floekblog

Leider musste ich immer wieder feststellen, dass ZFS sehr (und ich meine sehr) Performance hungrig ist. Dies führt immer wieder dazu, dass die Performance der VMs die im xVM laufen beeinträchtigt wird. Workaround: PIN der Dom0 CPU auf einen Core und Nutzung der verbleibenden Cores für die VMs. Dies geht im laufenden Betrieb so:


xm vcpu-set Domain-0 1 # Nur eine vCPU für die Dom0
xm vcpu-pin Domain-0 0 0 # Diese eine vCPU soll nur auf Core 0 laufen
xm vcpu-pin VM all 1-3 # Die vCPU(s) der VM sollen nur Cords 1-3 nutzen


Erfreulicherweise bekommt die libvirt dies auch gleich mit und fügt ein <vcpu cpuset='1-3'>1</vcpu> in die XML Config mit ein.

Damit die Dom0 nach einem Reboot mit einer vCPU und nur auf Core 0 läuft müssen dem Hypervisor die Optionen dom0_vcpus_pin=true dom0_max_vcpus=1 mitgegeben werden.

Leider musste ich diese Tage ein paar Einschränkungen des ZFS Pools mit dem root Dateisystem meines Servers feststellen. Aktuell verwende ich zwei gespiegelte Platten für diesen Pool. Erster Punkt: Schreiben ist aus unerfindlichen Gründen langsam. Mehr wie 2-3 MB/s gehen nicht. Daher war der Plan den Spiegel um zwei weitere Platten zu erweitern (Stripped Mirror). Anscheinend geht das aber nicht. Man kann den Root Pool nur zu einem dreifach Spiegel erweitern. Das Anhängen eines weiteren Mirrors aus zwei Platten wird nicht erlaubt und schlägt mit der Meldung
“cannot add to ‘rpool’: root pool can not have multiple vdevs or separate logs”
fehl. Somit macht es für mich keinen Sinn den Root Pool intensiver zu Nutzen. Man braucht immer einen zweiten Pool.

Ein kurzer Test zeigt, dass der Aufbau eines VPN Tunnels zu einem IPV6 Endpunkt aktuell mit der FritzBox 7390 mit Firmware-Version 84.04.86 fehlschlägt. Die Angabe einer IPV6 Adresse unter remotehostname führt dazu, dass sich die VPN Konfig gar nicht erst importieren lässt. Ich habe daraufhin einen DNS Record erzeugt der nur einen AAAA Record besitzt. Die VPN Konfig lässt sich dann zwar importieren, aber ein Verbindungsaufbau des Tunnels schlägt mit der Meldung IKE-Error 0x202C "dns: host/domain not found" fehl. Sehr schade.

So, heute konnte ich endlich mal testen, was die FritzBox 7390 in Sachen IPSec so bringt. Ich habe mit verschiedenen Verschlüsselungsalgorithmen (AES128, AES256, 3DES) einen Tunnel zu einer Astaro an einem 100 MBit Port im Rechenzentrum aufgebaut. Man kann sagen, die Performance reicht für den Heimgebrauch. Maximal habe ich ca. 15MBit/s durch den IPSec Tunnel bekommen, wobei man sagen kann das die Leistung bei 3DES am schlechtesten war. Zum Vergleich mit meinem Alix Board unter PFSense schaffe ich mit AES128 locker 25MBit/s mehr gibt mein Internetanschluss aktuell nicht her.