КорзинаПеред тем, как начать тестирование, проведем сравнение данных, полученных самой компанией Mikrotik. Результаты тестирования мы решили сопоставить с решением предыдущего поколения – RB2011 (модель RB2011UiAS-RM). Все данные были внесены в общую таблицу производительности, которая предоставляет возможность удобного сравнения.
Как видите, Mikrotik RB850Gx2 в большинстве тестов оказывается примерно вдвое быстрее моделей на платформе RB2011. Конечно, к нему требуется докупить корпус CA150, но даже с дополнительными затратами прирост производительности гораздо выше прироста в цене.
Говоря о платформе RB3011, прирост производительности вполне ожидаем. В зависимости от конфигурации, 3011 оказывается в среднем вдвое быстрее 850Gx2, не говоря уже о 2011, в сравнении с которым, прирост может составлять от 3 до 6 раз.
Обычно другие компании при росте производительности существенно повышают цену, уравнивая прирост производительности приростом цены. Политика Mikrotik в этом плане достаточно демократична – немного доплатив можно получить гораздо больше.
Чуть ранее для модели RB850Gx2 (в июле 2015-го), была заявлена поддержка аппаратного ускорения шифрования. Таким образом, компания Mikrotik выпустила обновленную ревизию с поддержкой аппаратного ускорения шифрования. Новые ревизии этого маршрутизатора имеют серийный номер, который начинается с цифры 5. У нас же на тесте ревизия без поддержки аппаратного шифрования (серийный номер начинается с 4). Будет интересно посмотреть на производительность RB850Gx2 при работе с шифрованным трафиком, но без ускорения. В свою очередь, версия с аппаратным ускорением, по заявлению Mikrotik, способна обеспечить 500 Мбит/сек с шифрованием AES 128-bit.
Что же касается RB3011, его выход был отложен из-за смены процессора. Изначально 3011 планировался на другом процессоре, с появлением ARM-процессора IPQ у Qualcomm, было принято решения делать маршрутизатор на новой платформе. В обзоре RB3011 мы упоминали поддержку шифрования на аппаратном уровне со стороны процессора, но как дела обстоят на практике?
Пользователи официального англоязычного сообщества Mikrotik отметили отсутствие аппаратного ускорения, на что получили следующий ответ:
A: IPsec accelerator support for RB3011 is still being worked on, the HW acceleration is not yet supported for this model. The CPU is much faster than RB2011 even without HW accelerator.
Q: But HW acceleration will be supported in the near future?
A: We are working on it, yes.
Если кратко, разработчики работают над этим вопросом, ссылаясь при этом на более высокую производительность даже без блока шифрования. Сообщается, что работы над аппаратным ускорением идут, правда до конца не ясно, будет ли поддержка аппаратного шифрования введена в одном из обновлений RouterOS, или же будет выпущена обновленная ревизия RB3011.
RB3011 построен на новой для компании платформе ARM, поэтому оптимизации и улучшения в RouterOS однозначно будут в последующих обновлениях. В свою очередь, поддержка аппаратного шифрования для RB3011 официально никогда не заявлялась, учитывая рыночную стоимость и общую производительность платформы – какие-либо претензии в сторону Mikrotik здесь полностью бессмысленны. Пришло время приступить к практическому тестированию.
Производительность RB850Gx2 и RB3011 при работе с L2TP
На первом этапе нами было проведено тестирование производительности маршрутизаторов при использовании в качестве корпоративного сервера VPN.
Поскольку RB3011UiAS-RM – более производительное решение, он был выбран в роли сервера L2TP. Настройка была выполнена по инструкции, которую мы публиковали чуть ранее. Firewall содержал базовый набор правил (по-умолчанию), а также правила, необходимые для работы L2TP.
Используя для тестирования встроенный инструмент Bandwidth Test вы не получите достоверных данных о производительности, поскольку клиент BT использует только 1 вычислительное ядро процессора. Таким образом, на практике не получится задействовать оба ядра процессора, используя, встроенный в маршрутизатор, клиент BT. Для получения точных данных требуется использовать как минимум 3 маршрутизатора: 2 маршрутизатора соединены между собой, на одном из них запущен Bandwidth Test Server; третий маршрутизатор генерирует трафик.
Второй нюанс состоит в том, что при использовании шифрования и сжатия, необходимо генерировать случайный набор данных, чтобы алгоритмы шифрования и сжатия не искажали результаты, полученные в ходе тестирования. Генерация данных отнимает значительные ресурсы процессора, что также искажает результаты измерения и приводит к необходимости третьего «звена».
К счастью, без третьего маршрутизатора можно обойтись, запустив клиент Mikrotik Bandwidth Test на компьютере под управлением Windows. Учитывая солидный потенциал по производительности обеих маршрутизаторов, мы решили прибегнуть к уже привычному методу проверки пропускной способности – с помощью утилиты IPerf (с графической оболочкой JPerf).
JPerf позволяет создать большое количество одновременных потоков, выжав максимум из маршрутизатора, что будет весьма актуально для канала с полосой пропускания до 1 Гбит/сек.
В роли генератора и получателя траффика выступили 2 мощные рабочие станции с 8-ядерными процессорами, 8 ГБ оперативной памяти и сетевыми картами Intel PRO/1000 PT (Intel 82572GI, Hardware Offload).
Использование ресурсов ЦП во время генерации траффика
Первый тест был проведен в базовой конфигурации L2TP без использования базового шифрования MPPE 128-bit.
Генерация траффика в JPerf, 50 потоков
При запуске 50 одновременных потоков, средняя скорость составила 250 Мбит, но загрузка ресурсов процессора на обеих маршрутизаторах свидетельствует о том, что это далеко не предел. Таким образом, количество одновременных потоков было увеличено до 150, дальнейшее увеличение не привело к росту скорости.
RB850Gx2, L2TP без шифрования
Максимально достигнутая нами скорость при указанной конфигурации – чуть более 300 Мбит/сек. И тут есть ряд замечаний, дело в том, что загрузка ресурсов RB850Gx2 в среднем составила 80-90%, т.е. потенциально, этот маршрутизатор может выдать большую скорость. Также следует понимать, что эта скорость включает только «реальные данные» и не включает всю служебную информацию – на сетевых портах общая скорость выше.
Маршрутизатор RB3011UiAS-RM справился с задачей заметно лучше, его производительность ограничилась возможностями RB850Gx2, чего и следовало ожидать. При скорости чуть более 300 Мбит, загрузка ресурсов процессора составила всего 22-24%.
RB3011, L2TP без шифрования
В сравнении с RB2011UiAS-RM, который мы также тестировали на предмет производительности при работе с L2TP, новый RB3011 демонстрирует многократное превосходство.
Как поведут себя маршрутизаторы, если активировать стандартное шифрование MPPE 128-bit? Активируем новые настройки и тестируем повторно.
RB850Gx2, L2TP MPPE 128-bit
Загрузка ресурсов маршрутизатора RB850Gx2 достигла 99-100%, при этом средняя скорость составила 125-140 Мбит – это максимум, что удалось выжать из 850Gx2.
Впрочем, результат для этой модели вполне ожидаем, ведь он оснащен процессором с двумя ядрами по 533 МГц каждое. В свою очередь, большой объем оперативной памяти и архитектура PowerPC дает свои преимущества. Для сравнения, RB2011 с разгоном процессора да 700 МГц (вместо штатных 600 МГц) дает скорость 58 Мбит/сек. Производительность архитектуры, применяемой в 850Gx2, в расчете на 1 МГц тактовой частоты заметно выше (примерно в полтора раза).
RB3011,, L2TP MPPE 128-bit
Вернемся к RB3011, при максимальной скорости в 140 Мбит/сек, загрузка процессора составила 38%. Учитывая, что скорость ограничена со стороны RB850Gx2, а также взяв в расчёт степень загрузки процессора, можно с абсолютной уверенностью говорить о том, что RB3011 по L2TP + MPPE может справить с каналом более 300 Мбит. Верхний предел находится в диапазоне 350-370 Мбит.
Тестирование IPSec
Многих интересует вопрос производительности при работе с IPSec, в частности с применением стойкого шифрования AES 128-bit. Для проверки производительности, конфигурация маршрутизаторов была изменена: L2TP исключен, маршрутизаторы перенастроены объединение внутренних сетей посредством туннеля IPSec. Аутентификация SHA1, алгоритм шифрования AES 128-bit (aes cbc).
На этот раз уже была использована утилита Mikrotik Bandwidth Test.
При отправке случайного набора данных с ПК через B3011 до RB850Gx2, производительность достигает 82-83 Мбит.
Скорость отправки с RB3011 на RB850Gx2
Загрузка ресурсов RB850Gx2 – 70%, RB3011 – 51%.
RB850Gx2, IPSec 128-bit AES
RB3011, IPSec 128-bit AES
Если же отправлять данные с ПК через RB850Gx2 на RB3011, максимальная скорость в среднем составляет 64 Мбит. Все дело в том, что процесс шифрования отнимает больше ресурсов, нежели расшифровка.
RB850Gx2, IPSec 128-bit AES
RB3011, IPSec 128-bit AES
Вот тут и проявляется разница в производительности. Загрузка RB850Gx2 при 64 Мбитах осталась на прежнем уровне – 70%, в то время как RB3011 для расшифровки такого траффика требуется всего 24% ресурсов процессора.
В обоих случаях мы генерировали трафик на отправку на ПК, чтобы не использовать ресурсы маршрутизаторного процессора (в случае с «Direction: receive»). К этому же приводит использование «Direction: Both», ведь на втором конце, трафик генерирует процессор маршрутизатора, чем отнимаются его ресурсы и искажаются общие данные по производительности.
Наиболее правильным будет сгенерировать трафик на отправку с двух ПК. Так и делаем, запускаем встречную отправку с двух ПК на удаленные маршрутизаторы: из сети A на маршрутизатор B, из сети B на маршрутизатор A.
RB850Gx2, IPSec 128-bit AES, duplex
RB3011, IPSec 128-bit AES, duplex
Результаты вполне ожидаемые, общая скорость в дуплексе доставляет ~95 Мбит, при этом загрузка RB850Gx2 составляет 100%. Сопоставив все данные, получаем следующее. Для маршрутизатора RB850Gx2 максимальная скорость составляет 83 Мбит на прием (расшифровка пакетов) и 64 Мбит на отправку (шифрование пакетов). В режиме полного дуплекса максимальная производительность – 90-95 Мбит/сек, в зависимости от структуры траффика.
RB3011 может похвастаться куда более высоким уровнем производительности: при использовании половину ресурсов он может зашифровать и отправить ежесекундно 83 Мбит, при этом декодирование имеет хороший уровень оптимизации, что позволяет расшифровать 64 Мбит, используя всего 24% от ресурсов центрального процессора.
RB3011: работа в качестве файлового сервера
Новый RB3011 оснащен полноразмерным портом USB 3.0, вдобавок центральный процессор маршрутизатора поддерживает USB 3.0 на аппаратном уровне.
Ранее мы уже сталкивались с проблемой нехватки ресурсов процессора при использовании в качестве небольшого файл-сервера на маршрутизаторах предыдущего поколения, в частности у RB2011 и RB951Ui-2HnD. Файловый доступ на этих моделях работает, с вполне неплохой скоростью, но при этом загрузка ресурсов процессора достигает 100%, что для маршрутизатора, обеспечивающего и другие функции, такие как выход в Интернет, недопустимо.
В первом тесте в роли накопителя выступил флеш-накопитель Goodram Point 8 GB (PD8GH3GRPOSR10) с поддержкой USB 3.0. Скорость записи на флешку не поднялась выше 1.66 МБайт/сек, правда загрузка ресурсов составила в среднем всего 3%.
Копирование на флеш-накопитель
Использование ресурсов при копировании
После чего было принято решение подключить внешний винчестер. Под руками оказался старенький диск 2.5” на 120 Гбайт производства Seagate. При форматировании диска в FAT32, загрузка процессора достигала 9%.
Форматирование диска
Средняя скорость записи на диск составила 10 МБайт/сек, что достаточно хороший результат. Загрузка процессора – всего 15%.
Копирование на диск
Использование ресурсов при копировании
Тест скорости чтения с диска показал 5.9 МБайт/сек, при загрузке процессора 12%. Запись данных осуществлялась на твердотельный накопитель OCZ Agility 3.
Копирование с диска
Загрузка при копировании
В целом, работа с накопителями дается RB3011 легко. В нашем случае, узким местом был старый жесткий диск. Если предполагается использование маршрутизатора в качестве сервера на предприятии, лучше всего использовать специальные модели дисков, рассчитанных на постоянную работу, к примеру, Constellation ES производства Seagate. Можно также использовать SSD-накопители, если вас не пугает их износ при постоянной перезаписи. Основная рекомендация – наличие USB 3.0 и поддержка SATA II (SATA III) на винчестере, так вы сможете получить хорошую скорость записи/копирования.
Для важных данных наиболее правильным же вариантом является использование отдельного сетевого хранилища – NAS. Желательно с 2 винчестерами в RAID (зеркалирование) и гигабитным сетевым интерфейсом.
Выводы по тестам RB850Gx2 и RB3011UiAS-RM
Новый RB850Gx2 является отличным решением, если вам необходимо создать сервер VPN L2TP с целью объединения в одну сеть нескольких небольших филиалов. Скорость подключения к интернет-провайдеру, в таком случае, может составлять 100 Мбит, при этом у вас останется достаточный запас производительности для дополнительных правил, политик и ограничений. Своего рода типичный вариант использования в сети предприятия, когда подключены удаленные офисы, внутренняя сеть гигабитная, а сотрудникам необходимо ограничить скорость или доступ.
RB850Gx2 для таких целей будет отличным вариантом, предоставив хорошую производительность и возможность сложной конфигурации сети предприятия.
Если же VPN не используется, этот маршрутизатор будет отличным вариантом для офиса со скоростью внешнего канала до 1 Гбит/сек. Большой объем оперативной памяти и хороший потенциал процессора позволяют разграничить доступ пользователям к ресурсам Интернет так, как это необходимо (лимит скорости, шейпинг, Burst, ограничение и лимитирование пирингового траффика и т.д.).
Загрузка процессора RB850Gx2 во время тестирования
Загрузка процессора RB3011 во время тестирования
Что же касается обновления стоечных маршрутизаторов начального уровня, RB3011UiAS-RM показывает отличную производительность за относительно невысокую стоимость. В плане производительности, этот маршрутизатор, в зависимости от конфигурации сети, в 2-3 раза превосходит RB850Gx2. Не говоря уже о RB2011, в сравнении с которым, новинка имеет превосходство, уверенно обгоняя предшественника в 3-6 раз.
RB3011 – отличный вариант для организации доступа к сети Интернет на предприятии с внешний каналом 1 Гбит/сек. Наличие слота SFP позволяет подключиться к провайдеру оптоволоконным кабелем, без необходимости применения дополнительного оборудования. Маршрутизатор может выступить в роли центрального сервера VPN для организации удаленных подключений, например, с целью объединения офисов с несколькими подсетями.
Если предполагается использовать шифрование AES, наиболее комфортно RB3011 чувствует себя в условиях, когда входящий трафик превосходит исходящий. Например, когда в главном офисе находится сервер компании, на который отправляются данные из периферийных офисов (филлиалов). При этом, периферийные филиалы могут быть оснащены менее производительными (более доступными) маршрутизаторами Mikrotik. При построении беспроводной сети в большом отеле (торговом центре, учебном заведении), RB3011 может выступить в роли мощного сервера HotSpot.
