Переписывался со службой поддержки несколько раз, отправлял кучу обращений и логи отладки. Проблема остаётся. Примерно 200 SSTP туннелей на RB1000, 5.18 и теперь 5.19, все клиенты на 5.18. RB450gs, 433ahs, 2011s… Я использую Amanda backup через VPN-соединения. Поэтому при пиковой нагрузке скорость скачивания около 40 мегабит при загрузке процессора 30-40%. Проблема, с которой я постоянно сталкиваюсь, заключается в том, что случайным образом в течение дня SSTP-сервер на RB1000 просто перестаёт работать. Будет 200 активных подключений, затем, бац, все они отключаются, и 200 клиентов пытаются переподключиться, создаются интерфейсы “в ожидании”, но они так и не подключаются. Весь аутентификация обрабатывается через FreeRADIUS. Аутентификация работает отлично. Резервные RADIUS-серверы в локальной сети к роутеру. Чтобы снова запустить работу, мне нужно просто отключить и снова включить SSTP-сервер. Все клиенты почти сразу переподключаются без проблем. Это может происходить 1-2 раза в неделю или 2-3 раза в день. Кажется, чаще всего это происходит при высокой нагрузке на роутер, но иногда и при почти нулевой (~1 мегабит). Могу сказать одно… у меня три года проблем с VPN, связанных с MT. OpenVPN был проблемой, посоветовали использовать SSTP. SSTP переживает много взлётов и падений, становится лучше, становится хуже. Проблемы возникают из-за увеличения количества подключений по мере роста клиентской базы, новые релизы, которые исправляют проблемы и вводят новые. Я не думаю, что у меня когда-либо была совершенно стабильная версия.
ДОБАВЛЕНО: Чтобы добавить. Я упростил конфигурацию роутера до минимума. Отключил IPv6, Hotspot, беспроводные пакеты, вручную отключил все динамические протоколы маршрутизации, кроме BGP (использую его). Минимум правил файрвола. Всего 6 правил, одно правило NAT и правило mangle, работающее на VPN-IP для ограничения MSS. У SSTP-сервера есть сертификат с IP-адресом роутера в имени, он проверяет клиентские сертификаты. У всех клиентов есть сертификат и установлен центр сертификации. 2x RADIUS-сервера с MySQL-бэкендом. Некоторые маршруты устанавливаются из RADIUS, ничего особенного. Может быть, один /30 или /29 на клиента. 1 интерфейс в интернете, 1 интерфейс с 4 VLAN, подключенными к управляемому коммутатору. Вся остальная фильтрация выполняется за коммутатором. Это действительно самая простая возможная конфигурация. Я использую пакет NTP-сервера. Я в итоге это сделал, потому что у меня было больше проблем, когда я запускал SSTP-сервер на том же роутере, где были IPSEC-соединения, очереди и сотни правил файрвола. Я его выделил. Это помогло, но проблему не решило. Я мог обходиться без проблем 10-12 дней, но в последнее время это происходит как минимум каждый день, а иногда и чаще. Кто-нибудь ещё использует более 200 SSTP-туннелей на PowerPC роутербоарде? Успешно? В настоящее время я даже не получаю ответов от поддержки, хотя продолжаю отправлять им новые обращения и логи. Действительно раздражает. Прошло 10 дней с момента последнего ответа от них, в котором сообщалось, что другие проблемы были исправлены… Говорят мне, по сути, ничего.
ДОБАВЛЕНО: Чтобы добавить. Я упростил конфигурацию роутера до минимума. Отключил IPv6, Hotspot, беспроводные пакеты, вручную отключил все динамические протоколы маршрутизации, кроме BGP (использую его). Минимум правил файрвола. Всего 6 правил, одно правило NAT и правило mangle, работающее на VPN-IP для ограничения MSS. У SSTP-сервера есть сертификат с IP-адресом роутера в имени, он проверяет клиентские сертификаты. У всех клиентов есть сертификат и установлен центр сертификации. 2x RADIUS-сервера с MySQL-бэкендом. Некоторые маршруты устанавливаются из RADIUS, ничего особенного. Может быть, один /30 или /29 на клиента. 1 интерфейс в интернете, 1 интерфейс с 4 VLAN, подключенными к управляемому коммутатору. Вся остальная фильтрация выполняется за коммутатором. Это действительно самая простая возможная конфигурация. Я использую пакет NTP-сервера. Я в итоге это сделал, потому что у меня было больше проблем, когда я запускал SSTP-сервер на том же роутере, где были IPSEC-соединения, очереди и сотни правил файрвола. Я его выделил. Это помогло, но проблему не решило. Я мог обходиться без проблем 10-12 дней, но в последнее время это происходит как минимум каждый день, а иногда и чаще. Кто-нибудь ещё использует более 200 SSTP-туннелей на PowerPC роутербоарде? Успешно? В настоящее время я даже не получаю ответов от поддержки, хотя продолжаю отправлять им новые обращения и логи. Действительно раздражает. Прошло 10 дней с момента последнего ответа от них, в котором сообщалось, что другие проблемы были исправлены… Говорят мне, по сути, ничего.
