MK Router pro VPN - náhrada

nosek_tomas2004

Ahoj,
hledám náhradu za můj stávající domácí router - RB951G-2HnD.
Běhám na tom pár VPN spojení typu L2TP/IPSec. Avšak neprotáhnu přes VPN více než 10 Mbit (nevím, zda může být problém i na protistraně).
Také jej mám za VDSL modemem ==>> MK vytáčí PPPoE. "Klidové" vytížení CPU je kolem 25-30%. Když jedu něco přes jednu VPN, je vytížení přes 95%, ale 100% nedosáhne. Jet něco přes dvě a více VPN, tak CPU bude na maximu.

Po novém routeru bych chtěl aby měl tedy "IPSec hardware acceleration" - to by mohlo napomoct (možná i) rychlosti, ale menšímu vytíženi CPU.

Rozhoduju se tedy proto mezi:

RB 750Gr3
RB 3011
RB 4011

Mám to všechno zavřené v racku - rackmount je výhodou. Zatím se asi nejvíce kloním k 3011ce, ale nevím jestli má onu "IPSec hardware acceleration".

Co by jste volili za router pro mé použití 😀 ? Ať už ze mnou vyjmenovaných, nebo úplně jiných. WiFi nepotřebuji, v racku je k ničemu.

Díky moc 😃

noxus28

3011:
https://wiki.mikrotik.com/wiki/Manual:IP/IPsec#Hardware_acceleration
podpora HW enkripce iba pre SHA1 a SHA256 iba 128 a 256b kľúče
takže ak ti to stačí, záleží čo máš na prostistranách, najlepšie zvoliť niečo čo bude na oboch stranách podporovať HW rovnaké šifrovanie.
u 4011 je to fuk, tá podporuje HW všetko

rsaf

Myslím si, že AES-CBC + SHA256 je dostačující. RB750Gr3 je ekonomická varianta, RB4011 je varianta "bez kompromisů". RB3011 je problémový šmejd (padá link...), tomu bych se vyhnul.

skdata

Kolik mas upload na tom vdsl? 10M??

nosek_tomas2004

skdata Ano. Ale když stahuji něco z NAS za VPN domů tak je to max 10mbit. Ale ta lokalita s tím nasem má upload 25mbit

skdata

nosek_tomas2004
upload na dsl je vseobecne mizerny. Jak pises rb951 na to opravdu neni staveny. Ta hex 750g3 by byla ok. Zase proti tom rb4011 je jak s atomovkou na komara.

skdata

nosek_tomas2004
jeste tu nekdo prodaval rb 1100ahx
je do racku a vykonu taky dost.

nosek_tomas2004

skdata Prodával......tady. Je to 1100x2AH. Našel jsem o tom nějaké staré vlákno. Taky tady je pár zmínek.
Z toho, co se v něm píše, jsem pochopil, že teda "nic moc". V tom druhém vlákně zase "naopak" doporučují 4011. Nebo jsem to pochopil blbě 😆 ?

Můj momentální stav je takový, že mám 2 WAN. Jednu přímo do internetu a druhá je "přípojka do jiné sítě" 60GHz spojem kvůli zálohování. Právě na té druhé WAN věží z historických důvodů ještě NAT, takže při zálohování se dostanu jenom někde k 200Mbit. NAT mám v plánu odstranit. Dala by ta 1100x2AH routovat (bez NATu) plný gigabit (60tka spoj to dá - ozkoušeno)?

skdata

nosek_tomas2004
Myslel jsem ze se bavíme o vdsl a ne o gigabytu. Pokud chces uroutovat gb s vpn na ipsec tak bude tak rb1100 jen tak tak. To uz by byla jasna volba minimalne rb4011.

nosek_tomas2004

skdata Ano bavime 😁 . VDSL mám připojení 100/10. Přes to by běhaly ty VPNky. Jen fyzicky mezi dvěma interfacy (např. mezi eth2 a eth5) chci routovat gigabit. Ne po VPNkách 😀

Možná, že jsem tě zase teďka pochopil špatně já 😀

rsaf

Mezi dvěma interfacy ho snad budeš switchovat. A pokud to není vyloženě mini domácí síť tak prostě vše zapojit do normálního switche a netrápit tím mikrotik (na CPU se zapotí a vnitřní switch je sračka).

skdata

Tak ted jsem asi taky mimo.
ten gb je internet, nebo jenom prodlouzena lokalni sit?

nosek_tomas2004

Mě pustit k vysvětlování....no 😁. Začnu popisem portů:

eth1 - WAN VDSL (100/10)
eth2 - "WAN" do miniaturní firmní sítě (spoj 60GHz)
eth3 - eth 5 - LAN bridge

Jako primární připojení do internetu je eth1 - VDSL. Gigabit bych chtěl dosáhnout při zálohování souborů (z NAS na NAS) mezi LAN bridge a eth2. Takže budu mezi těmito rozhraními routovat (bez NATu).

VPNky jsou potom navázány normálněs veřejku na eth1. Routování do subnetů těch VPNek jsem si pořešil v routovací tabulce a ve firewallu (z jaké sítě do jaké kdo může a kdo ne).

Otázka tedy zní, zda ta 1100x2AH uroutuje ten gigabit mezi 2ma lokálními rozhraními, PPoE na vytáčení VDSL a zároveň nějak slušně pojedou ty VPNky. Nebo je lepší (i s ohledem "co si v budoucnu zase vymyslím" 😀) sáhout radši rovnou po 4011.

pgb

nosek_tomas2004 pokud se jedná o nas, kde chceš tahat gigabitové rychlosti na jedno spojení, tak se určitě rb4011 a ještě optimalizuj fw aby se mezi bridge a eth2 použil fasttrack/fastpath.

rsaf

Takže to vezmeme analyticky. Otevřeme si produktovou stránku uvažovaného routeru (třeba https://mikrotik.com/product/RB750Gr3), přepneme se na záložku test results. Zajmá nás výkon pro zálohování => při přenosu relativně velkého objemu dat v málo spojeních a pravděopdobně ve velkých paketech => zajímá nás sloupec 1518 byte. Zálohování přes queue nepoženeme, ale nějaké filtrovací pravidla tam budou, ale bude jich málo a accept pravidlo pro backup si dáme úúúplně nahoru, takže výsledná propustnost bude někde mezi "routing none" a "routing 25 filter rules". Tedy, uroutovat gigiabit backup trafficu s nějakou rezervou na ostatní provoz by to mělo.

nosek_tomas2004

rsaf Díky moc! Konečně vím, jak se v těch testech orientovat 😀.

Takže 1100xAH2 je v poho? Co jsem se díval na ty testy, tak jak v Ethernet, tak v IPSec results to vypadá v pohodě, ne?

skdata

nosek_tomas2004
Ano.

vti

Mám také RB750Gr3 a ať zkouším jakýkoliv typ VPN (open VPN, IPSEC, SSTP,...) nedostanu se pres 10Mbit na lince 100/100Mbit a ještě ta rychlost do kolísá, není to tak, že by to stabilně běželo 10Mbit... Zkoušel jsem i RB4011 a výsledky byly podobné. Nicméně rozhodně nevylučuji problém mezi klávesnicí a Mikrotikem.

nosek_tomas2004

vti Já se se svou 951G jedu přes VPN teda úplně malinko přes 10 mbit. Asi 10,5 - 11 ve špičkách. A nějak výrazně mi to teď s L2TP/IPSec nekolísá.

S OVPN to lítalo furt, a max byl 4 mbit. Ještě se to i náhodně odpojovalo a připojovalo, tak jsem "utekl" k l2TP/IPSec. Já tedy nevylučuji problém mezi židlí a klávesnicí, protože mám pocit, že mi NTB šlape v pohodě 🤣 - takže si myslím, že mezi klávesnicí a mikrotikem jede vše v pohodě. Ale to stvoření u klávesnice, beru jako největší možnou chybu 🤣 .

Nejlepších výsledků jsem dosáhl s EOIP/IPsec. Ale ve finále ho nemůžu používat, protože potřebuji připojovat VPN klienty za NATem