Mikrotik загрузка CPU 100% и потеря скорости

[kulesh89 0]

Всем добрый день. Проблема с Mikrotik CRS328-24P-4S+RM.

Интернет в дом заходит через оптику и через медиа конвертер подключен кабелем к ether1 в Mikrotik по DHCP. Так же на нем есть внутренняя сеть 192.168.0.0/24 к которой уже подключены другие клиенты(тв, роутеры и т.д.)

Проблема состоит в том что когда я тестирую напрямую скорость через ноут, то она равна примерно 1 гигабиту. А вот если я подключаюсь через Mikrotik то скорость урезается до 500 мегабит.

При просмотре в Tools -> Profile нагрузка на CPU 100% когда идет проверка скорости из них большая часть это firewall и netowrking(примерно по 35-40% на каждый).

Я так понимаю из-за этого скорость и режется. Что-то можно сделать с этим или только заменой железки решается?

Изображение нагрузки прикладываю.

 

 

Мой конфиг

# aug/15/2022 00:05:29 by RouterOS 6.48.6
# software id = DH8J-7L1B
#
# model = CRS328-24P-4S+
# serial number = D7610E042361
/interface ethernet
set [ find default-name=ether2 ] name=lan1
set [ find default-name=ether3 ] name=lan2
set [ find default-name=ether4 ] name=lan3
set [ find default-name=ether5 ] name=lan4
set [ find default-name=ether6 ] name=lan5
set [ find default-name=ether7 ] name=lan6
set [ find default-name=ether8 ] name=lan7
set [ find default-name=ether9 ] name=lan8
set [ find default-name=ether10 ] name=lan9
set [ find default-name=ether11 ] name=lan10
set [ find default-name=ether12 ] name=lan11
set [ find default-name=ether13 ] name=lan12
set [ find default-name=ether14 ] name=lan13
set [ find default-name=ether15 ] name=lan14
set [ find default-name=ether16 ] name=lan15
set [ find default-name=ether17 ] name=lan16
set [ find default-name=ether18 ] name=lan17
set [ find default-name=ether19 ] name=lan18
set [ find default-name=ether20 ] name=lan19
set [ find default-name=ether21 ] name=lan20
set [ find default-name=ether22 ] name=lan21
set [ find default-name=ether23 ] name=lan22
set [ find default-name=ether24 ] name=lan23
set [ find default-name=ether1 ] name=wan
/interface bridge
add admin-mac=2C:C8:1B:3D:F5:58 auto-mac=no comment=defconf name=bridge
/interface list
add name=WAN
add name=LAN
/ip pool
add name=dhcp ranges=192.168.0.3-192.168.0.254
/ip dhcp-server
add address-pool=dhcp disabled=no interface=bridge name=dhcp1
/interface bridge port
add bridge=bridge comment=defconf disabled=yes interface=wan
add bridge=bridge comment=defconf interface=lan1
add bridge=bridge comment=defconf interface=lan2
add bridge=bridge comment=defconf interface=lan3
add bridge=bridge comment=defconf interface=lan4
add bridge=bridge comment=defconf interface=lan5
add bridge=bridge comment=defconf interface=lan6
add bridge=bridge comment=defconf interface=lan7
add bridge=bridge comment=defconf interface=lan8
add bridge=bridge comment=defconf interface=lan9
add bridge=bridge comment=defconf interface=lan10
add bridge=bridge comment=defconf interface=lan11
add bridge=bridge comment=defconf interface=lan12
add bridge=bridge comment=defconf interface=lan13
add bridge=bridge comment=defconf interface=lan14
add bridge=bridge comment=defconf interface=lan15
add bridge=bridge comment=defconf interface=lan16
add bridge=bridge comment=defconf interface=lan17
add bridge=bridge comment=defconf interface=lan18
add bridge=bridge comment=defconf interface=lan19
add bridge=bridge comment=defconf interface=lan20
add bridge=bridge comment=defconf interface=lan21
add bridge=bridge comment=defconf interface=lan22
add bridge=bridge comment=defconf interface=lan23
add bridge=bridge comment=defconf interface=sfp-sfpplus1
add bridge=bridge comment=defconf interface=sfp-sfpplus2
add bridge=bridge comment=defconf interface=sfp-sfpplus3
add bridge=bridge comment=defconf interface=sfp-sfpplus4
/interface list member
add interface=bridge list=LAN
/ip address
add address=192.168.0.1/24 interface=lan1 network=192.168.0.0
/ip dhcp-client
add disabled=no interface=wan use-peer-dns=no
/ip dhcp-server lease
#тут большой список маков и адресов для статики
/ip dhcp-server network
add address=192.168.0.0/24 dns-server=8.8.8.8,4.4.4.4 gateway=192.168.0.1 \
    netmask=24
/ip dns
set allow-remote-requests=yes servers=8.8.8.8,4.4.4.4
/ip dns static
add address=8.8.8.8 name=8.8.8.8
/ip firewall nat
add action=masquerade chain=srcnat out-interface=wan
/ip firewall service-port
set ftp disabled=yes
set tftp disabled=yes
set irc disabled=yes
set h323 disabled=yes
set sip disabled=yes
set pptp disabled=yes
set udplite disabled=yes
set dccp disabled=yes
set sctp disabled=yes
/ip service
set telnet address=192.168.0.0/24 disabled=yes
set ftp disabled=yes
set www address=192.168.0.0/24 disabled=yes
set ssh address=192.168.0.0/24 disabled=yes
set api address=192.168.0.0/24 disabled=yes
set winbox address=192.168.0.0/24
set api-ssl address=192.168.0.0/24 disabled=yes
/routing igmp-proxy
set query-interval=1m quick-leave=yes
/system clock
set time-zone-name=Europe/Kiev
/system package update
set channel=upgrade
/system routerboard settings
set boot-os=router-os
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN
/tool mac-server ping
set enabled=no

 

Відредаговано 2022-08-14 21:39:49 kulesh89

[Diter_ua 92]

это же свитч, а не роутер с натом  
рб3011, рб4011

[KaYot 3 730]

Это свич а не роутер, чудо что он вообще 500м может.

[Kiano 616]

Што блэт? Как Вам это удалось??

[kulesh89 0]

Камнями не кидаем. Лучше скажите как быть или на что заменить) Изначально стоял RB4011iGS, но не понравился из-за того что ужасно просто греется, а пространство там ограничено по этому выбор и пал на эту железку с активным охлаждением и 24 портами. Процессор конечно слабоват для моих целей, но 500 метров тянет))) Я так понимаю по вашим словам решение поставить железку до него какую-то, а его перевести в режим работы свитча, либо поменять на что-то вроде CCR2004-1G-16

Відредаговано 2022-08-14 22:46:25 kulesh89

[ISK 259]

  В 14.08.2022 в 21:30, KaYot сказав:

Это свич а не роутер, чудо что он вообще 500м может.

Expand  

Нет, ну теоретически (чисто теоретически) его можно попытаться использовать в качестве роутера... L3 всё-таки. Но... но, внимательно и вдумчиво читая его спецификацию, приходит осознание, что на одноядерном проце = 800 МГц далеко не уедешь, поэтому можно смело выбрасывать эту дурацкую идею из своей головы.

[DVSGROUP 127]

Втаскивает он больше 500М, не забывайте что там ARM. Он даже софтовый VLAN втаскивает больше 1 Гбит/сек.

 

Гляжу конфиг... переименовывать ether ну очень злая шутка...

И куда делся Firewall?

Зачем включен DNS, если нет Firewall, а в локалку клиентам назначается гугл?

Кстати DNS торчит наружу... со всеми вытекающими

Fasttrack / Fastpath отключен... а мог бы CPU разгрузит

 

 

[Туйон 1 289]

  В 14.08.2022 в 22:03, kulesh89 сказав:

Камнями не кидаем. Лучше скажите как быть или на что заменить) Изначально стоял RB4011iGS, но не понравился из-за того что ужасно просто греется, а пространство там ограничено по этому выбор и пал на эту железку с активным охлаждением и 24 портами. Процессор конечно слабоват для моих целей, но 500 метров тянет))) Я так понимаю по вашим словам решение поставить железку до него какую-то, а его перевести в режим работы свитча, либо поменять на что-то вроде CCR2004-1G-16

Expand  

4011 отличный роутер, за его нагрев не переживайте, у меня они кое где стоят в закрытых ящиках на чердаках под раскаленными крышами и живы.

И да, это именно роутер, а вы установили свитч.

Кстати, зачем вам медиконвертор, если в том же 4011 есть SFP ?

[Туйон 1 289]

  В 15.08.2022 в 13:36, DVSGROUP сказав:

Гляжу конфиг... переименовывать ether ну очень злая шутка...

 

Expand  

почему? я тоже переименовываю по своему усмотрению чтобы наглядно понимать что где и как

[ISK 259]

  В 15.08.2022 в 13:36, DVSGROUP сказав:

Гляжу конфиг... переименовывать ether ну очень злая шутка...

Expand  

Дескрипшен интерфейса вообще ни на что не влияет.

 

  В 15.08.2022 в 13:36, DVSGROUP сказав:

Втаскивает он больше 500М, не забывайте что там ARM. Он даже софтовый VLAN втаскивает больше 1 Гбит/сек.

Expand  

В режиме свитча может быть (хоть и не факт). Но 1 Гбит маскарадинга... нет, Вы серьёзно так думаете?

[DVSGROUP 127]

  В 15.08.2022 в 13:50, Туйон сказав:

почему? я тоже переименовываю по своему усмотрению чтобы наглядно понимать что где и как

Expand  

 

Вы внимательно конфиг читали?

Почитайте внимательнее...

 

set [ find default-name=ether2 ] name=lan1

 

И так далее со всеми интерфейсами.

Автор полностью меняет название интерфейса.

Можно ведь добавить комментарий, правда?

Можно изменить название на ether2-lan в конце-концов

 

А представьте придёт Вася и сделает

ether1 => ether3

ether3 => ether2

ether2 => ether1

Как перспектива? ?

Особенно когда конфиг надо будет перенести на другую железку, отличную по конфигурации портов))

 

  В 15.08.2022 в 14:26, ISK сказав:

Дескрипшен интерфейса вообще ни на что не влияет.

Expand  

 

Выше ответил.

 

  В 15.08.2022 в 14:26, ISK сказав:

В режиме свитча может быть (хоть и не факт). Но 1 Гбит маскарадинга... нет, Вы серьёзно так думаете?

Expand  

 

Сам процессор - да, больше 500М сможет осилить, почему нет?

А вот шина между CPU и switch-chip - полноценно пропихнуть это не сможет

Все зависит от типа трафика.

У этой модели не будет полноценного дуплекса при L3 между WAN <=> LAN, потому как трафик бегает через CPU, нагружая шину сразу в обе стороны.

 

 

Вообще, в чипе есть L3 IPv4

https://wifimag.ro/pdf/Prestera_98DX3336_pb.pdf

 

Но разработчики ложили болт на его реализацию в v6:

https://forum.mikrotik.com/viewtopic.php?f=1&t=166763&p=820192&hilit=98DX3236#p820192

 

А вот в RouterOS v7 есть L3 Hardware Offload для ... внезапно... серии CRS3xx ?

https://help.mikrotik.com/docs/display/ROS/L3+Hardware+Offloading#L3HardwareOffloading-CRS3xx:SwitchDX3000andDX2000Series

С такой жирнющей оговоркой...

"These devices do not support Fasttrack or NAT connection offloading." ?

Відредаговано 2022-08-15 15:21:42 DVSGROUP

[nedoinet 441]

Почему бы перед crs-кой не вкорячить какой-нибудь hex s или ас²? И функции роутера повесить внезапно на роутер. И радоваться гигабуту

[ISK 259]

  В 15.08.2022 в 15:11, DVSGROUP сказав:

Автор полностью меняет название интерфейса.

Можно ведь добавить комментарий, правда?

Можно изменить название на ether2-lan в конце-концов

Expand  

Да разницы на аппаратном уровне, собственно, ноль целых, хрен десятых. На программном - это уже другой вопрос. Привет девелоперам!

 

  В 15.08.2022 в 15:11, DVSGROUP сказав:

Сам процессор - да, больше 500М сможет осилить, почему нет?

А вот шина между CPU и switch-chip - полноценно пропихнуть это не сможет

Все зависит от типа трафика.

У этой модели не будет полноценного дуплекса при L3 между WAN <=> LAN, потому как трафик бегает через CPU, нагружая шину сразу в обе стороны.

Expand  

Про шину Вы, таки да, правы. Но масла в огонь подбавляет то, что прерывания от сетевых интерфейсов обрабатываются не самими сетевыми чипами (как это должно быть), а CPU, мощности которого... Ну сами понимаете...

[kulesh89 0]

  В 15.08.2022 в 15:57, nedoinet сказав:

Почему бы перед crs-кой не вкорячить какой-нибудь hex s или ас²? И функции роутера повесить внезапно на роутер. И радоваться гигабуту

Expand  

В принципе так и планирую сделать. Т.к. мне надо минимум 20 портов для домашней локалки, а роутера такого за разумные деньги(до 1000) почти нет. По этому буду брать скорее всего rb5009.

 

  В 15.08.2022 в 15:11, DVSGROUP сказав:

 

Вы внимательно конфиг читали?

Почитайте внимательнее...

 

set [ find default-name=ether2 ] name=lan1

 

И так далее со всеми интерфейсами.

Автор полностью меняет название интерфейса.

Можно ведь добавить комментарий, правда?

Можно изменить название на ether2-lan в конце-концов

 

А представьте придёт Вася и сделает

ether1 => ether3

ether3 => ether2

ether2 => ether1

Как перспектива? ?

Особенно когда конфиг надо будет перенести на другую железку, отличную по конфигурации портов))

 

Expand  

У меня своя домашняя локальная сеть, так что какой-то там Вася не придет. Да и это мое второе устройство фирмы MikroTik, по этому мне так было удобнее при настройке. Думаю если будет меньше портов на следующем устройстве, то судя по конфигу то просто другим портам не будет изменено название т.к. их просто не будет.

 

  В 15.08.2022 в 13:40, Туйон сказав:

4011 отличный роутер, за его нагрев не переживайте, у меня они кое где стоят в закрытых ящиках на чердаках под раскаленными крышами и живы.

И да, это именно роутер, а вы установили свитч.

Кстати, зачем вам медиконвертор, если в том же 4011 есть SFP ?

Expand  

Спасибо буду знать по поводу нагрева. А медиаконвертер устанавливали настройщики от провайдера когда заводили кабель в дом. И ни в какую почему-то не хотели напрямую подключать. Сейчас как раз планирую установить через SFP. Но для меня это новая технология и сейчас как раз сижу читаю как лучше сделать. Может соединить в дальнейшем роутер со свитчем по SFP хотя не уверен возможно ли это и имеет ли в этом смысл. В общем пока штудирую.

 

  В 15.08.2022 в 13:36, DVSGROUP сказав:

Втаскивает он больше 500М, не забывайте что там ARM. Он даже софтовый VLAN втаскивает больше 1 Гбит/сек.

 

Гляжу конфиг... переименовывать ether ну очень злая шутка...

И куда делся Firewall?

Зачем включен DNS, если нет Firewall, а в локалку клиентам назначается гугл?

Кстати DNS торчит наружу... со всеми вытекающими

Fasttrack / Fastpath отключен... а мог бы CPU разгрузит

 

 

Expand  

Фаервол был и не одно правило, но его подчистил оставив тока маскардинг, т.к. думал проблема из-за него.

По поводу DNS без фаервола не очень понял, если не сложно можно подробнее? Я извиняюсь если наглею. Но я только учусь, и как писал выше это второе устройство мое этой фирмы. До этого были Tp-Link, Asus, Dlink и т.д.

 

 

В любом случае всем спасибо большое за ответы! Свою основную ошибку понял)

Відредаговано 2022-08-15 21:57:24 kulesh89

[Туйон 1 289]

  В 15.08.2022 в 21:36, kulesh89 сказав:

Спасибо буду знать по поводу нагрева. А медиаконвертер устанавливали настройщики от провайдера когда заводили кабель в дом. И ни в какую почему-то не хотели напрямую подключать. Сейчас как раз планирую установить через SFP. Но для меня это новая технология и сейчас как раз сижу читаю как лучше сделать. Может соединить в дальнейшем роутер со свитчем по SFP хотя не уверен возможно ли это и имеет ли в этом смысл. В общем пока штудирую.

 

Expand  

Возможно там не медиаконвертор, а ону. Это чуть другая вещь. Тогда лучше оставьте как есть. Существуют редкие экземпляры ону в виде сфп, но это, скажем так, как повезет и вот там нагрев уж очень конкретный. И провайдер вполне может отказать в регистрации такой ону, да.

 

  В 15.08.2022 в 21:36, kulesh89 сказав:

В принципе так и планирую сделать. Т.к. мне надо минимум 20 портов для домашней локалки, а роутера такого за разумные деньги(до 1000) почти нет. По этому буду брать скорее всего rb5009.

 

Expand  

Ну зачем 5009?) Он же только 7ю версию РОС поддерживает, а она пока в стадии ребенка (но уже не младенца), короче доведут до ума её через полгода-год итд... Лучше пока остаться на проверенной и отлаженной 6-й версии РОС. И том же 4011, для вас он не хуже чем 5009. Хотя...

Возьмите какой нить HexS с SFP (если у вас и правда там просто модуль а не ону) и обычный гигабитный тупарь! Даже если предположить что у вас много свободных средств для покупки управляемых свитчей.  я так понимаю, что их возможности вы использовать все равно не будете (ибо в 99% случаев дома это не надо). 

  В 15.08.2022 в 21:36, kulesh89 сказав:

Фаервол был и не одно правило, но его подчистил оставив тока маскардинг, т.к. думал проблема из-за него.

По поводу DNS без фаервола не очень понял, если не сложно можно подробнее? Я извиняюсь если наглею. Но я только учусь, и как писал выше это второе устройство мое этой фирмы. До этого были Tp-Link, Asus, Dlink и т.д.

Expand  

Неверный подход. Настройка фаервола хотя бы типа дефолтно-базовой должна быть. Насчет ДНС. Если все же решили его использовать, что для дома ну как бы очень не обязательно (проще по DHCP выдавать устройствам 1.1.1.1 и 8.8.8.8), то нужно правило в фаерволе которое закроет доступ к ДНС извне. Иначе пойдут атаки.

Відредаговано 2022-08-16 07:20:18 Туйон

[DVSGROUP 127]

  В 15.08.2022 в 21:36, kulesh89 сказав:

По этому буду брать скорее всего rb5009.

Expand  

 

Хороший выбор, только учтите, что он только на RouterOS v7

 

  В 16.08.2022 в 07:17, Туйон сказав:

Существуют редкие экземпляры ону в виде сфп, но это, скажем так, как повезет и вот там нагрев уж очень конкретный. И провайдер вполне может отказать в регистрации такой ону, да.

Expand  

 

На Ромсат есть SFP ONU от CDATA, работали хорошо, нагрев небольшой.

https://romsat.ua/modul-optichniy-c-data-fd511gx-rm0-xpon-20km-2-5gbps-sc-upc-tx1310nm/

Ценник весьма демократичный. На OLT надо профиль создавать и саму ONU прописывать, поэтому оно без участия провайдера никак не заведется.

И да, не каждый провайдер захочет это все прописывать.

[Туйон 1 289]

  В 16.08.2022 в 08:01, DVSGROUP сказав:

Хороший выбор, только учтите, что он только на RouterOS v7

 

Expand  

ему "за глаза" HexS тем более что всё равно будет после роутера свитч, следовательно портов на роутере много не надо. тем более HexS может на 5 порту выдать РОЕ и может даже автор захочет запитать свитч по РОЕ, но это уже такое дело, лично я за отдельное питание каждого девайса.

 

  В 16.08.2022 в 08:01, DVSGROUP сказав:

Ценник весьма демократичный. На OLT надо профиль создавать и саму ONU прописывать, поэтому оно без участия провайдера никак не заведется.

И да, не каждый провайдер захочет это все прописывать.

Expand  

Не особо слежу за темой, помню год-два назад пытались подобные ону использовать (возможно от другого вендора) и был сильный нагрев.

Ну и конечно же есть провайдеры которые против "зоопарка" в сети, я это поддерживаю.

[kulesh89 0]

Сейчас стоит модем TelStream ONU-701 xPON от провайдера. Железка вроде не греется и ведёт себя стабильно. Но как-то хочется заменить на модуль под SFP и убрать лишнее. Подскажите пожалуйста на что его можно подменить чтобы был совместим с 4011 или 5009. Столько этих модулей и что-то пока не могу понять какой именно мне надо.

Відредаговано 2022-08-16 09:52:06 kulesh89

[DVSGROUP 127]

  В 16.08.2022 в 09:00, Туйон сказав:

Не особо слежу за темой, помню год-два назад пытались подобные ону использовать (возможно от другого вендора) и был сильный нагрев.

Ну и конечно же есть провайдеры которые против "зоопарка" в сети, я это поддерживаю.

Expand  

 

Да, модули очень сильно греются.

Конкретно с C-DATA такого не было.

 

  В 16.08.2022 в 09:37, kulesh89 сказав:

Сейчас стоит модем TelStream ONU-701 xPON от провайдера. Железка вроде не греется и ведёт себя стабильно. Но как-то хочется заменить на модуль под SFP и убрать лишнее. Подскажите пожалуйста на что его можно подменить чтобы был совместим с 4011 или 5009. Столько этих модулей и что-то пока не могу понять какой именно мне надо.

Expand  

 

Только через провайдера. Учитывая, что ваш провайдер поставил вам простую китайскую ONU, сильно сомневаюсь, что захотят SFP ONU настраивать.

[Туйон 1 289]

  В 16.08.2022 в 10:52, DVSGROUP сказав:

Учитывая, что ваш провайдер поставил вам простую китайскую ONU

Expand  

Ну так наверное подключение за три копейки или за бесплатно.

Не удивлен.

[ISK 259]

  В 16.08.2022 в 09:37, kulesh89 сказав:

Сейчас стоит модем TelStream ONU-701 xPON от провайдера.

Expand  

Модем и ONU немножечко сильно разные вещи...

 

  В 16.08.2022 в 09:37, kulesh89 сказав:

Железка вроде не греется и ведёт себя стабильно. Но как-то хочется заменить на модуль под SFP и убрать лишнее.

Expand  

А вот SFP как раз таки греться будут, потому как рабочие частоты лежат в области инфракрасного спектра, да.

[Туйон 1 289]

  В 16.08.2022 в 11:10, ISK сказав:

Модем и ONU немножечко сильно разные вещи...

 

Expand  

Ну как сказать.. ону как раз преобразует один стандарт связи в другой - езернет в пон, простыми словами.

Если медик ещё не особо назовешь модемом (езернет в езернет по сути) то ону вполне себе модем.

В чем отличие от того же адсл-модема, где адсл преобразовывался в езернет.

[ISK 259]

  В 16.08.2022 в 11:12, Туйон сказав:

Ну как сказать.. ону как раз преобразует один стандарт связи в другой - езернет в пон, простыми словами.

Если медик ещё не особо назовешь модемом (езернет в езернет по сути) то ону вполне себе модем.

В чем отличие от того же адсл-модема, где адсл преобразовывался в езернет.

Expand  

Отличие в функционале. У онушек он шире, хотя это ещё от вендора зависит. Медяк вообще не является L2 девайсом - это тупо репитер. А ону, как и модем, вполне себе L2...

[kulesh89 0]

В общем на сколько я понял мне нужен модуль SFPONU. Но он снят с производства у Микротиков. По этому буду искать другой фирмы. Не будет проблем из-за этого? На сколько понял проштудировав форум микротики дружат с любой фирмой. Или может не стоит парится и поменять свой терминал на чтото вроде GPON TP-LINK TX-6610. Но все таки хочется мнения авторитетных пользователей)

Відредаговано 2022-08-16 13:54:37 kulesh89

[DVSGROUP 127]

  В 16.08.2022 в 12:03, ISK сказав:

Отличие в функционале. У онушек он шире, хотя это ещё от вендора зависит. Медяк вообще не является L2 девайсом - это тупо репитер. А ону, как и модем, вполне себе L2...

Expand  

 

У F601 даже L3 есть, правда я не знаю, кто его использует, ни разу не видел

 

  В 16.08.2022 в 13:31, kulesh89 сказав:

В общем на сколько я понял мне нужен модуль SFPONU. Но он снят с производства у Микротиков. По этому буду искать другой фирмы. Не будет проблем из-за этого? На сколько понял проштудировав форум микротики дружат с любой фирмой. Но все таки хочется подтверждения авторитетных пользователей)

Expand  

 

C-DATA с микротиком работала. Вам следует этот вопрос согласовать с провайдером.