Высокий пинг в vpn канале, снаружи нормальный

Question

[kodi]

Есть openvpn сервер на mikrotik. К нему цепляются другие микротики. Так вот пинг до первого клиентского микротика по внешнему айпи адресу 1-2 мс, по внутреннему 2-3 мс. Пинг до второго клиентского микротика по внешнему айпи адресу 39-41 мс, по внутреннему 112-144 мс (хотя бывает падает до 70 мс, но редко и кратковременно)
С чего такая разница может быть у второго клиента во внутренней сети??

Answer 1

[Сергей]

Шифрование батенька это вам не чупачупс у ребенка забрать. =) Добавьте сюдыть маршрутизацию и ваш проц будет благим матом вас крыть. И я так понимаю у вас там стоит не CCR 1036, а к примеру RB 2011. Может гуру меня поправят если я не прав.

Comments

[kodi]

мимо ;) к сожалению загрузка процессора в этот момент составляет 20%. да и микротик на первом клиентском канале послабее стоит.
Моя логика подсказывает что либо на втором Микротике в конфиге гдето косяк, но все перепроверял ни один раз. Либо что-то в сети провайдера до второго микротика, потому что здесь два разных провайдера. А первый клиентский находится в той же сети провайдера что и сервер openvpn.

[Сергей]

А при чем тут мимо? ;) Вы вообще знаете что такое очередь пакетов? Что такое мс?) Вот дали вы мне пинг. а трейс не дали. А трейс бы показал нам где времечко то профукивается. Идем дальше. Количество правил играет огромную роль. При поступлении каждого пакета идет анализ куда его дальше отправить. Тоже время. =) Так в чем мимо то?)

[kodi]

1. мимо, по поводу того что процессор не успевает "в реальном" времени справляться с пакета, или вы не это имели ввиду? хотя я может еще что упускаю?
2. дада, про очереди в магазинах слышал, когда все набиваются и жалуются что они тоже пол часа тут отстояли, вы про это? (надеюсь смысл тот же? ;) )
3. я дал пинг и предположение что затык в впн канале, что собственно и подтверждается трейсроутом:
1 <1 мс <1 мс <1 мс 192.168.0.97
2 83 ms 132 ms 39 ms 192.168.7.2
3 41 ms 42 ms 43 ms 192.168.1.2
Мне показалось это короче, чем давать трейс и описывать узлы (видимо ошибся).
4. правила файрволла пробовал все отключать

з.ы. спасибо за размышления.

[kodi]

@edinorog нет предположений?

[Сергей]

Для начала нужно название железки и какие порты на ней задействованы.

[kodi]

@edinorog каким макаром название железки и пинги связаны?
порты, открытые порты? извините, но я Вас не понимаю, они то тут при чем?)

[Сергей]

название роутера указывает на его производительность!!!!!

[kodi]

уже ни один раз написал, что загрузка процессора не поднимается выше 20-25%, пинг скачет даже в пустом канале..ну что повторяться, все же написано. спасибо.

[Сергей]

эмм. видимо я говорю не на русском. что не ясно в вопросе про название железки?

Answer 2

[Ilya Evseev]

Компрессия и шифрование включены?
Если их отключать\уменьшать, что-то меняется?

Comments

[kodi]

[******@Mikrotik_*****] > ppp profile print
Flags: * - default
......
1 name="ovpn-profile" local-address=192.168.7.1 use-mpls=default use-compression=yes use-vj-compression=default use-encryption=required only-one=default change-tcp-mss=yes

но опять же, загрузка проца выше 20% (или это не показатель??) не поднимается, поэтому в эту сторону не копал.

[Ilya Evseev]

Других вариантов пока не видно, поэтому проверяйте этот.

[kodi]

отключил - не помогло. даже в пустом канале пинг скачет.
загрузил канал на 80% - изменений никаких (ни вверх, ни вниз).

@IlyaEvseev а промежуточные узлы никак нельзя проверить "на вшивость"?

[nimbo]

@kodi у вас шфирование какое стоит? попробуйте AES128-SHA1-CBC выставить. ну и компрессию в топку.

[kodi]

@nimbo AES-256-CBC/SHA1 используется. Попробую понизить и убрать компрессию. Загрузка процессора не поднимается выше 25%, это разве не показатель того, что процессор справляется с трафиком?

[nimbo]

@kodi у меня после понижения шифрования скорость и пинги улучшились. C одной стороны был 411ah (сервер) с другой 951-2n (клиент), в последствие сервером стал 2011uas-2hnd-in.

[kodi]

@nimbo а с загрузкой проца что-то менялось? или не обращали внимание? какой у вас тип впн использовался?

[nimbo]

@kodi ovpn aes-128-cbc-sha1 сейчас, было 256. cpu понизилось на 7-10%, пинги стали 7 вместо 42-50. я бы вообще попробовал ради теста убрать шифрование.

[kodi]

@nimbo цпу снизилось на 10% со 100% или с 30%? это наверно разные показатели. 7 мс и 42 мс это пинги были при пустом канале или при загруженном?
Сейчас тестирую как и у Вас на aes-128-cbc-sha1, второй день и разницы нет. На днях попробую вообще убрать шифрование.

[nimbo]

@kodi с 40%, пустой канал никогда не бывает, скажем так - в этот момент через канал шло примерно 1700pps и 7.9Mbps

[kodi]

@nimbo под пустым каналом я имел ввиду нерабочее время. когда, к примеру, если у Вас канал на 10Мбит/с забит не 8Мбит/с, а до 1Мбит/с.
т.е. при 1700ппс и 8 мбит/с пинг у Вас упал с 42мс до 7мс, правильно ли я понял? а можно уточнить, провайдер какую полосу отдает?
и еще, у Вас точка-точка соединение было или точка-много_точек? У меня ситуация то странная - один клиент(младшая модель) с нормальными пингами, второй клиент(более старшая модель) с высокими.

Answer 3

[Сергей]

пиз.ц. детский сад рябинушка. человека уговорили сообщить что у него за оборудование по прошествии месяца. глядя на это "серверное оборудование" и слушая что там еще и включено шифрование .. хочется его обнять и плакать. нет стоп. рыдать! ща еще потратим месяц на то чтоб узнать сколько у него открытых соединений через все это идет. короче к концу года закроем тему.

RB/411AH Mikrotik - был разработан с мыслью о цене и размере. RB/411AH действительно небольшое по своим размерам устройство, способное обеспечить функционирование сети SOHO сегмента. Позиционируется эта серия, как оборудование CPE (Customer Premises Equipment) класса, то есть клиентское оборудование.

клиентское!!!

Comments

[Сергей]

2011uas-2hnd-in это тоже оконечное устройство. полноценное шифрование этому процу не светит.

[nimbo]

@edinorog я, например, и не спорю, потому убрал всех "лишних" клиентов и оставил пару на ovpn aes-128-sha1.
ваши предложения - какие железки пользовать для ovpn-сервера?

[kodi]

@edinorog с чего Вы взяли про RB/411AH?

[kodi]

@nimbo нас с Вами попутали что ли? я так понимаю это сообщение ко мне было обращено, но говорится про Ваше оборудование.

Answer 4

[Ваня Зюзгин]

Tools>Profile жмем старт и смотрим кто загружает процессор. В моем случае это был DNS. Не отключил внешние подключение из-за чего ping`и просели