Очередной вопрос по загрузке CPU на Mikrotik?

Question

[MrFlatman]

Для настройки я использовал Quick Set. Но, я заметил, что устройство сильно загружено, его процессор загружен в среднем на 17-24%, а иногда даже на 100%, тогда оно зависает и интернет пропадает. Как решить эту проблему?

Что мне дает провайдер:

1. Статический IP
   
2. IP-адрес DNS-сервера.
   

Порт ether1 - входящий порт, туда вставлен патч-корд от провайдера. Порты ether4, ether5 используются для подачи интернета в офис.

Как лучше всего снизить нагрузку на процессор и избежать дальнейших сбоев?

Comments

[Drno]

правила фаервола не похожи на квик сет... хотя возможно оно менялось
чтоб миркотик завис это еще постараться надо...
смотри входящие пакеты, и закрывай DNS и прочие порты извне

[MrFlatman]

Drno, некоторые правила я добавлял, 1,4,5. Вот у меня не получается адекватно закрыть DNS, как только их закрываю, 90% сайтов перестают грузиться, порты 22,23,80,443 у меня закрыты в Services

[Valentin Barbolin]

MrFlatman, Вот такое правило должнобыть вверху, что бы микротик автоматически открывал порты для ответов и закрывал.
/ip/firewall/add action=accept chain=forward comment=\
"defconf: accept established,related, untracked" connection-state=\
established,related,untracked

Так же включи fasttrack

[MrFlatman]

Valentin Barbolin, переместил и добавил правило, правильно понимаю что fasttrack должен быть 1? на 0 месте у нас правило для портов, а дальше fasttrack? Но по нагрузке пока ничего не изменилось

[Valentin Barbolin]

MrFlatman, fasttrack самый первый. Так же в настройках bridge должна стоять галка fast forward.

Какая модель микротика и сколько пользователей?

[Drno]

MrFlatman, у меня фасттрак выключен - т.к. неуобно управлять с ним. а фаервол выглядит так - (там Ipsec затесался, но это мне нужно)

spoiler

/ip firewall filter
add action=reject chain=input disabled=yes dst-port=80 in-interface=ether1 \
log=yes protocol=tcp reject-with=icmp-network-unreachable
add action=accept chain=input comment=\
"defconf: accept established,related,untracked" connection-state=\
established,related,untracked
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
ipsec-policy=out,ipsec
add action=accept chain=forward comment=\
"defconf: accept established,related, untracked" connection-state=\
established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
invalid
add action=drop chain=forward comment="defconf: drop invalid" \
connection-state=invalid
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
in-interface-list=!LAN
add action=drop chain=forward comment=\
"defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
connection-state=new in-interface-list=WAN

[MrFlatman]

Valentin Barbolin, я правильно понимаю fasttruck это вот это "action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked"? в настройках bridge стоит fast forward/

Микротик 2011, где-то 100-120 устройств

[Valentin Barbolin]

Drno, fasttrack это
/ip/firewall/add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
connection-state=established,related hw-offload=yes

Как раз он позволяет снизить нагрузку на CPU от firewall
https://wiki.mikrotik.com/wiki/Manual:IP/Fasttrack

[Valentin Barbolin]

Drno,
> у меня фасттрак выключен - т.к. неуобно управлять с ним.
Пора уже определить, что делать. Менять микротик на более мощный что бы справляться с нагрузкой или научиться пользоваться fasttrack.

[Valentin Barbolin]

Valentin Barbolin, Я ошибся в ответе выше, перепутал цепочки forward и input. Надо forward.
add action=accept chain=forward comment=\
"defconf: accept established,related, untracked" connection-state=\
established,related,untracked

[Drno]

Valentin Barbolin, мне фасстрак не нужен. и проблем у меня тоже нет... без него всё летает)

[Valentin Barbolin]

Drno, Я так понимаю что задача разобраться почему зависает микротик. Самым очевидным фактором является высокая CPU которая возможно вызвана большим трафиком и не оптимальными правилами firewall.

Если с правилами все устраивает, то хорошо бы понять какой процесс нагружает микротик на 100%. Для этого можно написать скрипт который будет с некой переодичностью складывать в лог файл инфу по загрузке CPU с указанием имени процесса.

[MrFlatman]

Valentin Barbolin, сейчас попробовал пересобрать правила для firewall, вроде как стало немного активнее, подскажите, пожалуйста, fasttrack каким по счету должен стоять, или перед чем ставить правило?

[MrFlatman]

Valentin Barbolin, я применил такие настройки

add action=fasttrack-connection chain=forward connection-state=established,related in-interface=bridge1 out-interface=ether1
add action=fasttrack-connection chain=forward connection-state=established,related in-interface=ether1 out-interface=bridge1

И разместил перед add action=accept chain=forward comment=\"defconf: accept established,related, untracked" connection-state=\established,related,untracked

[Valentin Barbolin]

MrFlatman,
> fasttrack каким по счету должен
Самым первым. Или перед теми правилами которые должны в него попадать, то есть тяжелые правила которые мы отдает в fasttrack после первой обработки.

[MrFlatman]

Valentin Barbolin, я сейчас вот так сделал, применил еще и настройки Drno, но особо результата не дало