Новое аппаратное ускорение RB1100

хммм AH — это Authentication Header (если я правильно понимаю, это вычисление хеша SHA1/MD5 заголовка). ESP — это Frame Encryption (Encapsulating Security Payload). На этом сайте http://wiki.mikrotik.com/wiki/Manual:IP/IPsec#Encryption_algorithms написано: AH может использовать SHA1/MD5, ESP может использовать (3)DES, AES (128/192/256), Blow/TwoFish, Camellia. На самом деле, я не совсем понимаю, что ты имеешь в виду под: «AH не шифрует, но функция шифрования ESP не реализована через хеширование». ESP НЕ использует хеширование, а именно шифрует (то есть SHA1/MD5 не поддерживаются). Тем не менее, я могу переключить настройки пиринга на ah/esp вместо только esp, если тебе интересно узнать результаты.

Ты прав. AH обеспечивает только аутентификацию/целостность с помощью хэшей (SHA1 или MD5). ESP может обеспечивать конфиденциальность И/ИЛИ целостность, аутентификацию. В настройках политики IPsec доступны следующие варианты: AH, AH & ESP, ESP. Мне кажется (но не уверен), что это значит следующее:  
AH: использовать заголовки аутентификации  
AH & ESP: ESP с конфиденциальностью и аутентификацией/целостностью  
ESP: ESP только с конфиденциальностью  

Я проверю, какой будет пропускная способность с настройками AH & ESP. К сожалению, не нашёл спецификаций по шифровальному движку и информации о поддержке ускоренных алгоритмов. Также не упомянуто, ускорена ли хэш-функция (например, http://oldwiki.openwrt.org/HardwareAcceleratedCrypto.html говорит, что чип BCM5365 поддерживает ускорение AES, DES, HMAC-SHA1 на 75 Мбит/с, но простой SHA1, кажется, не ускоряется — а просто поддерживается(?)).

В понедельник проверю пропускную способность и нагрузку на CPU при AH, AH & ESP и ESP, потом отпишусь здесь.

Я провёл тесты для ESP (aes256) — пропускная способность около 300 Мбит/с при приемлемой загрузке процессора. Для AH&ESP (AH: MD5/SHA, ESP: aes256) скорость значительно ниже — примерно 200 Мбит/с, и при этом высокая загрузка CPU → похоже, что хэширование не ускоряется аппаратно. Планирую также поделиться скриншотами и сравнительной таблицей.

Кстати, для сравнения сделал тест маршрутизации:  
ConnTrack отключён — 980 Мбит/с  
ConnTrack включён — около 700 Мбит/с (в обоих случаях загрузка CPU 95-100%)

Тесты проводил с помощью jperf между двумя десктопными компьютерами на Windows, без дополнительной настройки, с размером кадра по умолчанию (похоже, 1500 байт).