Vigor3910

Lieferumfang

Ähnliche Produkte

Zubehör

Downloads

Testbericht - c't, Ausgabe 6/2020, Seite 82-83, Autor Ernst Ahlers

Multi-Gigabit-VPN

Draytek Vigor3910: VPN-Router für sehr schnelle Internet-Anschlüsse

Wenn Firmen ihre Standorte über Glasfaseranschlüsse der Gigabit-Klasse vernetzen wollen, genügt der VPN-Durchsatz herkömmlicher Router selten. Draytek hat mit dem Vigor3910 ein VPN-Gateway im Programm, das mehrere Gigabit pro Sekunde per IPsec verschlüsseln soll. Von Ernst Ahlers


VPN-Router und Firewall-Appliances für kleine Firmen, die bei der IPsec- Verschlüsselung mindestens ein Gigabit pro Sekunde schaffen, kosten bei den großen Herstellern locker über 2000 Euro, beispielsweise Ciscos Firepower 1120. Seinen VPN-Konzentrator Vigor3910 bietet Draytek für rund die Hälfte an und verspricht die dreifache VPN-Geschwindigkeit. Damit können Firmen ihre Standorte bei Bedarf auch schneller als mit 1 GBit/s koppeln oder vielen Außendienstlern gleichzeitig einen schnellen Weg ins Intranet bahnen – falls der Internetprovider so hohe Datenraten symmetrisch, also in beide Richtungen, überhaupt anbietet.

Der Vigor3910 hat eine bunte Portmischung: Je zwei SFP+-Slots (1/10 GBit/s über Glasfaser-Module), zwei NBase-TPorts (bis 2,5 GBit/s per Kupferkabel) und sechs Gigabit-Ethernet-Buchsen sind in der Standardeinstellung zu gleichen Teilen auf WAN und LAN verteilt. Die ersten fünf Ports lassen sich zwischen WAN- und LAN-Funktion umschalten. Dazu kommt ein RJ45-Console- Anschluss, über den der Router mit dem beiliegenden Adapterkabel per serieller Schnittstelle erreicht ist, falls man sich beispielsweise bei der VLAN-Konfiguration versehentlich ausgesperrt hat und das Gerät nicht per Taste auf Werkseinstellungen zurücksetzen will. Die zwei USB-3.0-Ports machen nicht-netzwerkfähige USB-Drucker im LAN verfügbar.

Wie bei Breitbandroutern üblich, schließt man an die WAN-Ports entweder Modems oder Medienwandler für die Providerleitung an. Mehrere Zugänge kann der 3910 statt als Backup (Failover) auch als Bündel nutzen (Load Balancing), entweder abhängig von der Ziel-IP-Adresse oder sitzungsbasiert. Mit letzterem bekommt ein LAN-Host bei mehreren parallelen Downloads höheren Durchsatz, indem der Router die Datenströme auf die WAN-Zugänge verteilt.

Einrichtung

Der Standardweg für die Konfiguration ist der Browser, wobei die Webseiten auf den Desktop-Modus ausgelegt sind. Daneben gibt es Telnet- und SSH-Zugänge, die auf Drayteks Router-Betriebssystem DrayOS führen. Dass der 3910 auf Firmen ausgelegt ist, macht sich an den 50 vordefinierten Subnetzen (LANs) bemerkbar, die man den ebenfalls 50 vordefinierten VLANs zuordnen kann. Dabei lässt sich bei IPv6 jedem Subnetz ein eigenes /64-Präfix zuweisen und auch ein eigener DHCPv6- Server aktivieren, falls der Provider ein hinreichend großes Präfix delegiert.

Für fünfzig /64-Netze braucht man mindestens ein /58-Präfix. Mit einem vorgeschalteten xDSL-Modem kam der Router wie erwartet mit dem VLAN-Tagging des Telekom-VDSL klar. Lediglich das Weiterverteilen des seit Anfang 2020 nur noch per IGMPv3 mit Source-Specific Multicast (SSM) erreichbaren Live-Fernsehens MagentaTV klappte im Test nicht. Das ist in Firmen wohl auch weniger wichtig und soll später per Firmware-Update behoben werden.

Hardware-Grundlage

Als Router-Kern hat Draytek ein Systemon-Chip (SoC) Octeon TX CN8130 gewählt. Das Design des CN8130 kommt vom 2018 von Marvell aufgekauften Entwicklerhaus Cavium und stammt von 2016. Marvell bietet den Baustein aktuell für auf Kleinfirmen ausgerichtete Geräte an (Small and Medium Business, SMB, Entry-Level Enterprise). Das SoC enthält nebst vier mit 1,2 GHz getakteten ARMv8-Kernen einen Paket-Prozessor sowie einen Crypto- Beschleuniger.

Daneben sitzen acht bis zu 10 Gigabit/s schnelle Schnittstellen (XFI/ RXAUI), die beim Vigor3910 als SFP+ beziehungsweise über PHY-Chips als Gigabit-Ethernet-Ports (1000Base-T) herausgeführt sind. Die beiden maximal 2,5 GBit/s erreichenden NBase-T-Schnittstellen dürften über die PCI-Express-3.0Lanes des SoC angebunden sein.

NAT- und VPN-Durchsatz

Mit der zum Testzeitpunkt öffentlich verfügbaren Firmware 3.9.1.2 blieb die leistungsfähige Hardware mit rund 150 MBit/s weit hinter den versprochenen 3,3 GBit/s VPN-Durchsatz zurück.

Erst die vom Hersteller zugeschickte Firmware 3.92 RC2 (Release Candidate) trieb sie zur Maximalleistung: Zwei per 10-Gigabit-Ethernet gekoppelte 3910er transportierten per IPsec-Tunnel im LAN-zu-LANModus in unserem Test 3,0 beziehungsweise 2,5 GBit/s (Down-/Upstream, DS/ US) TCP-Durchsatz, gemessen mit iperf3. Die Differenz zum beworbenen Wert dürfte unterschiedlichen Messmethoden geschuldet sein. Abgesehen von IPsec unterstützt der Vigor-Router auch OpenVPN und SSLVPN, die wir nicht separat gemessen haben.

Bei SSL-VPN sind laut Datenblatt maximal 200 Tunnel möglich, insgesamt soll der Router 500 gleichzeitige Tunnel schaffen. Das dürfte auch für größere Außendienstlerflotten genügen. Beim NAT-Benchmark mit IP-zu-IP (DHCP) blieb der Vigor3910 mit 9,2 und 9,3 GBit/s (DS/US) nur wenig unter dem mit 10-Gigabit-Ethernet möglichen Maximaldurchsatz (9,5 GBit/s bei Standard-MTU 1500 Byte). Bei PPPoE war unser Testrechner mit Xeon-CPU E3-1240 am Anschlag: Er schaffte maximal 1,24 beziehungsweise 0,9 GBit/s, sodass wir ausgehend von der im Browser-Dashboard angezeigten CPU-Last im Router hochrechnen mussten. Die so ermittelten 8,3 und 9,0 GBit/s korrelieren gut mit der vom Hersteller genannten NAT-Performance (8,5 GBit/s).

Wer einen hochverfügbaren Internetzugang braucht, kann schließlich zwei 3910er in einer High-Availability-Konfiguration zusammenschalten: Ein Gerät wird der aktive Router, das andere springt beim Ausfall des ersten ein (Hot Standby). Per Config Sync halten die Geräte dabei ihre Einstellungen gleich.

Energiebedarf

Waren zwei SFP+-Slots mit Optik-Modulen (10GBase-SR) und ein Gigabit-Ethernet-Port per LAN-Kabel belegt, dann zog der Vigor3910 angemessen niedrige 16 Watt aus dem Stromnetz. Dabei schlug ein Optik-Modul mit aktivem 10G-Link mit rund 1 Watt zu Buche, der GE-Port mit circa 0,4 Watt. Setzten wir ein SFP+-Modul mit NBase-T-Ausgang ein, beispielsweise das Mikrotik S+RJ10, dann kletterte die Idle-Leistungsaufnahme je nach Linkrate (1, 2,5, 5 oder 10 GBit/s) um rund 2 bis 4 Watt.

Bei kurzen Distanzen von wenigen Metern, etwa einer Verbindung zu einem Switch mit SFP+-Port im gleichen Rack, ist ein Direct-Attach-Cable (DAC) mit nur 0,1 Watt Aufschlag viel sparsamer als Optik oder NBase-T. Bei 3 GBit/s VPN-Durchsatz kletterte die Leistungsaufnahme des Routers um wenig mehr als ein Watt. Da das Gerät mit passiver Kühlung ohne Lüfter auskommt, ist es prinzipiell unhörbar. Lediglich junge Ohren können direkt an den Lüftungsöffnungen vielleicht ein leises Netzteil- Zirpen wahrnehmen.

Fazit

Bei einem Preis von 1200 Euro stellt Drayteks Vigor3910 ein attraktives Angebot für Unternehmen dar, die Zweigstellen mit Gigabit-Geschwindigkeit koppeln oder viele Außendienstler mit schnellen Zugängen zum Firmennetz versorgen wollen. Die kleinen Falten der ersten Firmware-Versionen sollten in den nächsten Monaten glattgebügelt werden. Angesichts seiner Leistungsreserven dürfte der 3910 auch kommenden Multigigabit-Internetzugängen gewachsen sein. (ea@ct.de)

Quelle: c't, Ausgabe 6/2020, Seite 82-83, Autor Ernst Ahlers

Hier können Sie den Artikel nochmal als PDF-Datei downloaden: