+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Скорость L2TP IPSec

Скорость L2TP IPSec, RouterOS

sjafka Guest	#1 0 30.05.2018 12:24:00 Дорогое сообщество MikroTik, я настроил L2TP/IPsec VPN, но скорость очень низкая. Что мне проверить? Заранее спасибо!

daggerCVN

Guest

14.10.2018 14:49:00

Всем привет — использую эту существующую тему, потому что у меня та же проблема: у меня настроен L2TP IPSEC VPN на роутере hEX r3, и скорость получается всего около 65 Мбит/с (а подключение к 500 Мбит оптоволокну). Вот вывод конфигурации ipsec:

[admin@MikroTik Lab] > /ip ipsec export hide-sensitive
oct/14/2018 10:36:13 by RouterOS 6.40.9
software id = TYIJ-MRTU
model = RouterBOARD 750G r3
serial number = 6F3906415ED1

/ip ipsec proposal set [ find default=yes ] enc-algorithms=3des

/ip ipsec peer add address=0.0.0.0/0 dh-group=modp1024 generate-policy=port-override passive=yes

[admin@MikroTik Lab] > /interface l2tp-server export hide-sensitive
oct/14/2018 10:43:38 by RouterOS 6.40.9
software id = TYIJ-MRTU
model = RouterBOARD 750G r3
serial number = 6F3906415ED1

/interface l2tp-server server set default-profile=profile-vpn enabled=yes use-ipsec=yes

[admin@MikroTik Lab] > /ip ipsec peer print
Flags: X - disabled, D - dynamic, R - responder

0 R address=0.0.0.0/0 passive=yes auth-method=pre-shared-key secret=“xxxx” generate-policy=port-override policy-template-group=default exchange-mode=main send-initial-contact=yes nat-traversal=yes proposal-check=obey hash-algorithm=sha1 enc-algorithm=aes-128,3des dh-group=modp1024 lifetime=1d dpd-interval=2m dpd-maximum-failures=5

1 DR address=::/0 passive=yes auth-method=pre-shared-key secret=“xxxx” generate-policy=port-strict policy-template-group=default exchange-mode=main-l2tp send-initial-contact=yes nat-traversal=yes proposal-check=obey hash-algorithm=sha1 enc-algorithm=aes-256,aes-192,aes-128,3des dh-group=modp2048,modp1024 lifetime=1d dpd-interval=2m dpd-maximum-failures=5

sindy

Guest

14.10.2018 15:06:00

Команда /ip ipsec installed-sa print показывает атрибут H во втором слева столбце у обоих пиров? Если нет, то на том пире, где отсутствует H, не поддерживается аппаратное ускорение для согласованной комбинации auth-algorithms и enc-algorithms. Проверьте эту таблицу, включая все *, ** и ***, чтобы увидеть, для каких комбинаций алгоритмов доступно аппаратное ускорение. Если одно из устройств не Mikrotik, а аппаратное ускорение есть на стороне Mikrotik, то узким местом является другое устройство. Ещё момент: множество мелких пакетов дают худшую пропускную способность, чем меньшее количество больших пакетов. Так что при передаче файлов по TCP у вас всегда будет лучше, чем, например, при голосовом трафике, который использует UDP-пакеты размером около 250 байт. Triple fightfulness (именно это означает děs на чешском) сегодня точно не самый надёжный выбор.

daggerCVN

Guest

14.10.2018 15:41:00

Спасибо, Синди. Проверка installed-sa показывает все соединения как HE. Я заметил, что стоит шифрование 3des, и просто следовал одному из руководств по настройке VPN, поэтому сменил шифрование на aes, повторно протестировал и подключился — теперь installed-sa показывает aes. Скорость не изменилась, так что, возможно, это ограничение устройства (ноутбука)?

sindy

Guest

14.10.2018 16:32:00

Страница результатов теста hEX S показывает, что при пакетах размером 512 байт пропускная способность IPsec примерно 170 Мбит/с. Задержка из-за L2TP съедает немало пропускной способности, поэтому для потока в 8 Мбит/с, проходящего через туннель L2TP поверх IPsec, транспортный поток будет около 11 Мбит/с. Это всё равно не объясняет ваши 65 Мбит/с, но я не имею понятия, что ещё на стороне Mikrotik может быть узким местом. Если MTU на клиенте не уменьшен пропорционально, возможно, каждый пакет фрагментируется на один длинный и один короткий, что наводит меня на мысль о кадрах по 521 байту, а не по 1500. Так что, если можете, попробуйте с несколькими клиентами одновременно. Если суммарная пропускная способность будет выше — вероятно, ограничение на стороне клиента; если всё так же около 65 Мбит/с — значит, ограничение на стороне Mikrotik. Конечно, предполагаю, что если вы измеряете с ноутбука, подключённого напрямую к LAN-интерфейсу Mikrotik без L2TP/IPsec, пропускная способность намного выше. Я бы сам протестировал, но у меня тут нет канала на 500 Мбит/с.

daggerCVN

Guest

14.10.2018 22:08:00

Я попробовал другое клиентское устройство, и оно выдало 135 Мбит/с. Это обычные Windows-машины с настройками MTU по умолчанию. Судя по всему, проблема связана с клиентом, спасибо ещё раз за ваши замечания и помощь. Удачи — dagger

daggerCVN

Guest

15.10.2018 13:43:00

Протестировал через другое устройство в другом месте. Максимальная скорость была 145 Мбит/с. Следил за нагрузкой процессора на четырёх виртуальных ядрах, и cpu0 в момент тестов доходил до 95%–100%, так что, видимо, всё зависит от устройства и модели роутера, а точнее от нагрузки на его процессор. Ещё раз спасибо!

ahtoh

Guest

07.10.2019 01:14:00

Я настроил свой wAP ac как L2TP/IPSec клиент, и при запуске теста скорости процессор загружается на 100%. Максимальная скорость пропускной способности у меня получается около 26-27 Мбит/с. Это нормальные показатели или стоит поискать, что можно оптимизировать?

ahtoh Guest	#9 0 09.10.2019 15:21:00 Перешёл на ipesc/ikev2 и получил немного лучшую скорость — около 34 Мбит/с с aes-128-cbc. Похоже, этот роутер не поддерживает аппаратное ускорение шифрования ipsec.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры