Stau im Tunnel

Ein Tunnel ist eine künstlich angelegte Passage, die Berge, Gewässer oder andere Hindernisse unter- oder durchquert und zwei Endpunkte sicher miteinander verbindet.

Ein Tunnel zeichnet sich dadurch aus, dass er abgesehen von Ein- und Ausfahrt rundum geschlossen ist. Und er schottet natürlich sein Inneres gegen das ihn umgebende Medium ab. VPN-Systeme übertragen dieses Prinzip auf die IT. Sie etablieren »virtuelle« Tunnel zwischen zwei Endpunkten, indem sie die zu transportierenden Daten am »Tunneleingang« ver- und am »Tunnelausgang« entschlüsseln. Diese VPN-Tunnel durchqueren potenziell gefährliche Netze wie das Internet oder auch größere Unternehmensnetze.

Die hierfür notwendige kryptographische Ver- und Entschlüsselung sind natürlich ein rechenaufwändiges Verfahren. Und je sicherer das Verfahren ist, desto aufwändiger ist es auch. Unser aktueller Security-Appliances-Vergleichstest (ab Seite 16) hat gezeigt, dass diese Regel immer noch gilt. Und er hat gezeigt, dass Hard- und Software der Security-Appliances nicht mit der Entwicklung der LAN-Adapter Schritt halten konnten. So liegen realistischerweise zu erwartende Datendurchsätze aktueller Security-Appliances deutlich unter der Nennleistung ihrer Gigabit-Ethernet-Adapter. Und das gilt auch für Teststellungen, deren Listenpreise denen von respektablen Limousinen oder rassigen Sportwagen entsprechen. Vergleichsweise günstigere Appliances bewegen sich – Gigabit-Ethernet-Adapter hin oder her – von der Leistung eher im Fast-Ethernet-Bereich. Und auch Highend-Systeme tun sich schwer, die Netzbandbreite auch nur zu 50 Prozent auszuschöpfen.

IT-Verantwortliche tun gut daran, auch dieses Leistungspotenzial nicht voll auszureizen. Denn die Ausnutzung der nutzbaren Kapazität wird mit erhöhten Latency-Werten bestraft. Wann diese anfangen kritisch zu werden, hängt natürlich nicht von den Eigenschaften eines einzelnen Systems ab, sondern von der gesamten Strecke, die ein Signal durchläuft. Bei der Verdoppelung der genutzten Bandbreite steigt in einigen Fällen die Verzögerung um den Faktor 10 oder gar 100 und mehr. Dieses Verhalten macht es wahrscheinlich, dass es zu Problemen mit Real-Time-Applikationen wie Voice- oder Video-over-IP kommt. Und gegen das Verzögerungsproblem helfen auch keine größeren Pufferspeicher.

Diese vermeiden zwar unerwünschte Datenverluste, wenn es zu Engpässen kommt. Sie verlängern aber auch die Verzögerung schnell in Dimensionen, die das System dann für Echtzeitanwendungen unbrauchbar machen. Es gilt also, die Verarbeitungsgeschwindigkeit der Appliances selbst zu erhöhen. Bis die Hersteller ihre Systeme aber performanter gemacht haben, helfen folglich nur ein geeignetes Bandbreitenmanagement und eine wirkungsvolle Quality-of-Service – sonst droht ein massiver Stau im Tunnel.

Ihr Dr. Dirk R. Glogau