Из-за чего l2tp на mikrotik медленно работает?

Question

[Victor]

Добрый день! Имеется два роутера mikrotik: hEx и hap ac2, стоят в разных домах с разными провайдерами. Между ними построен l2tp-туннель с ipsec с включённым BCP (для dlna). Соответственно, имеется l2 связность сетей. В сети hex стоит nas, в сети ac2 стоит клиент. Я скачиваю файл с nas на клиента - скорость не превышает 500 килобайт в секунду. Если загружать файл с клиента на nas, то утилизируется весь канал между роутерами (около 100 мбит/с). Почему-то именно на l2tp присутствует такая ассиметрия. Если заменить тоннель на pptp, то скорости отдачи и загрузки примерно сравниваются, хоть и меньше скорости по тарифам. Куда в этом деле копать?

Профили vpn на обоих роутерах:

add bridge=HOME bridge-learning=no name=HOME_bridging use-encryption=yes

Конфиг l2tp-сервера:

/interface l2tp-server server
set authentication=mschap2 default-profile=VPN-Private enabled=yes \
ipsec-secret=*** use-ipsec=yes

Comments

[nApoBo3]

Какой результат дает прямое измерение скорости между mikrotik через туннель?

[Victor]

nApoBo3,
PPTP:
L2TP:

[nApoBo3]

Victor, есть возможность временного прямого соединения роутеров кабелем?

[Victor]

nApoBo3, нет, к сожалению, они территориально очень далеко.

Answer 1

[korsar182]

MTU для L2TP туннеля установите 1390.

Comments

[Victor]

То ли я не то что-то делаю, то ли из-за L2 он показывает не тоннельный MTU. Выставил 1390, а actual всё равно 1596...

[korsar182]

Victor, это нужно указывать на L2TP сервере.

[Victor]

korsar182, указал так:
В итоге всё равно вот так:
Но скорость не изменилась почти, всё равно ассиметрия.
Возможно, я где-то ещё должен этот mtu прописать... Но не нашёл, где ещё.

Answer 2

[Дмитрий Шицков]

Предложил бы свериться с этой таблицей https://wiki.mikrotik.com/wiki/Manual:IP/IPsec#Har...
В частности проверить, что настройки шифрования установлены таким образом, чтобы оба устройства могли использовать аппаратное ускорение для криптографических операций.

Проверить что не фрагментируются пакеты - установить mtu меньше для l2tp, ipsec

Comments

[Victor]

IPsec пишет, что хардварное шифрование работает, а процессор почти совсем не нагружается. И выключение шифрования не помогает, так что, видимо, дело не в этом.

[Valentin Barbolin]

Victor, Почему бы не использовать другой тип VPN. К примеру GRE+IPsec ? Разве что, один из клиентов за NAT.

[Victor]

Andrey Barbolin, не использовал такие тоннели из-за возможности смены внешнего IP. Когда-то использовал EoIP + IPsec, но никогда нельзя было гарантировать, что оно поднимется после перезагрузки, так как там каждому надо было указать и его собственный адрес. Если сейчас что-то поменялось, то можно рассмотреть.

[Valentin Barbolin]

Victor, Наскриптокодить можно всегда, было бы интересно реализовать автоматическую перенастройку VPN при смене IP.

[Victor]

Andrey Barbolin, не могу сейчас найти эту тему, видимо, задавал вопрос где-то ещё... Но пару лет назад как раз просил помощи с организацией такого скрипта для EoIP + IPSec, а мне посоветовали использовать BCP. Это правда удобнее, но, как мне кажется, последнее обновление на 6.48.4. мне что-то там сломало, потому что раньше такого не наблюдалось.

[nApoBo3]

Ipsec в туннельном режиме устойчив к серому адресу на одной из сторон.

[Victor]

Andrey Barbolin, проверил, сейчас EoIP + IPSec заводится без указания своего адреса, а вместо адреса другой стороны можно указать DNS-имя. Но и с ним симптомы те же самые, а без IPSec EOIP работает хорошо. Получается, ipsec копать...