iPerf hinter Sophos Firewalls: Durchsatz richtig messen, Parameter wählen & niedrige Werte deuten

iPerf ist das Standardwerkzeug, um den Durchsatz einer definierten Netzwerkstrecke reproduzierbar zu messen. Anders als ein Speedtest im Browser oder ein Download auf der Appliance prüft iPerf gezielt eine Verbindung zwischen zwei Endpunkten, etwa zwischen zwei VLANs, über ein Site-to-Site-VPN oder vom Client zu einem Server. Die Sophos Firewall liegt dabei als Gateway im Pfad, nicht als Testendpunkt. In dieser Anleitung zeigen wir den sauberen Testaufbau hinter der Sophos Firewall, die richtigen iPerf-Parameter für TCP und UDP und die Deutung der Werte, wenn Sicherheitsfunktionen wie IPS, TLS Inspection oder Traffic Shaping den Durchsatz beeinflussen.

Was iPerf misst und was nicht

iPerf baut eine Testverbindung zwischen einem Server und einem Client auf und misst, wie viel TCP- oder UDP-Durchsatz dieser Pfad unter den gewählten Bedingungen erreicht. Der Wert gilt exakt für diese Richtung, diesen Port, dieses Protokoll und diese Endpunkte. TCP zeigt den erreichbaren Durchsatz inklusive Congestion Control, Retransmits und Fenstergrößen. UDP zeigt Paketverlust und Jitter, verlangt dafür aber eine definierte Zielbandbreite.

Ein iPerf-Test ersetzt weder einen echten Anwendungstest noch einen reinen WAN-Speedtest auf der Firewall. Er beantwortet eine andere Frage als der Download über die Konsole. Für die reine Leitung der Appliance nutzen Sie unseren WAN-Speedtest per SSH. Die folgende Tabelle ordnet die drei häufigsten Fragestellungen dem passenden Werkzeug zu.

iPerf vs. WAN-Speedtest vs. Packet Capture

Wann ein iPerf-Test sinnvoll ist

iPerf lohnt sich überall dort, wo der Durchsatz einer konkreten Strecke messbar und wiederholbar sein muss. In der Praxis sind das vor allem die folgenden Situationen.

• nach einer Firewall-Migration oder einem Modellwechsel
• vor und nach Änderungen an Firewall-Regeln, IPS, TLS Inspection oder Traffic Shaping
• bei langsamen Verbindungen zwischen VLANs, DMZ und Servernetzen
• bei VPN-Performance-Problemen über IPsec, SSL VPN oder Sophos Connect
• bei UDP-Themen wie VoIP, Videokonferenzen oder Echtzeitanwendungen
• zur Abgrenzung zwischen Firewall, WAN, WLAN, Client, Server und Anwendung

Warum iPerf nicht auf die Appliance gehört

SFOS ist eine gehärtete Sicherheitsappliance. Sophos hat viele klassische Linux-Werkzeuge bewusst entfernt oder eingeschränkt, ein Paketmanager fehlt und eigene Binaries lassen sich nicht dauerhaft nachinstallieren. iPerf läuft deshalb nicht auf der Firewall selbst, sondern auf zwei Hosts, zwischen denen die Sophos Firewall als Gateway routet.

Der Testaufbau ist immer gleich. Auf einem Host läuft der iPerf-Server, auf einem zweiten Host in einem anderen Netz oder VLAN läuft der Client. Der Traffic fließt dadurch über die Firewall und durchläuft die zugehörige Regel und Policy. Sinnvolle Strecken sind zwei interne Netze, eine DMZ, eine Site-to-Site-VPN-Verbindung, ein Remote-Access-VPN oder der Weg von einem Client zu einem Server im Internet. Für sauber getrennte Netze und Zonen sorgt eine durchdachte Netzwerksegmentierung. Als getestete Appliance dient eine beliebige Sophos Firewall im produktiven Pfad.

Voraussetzungen für den iPerf-Test

Vor dem ersten Kommando sollte der Testpfad eindeutig feststehen. Sonst bleibt später unklar, ob wirklich die gewünschte Firewall-Regel, der richtige VPN-Tunnel oder der erwartete SD-WAN-Pfad gemessen wurde. Vorab gehören deshalb folgende Punkte geklärt.

• Standort von iPerf-Server und iPerf-Client im Netz.
• Testrichtung und ob die Gegenrichtung separat gemessen wird.
• Die Firewall-Regel, die für diese Verbindung greift.
• Beteiligte Funktionen auf dem Pfad wie NAT, VPN, SD-WAN, Traffic Shaping, IPS oder TLS Inspection.
• Anbindung der Hosts, also kabelgebunden oder über WLAN.
• Testziel, also TCP-Durchsatz, UDP-Paketverlust oder beides.

Zusätzlich sollten diese Punkte erfüllt sein.

• iPerf3 ist auf beiden Hosts installiert, idealerweise in derselben Version.
• Beide Hosts sind kabelgebunden angebunden, nicht über WLAN, und laufen nicht auf einem überlasteten Hypervisor.
• Die passende Firewall-Regel erlaubt den Traffic zwischen den beteiligten Zonen oder Netzen.
• Die lokale Host-Firewall gibt den iPerf-Port frei, standardmäßig TCP und UDP 5201.
• Der Testpfad ist klar definiert, also LAN zu LAN, LAN zu DMZ oder über eine bestimmte VPN-Strecke.

Erreicht der Client den Server nicht, liegt die Ursache häufig an der lokalen Host-Firewall des Servers oder an einer fehlenden Firewall-Regel. Ist die Regelzuordnung unklar, hilft ein gezielter Policy Test, den wir in unserer Anleitung zu Log Viewer, Policy Test und Packet Capture behandeln.

iPerf herunterladen und installieren

iPerf3 steht für Windows, macOS und Linux bereit. Die Windows-Builds und die offiziellen Quellen liegen auf der iPerf-Projektseite. Unter Linux und macOS genügt der jeweilige Paketmanager.

# Debian und Ubuntu
apt install iperf3
# Red Hat und Fedora
dnf install iperf3
# macOS mit Homebrew
brew install iperf3

Auf beiden Hosts sollte möglichst dieselbe iPerf3-Version laufen, da sich Ausgabe und Verhalten zwischen Versionen unterscheiden können. Zu beachten ist außerdem, dass iPerf2 und iPerf3 nicht zueinander kompatibel sind.

iPerf-Server starten

Auf dem ersten Host wird der iPerf-Server gestartet. Er wartet danach auf eingehende Verbindungen des Clients.

iperf3 -s

Der Server läuft nun im Vordergrund und zeigt jede eingehende Messung an. Standardmäßig wartet iPerf3 auf Port 5201. Soll ein anderer Port zum Einsatz kommen, wird dieser auf Server und Client identisch angegeben.

iperf3 -s -p 5200

Unter Windows, macOS und Linux kann die lokale Host-Firewall den Port blockieren. Lässt sich der Server nicht erreichen, wird zuerst diese lokale Firewall geprüft, erst danach die Sophos Firewall.

TCP-Durchsatztest Schritt für Schritt

Auf dem zweiten Host wird der Client gegen die IP-Adresse des Servers gestartet. Ein aussagekräftiger TCP-Test läuft mindestens 30 Sekunden, damit sich der Durchsatz stabilisiert.

iperf3 -c 192.0.2.10 -t 30

Ein einzelner TCP-Stream nutzt schnelle Strecken selten vollständig aus, weil ein Stream nur einen CPU-Kern und ein einzelnes TCP-Fenster belastet. Für hohe Raten ab mehreren Gigabit lasten mehrere parallele Streams die Leitung und die Firewall realistischer aus.

iperf3 -c 192.0.2.10 -t 30 -P 4

Performance-Probleme treten oft nur in einer Richtung auf. Mit -R kehrt iPerf3 den Datenfluss um, ohne dass Server und Client die Rollen tauschen. Das ist besonders bei VPN-Strecken, asymmetrischem Routing und Leitungen mit unterschiedlichem Down- und Upstream nützlich.

iperf3 -c 192.0.2.10 -t 30 -R

Die wichtigsten Parameter fasst die folgende Referenz zusammen.

iPerf3 Parameter-Referenz

UDP, Paketverlust und Jitter testen

Ein UDP-Test zeigt nicht nur den Durchsatz, sondern auch Paketverlust und Jitter. UDP muss dabei immer mit einer realistischen Zielbandbreite laufen, sonst ist das Ergebnis wertlos. Der folgende Aufruf testet mit 500 Mbit/s Zielrate.

iperf3 -c 192.0.2.10 -u -b 500M -t 30

Für eine 1-Gbit-Strecke kann ein höherer Zielwert sinnvoll sein.

iperf3 -c 192.0.2.10 -u -b 1G -t 30

Bei UDP zählen vor allem Paketverlust, Jitter und die effektiv erreichte Bitrate. Steigt der Paketverlust deutlich an, deutet das auf eine überlastete Strecke, eine zu hohe Zielbandbreite oder ein Problem an einem Interface hin. Für VoIP- und Echtzeitanwendungen wiegen Jitter und Verlust oft schwerer als der reine Spitzendurchsatz.

Eine zu hohe UDP-Zielbandbreite erzeugt bewusst Überlast. Für einen Grenztest ist das brauchbar, als normaler Leitungstest taugt es nicht.

Öffentliche iPerf-Server und ihre Grenzen

Für einen groben Internetvergleich taugen öffentliche iPerf-Server durchaus. Sobald es aber um verlässliche Messungen hinter einer Sophos Firewall geht, stoßen sie an ihre Grenzen. Auslastung, Entfernung, Peering, Limits und die Tagesform des fremden Servers fließen ungefragt in das Ergebnis ein.

Soll geprüft werden, ob eine Firewall-Regel, ein VPN-Tunnel oder eine bestimmte Security-Policy bremst, ist ein eigener iPerf-Server auf der Gegenseite deutlich zuverlässiger. Das gilt besonders für Standortverbindungen, Rechenzentrumsstrecken und VPN-Tests.

Ergebnisse deuten: warum durch die Firewall weniger ankommt

Läuft der Test durch die Firewall langsamer als zwischen zwei Hosts im selben Subnetz, ist das nicht automatisch ein Fehler. Sicherheitsfunktionen wirken nur, wenn die Teststrecke durch eine Regel mit aktivierten Profilen läuft. Trifft die Verbindung eine Policy mit IPS, Deep Packet Inspection, TLS Inspection oder Traffic Shaping, kann das den gemessenen Durchsatz beeinflussen.

Ein zweiter Faktor ist die Beschleunigung im Datenpfad. Geeignete Flows verarbeitet Sophos über FastPath, während inspizierter Traffic den vollen Weg durch die Engines nimmt. Wie viel eine Appliance unter Last leistet, hängt zusätzlich vom Modell ab. Die Durchsatzwerte je Baureihe zeigt unser Sophos XGS Firewall Vergleich. Die Analyse von CPU-Last und Durchsatz vertieft unsere Anleitung zu Performance und Durchsatz.

Typische iPerf-Ergebnisse und mögliche Ursachen

Baseline und Vergleichsmessung sauber dokumentieren

Seine volle Stärke spielt iPerf erst im Vorher-Nachher aus. Wird vor und nach einer Änderung unter gleichen Bedingungen gemessen, lässt sich der Effekt dieser Änderung ablesen. Ein einzelner Test nach einer Beschwerde liefert dagegen nur eine Momentaufnahme und sagt noch nichts darüber, ob Firewall, eine neue Policy, ein IPS-Profil, TLS Inspection, Traffic Shaping, ein VPN-Parameter oder der Provider die Bremse ist.

Für einen tragfähigen Vergleich gehören diese Angaben ins Protokoll.

• Datum und Uhrzeit des Tests
• Quelle, Ziel, VLAN, Zone und IP-Adressen
• Testrichtung, inklusive Gegenrichtung mit -R
• Protokoll, Testdauer, Streams und UDP-Zielbandbreite
• greifende Firewall-Regel inklusive Security-Profilen, NAT und Traffic Shaping
• VPN- oder WAN-Pfad, insbesondere bei SD-WAN und mehreren Gateways
• Client- und Serverumgebung, etwa Kabel, WLAN, VM, CPU-Last und paralleler Traffic

Bei geplanten Änderungen bewährt sich ein einfacher Dreischritt. Zuerst ein Referenztest, dann genau eine Änderung, danach derselbe Test erneut. Werden gleichzeitig MTU, IPS, SD-WAN, Firewall-Regeln und Clientprofile angefasst, lässt sich ein besserer oder schlechterer Wert später kaum noch zuordnen.

Fehlerquellen, die die Firewall zu Unrecht verdächtigen

Für Tests hinter einer Sophos Firewall ist ein sauberer Aufbau wichtiger als der einzelne Maximalwert. Häufig liegt die Ursache eines niedrigen Ergebnisses nicht an der Firewall, sondern am Testaufbau.

• Ein Client im WLAN begrenzt den Durchsatz oft stärker als jede Firewall-Regel.
• Ein überlasteter Hypervisor, eine virtuelle Maschine mit wenig Ressourcen oder ein USB-Netzwerkadapter bremsen die Messung.
• Energiesparfunktionen und eine hohe Client-CPU-Last verfälschen das Ergebnis.
• Ein langsamer oder weit entfernter öffentlicher iPerf-Server verzerrt den Wert. Für belastbare Firewall-, VPN- und Standorttests ist ein eigener Server auf der Gegenseite die bessere Wahl.
• TCP Single Stream und mehrere parallele TCP-Streams werden vermischt, obwohl sie unterschiedliche Fragen beantworten.
• UDP wird ohne passende Zielbandbreite oder mit unrealistisch hoher Zielbandbreite getestet.
• Die greifende Sophos Firewall-Regel wird nicht geprüft.

Ein einzelner Testlauf ist deshalb keine verlässliche Kapazitätsaussage. Für Vergleichsmessungen bleiben Testdauer, Ziel, Richtung, Parameter und Pfad möglichst gleich.

iPerf für VPN- und Standortstrecken

Gerade bei VPN-Verbindungen ist ein definierter Streckentest aussagekräftiger als ein Browser-Speedtest. Wirkt eine VPN-Strecke langsam, testen wir sie mit iPerf in beide Richtungen und prüfen parallel MTU und MSS, WAN-Qualität, CPU und die Gegenstelle. Bei wiederkehrenden VPN- und Remote-Access-Problemen lohnt zusätzlich der Blick auf die Wahl zwischen IPsec und SSL VPN.

Bei mehreren WAN-Anschlüssen und SD-WAN muss klar sein, über welchen Pfad die Strecke tatsächlich läuft, denn ein Client-Flow kann über eine andere Route gehen als erwartet. Direkte Paketmanipulationen über die Advanced Shell oder undokumentierte Startskripte sind dabei keine saubere Lösung, da sie nach Updates, Restore oder HA-Failover unerwartet ausfallen können.

Wenn der Durchsatz zu niedrig ist

Bleibt der gemessene Wert deutlich unter der Erwartung, hilft ein strukturiertes Vorgehen mit den passenden Werkzeugen.

• Mit -P mehrere Streams testen, um Single-Stream-Grenzen von der tatsächlichen Kapazität zu trennen.
• Prüfen, ob die Teststrecke eine Regel mit IPS, DPI, TLS Inspection oder Traffic Shaping trifft, und den Effekt gezielt vergleichen.
• Die passende Firewall-Regel und den Paketfluss mit Log Viewer, Policy Test und Packet Capture kontrollieren.
• CPU, RAM, Interface-Last, IPS-Last und betroffene Regeln während des Tests prüfen.
• Prüfen, ob die Appliance für die geplante Last passend dimensioniert ist. Das übernimmt unser Sophos XGS Sizing Tool.

Systematische Fehlerbilder deckt unser Sophos Firewall Troubleshooting ab. Für eine externe Bewertung von Konfiguration und tatsächlicher Leistung unterstützt Sie unser Team beim Firewall Audit.

Firewall Audit anfragen →

Fazit: iPerf hinter der Sophos Firewall richtig einsetzen

iPerf beantwortet eine präzise Frage, nämlich wie viel Durchsatz eine bestimmte Strecke zwischen zwei Endpunkten unter definierten Bedingungen erreicht. Damit ist es das richtige Werkzeug für Tests zwischen Netzen, über VPN-Strecken und zwischen Client und Server, während der Speedtest per SSH die reine WAN-Leitung der Firewall prüft.

Wichtig ist ein sauberer Aufbau mit zwei kabelgebundenen Hosts, einer passenden Firewall-Regel und gleichbleibenden Parametern. Ein niedriger Wert durch die Firewall ist oft erklärbar, etwa durch Single-Stream-Grenzen, aktive Sicherheitsprofile, Traffic Shaping oder einen ungeeigneten Testaufbau. Für die weitere Ursachensuche helfen dann unsere Anleitungen zu Packet Capture, Performance und Troubleshooting weiter.