Start и IPSec vs Wireguard

[gaaronk]

Добрый день!

 

Есть Kennetic Start KN-1110. Для соединения двух сетей сейчас используется GRE туннель с IPSec. Аппаратный ускоритель обрабатывает только шифрование, хэширование как я понимаю делается программно. 

Поэтому для ESP настроено AES128-SHA1

Если заменить IPSec на Wireguard (который полностью программный) - будет ли снижение нагрузки на систему? Проверить самостоятельно сложно - рутер стоит далеко с ограниченным доступом.

[r13]

Только что, gaaronk сказал:

Добрый день!

 

Есть Kennetic Start KN-1110. Для соединения двух сетей сейчас используется GRE туннель с IPSec. Аппаратный ускоритель обрабатывает только шифрование, хэширование как я понимаю делается программно. 

Поэтому для ESP настроено AES128-SHA1

Если заменить IPSec на Wireguard (который полностью программный) - будет ли снижение нагрузки на систему? Проверить самостоятельно сложно - рутер стоит далеко с ограниченным доступом.

Будет по идее, за счёт снижения нагрузки при такой же пропускной способности. 

У меня wg на mt7628 70-80мегабит выдает

[Le ecureuil]

Да, чуть полегче будет.

[gaaronk]

Читаю читаю документации  и пытаюсь понять.

Если у меня на роутере два GRE туннеля, то мне аналогично надо будет сделать два wireguarg интерфейса (каждый на своем listen port), каждый с одним пиром и AllowedIPs 0.0.0.0 ?

Потому что я не могу создать один wg интерфейс, с адресом с маской /24 и несколькими пирами у которых AllowedIPs 0.0.0.0 ? Потому что заранее казать какие чета лежат за пиром невозможно, как маршрутизация ляжет.

Как то так 

  interface Wireguard0
   description "VPN 1"
   security-level public
   ip address 172.16.1.1 255.255.255.248
   wireguard listen-port 1501
   
   wireguard peer 11111....
   endpoint 1.1.1.1:1501
   keepalive-interval 15
   allow-ips 0.0.0.0 0.0.0.0
   
  
  interface Wireguard1
   description "VPN 2"
   security-level public
   ip address 172.16.2.1 255.255.255.248
   wireguard listen-port 1502
   
   wireguard peer 2.2.2.2....
   endpoint 2.2.2.2:1502
   keepalive-interval 15
   allow-ips 0.0.0.0 0.0.0.0
   

 

Ну а дальше рулить маршрутизацией?

[Le ecureuil]

Да, типа того.

[quicktrick]

Вчера на Keenetic Speedster запустил WireGuard. Имею скорость в туннеле порядка 150 Мбит/с. Загрузка процессора при этом около 80%. Свои впечатления описал здесь.

Подскажите, пожалуйста, есть ли смысл пробовать IPsec? Будет ли увеличение скорости? Судя по тому, что здесь пишут, скорость 300 мегабит/с я едва ли получу?

[Le ecureuil]

Зависит от того, что и как вы будете передавать, а также от настроек.

[quicktrick]

4 hours ago, Le ecureuil said:

Зависит от того, что и как вы будете передавать, а также от настроек.

Передавать буду большие файлы с/на NAS, подключенный к Кинетику.  Я, честно говоря, не понимаю, как от этого может зависеть скорость в туннеле. Узкое место сейчас -- процессор Кинетика, не NAS. NAS даже на мелких файлах вдвое большую скорость будет держать нормально.

[Le ecureuil]

Зависит напрямую. Однонаправленный UDP ускоряется в разы хуже, чем TCP. Ну и размер пакетов влияет.

В вашем случае только пробовать.