Warum eine SMB-Kopie langsam wird, wenn beide PCs dem VPN beitreten

Eine Dateikopie zwischen zwei Windows-Rechnern in einem Gigabit-LAN fällt auf Kriechgeschwindigkeit, sobald beide eine Verbindung zum selben VPN aufbauen, während ein Durchsatztest zwischen demselben Paar weiterhin nahezu Leitungskapazität meldet. Die Leitung ist nicht das Problem, und die Festplatte auch nicht. SMB3 Multichannel hat stillschweigend eine zweite TCP-Verbindung hinzugefügt, die über den Tunnel läuft, und die Kopie wartet auf den langsamsten Kanal. Entfernt man diesen Pfad aus SMB, kehrt die LAN-Geschwindigkeit zurück.

Eine Freigabe kann mehrere TCP-Verbindungen nutzen

Multichannel erlaubt es einem Client, unabhängige Verbindungen zu einem Server zu öffnen, eine pro geeignetem Adresspaar. In einem reinen LAN gibt es womöglich nur ein einziges Paar, sodass nichts Auffälliges passiert. Fügt man auf beiden Rechnern einen VPN-Adapter hinzu, sieht Windows ein zweites Paar – Tunneladresse zu Tunneladresse – und öffnet darüber einen Kanal.

Dieser Kanal ist verschlüsselt, teilt sich die CPU mit dem Tunnel und durchquert dieselbe WAN-Strecke wie alles andere. Eine Kopie, die allein das LAN genutzt hätte, hat nun ein langsames Mitglied in der Gruppe, und SMB verwirft es nicht stillschweigend.

Ein Durchsatztest, der an die LAN-Adresse gebunden ist, sieht weiterhin gesund aus – genau deshalb weichen die beiden Messungen so stark voneinander ab.

Beweisen Sie zuerst, dass der Tunnelkanal existiert

Führen Sie die Abfragen auf dem Client aus, während eine Kopie läuft, denn eine Kanalliste ist nur interessant, wenn sie aktuell ist.

Get-SmbMultichannelConnection | Where-Object Selected -eq $true | Format-Table ServerName, ClientIPAddress, ServerIPAddress
Get-SmbConnection | Format-Table ServerName, Dialect, NumOpens

Mehr als eine ausgewählte Zeile für denselben Server ist der Beweis, den Sie brauchen. Lösen Sie die Client-Adresse der verdächtigen Zeile zu einem Interface auf. Ist dieser Alias der VPN-Adapter, ist der Kanal echt und kein veralteter Eintrag.

Get-NetIPAddress -IPAddress 10.8.0.6 | Format-List IPAddress, InterfaceAlias

Die Adressen unterscheiden sich auf jedem Rechner, daher lesen Sie die aus Ihrer eigenen Ausgabe, statt die Beispiele oben einzutippen.

Nehmen Sie den Tunnel aus SMB heraus und starten Sie beide Enden neu

Multichannel abzuschalten ist eine Änderung auf Client und Server zugleich, und nur auf einer Seite bleibt die andere frei, das Interface weiter anzubieten. Bestehende Kanäle überleben die Einstellung, planen Sie also einen Neustart ein, statt zu erwarten, dass die nächste Kopie sich anders verhält.

Set-SmbClientConfiguration -EnableMultiChannel $false -Force
Set-SmbServerConfiguration -EnableMultiChannel $false -Force
Get-SmbClientConfiguration | Select-Object EnableMultiChannel

Listen Sie nach dem Neustart die Interfaces auf, die der Server für SMB anbietet. Der Tunneladapter sollte aus dieser Liste verschwunden sein. Ist er noch vorhanden, landete die Einstellung am falschen Endpunkt, oder eine alte Sitzung ist noch offen.

Get-SmbServerNetworkInterface | Format-List Name, InterfaceAlias, LinkSpeed

Wenn das Ziel enger ist als das Abschalten von Multichannel überall, stoppt das Aufheben der Bindung der Serverkomponente am Tunneladapter die Freigabe darüber, lässt aber den Rest des VPN unberührt.

Get-NetAdapterBinding -Name "<vpn adapter>" -ComponentID ms_server
Disable-NetAdapterBinding -Name "<vpn adapter>" -ComponentID ms_server

Bevorzugen Sie das LAN und messen Sie zweimal auf dieselbe Weise

Eine Interface-Metrik entfernt keinen Kanal, aber sie lenkt neue Verbindungen auf die physische Strecke und hält fremden Verkehr vom Tunnel fern. Kopieren Sie den Alias aus der Ausgabe, statt ihn zu tippen, denn er ist auf manchen Installationen lokalisiert.

Get-NetIPInterface | Sort-Object InterfaceMetric | Select-Object InterfaceAlias, InterfaceMetric
Set-NetIPInterface -InterfaceAlias "<vpn adapter>" -AutomaticMetric Disabled -InterfaceMetric 9000

Wiederholen Sie dann beide Messungen: die Dateikopie und einen Single-Stream-Durchsatztest. Erholt sich die Kopie, während der Durchsatztest unverändert bleibt, war der Tunnel nie der Engpass. Brechen beide ein, ist der VPN-Pfad die Grenze, und Multichannel hat sie nur sichtbar gemacht. Vergleichen Sie mit einer Kopie, die vor dem Verbinden des VPN entstanden ist, denn nur diese Basis isoliert die Änderung.

Multichannel zu deaktivieren kostet Durchsatz auf Servern, die tatsächlich mehrere schnelle Pfade anbieten, also schalten Sie es wieder ein, wenn das VPN aus dem Bild verschwindet. Notieren Sie, welchen Adapter Sie geändert haben, denn der Nächste findet die Einstellung und nicht den Grund.