Engpass im Weitverkehrsnetz

Citrix-Access-Plattform im WAN – Kosten reduzieren, sicherer sowie flexibler und zentralisierter Zugang zu den unternehmenskritischen Anwendungen versprechen die Citrix-Lösungen. Allerdings hapert es damit, wenn der Zugriff über das WAN erfolgt.

Die Zentralisierung von Anwendungen bietet der IT-Abteilung den Vorteil, dass der komplette Rollout für neue Software oder der Update von Programmen wesentlich schneller und damit preisgünstiger zu realisieren ist. Darüber hinaus sorgt eine zentrale Abspeicherung der Daten für eine erhöhte Datensicherheit und vereinfacht das Backup-Konzept.

Bei Citrix-Applikationen wird jede Curser- und Mausbewegung sowie jede Eingabe vom Citrix-Server »geechot«. In der Regel bemerkt der Anwender kaum die netzbedingten Verzögerungen und Überlastungen. Allerdings können große Printjobs, mächtige Geschäfts- (CRM, ERP), Grafik- oder VoIP-Anwendungen im Netz dafür sorgen, dass die gesamte verfügbare Bandbreite für einen bestimmten Zeitraum belegt ist, was zu einem Timeout bei den Citrix-Verbindungen führt.

Dies ist im internen Unternehmensnetz meistens noch in den Griff zu kriegen, eskaliert allerdings im WAN drastisch. Für Abhilfe sollen IP-Router oder VPN-Appliances sorgen, doch zeigt die Praxis, dass diese Geräte in der Regel nicht die notwendigen QoS- und Bandbreitenmanagementfunktionen unterstützen, um eine optimale Performance bereitzustellen. Typischerweise unterstützen Router den Random-Early-Discard-Weighted-Algorithmus (RED/ WRED). Tritt eine Überlastung auf dem Ausgangs-Interface auf, dann verhindert der RED/WRED-Mechanismus diese, durch ein Verwerfen bestimmter Pakete auf dem Eingangs-Interface.

Durch die interaktive Natur des Citrix-Verkehrs verschlimmert der RED/ WRED-Mechanismus das Verhalten des Netzes zusätzlich. Bereits das Verwerfen eines einzigen Pakets reduziert sofort die Performance des betreffenden Citrix-Datenstroms und erhöht automatisch die Überlastsituation durch Sendewiederholungen.

Einen alternativen Lösungsansatz verfolgen einige VPN-Appliances. Diese Komponenten kontrollieren die Datenrate der Eingangs- und Ausgangsports (auf einer per-Port, per-Prioritäts-Basis). Dieser Lösungsansatz benachteiligt alle Benutzer gleichermaßen. Es werden durch statische Obergrenzen die nutzbare Bandbreite unnötig begrenzt und die zur Verfügung gestellten Bandbreitenraten nicht dynamisch angepasst, wenn sich die Verkehrssituation ändert.

Zum Test stand der Converged-Traffic-Manager (CTM) zur Verfügung, der die für den Betrieb der Anwendungen notwendige Fairness, also die Effizienz des gesamten WANs auf Basis einer präzisen und auf die jeweiligen Anforderungen der Applikationen einstellbaren Performancekontrolle, optimieren soll. Denn der Citrix-Datenverkehr erfordert für den ordnungsgemäßen Betrieb auf Grund seiner interaktiven Natur große Bandbreitenunterschiede. Diese können zwischen 32 KBit/s pro Session (beispielsweise Word) bis über 2 MBit/s (beispielsweise die Darstellung einer mit Flash animierten Web-Seite) betragen.

Testaufbau
Im Test werden mit Hilfe des Werkzeugs Iperf (http://dast.nlanr.net/) mehrere parallele UDP- und TCP-basierte Verkehrsströme simuliert. Die Gesamtbandbreite aller Datenströme beträgt 5,2 MBit/s.

Auf der Empfängerstation arbeitet Iperf im Servermodus:

• 6 mal zum Empfang von TCP-Datenströmen auf den TCP-Ports 5001 bis 5006 und
• 3 mal zum Empfang von UDP-Datenströmen auf den UDP-Ports 5001, 5002 und 5003.

Die Sendestation generiert im Iperf-Client-Modus folgende Sessions:

• 6 parallele TCP-Datenströme über den Zeitraum von 5 Minuten und
• 3 parallele UDP-Verbindungen.

Die UDP-Verbindungen werden zwei Minuten nach dem Start der TCP-Sessions aktiviert. Jeder UDP-Datenstrom belegt 1 MBit/s an Bandbreite und befindet sich somit für zwei Minuten im Wettbewerb um verfügbare Bandbreite mit den TCP-Datenströmen.

Das WAN wird mit Hilfe von zwei Ethernet-over-Powerline-Adaptern von Devolo simuliert und ist in der Lage, eine Bandbreite von etwas über 5 MBit/s zu verarbeiten. Das auf dem CTM festgelegte Regelwerk wurde bewusst sehr einfach gehalten: Mit Hilfe einer Regel wird der TCP-Datenverkehr vor dem UDP-Verkehr geschützt, damit die TCP-Verbindungen immer die für die Übermittlung notwendigen Bandbreiten erhalten.

Das Regelwerk stellt die Filter für die unternehmenskritischen Anwendungen. Diese Filter enthalten die Namen der Applikationen, die DSCP-Definitionen und/oder IP-Adressen, Subnetze oder Adressräume.

Testresultate
Der oben beschriebene Test wird zwei Mal durchgeführt:

1. Der CTM arbeitet nur im Monitoringmodus.
2. Im CTM wird der Policy-Enforcer aktiviert.

Arbeitet der CTM im reinen Monitormodus, nutzen die TCP-Verbindung nach Ablauf des Slow-Start-Algorithmus des TCPs die gesamte verfügbare Bandbreite zur Übermittlung der Daten. In diesem Fall beträgt die Bandbreite 5,250 MBit/s. Die TCP-Bandbreite sinkt auf etwa 3 MBit/s, wenn die UDP-Ströme übermittelt werden.

Wird das Verkehrsmanagement aktiviert, bleibt für die TCP-Verbindungen eine konstante Bandbreite von 4 MBit/s über den gesamten Testzeitraum erhalten. Die parallel übermittelten UDP-Datenströme haben keinerlei negative Auswirkungen auf die TCP-Verbindungen.

Eine genauere Analyse der individuellen Verkehrsverbindungen verdeutlicht die Arbeitsweise des CTMs: Die großen Unterschiede innerhalb der TCP-Datenströme bei der gleichzeitigen Übermittlung von UDP-Strömen ist das direkte Resultat fehlender Eingangspuffer (auf der Ethernet-Seite) im Powerline-Modem, welches in der Testkonfiguration die Rolle eines klassischen Routers übernimmt. Empfängt ein solches Gerät auf der Eingangsseite eine höhere Datenrate, als es über die Ausgangsseite übermitteln kann, muss eine Aktion eingeleitet werden. In der Praxis werden die überschüssigen Pakete verworfen. Dies kann entweder nach zufälligen Kriterien oder anhand des Pakettyps geschehen. Daher wird bei der Übermittlung über das WAN eine Komponente benötigt, die den gesamten Datenverkehr und die individuellen Datenströme überprüft und nicht nur die »unwichtigen« Datenpakete verwirft, sondern die Geschwindigkeiten der Datenströme entsprechend des Regelwerks steuert.

Hierzu lassen sich folgende Möglichkeiten nutzen:

• Reduzierung der Übertragungsgeschwindigkeit aller TCP- beziehungsweise UDP-Ströme.
• Reduzierung der Übertragungsgeschwindigkeit einiger TCP- beziehungsweise UDP-Ströme.

Diese Verkehrsanpassung sorgt dafür, dass keine Pakete bei auftretenden Bandbreitenengpässen verworfen werden müssen.

Ohne eine Aktivierung der Verkehrssteuerung durch den CTM verändert sich im Fall einer Überlast (Ursache die drei UDP-Datenströme) die nutzbare Bandbreite der einzelnen TCP-Datenströme unterschiedlich. Nur die drei UDP-Verbindungen erhalten die notwendige Bandbreite und teilen diese untereinander gerecht auf.

Mit aktiviertem CTM-Verkehrsmanagement erhalten alle sechs TCP-Verbindungen exakt die gleiche Bandbreite. Für die zusätzlichen drei UDP-Verbindungen wurde jeweils eine maximale Bandbreite von 333 kBit/s und eine Obergrenze von 1 MBit/s festgelegt.

Der Test zeigt, dass Bandbreitenbegrenzung und die unterschiedliche Behandlung der jeweiligen Protokolle auf der WAN-Verbindung der Grundstein für einen erfolgreichen Betrieb einer solchen Anwendung sind. Wird die Bandbreite auf einen zu hohen Wert gesetzt, hat der UDP-Verkehr eine signifikante Auswirkung auf die TCP-Datenströme und verschlechtert deren Verhalten (Sendewiederholungen, Verzögerungen). Die detaillierte Analyse der Problemursachen ergab, dass der Eingangspuffer der LAN/WAN-Komponente (in diesem Fall das Ethernet-over-Powerline-Interface) bei Datenbursts ab einer gewissen Grenze die Pakete verwarf. Die im Test verwendeten Ethernet-over-Powerline-Modems sind theoretisch in der Lage, Datenströme mit einer Gesamtbandbreite von bis zu 11 MBit/s zu verarbeiten. In der Testkonfiguration konnte jedoch nur eine maximale Durchsatzrate von etwa 5 MBit/s erzielt werden. Durch das Setzen der Link- und Klassenbandbreite auf 5,2 MBit/s steuerte der CTM den gesamten Verkehr und sorgte auch bei Datenburst für die ordnungsgemäße Übertragung über das WAN.

Die im CTM integrierte Call-Admission-Control (CAC) gibt dem Administrator ein Werkzeug an die Hand, mit dem dieser die Qualitätsmerkmale bereits bestehender Sprachverbindungen aufrecht erhält. Hierzu wird die Anzahl der im Netzwerk aktiven Verbindungen auf eine maximale Obergrenze beschränkt. Wird beispielsweise ein Netzwerk für den Betrieb von zehn parallelen Citrix-Verbindungen ausgelegt, würde die Aktivierung einer elften Verbindung die verfügbare Bandbreite der ersten zehn Verbindungen beschneiden und in Paketverlusten und Verzögerungen resultieren. Mit Hilfe der CAC kontrolliert der Netzadministrator, ob die elfte Verbindung abgewiesen wird oder ob sich verfügbare Bandbreite anderer niederpriorisierter Verkehrsklassen für diese Verbindung »borgen« lässt. Die Kontrolle des Verhaltens von Applikationen im überlasteten Netzwerk gehört zu den fundamentalen Voraussetzungen für einen sicheren Betrieb von VoIP und Citrix in einer gemeinsamen Netzumgebung.

Mit Hilfe der Paketgrößenoptimierung des CTM ist der Netzmanager in der Lage, die Größe der zu übertragenden Pakete zu kontrollieren. Dazu wird der »Define Maximum-Transmission-Unit (MTU) per policy«-Parameter genutzt und die größte Paketgröße (in Bytes) festgelegt, die das Netzwerk übermitteln kann. Diese Technik wird immer dann eingesetzt, wenn Citrix, VoIP und andere verzögerungssensitive Applikationen im Wettbewerb um Bandbreite mit E-Mails, Druckjobs oder anderen großen Filetransfers stehen. Um sicherzustellen, dass der verzögerungsensitive Verkehr auch die gewünschte Bandbreite erhält, reduziert der Netzadministrator die Pakete für mächtige Filetransfers auf die gewünschte Größe.

Werden in einem Unternehmen regelmäßig große Printjobs über das Netzwerk gesendet oder Remote-Dokumentscannersysteme mit zentralisierter Speicherung der gescannten Daten genutzt, dann tragen die im CTM integrierten Kompressionsmechanismen zur Optimierung der verfügbaren Bandbreite bei. Die regelbasierten Kompressionsmechanismen erreichen bei den üblicherweise zum Ausdrucken beziehungsweise Scannen genutzten, unkomprimierten Postscript-Files eine Kompressionsrate zwischen 5:1 und 10:1. Die Kompression der Übertragungsdaten reduziert nicht nur die Druckzeit um die Hälfte, sondern sorgt für mehr verfügbare Bandbreite, die sich von anderen wichtigen Anwendungen nutzen lässt.

Fazit
Der CTM hat seine Einsatzgebiete in folgenden Bereichen:

• Bandbreitenbegrenzung: die drei UDP-Datenströme erhalten auf Basis des integrierten Class-Based-Queuings (CBQ) die festgelegte Bandbreite.
• Fairness; Unter den sechs TCP-Datenströmen wird die hierfür festgelegte Bandbreite mit Hilfe des TCP-Rate-Shapings begrenzt.
• Bandbreitenmessung: Die verfügbare Bandbreite des WAN-Links und der jeweiligen Klassen (Protokolle) ergibt sich nicht aus der theoretisch maximal verfügbaren Bandbreite, sondern aus den aktuell gemessenen Mittelwerten der nutzbaren Bandbreite.
• Faire Verteilung: Mangelnde Eingangspuffer der Koppelkomponenten (Router und Modems) haben keinerlei Auswirkungen auf die gesamte Netzperformance und die faire Verteilung der verfügbaren Bandbreite zwischen den einzelnen Datenströmen.

mh@networkcomputing.de