VPN-концентратор на MikroTik CCR1009 упирался в процессор, хотя трафика через него шло немного.
Казалось бы, пора менять железо. Но дело было не в объёме, а в шифровании.
Часть клиентов договаривалась с концентратором о Blowfish. У CCR1009 процессор Tilera, и аппаратного ускорения для Blowfish на нём нет. Каждый такой туннель шифровался программно и занимал ядра почти без полезной нагрузки.
Решение: перевели клиентов на AES-128-CBC, который эта платформа ускоряет аппаратно. Загрузка процессора после этого не поднимается выше 40%.
Где помог Claude: разобрал вывод профайлера и список туннелей и связал нагрузку с алгоритмом шифрования.
Вывод для себя. На железе с аппаратным шифрованием выбор алгоритма влияет не только на безопасность, но и на производительность. Прежде чем менять концентратор, стоит посмотреть, чем шифруются туннели.
