.

De juiste interpretatie is belangrijk:

• TCP toont haalbare doorvoer met congestiecontrole, hertransmissies en venstergroottes.
• UDP vertoont pakketverlies en jitter, maar vereist een gedefinieerde doelbandbreedte.
• Een enkele testrun is geen betrouwbare verklaring van de capaciteit.
• WiFi, client CPU, virtuele machines, USB-netwerkadapters en energiebesparende functies kunnen de meting beperken.
• Beveiligingsfuncties op de Sophos Firewall hebben alleen invloed op het resultaat als de testverbinding via een geschikte regel en beleid verloopt.

Plan testopstelling

Vóór het eerste commando moet duidelijk zijn welke route wordt gecontroleerd:

1. Waar bevindt zich de iPerf-server?
2. Waar is de iPerf-client?
3. In welke richting moet de test worden uitgevoerd?
4. Welke firewallregel is van toepassing op deze verbinding?
5. Is er NAT, VPN, Traffic Shaping, IPS of TLS Inspection op het pad?
6. Verloopt de test via kabel of WLAN?
7. Moet u de TCP-doorvoer, UDP-verlies of beide controleren?

Bij tests achter een Sophos Firewall is een strakke structuur doorgaans belangrijker dan de individuele maximale waarde. Een client op WiFi, een overbelaste hypervisor of een trage Public-iPerf-server kunnen een vals firewallprobleem nabootsen.

Installeer iPerf

iPerf is beschikbaar voor Windows, macOS, Linux, Android en iOS. Een bekende downloadbron is iPerf.fr.

Voer iPerf uit

Als de testopstelling duidelijk is, start u eerst de server op en voert u vervolgens gerichte clienttests uit. TCP, UDP, tegengestelde richting en parallelle stromen beantwoorden verschillende vragen en mogen daarom niet gemengd worden.

iPerf-server starten

Op het doelsysteem wordt iPerf gestart in servermodus:

iperf3 -s

Standaard luistert iPerf3 op TCP poort 5201. Als een andere poort moet worden gebruikt, wordt deze op de server en client hetzelfde gespecificeerd:

iperf3 -s -p 5200

Let op: Op Windows, macOS of Linux kan de lokale hostfirewall de iPerf-poort blokkeren. Als de client de server niet kan bereiken, moet eerst de lokale firewall op de iPerf-server worden gecontroleerd.

TCP-test starten

Op de client wordt de server aangesproken met het IP-adres:

iperf3 -c 10.10.10.50

Voor stabielere resultaten is een langere test zinvol:

iperf3 -c 10.10.10.50 -t 30

Controleer de richting specifiek

Prestatieproblemen komen vaak maar in één richting voor. iPerf3 kan de gegevensstroom omkeren zonder server en client te verwisselen:

iperf3 -c 10.10.10.50 -t 30 -R

Dit is met name handig voor VPN-routes, asymmetrische routering, uploadproblemen of WAN-lijnen met verschillende downstream- en upstream-bandbreedte.

Voer de UDP-test uit

UDP moet altijd worden getest met een redelijke doelbandbreedte. Zonder een geschikte doelbandbreedte meet de test niet de daadwerkelijk verwachte belasting.

iperf3 -c 10.10.10.50 -u -b 100M -t 30

Voor een route van 1 Gbit kan een hogere doelwaarde zinvol zijn:

iperf3 -c 10.10.10.50 -u -b 1G -t 30

Deze waarden zijn vooral belangrijk voor UDP:

• Verloren/totaal datagrammen: Pakketverlies
• Jitter: Variatie in de transittijd van pakketten
• Bitrate: effectieve bandbreedte verzonden of ontvangen

Een UDP-test met een te hoge doelbandbreedte zorgt opzettelijk voor overbelasting. Dit kan nuttig zijn voor grenstests, maar mag niet verkeerd worden geïnterpreteerd als een normale lijntest.

Gebruik meerdere streams

Een enkele TCP-stream kan worden beperkt door latentie, TCP-venstergrootte of clientprestaties. U kunt meerdere parallelle streams gebruiken voor capaciteitstests:

iperf3 -c 10.10.10.50 -t 30 -P 4

Het resultaat laat een groter deel van de totale bruikbare capaciteit van de route zien. Voor een enkele toepassing is een single-stream-test vaak zinvoller.

Gebruik de openbare iPerf-server

Voor ruwe internetvergelijkingen kan een openbare iPerf-server worden gebruikt. Publieke servers zijn echter niet te controleren: gebruik, beperkingen, bereikbaarheid en afstand kunnen sterk fluctueren. Een goed onderhouden overzicht vind je bijvoorbeeld in de lijst met iPerf Public Servers op GitHub.

Als het gaat om de vraag of de lokale firewall, de VPN of een specifiek beleid dit vertraagt, is een aparte iPerf-server aan de andere kant meestal veel betrouwbaarder.

Vergelijkende meting en evaluatie

Een enkele iPerf-waarde is zeldzaam genoeg. De test krijgt pas betekenis als de richting, parameters, firewallregel en meettijd worden gedocumenteerd en later onder dezelfde omstandigheden worden herhaald.

Plan nulmetingen en vergelijkingsmetingen

iPerf is vooral waardevol wanneer vergelijkbare metingen voor en na een verandering worden uitgevoerd. Een enkele test na een klacht geeft alleen de huidige toestand weer. Er wordt nog niet gezegd of de route vooraf al langzaam was of dat een nieuwe firewallregel, een IPS-profiel, TLS Inspection, traffic shaping, een VPN-parameter of een providerprobleem de wijziging heeft veroorzaakt.

Voor betrouwbare vergelijkingen moeten deze testomstandigheden worden geregistreerd:

• Datum en tijd: Back-ups, updates, rapporten of providerbelasting kunnen de resultaten vertekenen.
• Bron en bestemming: Andere clients, servers of VLAN’s resulteren in andere paden.
• Richting: Downloaden, uploaden en -R kunnen zeer verschillende waarden weergeven.
• Protocol en parameters: TCP, UDP, streams, duur en doelbandbreedte moeten vergelijkbaar blijven.
• Toepasselijke firewallregel: Beveiligingsprofielen, logboekregistratie, NAT en verkeersvorming zijn afhankelijk van het beleid.
• VPN of WAN pad: SD-WAN, Route Precedence, Gateway status en tunneltype zijn van invloed op de route.
• Omgeving: Kabel-, WLAN-, hypervisor-, CPU-belasting en parallel verkeer moeten worden geclassificeerd.

Als er veranderingen worden gepland, is een eenvoudig proces zinvol:

1. Voer een referentietest uit voordat u wijzigingen aanbrengt.
2. Documenteer de firewallregel, het beleid, het VPN-pad en de meetparameters.
3. Breng precies één wijziging aan.
4. Voer dezelfde test opnieuw uit.
5. Als er afwijkingen zijn, controleer dan Log Viewer, Packet Capture, interfacefout en systeembelasting.
6. Test daarna pas de volgende wijziging.

Vooral bij VPN en locatietests voorkomt deze procedure dat meerdere oorzaken door elkaar worden gehaald. Als MTU, IPS, SD-WAN, firewallregels en clientprofielen tegelijkertijd worden aangepast, is het moeilijk om later een betere iPerf-waarde toe te kennen.

Evalueer resultaten

Bij de beoordeling moet niet alleen gelet worden op het hoogste Mbit/s-nummer.

Typische observaties:

• Lage TCP-doorvoer met veel hertransmissies: dit wijst op pakketverlies, een duplex-/linkprobleem, WAN-kwaliteit of een MTU/MSS-onderwerp.
• Goede download, slechte upload: Asymmetrische lijn, routing, provider shaping of VPN-richting zijn mogelijk.
• UDP pakketverlies, zelfs bij gemiddelde belasting: Veelvoorkomende oorzaken zijn overbelasting, slechte WAN-kwaliteit, onjuiste vormgeving of WLAN.
• Zeer fluctuerende waarden: Controleer parallelle belasting, WLAN, CPU-limiet of virtuele omgeving.
• Alleen openbare servers traag: Dan wordt de externe server of peering beïnvloed, niet automatisch de lokale firewall.

Tijdens de test moeten RAM, interfacebelasting, IPS-belasting en betrokken regels worden gecontroleerd op de Sophos Firewall CPU. De waarden kunnen beter worden geclassificeerd met behulp van de prestatiestatistieken en live logs.

Fouten en checklist

Veel valse conclusies ontstaan ​​omdat het testpad niet duidelijk is gedefinieerd of er geen rekening is gehouden met openbare servers, WLAN, lokale hostfirewalls en VPN-richting.

Veel voorkomende fouten

• De iPerf-poort wordt op de server geblokkeerd door de lokale hostfirewall.
• De verkeerde richting wordt getest.
• Er wordt een WLAN-client gebruikt voor een prestatieverklaring van de firewall.
• UDP is getest zonder geschikte doelbandbreedte of met een onrealistisch hoge doelbandbreedte.
• Een openbare iPerf-server wordt gebruikt als het enige bewijs van iemands internetprestaties.
• TCP enkele stream en meerdere parallelle TCP-streams zijn gemengd.
• De toepasselijke regel Sophos Firewall is niet aangevinkt.
• VPN-tests worden beoordeeld zonder te kijken naar MTU, MSS, CPU en de tegenzijde.

Korte checklist

1. Bepaal de testroute en -richting.
2. Start de iPerf-server op een geschikt eindpunt.
3. Controleer de lokale hostfirewall op de iPerf-server.
4. Identificeer de juiste Sophos Firewall-regel.
5. Voer de TCP-test gedurende minimaal 30 seconden uit.
6. Test indien nodig in de tegenovergestelde richting met -R.
7. Test UDP alleen met een realistische doelbandbreedte.
8. Controleer de firewallstatistieken, logbestanden en Packet Capture parallel.
9. Herhaal de test na wijzigingen en documenteer de resultaten.
10. Gebruik dezelfde parameters, richting en pad bij het uitvoeren van vergelijkingsmetingen.

Veelgestelde vragen