http://mikrotik.moscow Новое в теме GRE поверх IPSEC, CCR, ОЧЕНЬ МЕДЛЕННО форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Fri, 14 Aug 2026 03:08:44 -0400 GRE поверх IPSEC, CCR, ОЧЕНЬ МЕДЛЕННО RouterOS в форуме RouterOS.
Проблема с производительностью CCR, которую вы испытываете, связана с тем, что вы используете IPSEC и GRE-туннель, при этом только один туннель к одному другому хосту. По конструкции RouterOS в такой ситуации задействуется не более одного-двух ядер. Производительность можно повысить, создав несколько туннелей к одному и тому же хосту и настроив балансировку нагрузки. Например, если вы попробуете сервер mikrotik btest, вы увидите, что он не использует более одного ядра, но если запустить несколько сессий, можно добиться 100% загрузки ЦПУ при множестве сессий с одного компьютера, используя пакеты размером 64 байта.
04.11.2014 20:06:00, SystemErrorMessage.]]> http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428071 http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428071 Tue, 04 Nov 2014 20:06:00 -0500 RouterOS GRE поверх IPSEC, CCR, ОЧЕНЬ МЕДЛЕННО RouterOS в форуме RouterOS.
Проблема возникает только с TCP-трафиком из-за фрагментации, пакетов вне порядка и повторных передач TCP. Бесподключевые протоколы (например, UDP) таких проблем не имеют. В будущем мы улучшим крипто-драйвер для TCP-соединений.
04.11.2014 09:04:00, mrz.]]> http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428070 http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428070 Tue, 04 Nov 2014 09:04:00 -0500 RouterOS GRE поверх IPSEC, CCR, ОЧЕНЬ МЕДЛЕННО RouterOS в форуме RouterOS.
Я попал на эту страницу, потому что у меня точно такая же проблема, как в этой теме. @mrz, не мог бы ты поделиться нужными частями своей конфигурации, чтобы понять, как у тебя настроен туннель? Похоже на серьёзную проблему, и, думаю, стоит в это разобраться...
03.11.2014 21:44:00, EnigmAX.]]> http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428069 http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428069 Mon, 03 Nov 2014 21:44:00 -0500 RouterOS GRE поверх IPSEC, CCR, ОЧЕНЬ МЕДЛЕННО RouterOS в форуме RouterOS.
Вполне очевидно, что ваш тестовый пример с идеальными условиями не отражает реальную производительность.
28.10.2014 15:02:00, roadracer96.]]> http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428068 http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428068 Tue, 28 Oct 2014 15:02:00 -0400 RouterOS GRE поверх IPSEC, CCR, ОЧЕНЬ МЕДЛЕННО RouterOS в форуме RouterOS.
Привет, я только что провёл тест EoIP (зашифрованный IPSec 3des), на обоих сайтах стоят CCR-1009-8G-1S-1S+ с версией прошивки 6.20, 3.19. Похоже, что трафик обрабатывает только одно ядро процессора (100% загрузка одного ядра, остальные простаивают), максимальная скорость по туннелю EoIP достигает примерно 43 Мбит/с… Это как-то исправят? Или GRE покажет лучшую производительность (выше скорость)?
23.10.2014 10:58:00, ATG.]]> http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428067 http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428067 Thu, 23 Oct 2014 10:58:00 -0400 RouterOS GRE поверх IPSEC, CCR, ОЧЕНЬ МЕДЛЕННО RouterOS в форуме RouterOS.
В моей тестовой установке между двумя CCR, GRE поверх IPSec без проблем передавал 500 Мбит/с с пакетами размером 1450 байт.
13.10.2014 09:46:00, mrz.]]> http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428066 http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428066 Mon, 13 Oct 2014 09:46:00 -0400 RouterOS GRE поверх IPSEC, CCR, ОЧЕНЬ МЕДЛЕННО RouterOS в форуме RouterOS.
Привет! Это не очень хорошо. Мне нужно знать, есть ли какие-то спецификации для разных аппаратных платформ по производительности, особенно по пропускной способности VPN. Мне нужен доступ к этим данным. Тогда мы сможем сравнить спецификации с реальными показателями. Mikrotik должен быть более открытым во всех вопросах, а не заниматься только исправлением багов и добавлять новые функции на всех аппаратных платформах. Спасибо, Леон.
10.10.2014 16:44:00, wa4zlw.]]> http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428065 http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428065 Fri, 10 Oct 2014 16:44:00 -0400 RouterOS GRE поверх IPSEC, CCR, ОЧЕНЬ МЕДЛЕННО RouterOS в форуме RouterOS.
Думаю, с работой GRE-туннелей с IPsec на серии CCR большая проблема. Аналогично с IPIP + IPsec. У нас есть RB1100AHx2, соединённый через GRE-туннель с CCR1036. RB1100AHx2 подключён по кабелю со скоростью 120/10 Мбит, а CCR по оптике 500/500 Мбит. Если отключить IPsec на туннеле, получаю ожидаемую максимальную скорость: RB1100 → CCR стабильно около 1,4 МБ/с, CCR → RB1100 стабильно около 12 МБ/с. Если включить IPsec, скорость в сторону RB1100 → CCR остаётся такой же, а вот CCR → RB1100 максимально около 500 КБ/с. Может кто-то помочь или объяснить эти странные проблемы?
10.10.2014 11:53:00, i4jordan.]]> http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428064 http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428064 Fri, 10 Oct 2014 11:53:00 -0400 RouterOS GRE поверх IPSEC, CCR, ОЧЕНЬ МЕДЛЕННО RouterOS в форуме RouterOS.
Я решил просто вытащить оборудование Mikrotik и запустить пару x86-компьютеров с Router OS на них. Проблема решена.
27.08.2014 14:07:00, erkel.]]> http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428063 http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428063 Wed, 27 Aug 2014 14:07:00 -0400 RouterOS GRE поверх IPSEC, CCR, ОЧЕНЬ МЕДЛЕННО RouterOS в форуме RouterOS.
Напомню, есть ли шанс, что CCR будет работать в такой конфигурации? Или мне придется перейти на RB1100AHx2?
25.08.2014 12:35:00, erkel.]]> http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428062 http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428062 Mon, 25 Aug 2014 12:35:00 -0400 RouterOS GRE поверх IPSEC, CCR, ОЧЕНЬ МЕДЛЕННО RouterOS в форуме RouterOS.
Они уже ответили. Так и есть. TCP-соединение, GRE-туннель, форвардинг и IPsec обрабатываются на одном ядре. Похоже, что одно ядро rb1100ahx2 работает быстрее, чем одно ядро Tilera.
15.05.2014 22:43:00, roadracer96.]]> http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428061 http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428061 Thu, 15 May 2014 22:43:00 -0400 RouterOS GRE поверх IPSEC, CCR, ОЧЕНЬ МЕДЛЕННО RouterOS в форуме RouterOS.
Сегодня пришли несколько моделей CCR и RB1100AHx2. Планирую использовать их для тестирования разных типов VPN-туннелей и поделюсь замерами скорости. Буду тестировать: IPIP + ipsec (transport), GRE + ipsec (transport), EOIP + ipsec (transport), ipsec tunnel. В основном с шифрованием AES, так как оно должно поддерживаться на аппаратном уровне. Проверю как минимум следующие комбинации: CCR1036 ↔ CCR1036, CCR1009 ↔ CCR1009, CCR1036 ↔ CCR1009, CCR1xxx ↔ RB1100AHx2, CCR1xxx ↔ SonicWall SRA, RB1100AHx2 ↔ SonicWall SRA. Прошу немного подождать, в ближайшие дни буду держать вас в курсе.
15.05.2014 20:51:00, i4jordan.]]> http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428060 http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428060 Thu, 15 May 2014 20:51:00 -0400 RouterOS GRE поверх IPSEC, CCR, ОЧЕНЬ МЕДЛЕННО RouterOS в форуме RouterOS.
Простой GRE-туннель поверх IPSEC в транспортном режиме, AES-CBC (пробовал и другие алгоритмы), между CCR 1036 и RB1100AHx2 максимум примерно 50 Мбит совокупной пропускной способности. 25/25 tx/rx, 5/45 tx/rx и так далее. Тот же туннель без политики IPSEC показывает свыше 500 Мбит совокупной пропускной способности. При такой же конфигурации между двумя RB1100AHx2 с включённым шифрованием получается около 500 Мбит совокупной пропускной способности. Очевидно, проблема с CCR. Если просто сделать IPSEC в режиме туннеля через CCR, производительность нормальная, но, к сожалению, мне нужно использовать маршрутизационные протоколы. ROS 6.12, пробовал также 6.11 — результат тот же (в 6.11, кажется, даже медленнее).
28.04.2014 13:12:00, roadracer96.]]> http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428059 http://mikrotik.moscow/forum/forum57/88555-gre-poverkh-ipsec_-ccr_-ochen-medlenno/message428059 Mon, 28 Apr 2014 13:12:00 -0400 RouterOS