CRS 3xx – тестирование производительности L3 ASIC

Думаю, это возможно. Только если маршрутов слишком много, и они не помещаются в память.

Нет, фаервол ROS (/ip/firewall) не работает просто потому, что пакеты вообще не попадают в CPU. Трафик, направленный самому роутеру (IP-адрес назначения пакета = IP роутера; цепочка INPUT), не затрагивается l3hw. Здесь фаервол полностью функционирует. То же касается исходящего трафика (цепочка OUTPUT). Что касается маршрутизируемого трафика (цепочка FORWARD или цепочки PRE/POSTROUTING для пересылаемых пакетов), при l3hw=yes настройка правил ни к чему не приведёт, потому что фаервол (/ip/firewall) не срабатывает. Чтобы сделать stateful firewall работоспособным, нужно выставить l3hw=no или l3hw=fw. При этом stateless firewall всё ещё доступен через правила switch ACL. Например, можно разрешать или блокировать конкретные IP-адреса/префиксы или TCP/UDP порты. Подробнее тут: https://wiki.mikrotik.com/wiki/Manual:CRS3xx_series_switches#Switch_Rules_.28ACL.29

Да, к сожалению, количество аппаратных соединений ограничено. На самом деле, это 4500 без использования MPLS. Алгоритм «умного» оффлоадинга Mikrotik выбирает для оффлоада самые «тяжёлые» (по трафику) соединения в любой момент времени. Другие (медленные) соединения обрабатываются CPU. Так что количество соединений может быть намного больше. Например, мы тестировали CRS317 с 10 тысячами соединений — и всё работало нормально.

Имейте в виду, что серия CRS (Cloud Router Switch) больше «коммутатор», чем «роутер». Возможность запускать L4 аппаратно-ускоренный фаервол стоит воспринимать скорее как приятный бонус, нежели как нормальный сценарий использования. Для серьёзного маршрутизирования лучше смотреть в сторону серии CCR.

Сейчас инженеры Mikrotik работают над «гибридным режимом l3hw», который позволит одновременно использовать l3hw=yes и l3hw=fw на одном устройстве. Например, это позволит делать аппаратный меж-VLAN роутинг (с неограниченным количеством соединений) и при этом запускать Firewall/NAT на апстрим-портах.

@raimondsp: не мог бы ты, пожалуйста, сравнить разные режимы работы l3hw с аппаратным ускорением L2? Я могу представить много параллелей, но поскольку у меня нет опыта с offloading L3 на CRS3xx, не могу сказать, насколько эти параллели реальны или вымышлены.

Всем привет. Можно ли использовать CRS с RouterOS в качестве BGP-маршрутизатора для пересылки пакетов почти на полной скорости?

На ссылке говорится: В зависимости от сложности маршрутов в таблице маршрутизации максимальное количество аппаратно-ускоренных маршрутов может меняться (см. таблицу ниже для минимального и максимального количества маршрутов, поддерживаемых каждым оборудованием). Префиксы IP, кратные байтам (/8, /16, /24 и т.д.), занимают меньше аппаратного пространства, чем остальные (например, /22). Если достигнут предел аппаратных маршрутов, новые маршруты будут обрабатываться процессором, за исключением случаев, когда вновь добавленный маршрут пересекается с уже существующими маршрутами, обрабатываемыми аппаратно. В таком случае назначения, которые обрабатывались на аппаратном уровне, продолжат обрабатываться аппаратно. Пользователю следует выбрать устройство с аппаратной возможностью, достаточно большой, чтобы хранить все маршруты. Да, я видел эту документацию. Есть ли способ увеличить этот предел?

К сожалению, это аппаратное ограничение. В микросхеме коммутатора недостаточно внутренней памяти, чтобы разгрузить всю таблицу BGP. Однако, если возможно, есть опция ограничить входящие префиксы маршрутов BGP через /routing/filter/. Также мы работаем над опцией, которая позволит фильтровать префиксы для разгрузки, то есть выгружать маршруты с потенциально наибольшим трафиком, а остальные обрабатывать через CPU. Если роутеру нужно работать с полной таблицей BGP, я бы рекомендовал рассматривать устройства CCR вместо CRS.

Здравствуйте. В вашей статье отсутствуют примечания, я имею в виду, что в таблице с максимальным количеством подключений есть примечания, но на странице их нет.