Cильная загрузка микротика при l2tp/ipsec?

Question

[vladme078]

Добрый день!
У меня стоит mikrotik CRS125-24G-1S-2HnD-IN. Поднял на нем l2tp/ipsec. Скорость провайдера 30мбит/с.
При подключении клиентом скорость выше 10мбит не поднимается, процессор загружен на 100%.
Поднял для эксперимента PPTP - там все нормально. Микротик отдает всю скорость и загрузка 25-28%.
Может кто-нибудь пояснить почему так?

/ip ipsec proposal
set [ find default=yes ] enc-algorithms=3des,aes-256-cbc
set h323 disabled=yes
/ip ipsec peer
add address=0.0.0.0/0 enc-algorithm=3des,aes-128,aes-192,aes-256 exchange-mode=main-l2tp generate-policy=port-override local-address=0.0.0.0 passive=yes secret=password
/ip ipsec policy
set 0 dst-address=0.0.0.0/0 src-address=0.0.0.0/0

Answer 1

[Sergey SA]

А что непонятно то? процессор дохлый, не успевает больше шифровать

Comments

[vladme078]

процессор такой же , как на большинстве микротиков. Я и спрашиваю, может где то упустил важный момент при настройке ipsec. Поставил 128битное шифрование ipsec, все равно упирается в процессор. При pptp на тех же 128битах все куда шустрее. В 2 раза, я бы сказал. Вот поэтому и задал этот вопрос.

Answer 2

[bukass]

tools/profile что показывает? Что проц грузит?

Answer 3

[vladme078]

encrypting 68%.
firewall 8%
l2tp 7%
networking 4%

Comments

[Клёвый Админ]

Коллега, ны вы в шифрование aes-256 упираетесь. Убавляйте настройки IPsec или берите железку с индексом AH - поддержкой аппаратного шифрования routerboard.com/RB1100AHx2 (supports hardware encryption)

Answer 4

[shaytan]

Всё правильно, процессор слабый для стойкого шифрования. Попробуйте использовать только AES, у меня в экспериментах получалось быстрее, чем 3DES.

Answer 5

[Виталий Богряшов]

Конечно же проблема в сложности шифрования. Можно попробовать просто по паролю, без сертификата и сверить скорость. Итог - выбирать, что важнее - защищенность, или скорость. Либо менять железку.

Answer 6

[Maxim_Q]

enc-algorithms=3des,aes-256-cbc

Алгоритмы шифрования плохие:
3des - уязвим и низкая скорость
aes-256-cbc - сильно грузит проц и низкая скорость передачи данных
aes-128-cbc - используй только его, с ним самая высокая скорость, другие режимы выключи.

настрой авторизацию по сертификатам, а не по паролю. Только сертификат защищает от атаки MITM