http://mikrotik.moscow Новое в теме Routerboard: реальные показатели производительности "IP Firewall - VLAN - Bridges" для проверки форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Thu, 13 Aug 2026 19:40:09 -0400 Routerboard: реальные показатели производительности "IP Firewall - VLAN - Bridges" для проверки RouterOS в форуме RouterOS.
Обновление: Произошло ещё кое-что странное. Пару недель назад производительность на CCR резко упала. Я не менял никаких настроек, кроме добавления нерелевантных правил фаервола для VPN и обновления прошивки до последней стабильной версии (сейчас 6.33.5). Чтобы разобраться, я сначала провёл базовый тест, чтобы проверить максимальную скорость между двумя MacBook’ами, которые собирался использовать.

БАЗОВЫЙ ТЕСТ: напрямую подключаю два MacBook’а через thunderbolt ethernet  
[ ID] Интервал Передано Скорость
[ 4] 0.00-10.00 сек 1.10 ГБайт 941 Мбит/с отправитель
[ 4] 0.00-10.00 сек 1.10 ГБайт 941 Мбит/с получатель

Подключено к CCR через switch chipset group 1 (vlan34), порт3 к порт4 (vlan34)  
[ ID] Интервал Передано Скорость
[ 4] 0.00-10.00 сек 23.3 Мбайт 19.5 Мбит/с отправитель
[ 4] 0.00-10.00 сек 23.2 Мбайт 19.5 Мбит/с получатель

Как видите, всего 20 Мбит/с!!!

Подключено к CCR через switch chipset group 1 (vlan34), порт4 и напрямую к CPU (vlan34) порт8  
[ ID] Интервал Передано Скорость
[ 4] 0.00-10.00 сек 22.7 Мбайт 19.1 Мбит/с отправитель
[ 4] 0.00-10.00 сек 22.6 Мбайт 19.0 Мбит/с получатель

Результат тот же, то есть не важно, подключаюсь ли я к портам на switch chipset или к одному порту на switch chipset и одному порту напрямую к CPU и копирую данные в сторону chipset.

Подключено напрямую к CPU (vlan34) порт6 к порт8 (vlan34)  
[ ID] Интервал Передано Скорость
[ 4] 0.00-10.00 сек 1.09 ГБайт 938 Мбит/с отправитель
[ 4] 0.00-10.00 сек 1.09 ГБайт 938 Мбит/с получатель

Вот это уже другое дело, если не использовать switch chipset, скорость такая, как и ожидалось!

Так что, вопрос: не сломался ли у меня switch chipset на CCR?

Какие ещё тесты, логи или отладку можно провести, чтобы разобраться?

Учтите, что раньше всё работало, смотрите четвёртый пост выше.

@chechito, ты был прав. После этой проблемы с падением производительности switch chipset я теперь подключил мои access switches напрямую к CPU на портах 5-8. Производительность выросла примерно с 630 до более 900 Мбит/с.
26.01.2016 12:22:00, Cobalt3000.]]> http://mikrotik.moscow/forum/forum57/83535-routerboard_-realnye-pokazateli-proizvoditelnosti-_ip-firewall-_-vlan-_-bridges_-dlya-proverki/message377573 http://mikrotik.moscow/forum/forum57/83535-routerboard_-realnye-pokazateli-proizvoditelnosti-_ip-firewall-_-vlan-_-bridges_-dlya-proverki/message377573 Tue, 26 Jan 2016 12:22:00 -0500 RouterOS Routerboard: реальные показатели производительности "IP Firewall - VLAN - Bridges" для проверки RouterOS в форуме RouterOS.
Хорошее замечание, я не подумал о связи между переключателем и процессором. Попробую и посмотрим, что выйдет.
28.10.2015 08:03:00, Cobalt3000.]]> http://mikrotik.moscow/forum/forum57/83535-routerboard_-realnye-pokazateli-proizvoditelnosti-_ip-firewall-_-vlan-_-bridges_-dlya-proverki/message377572 http://mikrotik.moscow/forum/forum57/83535-routerboard_-realnye-pokazateli-proizvoditelnosti-_ip-firewall-_-vlan-_-bridges_-dlya-proverki/message377572 Wed, 28 Oct 2015 08:03:00 -0400 RouterOS Routerboard: реальные показатели производительности "IP Firewall - VLAN - Bridges" для проверки RouterOS в форуме RouterOS.
На CCR1009 попробуйте использовать Ethernet 6-8, которые напрямую подключены к процессору, порты 1-4 имеют общий 1G порт к процессору. Схема блока CCR1009 http://i.mt.lv/routerboard/files/CCR1009-140630151432.pdf
27.10.2015 09:12:00, chechito.]]> http://mikrotik.moscow/forum/forum57/83535-routerboard_-realnye-pokazateli-proizvoditelnosti-_ip-firewall-_-vlan-_-bridges_-dlya-proverki/message377571 http://mikrotik.moscow/forum/forum57/83535-routerboard_-realnye-pokazateli-proizvoditelnosti-_ip-firewall-_-vlan-_-bridges_-dlya-proverki/message377571 Tue, 27 Oct 2015 09:12:00 -0400 RouterOS Routerboard: реальные показатели производительности "IP Firewall - VLAN - Bridges" для проверки RouterOS в форуме RouterOS.
Мои тесты №1 и №2 показывают производительность каждого компонента, и я заново проверил все компоненты, перечисленные в тесте №8 — у всех скорость превышает 900 Мбит/с в отдельности. Согласен, потеря в 300–400 Мбит/с на проводке в стенах дома — это много, не уверен, что ещё может быть причиной. Я уже очень доволен улучшением производительности по сравнению с 126 Мбит/с. Домашняя проводка — это кабели CAT 5e, проложенные внутри стен, которые пересекают соединения с силовым кабелем. Хотя длина большая, она точно не превышает 100 метров. Посмотрю, смогу ли исключить проводку в стенах из уравнения и протестировать с заменой кабелей.
27.10.2015 08:08:00, Cobalt3000.]]> http://mikrotik.moscow/forum/forum57/83535-routerboard_-realnye-pokazateli-proizvoditelnosti-_ip-firewall-_-vlan-_-bridges_-dlya-proverki/message377570 http://mikrotik.moscow/forum/forum57/83535-routerboard_-realnye-pokazateli-proizvoditelnosti-_ip-firewall-_-vlan-_-bridges_-dlya-proverki/message377570 Tue, 27 Oct 2015 08:08:00 -0400 RouterOS Routerboard: реальные показатели производительности "IP Firewall - VLAN - Bridges" для проверки RouterOS в форуме RouterOS.
Этот результат меня всё ещё разочаровывает, не должно быть причин, почему нельзя получить свыше 900 Мбит/с по локальной сети. Конечно, будет небольшой оверхед, но потеря почти 400 Мбит/с — это слишком много, особенно если процессор даже близко не загружен. Что показывает инструмент или профиль?
26.10.2015 11:05:00, R1CH.]]> http://mikrotik.moscow/forum/forum57/83535-routerboard_-realnye-pokazateli-proizvoditelnosti-_ip-firewall-_-vlan-_-bridges_-dlya-proverki/message377569 http://mikrotik.moscow/forum/forum57/83535-routerboard_-realnye-pokazateli-proizvoditelnosti-_ip-firewall-_-vlan-_-bridges_-dlya-proverki/message377569 Mon, 26 Oct 2015 11:05:00 -0400 RouterOS Routerboard: реальные показатели производительности "IP Firewall - VLAN - Bridges" для проверки RouterOS в форуме RouterOS.
Всем привет, я провёл несколько тестов производительности в своей (не очень типичной) домашней сети и хотел бы получить ваши комментарии или подтверждение. Возможно, мою конфигурацию можно/нужно оптимизировать, или это не совсем «правильный» способ использования ROS — тоже дайте знать. Суть в том, что использование IP Firewall под Bridges даёт гораздо больший провал в производительности, чем я ожидал изначально. Немного много текста, прошу потерпеть.

У меня есть RB2011USA-2HnD, к eth1 подключён апстрим и выход в Интернет, а eth2-5 соединены с коммутаторами Netgear, в основном GS724T и GS110T. На RB2011 у меня настроено 5 VLAN, которые распространяются на все коммутаторы на портах eth2-5, конфигурация следующая:

Для каждого VLAN я определил свой мост (bridge). Каждый физический порт имеет VLAN-интерфейс для каждого VLAN, и эти VLAN-интерфейсы подключены к соответствующим мостам. То есть eth2 имеет 5 VLAN-интерфейсов, и каждый из них подключён к своему мосту. Поскольку эти мосты отражают 5 «зон безопасности», я могу использовать правила фаервола для фильтрации только между мостами, ведь весь трафик внутри конкретного моста – это трафик одного уровня.

Тесты я проводил с iperf3 — сервер на iMac, клиент на MacBook с параметрами iperf3 -c x.x.x.x -b 0 -V -f m -i 1. Проверял разные размеры пакетов от 64 до 1480 байт. Результаты каждого теста — среднее из 10 прогонов. При размере пакета от 256 байт и выше результаты примерно одинаковые, а на меньших размерах производительность существенно падает — это ожидаемо, поэтому в отчёте приведены усреднённые результаты с 256 байт и выше.

Результаты  
Первые два теста чтобы увидеть максимальную производительность в компонентах:  
1) Базовый тест: macbook — прямой кабель — imac : 982 Мбит/с  
2) Базовый тест с коммутатором: macbook — кабель — Netgear GS724T — кабель — imac : 935 Мбит/с

Следующие три теста показывают производительность моей конфигурации ROS и влияние разных настроек. Для них я использовал RB951, но конфигурация ROS такая же, как и на RB2011, только без другого сетевого трафика:  
3) Базовая конфигурация ROS (Bridge без использования IP Firewall): macbook — RB951 — imac : 529 Мбит/с  
4) Базовая конфигурация ROS (Bridge с использованием IP Firewall): macbook — RB951 — imac : 243 Мбит/с  
5) Базовая конфигурация ROS (Bridge с использованием IP Firewall и macbook/imac в разных VLAN): macbook — RB951 — imac : 190 Мбит/с

Впечатляющее падение производительности. Следующие два теста – macbook напрямую подключён к RB2011 на eth5:  
6) Полный тест (Bridge без IP Firewall): macbook — RB2011 — домашняя разводка — Netgear GS724T — imac : 453 Мбит/с  
7) Полный тест (Bridge с IP Firewall и macbook/imac в разных VLAN): macbook — RB2011 — домашняя разводка — Netgear GS724T — imac : 145 Мбит/с

Последний тест проведён в полной домашней сети в обычных условиях (включая интернет-трафик, IP Firewall на мостах + фаервол для VLAN, меж-VLAN фильтрация, домашняя разводка, розетки, коммутаторы и RB2011):  
8) Полный тест (Bridge с IP Firewall и macbook/imac в разных VLAN): macbook — Netgear GS110T — домашняя разводка — RB2011 — домашняя разводка — Netgear GS724T — imac : 126 Мбит/с

Во время тестов загрузка CPU RB2011 варьировалась от 20% до 55%. Удар по производительности при использовании IP Firewall для мостов и VLAN очень ощутимый, но даже без использования IP Firewall на мостах разница в пропускной способности между двумя хостами в одном VLAN и в разных VLAN заметна.

Я понимаю, что при фильтрации всегда будут потери — нагрузка на CPU, специфика чипсетов в коммутаторах, кабели, расстояния — но это оказалось чуть более заметно, чем я ожидал.

Кто-нибудь может прокомментировать или подтвердить мои наблюдения? Правильно ли я здесь всё тестирую? Есть ли смысл заменить RB2011 на CCR1009, повлияет ли это на ситуацию?
12.10.2015 10:39:00, Cobalt3000.]]> http://mikrotik.moscow/forum/forum57/83535-routerboard_-realnye-pokazateli-proizvoditelnosti-_ip-firewall-_-vlan-_-bridges_-dlya-proverki/message377568 http://mikrotik.moscow/forum/forum57/83535-routerboard_-realnye-pokazateli-proizvoditelnosti-_ip-firewall-_-vlan-_-bridges_-dlya-proverki/message377568 Mon, 12 Oct 2015 10:39:00 -0400 RouterOS