проблема с трафиком по lt2p+ipsec

[supermicro]

Всем привет.
На routeros 6.46.4 поднят l2tp+ipsec для организации удаленных рабочих мест сотрудников из дома.
Поднимаем vpn.
Подключаемся к удаленной рабочей машине в офисе.
Открываем браузер и в яндексе открываем любую картинку (внутри туннеля).

Пинг до внешнего адреса роутера резко возрастает с 60 до 400.
Если картинки листать то идет потеря пакетов.
С локальными адресами роутера происходит так же.
Работая с почтой, doc документами, SIP, таких проблем не наблюдается.

Компрессия выключена. Скорость передачи данных в профиле выставлена 1М в обе стороны.

Подскажите на что необходимо обратить внимание ?

ps ROS поднят на виртуалке с 4gb озу и 4 CPU частота 2.9. Нагрузка на процессор во время загрузки картинок внутри туннеля около 1-2%. Уровень лицензии Free.

[imaoskol]

Доброе утро.
Ipsec сам по себе требователен к ресурсам железа. На слабом железе возможны такие провалы, но у вас же виртуалка.
Есть ощущение что "накуралесили" с настройками. l2tp/ipsec использую на порядка 10 микротиков для удаленки и везде все норм. Более того lan-to-lan тунели тоже на l2tp/ipsec построены.
Нужен конфиг...

[easyman]

Эта задержка между какими устройствами ? Вернее так - кто клиент?

[supermicro]

win с настроенными vpn клиентами с предварительным ключом.
на ros виртуалке с поднятым l2tp + ipsec к которому настроены подключения более 50 клиентов.

[easyman]

Скорость передачи данных в профиле выставлена 1М в обе стороны... а это зачем?

[supermicro]

Доброе утро.
Ipsec сам по себе требователен к ресурсам железа. На слабом железе возможны такие провалы, но у вас же виртуалка.
Есть ощущение что "накуралесили" с настройками. l2tp/ipsec использую на порядка 10 микротиков для удаленки и везде все норм. Более того lan-to-lan тунели тоже на l2tp/ipsec построены.
Нужен конфиг...

Можно Вашу ссылку на инструкцию по настройке ?

[imaoskol]

Доброе утро.
Ipsec сам по себе требователен к ресурсам железа. На слабом железе возможны такие провалы, но у вас же виртуалка.
Есть ощущение что "накуралесили" с настройками. l2tp/ipsec использую на порядка 10 микротиков для удаленки и везде все норм. Более того lan-to-lan тунели тоже на l2tp/ipsec построены.
Нужен конфиг...

Можно Вашу ссылку на инструкцию по настройке ?

Как бэ интсрукции нет))
Одно время долго мучился с нормальной настройкой site-to-site ipsec и l2tp/ipsec с мануалами из инета.
В итоге после посещения и сдачи MTCNA перенастроил везде по нормальному и всё работает теперь отлично.

Необхоимое и достаточное для настройки l2tp/ipsec

Настраивать нужно так:

1) Активируем l2tp/ipsec:

PPP -- Interface -- L2tp Server
тут ставим галку enabled

use ipsec - required или yes ( обязательно требовать или же установить соединение без шифрование если удаленная сторона поддерживает)

ipsec-secret: собственно сам psk

2) вкладка secret
создаем юзера

name - логин
password - пароль
service - l2tp
profile - тот же что и в l2tp
local address - адрес выданный клиенту vpn ( например 192.168.10.10)
remote address - адрес vpn микротика. Будет у всех клиентов одинаковый, например 192.168.10.1
routes - приписываем адрес сети куда нужен доступ. Если вписать эту опцию,то маршрут не надо будет приписывать.
например ваша сеть на работе 192.168.1.0/24
Иными словами 192.168.10.10,11,12,13,..... vpn клиенты и и адреса в vpn
192.168.10.1 - микротик в vpn
192.168.1.0/24 сеть куда нужен доступ

Если клиентов много, можно замутить для них пул, чтоб не прописывать адреса руками

3) файрволл. Разрешаем ipsec
chain input
protocol:50 и 51

Ну и форвард из вашей сети в сет впн и наоборот если у вас файрвол ограничивает форвард.

[imaoskol]

Возможно Вы накосячили в политиках ipsec, какой трафик в тунель заворачивать, плюс что у вас в файрволе неведомо.
mikrotik умеет практически в любом туннеле шифрование ipsec встраивать.
L2tp я рекомендую настраивать именно так как описал выше.
он динамически создаст политики да и маршрут сам пропишет.

Для site-to-site там история немного другая.

[supermicro]

Возможно Вы накосячили в политиках ipsec, какой трафик в тунель заворачивать, плюс что у вас в файрволе неведомо.
mikrotik умеет практически в любом туннеле шифрование ipsec встраивать.
L2tp я рекомендую настраивать именно так как описал выше.
он динамически создаст политики да и маршрут сам пропишет.

Для site-to-site там история немного другая.

[imaoskol]

Во-первых у Вас в настройках l2tp стоит один профиль, а в настройках пользователя другой.
Во вторых в настройках профиля шифрования никакие адреса не нужны!!!
В третьих с маскарадом не понятно... что там в dst address??? зачем вам столько маскарадов?