MT Router в роли клиента Wireguard и результаты тестирования

Привет! Сегодня попробовал настроить MT-роутер в качестве клиента WireGuard (peer) — и было очень просто. У меня возникли проблемы с MTU (так мне кажется), но благодаря записи в mangle (#fix MTU) всё отлично заработало:

# добавить интерфейс  
/interface wireguard  
add listen-port=5555 mtu=1420 name=wireguard1 private-key="<private key MT peer>"  

# добавить peer  
/interface wireguard peers  
add allowed-address=0.0.0.0/0,::/0 endpoint=<ip of wireguard server>:5555 interface=wireguard1 public-key="<pub key wireguard server>"  

# добавить IP к интерфейсу  
/ip address  
add address=10.200.200.2/24 interface=wireguard1 network=10.200.200.0  

# NAT  
/ip firewall nat  
add action=masquerade chain=srcnat out-interface=wireguard1  

# исправить MTU  
/ip firewall mangle  
add action=change-mss chain=forward new-mss=clamp-to-pmtu out-interface=wireguard1 protocol=tcp tcp-flags=syn  

После этого я сменил маршрут по умолчанию на IP 10.200.200.1 (WireGuard сервер) и добавил статический маршрут, чтобы добираться до самого сервера без туннеля (см. http://forum.mikrotik.com/t/route-all-traffic-via-vpn/67142/1). Теперь весь трафик идёт через туннель.

Для теста использовал подключение к интернету на 100 Мбит, результаты такие:  
RB951G-2HnD — максимум 65 Мбит/с при загрузке CPU 99%  
hEX (RB750Gr3) — максимум 95 Мбит/с при загрузке CPU 50-60%