Почему сильно режется скорость между клиентами в VPN Mikrotik?

Question

[Roc27]

Всех приветствую.
Есть 3 офиса соединенные между собой через VPN микротиками. VPN сервер для всех это CHR на VPS.
Если запустить Speed Test из микротиков на другие микротики, то скорость между ними в целом терпима (на изображении все есть).
Если использовать VPN для выхода в интернет, то скорость близка к максимальной, которую выдает провайдер.
Но между клиентами, которые находятся за микротиками скорость просто ужасная.
Почему может быть так?

Comments

[Дмитрий]

Чем тестируете скорость между серверами? Проблем с размером MTU не может быть?

[Roc27]

Дмитрий, на сервере в 1 офисе стоит веб сервер, тестирую закачивая с него. Кроме этого тестирую программой Lan Speed Test, она для замеров скорости качает с расшаренных папок по SMB. С веб сервера и по SMB скорость одинаково плохая.
Кстати на CHR поднимал SMB. Тестировал скорость тем же Lan Speed Test с сервера офиса 1 и скорость была 1,5Мбит.
То есть между сервером 1 офиса и CHR 1,5Мбит. Но если выходить в интернет используя ВПН CHR, то скорость около 70Мбит.
А если проблема в MTU, то как можно выявить эту проблему?

[Дмитрий]

Простейший способ определить наличие проблем с MTU на транзитном оборудовании в Windows - запустить между серверами ping с размером пакета 1472 и опцией запрета фрагментации пакетов. В норме пинг должен либо проходить, либо должно возвращаться сообщение о необходимости фрагментации пакета. Если же пакеты просто теряются, то что-то где-то настроено неправильно.
Или можно использовать следующую утилиту - https://www.iea-software.com/products/mtupath/
Ну и проверьте наличие потерь пакетов между серверами в случае, когда VPN нагружены близко к их предельной пропускной способности. Возможно, ситуацию сможет улучшить создание на роутерах принудительно ограничивающих скорость Simple Queues, которые исключат ситуацию, когда через VPN-интерфейсы будет пытаться проходить больше трафика, чем они могут пропустить. Также мерять скорость между миротиками с помощью Bandwidth Test лучше в режиме TCP в несколько потоков, результаты будут более приближенными к реальности, чем при тестировании с дефолтным протоколом UDP.

[Valentin Barbolin]

При использовании VPN чаще всего затык в скорости из-за не правильно выбранного MTU.
Попробуй добавить в настройки микрота PMTU
https://habr.com/ru/post/702482/

Подключение к интернет не через PPPoE ?

[Roc27]

Valentin Barbolin, настройку добавил, но это ничего не изменило.
CHR выходит в интернет по статике.
Офис 1 и 3 по PPPoE.

[Valentin Barbolin]

Roc27,

/ip firewall mangle add chain=forward action=change-mss new-mss=clamp-to-pmtu passthrough=no tcp-flags=syn protocol=tcp in-interface=*название WAN интерфеса* tcp-mss=1300-65535 log=no

название WAN интерфеса - у тебя тут должен быть VPN интерфейс, потому что в статье описывает проблема с MTU в интернет, а у тебя проблема в VPN

Вторым шагом попробуй изменить размер пакеты
tcp-mss=1200-65535

Answer 1

[SterhXXX]

Скорее всего дело в шифровании туннелю. Посмотри загрузку проца на хап-лайте. У hap ac 2 есть аппаратная разъвязка, он шифрует свичем, а у лайта нет, он шифрует cpu, и движение трафика внутри микротика идет по длиной схеме.
И узнай, на vps есть аппаратная разгрузка?