Надежный VPN между филиалами на каком железе собрать?

Question

[Илья Кузнецов]

Дано 1 головной офис и 4 филиала
В каждый офис и филиал в том числе подключены две линии одна со скоростью 10 мб/сек Белый статический IP (юр. лицо) и одна 100 мб/сек белый динамический IP (физ. лицо) инет от одного и того же провайдера
назовем их канал 1 и 2 соответственно
в головном офисе планируем поставить сервер VPN и Asterisk
в каждом из филиалов маршрутизатор для доступа к сети инет и также клиент VPN
Задача внутренний документооборот отправлять по каналу 1 + печать на удаленный принтер
Весь неслужебный трафик отправлять по каналу 2 обмен какими угодно файлами доступ в инет
Также нужна балансировка нагрузки между каналами 1 и 2
И напоследок самое интересное В головном офисе планируем завести еще одного провайдера инет (резерв) и встает вопрос как сделать чтобы при пропадании связи с одним из провайдеров удаленные клиенты VPN могли все равно подключаться

Answer 1

[Кирилл Васильев]

Добрый день,
Если вопрос в шифровании не стоит то в ядро можно поставить MikroTik 1100AHx2 если нужно шифрование то начинать смотреть от модели CCR или можно попробовать новую модель HEX в ней обещают до 500м/бит AES128
Резервирование можно сделать с помощью OSPF и разными cost на интерфейсы(переключение будет происходить не более 10 секунд).
Балансировка на каналах разной ширины возможно, но она будет не явная, используя ECMP указав шлюзы в пропорция по отношению к ширине канала.

Comments

[Илья Кузнецов]

hex и правда написано аппаратное шифрование ipsec до 470 мб/сек
Решил пробовать vpn сервер hEX и клиенты hEX lite RB750r2
MikroTik 1100AHx2 > HEX по цене в x4 раза

[Кирилл Васильев]

Илья Кузнецов: hEX lite максимум 10мбит в ipsec

[Клёвый Админ]

Кирилл Васильев: поправка, до 40 м\бит, но сильно зависит от типа шифрования.

[Кирилл Васильев]

Евгений Быченко: 951ый тянет не больше 15м/бит с aes128,сомневаюсь что hex lite может быстрее

[Клёвый Админ]

Кирилл Васильев: потому и пишу про тип шифрования, на самом слабом может до 40 мегабит. На aes, разумеется, меньше. Для топик стартера это может быть важной инфой.

[Кирилл Васильев]

Евгений Быченко: сомневаюсь что 3des в четыре раза легче.

[Кирилл Васильев]

Евгений Быченко: на 751 с шифрованием Null ipsec пропускает около 55мбит

[Клёвый Админ]

Кирилл Васильев: 3des, вообще не самый лёгкий в плане утилизации CPU алгоритм. Вот тут есть табличка производительности forum.mikrotik.com/viewtopic.php?t=102571 для устройства с CPU 700 MHz в пике вижу 38 мегабит, у HEx-lite стандартно 850 MHz, что как бы намекает на не меньшую производительность.
Будь у меня доме ещё один hex lite и больше времени - я бы поднял стенд, но мне лень =)

[Кирилл Васильев]

Евгений Быченко: не буду спорить, но из данной таблицы не видно, не правил фаервола, настройки connection трекера, не размеров пакетов(сферический конь в вакуме получается)
На моей практики в продакшене какда бегают разные SMB,FTP,RRDP и прочие разношерстные данные, а не поток, 951G не держит более 15мбит

[Клёвый Админ]

Кирилл Васильев: коллега, я не спорю с вами, а лишь дополняю ваш ответ. Некорректно говорить, что предел скорости для Hex-lite 10 мегабит, так как в реальности он упирается в потолок порядка 40 мегабит и скорость деградирует в зависимости от другой нагрузки (что логично). Ещё раз повторю, это может быть важно для топик стартера.