Производительность IPSec на CCR1009-7G

У меня та же ситуация: у меня есть туннель EOIP/IPSEC между CCR1009-7G-1C-1S+ hw: 6.41 и CCR1016-12S-1S+ hw: 6.40.1, и на 1Gbps канале скорость получается примерно 200Mbps. Позор.

Да, у меня настройки по умолчанию: aes128-cbc и sha1. Я заметил, что на CCR1009 во время теста скорости используется только одно ядро процессора. Связь между моими роутерами идет через инфраструктуру провайдера — может ли это влиять? Когда я провожу тест без шифрования IPSEC, скорость достигает максимума.

Ранее все ядра использовались параллельно, но проблема была в том, что отдельные пакеты шифровались асинхронно разными ядрами и выходили в другом порядке, чем заходили в маршрутизатор. С точки зрения спецификации IP это вполне нормально и должно работать без проблем, но на практике многие пользователи Windows-приложений жаловались на низкую скорость TCP-соединений. Похоже, Windows некорректно обрабатывает такое переупорядочивание. Linux же не был затронут этой проблемой, или затронут гораздо меньше, чем Windows. Поэтому её исправили, и, насколько я понимаю, теперь всё для одного соединения последовательно обрабатывается одним ядром. Но я не знаю, какой именно метод использовали для сопоставления соединений с ядрами — основывался ли он на сетевом трафике (например, разные TCP-сессии идут на разные ядра) или только на политике IPsec, или даже на пирах. Ты можешь проверить улучшение производительности, протестировав при работе двух разных TCP-соединений параллельно. Если улучшений нет — возможно, прирост будет при одновременной работе двух пиринговых систем в сети. Конечно, это не поможет, если у тебя всего две системы, которые нужно соединить вместе. В общем, можно сказать, что тестирование производительности нужно проводить внимательно. Часто вообще нет никакой связи между результатами простого «тестера скорости» и тем, что ты получишь при реальной нагрузке через маршрутизатор (много сессий одновременно). Результаты могут отличаться и в положительную, и в отрицательную сторону.