Review
MikroTik RB3011: оценка на производителност
Практически преглед на производителността на MikroTik RB3011 — лимити на пропускателна способност, VPN тавани и съвети за оптимизация за ISP.
Резюме MikroTik RB3011 е двуядрен ARM рутер с десет гигабитови Ethernet порта, който от години е “рентабилният MikroTik” за SMB мрежи и малки ISP. Архитектурата му — два суич чипа зад процесор от 1.4 GHz — формира както силните страни, така и таваните. Този преглед обхваща реалната пропускателна способност, къде CPU се насища, как реално се държат VPN опциите и контролния списък за оптимизация, който извлича максимума от платформата.
Какво е MikroTik RB3011?
MikroTik RB3011UiAS-RM е двуядрен ARM рутер с десет гигабитови Ethernet порта плюс SFP клетка, проектиран като рентабилен edge рутер за SMB мрежи и малки ISP. Вътрешно комбинира Qualcomm IPQ-8064 CPU на 1.4 GHz с два независими суич чипа, всеки обслужващ половината от десетте Ethernet порта. Разделеният суич дизайн намалява както разходите, така и консумацията на енергия, като поддържа бързото препращане в рамките на суич, но също създава архитектурните ограничения, които определят как устройството работи под реален товар.
Другите спецификации са също толкова прагматични: 1 GB RAM, 128 MB NAND, пасивно охлаждане, PoE-in на Ether1, PoE-out на Ether10 и малък LCD на предния панел за бърз статус. Шасито е монтируемо в рак, работи хладно в повечето офис среди и понася околни температури до около 80 °C, преди живота да стане проблем.
Архитектурни силни страни и ограничения
Разделената суич архитектура на RB3011 е бърза, когато трафикът остава в един суич чип — хардуерно разтовареното препращане достига скорост на проводника с пренебрежимо натоварване на CPU. Уловката е, че всичко преминаващо групи от портове, всичко нуждаещо се от маршрутизация, всичко нуждаещо се от NAT, всичко нуждаещо се от правила на защитната стена трябва да премине през CPU. С две ядра, жонглиращи маршрутизация, NAT, защитна стена, опашки, PPPoE и VPN криптиране, CPU се насища по-бързо, отколкото броят портове предполага.
Има второ ограничение, което има значение: връзката между всеки суич чип и CPU е само 1–2 Gbps. RB3011 не може устойчиво да изтласква пълна гигабитова маршрутизация на всички портове едновременно. За SMB обект, който изтласква няколко стотин Mbps през WAN, това е без значение. За малък ISP, обслужващ многогигабитов агрегиран трафик, това е заглавното число.
Пропускателна способност: какво всъщност получавате в продукция
Собствените RFC2544 бенчмаркове на MikroTik публикуват идеална маршрутизираща пропускателна способност до около 4 Gbps с пакети от 1518 байта при активиран FastPath. Това число е теоретичен таван, а не реалистично очакване. Реалният интернет трафик съдържа много малки пакети — DNS заявки, TCP ACK, контролни съобщения — а малките пакети са това, което удря тавана на пакети в секунда на CPU.
При кадри от 64 байта пропускателната способност се срива до около 231 Mbps. CPU остава без цикли в секунда, преди да остане без честотна лента в секунда. Смесените реални работни натоварвания се установяват около 600–800 Mbps за сценарии само за маршрутизация. Добавянето на NAT и типичен набор от правила на защитната стена сваля числото до 300–600 Mbps в зависимост от сложността на правилата и версията на RouterOS. RouterOS v7, който премахна route cache, който v6 имаше, работи по-зле на по-стари процесори като IPQ-8064 на RB3011 — контраинтуитивен резултат за операторите, които ъпгрейдват, очаквайки по-добра производителност.
Съвет: FastTrack е от съществено значение за RB3011. Без него маршрутизация плюс NAT пропускателната способност често пада под 350 Mbps. Не е “приятно за притежание” — задължително е, за да работи платформата.
Защитна стена, опашки и натиск върху CPU
Свързаното с CPU обработване става очевидно, веднага щом започнете да добавяте правила на защитната стена или queue trees. В собствените тестове на MikroTik 25 правила на защитната стена намалиха пропускателната способност до около 60 Mbps при пакети от 64 байта. Дори при по-големи размери на пакета пропускателната способност се задържаше под 500 Mbps. Опашките добавят допълнителни разходи: много настройки наблюдават 40–60% загуба на пропускателна способност при умерени натоварвания на опашката.
Практическото следствие е просто — RB3011 се справя добре с умерено филтриране, но е грешното устройство за тежки UTM-стил работни натоварвания. Ако имате нужда от дълбоко инспектиране на пакети, филтриране на layer-7 или агресивно оформяне на гигабитови скорости, RB3011 няма да ви заведе там. Линиите CCR2004 и CCR2216 са правилният отговор за това натоварване.
VPN производителност: IPsec, PPPoE, OpenVPN
Производителността на IPsec на RB3011 е изненадващо добра с големи пакети — до около 780 Mbps благодарение на ARM NEON ускорение. Падайки на малки пакети, пропускателната способност пада до около 38 Mbps. Смесените реални VPN натоварвания се установяват около 300 Mbps.
PPPoE е еднонишков по дизайн, така че максимизира едно CPU ядро. Дори с активиран FastTrack очаквайте около 500 Mbps. OpenVPN работи слабо, защото му липсва хардуерно ускорение, а TCP транспортът добавя натоварване — ако имате нужда от бърз тунел на това устройство, вижте нашия туториал WireGuard на MikroTik, тъй като WireGuard превъзхожда както OpenVPN, така и IPsec на повечето MikroTik хардуер.
Практически контролен списък за оптимизация
Извлечете максимума от платформата с тези шест стъпки:
- Активирайте FastTrack за IPv4 трафик. Не е по избор.
- Използвайте хардуерно разтоварено bridging където е възможно — заобикаля CPU за суичинг.
- Минимизирайте броя и сложността на правилата на защитната стена. Подредете правилата така, че най-използваните да са първи.
- Избягвайте дълбоки queue trees при оформяне на гигабитови връзки — всяко ниво на влагане струва CPU.
- Поддържайте устройството добре вентилирано. Пасивното охлаждане толерира затворен шкаф само за определено време.
- Подравнете използването на портове така, че пътищата с високо търсене да останат в същия суич чип.
За по-широк оперативен контекст вижте нашето ръководство за конфигурация на NAT на MikroTik и туториала за мониторинг чрез SNMP за проследяване на тенденциите в производителността на RB3011 във времето.
Направете следващата стъпка
Управлението на парк от RB3011 устройства означава управление на насищането на CPU, дрейфа на правилата на защитната стена и консистентността на FastTrack на много места. Грешният ред на правилата на едно устройство сваля 200 Mbps от пропускателната му способност; липсващото FastTrack правило на друго го ограничава до 60% от капацитета. Няма да забележите, докато клиентите не забележат.
MKController извежда насищането на CPU, тенденциите в пропускателната способност, дрейфа на конфигурацията и температурните данни на всеки MikroTik в инвентара ви в едно табло. Когато устройство започне да се затруднява — бавно, както RB3011 често правят — таблото го вижда преди да пристигнат заявките за поддръжка.