Производительный VPN на mikrotik?

Question

[Александр Матковский]

Добрый.
Имеется центральный сервер OpenVPN под FreeBSD. К нему в качестве клиентовOpenVPN (порядка 20 штук) подключаются Mikrotik (RB2011UiAS-2HnD-IN и RB951G-2HnD). В такой реализации меня не устраивает реализация OpenVPN`а в Mikrotik, а именно Unsupported:UDP &LZO compression. И как следствие очень низкая скорость (у меня максимум 8Мбит при канале 100Мбит)
Смотрю в сторону IPSec, но некогда его не использовал.
Подскажите, кто использует IPSec на Mikrotik. Какие скорости у вас получается достичь, какие грабли ?
Спасибо.

Answer 1

[Сергей]

скорость впн микротика = частота проца / количество соединений x степень шифрования

по колхозному. но четко дает понять ценовую категорию устройства требуемого для шифрования

Comments

[Александр Матковский]

Комментарий вообще не о чем. У меня с OpenVPN загрузка 3-4%.
Вопрос скорее реализации того или иного протокола самим разработчиками Mikrotik

[Сергей]

боюсь ваш комментарий не о чем. шифрование какое?) сколько открытых соединений?

[Александр Матковский]

Сергей: auth=sha1 cipher=blowfish128.
> сколько открытых соединений?
В каких попугаях измерять ?

[Сергей]

в открытых соединениях

[Александр Матковский]

Сергей: открытых соединений 35. И ?

[Сергей]

и ты считаешь это нагрузкой?) 5000 открытых соединений дай и посмотри на проц

[Александр Матковский]

Сергей: Мы о чем спорим ? Я ещё раз говорю, OpenVPN на mikrotik работает очень "медленно" даже БЕЗ нагрузки

[Сергей]

яжу понятно что медленно. есть 2 варианта. либо купить мдель из серии ccr выше 1009 либо плату RB850Gx2 with Hardware Encryption Acceleration

[Сергей]

The RB850Gx2 devices are now shipped with a CPU that features Hardware Encryption Acceleration (serial numbers that
start with “5”). Combined with up to date RouterOS version (6.28 or above), you will now be able to reach 500Mbps with
AES128 encryption on this device

[Александр Матковский]

Сергей: что-то мне подсказывает, что затык OpenVPN там вовсе не в проце и его способностью "быстро" "шифровать" трафик

[Сергей]

как раз именно в этом. если у вас есть более высокоинтеллектуальные выкладки ... расскажите нам

[Александр Матковский]

не совсем в тему,но habrahabr.ru/post/246953
Это раз, втрое Mikrotik использует TCP в связи с этим получаем афигезный оверхед

Answer 2

[Кирилл]

8 мбит с шифрованием на 2011 и 951 - нормальные цифры. Берите CCR1009

Comments

[Александр Матковский]

на 20+ филиалов, ценник не гуманный получается ...

[Кирилл]

Александр Матковский: вам 8 мбит или ехать?

[Сергей]

ему фантазировать

[Сергей]

батенька. если вас дико напрягает ценник на 1009 .. хотя я не вижу в нем проблем. посмотрите на 1072 и расслабтесь. то поднимите просто виртуалку с впн. и делов то.

Answer 3

[Клёвый Админ]

IPSec на 1100AH до 250 мегабит, но там аппаратное ускорение.
А вообще отличная штука - IPSec особенно в связке с GRE

Answer 4

[nimbo]

L2TP+IPSEC

Comments

[Александр Матковский]

и что по скорости получается ?

Answer 5

[Александр Карабанов]

МикроТик RB/951Ui-2HnD
10 мегабит максимум. При этом утилизаций CPU 100%