Review
MikroTik RB3011: recenzja wydajności
Praktyczna recenzja wydajności MikroTik RB3011 — limity przepustowości, pułapy VPN, obciążenie CPU i porady optymalizacyjne dla ISP.
Podsumowanie MikroTik RB3011 to dwurdzeniowy router ARM z dziesięcioma portami Gigabit Ethernet, który od lat jest preferowanym “opłacalnym MikroTikiem” dla sieci SMB i małych ISP. Jego architektura — dwa układy switch za procesorem 1,4 GHz — kształtuje zarówno jego mocne strony, jak i pułapy. Ta recenzja obejmuje rzeczywistą przepustowość, gdzie CPU nasyca się, jak naprawdę zachowują się opcje VPN i listę kontrolną optymalizacji, która wyciąga maksimum z platformy.
Czym jest MikroTik RB3011?
MikroTik RB3011UiAS-RM to dwurdzeniowy router ARM z dziesięcioma portami Gigabit Ethernet plus klatka SFP, zaprojektowany jako opłacalny router brzegowy dla sieci SMB i małych ISP. Wewnętrznie łączy procesor Qualcomm IPQ-8064 o częstotliwości 1,4 GHz z dwoma niezależnymi układami switch, z których każdy obsługuje połowę z dziesięciu portów Ethernet. Konstrukcja podzielonego switcha redukuje zarówno koszty, jak i pobór mocy, utrzymując szybkie przekazywanie wewnątrz switcha, ale również tworzy ograniczenia architektoniczne, które definiują, jak urządzenie działa pod rzeczywistym obciążeniem.
Inne specyfikacje są równie pragmatyczne: 1 GB RAM, 128 MB NAND, pasywne chłodzenie, PoE-in na Ether1, PoE-out na Ether10 i mały wyświetlacz LCD na panelu przednim do statusu na pierwszy rzut oka. Obudowa montowana w stojaku, działa chłodno w większości środowisk biurowych i toleruje temperatury otoczenia do około 80 °C, zanim żywotność stanie się problemem.
Mocne strony i ograniczenia architektoniczne
Architektura podzielonego switcha RB3011 jest szybka, gdy ruch pozostaje wewnątrz pojedynczego układu switch — przekazywanie z odciążeniem sprzętowym osiąga prędkość przewodu z pomijalnym obciążeniem CPU. Pułapka polega na tym, że wszystko, co przekracza grupy portów, wszystko, co potrzebuje routingu, wszystko, co potrzebuje NAT, wszystko, co potrzebuje reguł firewall, musi przejść przez CPU. Z dwoma rdzeniami żonglującymi routingiem, NAT, firewallem, kolejkowaniem, PPPoE i szyfrowaniem VPN, CPU nasyca się szybciej, niż sugeruje liczba portów.
Istnieje drugie ograniczenie, które ma znaczenie: łącze między każdym układem switch a CPU wynosi tylko 1–2 Gbps. RB3011 nie może w sposób zrównoważony przepuszczać pełnego routingu Gigabit na wszystkich portach jednocześnie. Dla miejsca SMB, które przepuszcza kilkaset Mbps przez WAN, to bez znaczenia. Dla małego ISP obsługującego ruch agregowany multi-Gigabit, to liczba przewodnia.
Przepustowość: co naprawdę dostajesz w produkcji
Własne testy MikroTik RFC2544 publikują idealną przepustowość routingu do około 4 Gbps z pakietami 1518-bajtowymi, gdy FastPath jest włączony. Ta liczba to teoretyczny pułap, a nie realistyczne oczekiwanie. Rzeczywisty ruch internetowy zawiera wiele małych pakietów — zapytań DNS, ACK TCP, gadek warstwy kontrolnej — a małe pakiety to to, co uderza w pułap pakietów na sekundę CPU.
Przy ramkach 64-bajtowych przepustowość spada do około 231 Mbps. CPU brakuje cykli na sekundę, zanim zabraknie mu przepustowości na sekundę. Mieszane rzeczywiste obciążenia stabilizują się wokół 600–800 Mbps dla scenariuszy tylko routingu. Dodanie NAT i typowego zestawu reguł firewall obniża liczbę do 300–600 Mbps w zależności od złożoności reguł i wersji RouterOS. RouterOS v7, który usunął cache tras, jaki miał v6, działa gorzej na starszych procesorach, takich jak IPQ-8064 w RB3011 — kontrintuicyjny wynik dla operatorów, którzy aktualizują oczekując lepszej wydajności.
Wskazówka: FastTrack jest niezbędny na RB3011. Bez niego przepustowość routingu plus NAT często spada poniżej 350 Mbps. To nie jest “miłe do posiadania” — jest wymagane, aby platforma działała.
Firewall, kolejki i obciążenie CPU
Przetwarzanie związane z CPU staje się oczywiste, gdy tylko zaczniesz dodawać reguły firewall lub drzewa kolejek. We własnych testach MikroTik, 25 reguł firewall zmniejszyło przepustowość do około 60 Mbps przy pakietach 64-bajtowych. Nawet przy większych rozmiarach pakietów przepustowość unosiła się poniżej 500 Mbps. Kolejkowanie dodaje dalszy koszt: wiele konfiguracji obserwuje 40–60% utratę przepustowości pod umiarkowanym obciążeniem kolejek.
Praktyczna implikacja jest prosta — RB3011 dobrze radzi sobie z umiarkowanym filtrowaniem, ale jest złym urządzeniem do ciężkich obciążeń w stylu UTM. Jeśli potrzebujesz głębokiej inspekcji pakietów, filtrowania warstwy 7 lub agresywnego kształtowania przy prędkościach Gigabit, RB3011 cię tam nie zaprowadzi. Linie CCR2004 i CCR2216 są właściwą odpowiedzią na to obciążenie.
Wydajność VPN: IPsec, PPPoE, OpenVPN
Wydajność IPsec na RB3011 jest zaskakująco dobra przy dużych pakietach — do około 780 Mbps dzięki akceleracji ARM NEON. Zejdź do małych pakietów, a przepustowość spada do około 38 Mbps. Mieszane rzeczywiste obciążenia VPN lądują wokół 300 Mbps.
PPPoE jest jednowątkowy z założenia, więc maksymalnie wykorzystuje jeden rdzeń CPU. Nawet z włączonym FastTrack oczekuj około 500 Mbps. OpenVPN działa słabo, bo brakuje mu akceleracji sprzętowej, a transport TCP dodaje narzut — jeśli potrzebujesz szybkiego tunelu na tym urządzeniu, zobacz nasz poradnik WireGuard na MikroTik, bo WireGuard przewyższa zarówno OpenVPN, jak i IPsec na większości sprzętu MikroTik.
Praktyczna lista kontrolna optymalizacji
Wyciągnij maksimum z platformy dzięki tym sześciu krokom:
- Włącz FastTrack dla ruchu IPv4. Nie opcjonalne.
- Używaj mostkowania z odciążeniem sprzętowym tam, gdzie to możliwe — pomija CPU dla przełączania.
- Minimalizuj liczbę i złożoność reguł firewall. Posortuj reguły tak, aby najczęściej trafiane były pierwsze.
- Unikaj głębokich drzew kolejek podczas kształtowania linków Gigabit — każdy poziom zagnieżdżenia kosztuje CPU.
- Utrzymuj urządzenie dobrze wentylowane. Pasywne chłodzenie toleruje zamkniętą szafkę tylko przez pewien czas.
- Wyrównaj użycie portów tak, aby ścieżki o wysokim popycie pozostawały w tym samym układzie switch.
Aby uzyskać szerszy kontekst operacyjny, zobacz nasz przewodnik po konfiguracji NAT na MikroTik i poradnik monitorowania opartego na SNMP do śledzenia trendów wydajności RB3011 w czasie.
Zrób następny krok
Obsługa floty urządzeń RB3011 oznacza zarządzanie nasyceniem CPU, dryfem reguł firewall i spójnością FastTrack w wielu lokalizacjach. Zła kolejność reguł na jednym urządzeniu odcina 200 Mbps z jego przepustowości; brakująca reguła FastTrack na innym ogranicza go do 60% pojemności. Nie zauważysz, dopóki nie zauważą klienci.
MKController wydobywa nasycenie CPU, trendy przepustowości, dryf konfiguracji i dane temperatury dla każdego MikroTika w twoim inwentarzu na jednym pulpicie. Gdy urządzenie zaczyna się męczyć — powoli, tak jak często robią to RB3011 — pulpit widzi to, zanim dotrą zgłoszenia wsparcia.