В статье рассматривается ADSL-роутер ASUS AAM6020BI.
Функциональные возможности: ADSL модем, встроенный 4-хпортовый коммутатор.
На роутере расположены следующие индикаторы (слева направо):
- индикатор питания
- индикатор состояния системы
- индикатор активности ADSL-соединения
- индикатор активности каждого из 4-х LAN-портов
Сзади на роутере расположены (сверху вниз):
- 1 × WAN порт RJ-11
- кнопка Reset (сброс параметров)
- 4 × LAN порта RJ-45 10/100 Мбит/с
- разъем питания
- кнопка питания
Устройство поставляется в следующей комплектации:
- роутер
- адаптер питания
- диск с инструкцией
- 2-х метровый патчкорд RJ-45
- 2-х метровый патчкорд RJ-11
- сплиттер
- краткая инструкция по установке и настройке
Вид изнутри
Вскрыть рассматриваемое устройство, к сожалению, не удалось.
Скорее всего, устройство собрано на базе процессора TNETD7300GDU компании Texas Instruments, так как большинство аналогичных устройств компании собраны на базе именно этого процессора. Процессор TNETD7300GDU представляет собой 32-битный RISC процессор с поддержкой Ethernet 10/100, ASDL, USB 1.1 и ATM QoS.
Коротко о технологии ADSL
ADSL расшифровывается как Asymmetric Digital Subscriber Line (Ассиметричная цифровая абонентская линия). Данная технология использует действующие медные телефонные линии для высокоскоростной передачи цифровых данных. ADSL значительно увеличивает пропускную способность медной телефонной линии, не создавая помех обычным телефонным сервисам. ADSL обеспечивает скорость до 8 Мбит/с для прямого канала (скачивание из Интернет, WAN -> LAN) и до 1 Мбит/с — для обратного канала (LAN -> WAN) в зависимости от качества телефонной линии и типа используемой модуляции.
В последнее время ADSL оборудование в нашей стране набирает популярность в связи с тем, что эта технология оптимально подходит для предоставления услуг массового широкополосного доступа. Признание ADSL оборудования обуславливается и общим ростом популярности Интернета и снижением цен на услуги постоянного подключения к сети.
Связь между ADSL-модемом и DSLAM'ом провайдера осуществляется с использованием технологии асинхронной передачи данных (ATM). От провайдера к DSLAM'у сигнал может идти по ATM, Ethernet или какой-либо другой технологии (в нашем случае сигнал к DSLAM'у идет по Ethernet).
Более подробную информацию о технологии ADSL можно найти в статье посвященной данной технологии (http://www.ixbt.com/comm/adsl.html).
Коротко о технологии ATM
ATM — это метод передачи информации между устройствами в сети маленькими пакетами постоянной длины, называемыми ячейками. Длина каждой ячейки составляет 53 байта (5 байт заголовок и 48 байт — данные). Использование ячеек малой длины позволяет максимально сократить задержки, которые обычно возникают при передаче больших пакетов. Использование постоянной длины ячеек также позволяет получать примерно постоянные задержки при передаче, а это, в свою очередь, позволяет эмулировать устройства с фиксированной скоростью передачи. Внедрение технологии ATM требует достаточно больших финансовых затрат, которые на текущий момент никак не могут сравниваться с затратами на внедрение того же Ethernet.
Технология ATM имеет поддержку приоритезации ячеек, тем самым обеспечивая необходимое качество обслуживания QoS — Quality of Service. Разным приложениям требуется различный уровень качества обслуживания, а технология QoS и ATM позволяет обеспечивать этот уровень.
Поскольку приходящие из разных источников ячейки могут содержать голосовые, видео данные — необходимо обеспечить контроль для передачи всех типов трафика. Для решения этой задачи используется концепция виртуальных каналов. Виртуальный канал — набор сетевых ресурсов, выглядящих как реальное соединение между пользователями. В заголовке ячеек ATM виртуальный канал обозначается комбинацией двух полей: VPI (идентификатор виртуального пути) и VCI (идентификатор виртуального канала). Данные параметры указываются в параметрах устанавливаемого соединения.
Спецификации устройства:
| корпус | пластиковый, допускается горизонтальная или вертикальная установка | |||
| исполнение | Indoor | |||
| проводной сегмент | ||||
| WAN | тип | ADSL | ||
| количество портов | 1 | |||
| типы поддерживаемых соединений | PPPoE | да | ||
| PPPoA | да | |||
| Bridge mode | да | |||
| Routing over ATM | нет | |||
| CLIP (IPoA) | да | |||
| Static IP | да | |||
| Dynamic IP (DHCP) | да | |||
| LAN | количество портов | 4 × Fast Ethernet | ||
| auto MDI/MDI-X | да | |||
| ручное блокирование интерфейсов | нет | |||
| возможность задания размера MTU вручную | да, только в PPPoE и PPPoA режимах | |||
| основные возможности | ||||
| конфигурирование устройства и настройка клиентов | администрирование | WEB-интерфейс | да | |
| WEB-интерфейс через SSL | нет | |||
| собственная утилита | нет | |||
| telnet | да | |||
| ssh | нет | |||
| COM-порт | нет | |||
| SNMP | да | |||
| возможность сохранения и загрузки конфигурации | да | |||
| встроенный DHCP сервер | да | |||
| поддержка UPnP | да | |||
| метод организации доступа в Интернет | Network Address Translation (NAT-технология) | да | ||
| возможности NAT | one-to-many NAT (стандартный) | да | ||
| one-to-one NAT | нет | |||
| возможность отключения NAT (работа в режиме роутера) | да | |||
| Встроенные VPN-сервера | IPSec | нет | ||
| PPTP | нет | |||
| L2TP | нет | |||
| VPN pass through | IPSec | да, 1 соединение | ||
| PPTP | да, 1 соединение | |||
| PPPoE | ?? | |||
| L2TP | ?? | |||
| Traffic shaping (ограничение трафика) | да, назначение приоритетов (High/Medium/Low) | |||
| DNS | встроенный DNS-сервер (dns-relay) | да | ||
| поддержка динамического DNS | нет | |||
| внутренние часы | есть, но ручное задание времени невозможно | |||
| синхронизация часов | да, адрес SNTP сервера указывается вручную | |||
| встроенные утилиты | ICMP ping | да | ||
| traceroute | нет | |||
| resolving | нет | |||
| логирование событий | да, системные события, файрвол | |||
| логирование исполнения правил файрвола | да | |||
| способы хранения | внутри устройства | да | ||
| на внешнем Syslog сервере | да | |||
| отправка на email | нет | |||
| SNMP | поддержка SNMP Read | да | ||
| поддержка SNMP Write | да | |||
| поддержка SNMP Traps | да | |||
| Роутинг | ||||
| статический (задания записей вручную) | на WAN интерфейсе | да | ||
| на LAN интерфейсе | да | |||
| динамический роутинг | на WAN интерфейсе | возможность отключения | да | |
| RIPv1 | да | |||
| RIPv2 | да | |||
| на LAN интерфейсе | возможность отключения | да | ||
| RIPv1 | да | |||
| RIPv2 | да | |||
| возможности встроенных фильтров и файрвола | ||||
| поддержка SPI (Stateful Packet Inspection) | ?? | |||
| наличие фильтров/файрвола | на LAN-WAN сегменте | да | ||
| на WLAN-WAN сегменте | да, совмещен с LAN-WAN | |||
| на LAN-WLAN сегменте | нет | |||
| типы фильтров | с учетом SPI | нет | ||
| по MAC адресу | да | |||
| по source IP адресу | да | |||
| по destination IP адресу | да | |||
| по протоколу | да, TCP/UDP/TCP&&UDP/ICMP/* | |||
| по source порту | да | |||
| по destination порту | да | |||
| привязка ко времени | нет | |||
| по URL-у | нет | |||
| по домену | нет | |||
| работа со службами списков URL для блокировки | нет | |||
| тип действия | allow | да | ||
| deny | да | |||
| log | нет | |||
| поддержка спец.приложений (netmeeting, quicktime, etc) | да | |||
| виртуальные сервера | возможность создания | да | ||
| задания различных public/private портов для виртуального сервера | да | |||
| возможность задания DMZ | да | |||
| traffic shaping | ||||
| типы шейпинга | ограничение исходящего трафика по критериям | да, учитывается трафик, исходящий с указанного интерфейса | ||
| критерии задания правила для ограничений | src interface lan/wan | да | ||
| dst interface lan/wan | нет | |||
| src ip/range | нет | |||
| dst ip/range | нет | |||
| protocol | TCP,UDP, ICMP, * | |||
| src port/range | да, диапазон портов | |||
| dst port/range | да, диапазон портов | |||
| привязка ко времени | нет | |||
| питание | ||||
| тип БП | внешний, 15V AC, 700 mA | |||
| поддержка 802.1af (PoE) | нет | |||
| дополнительная информация | ||||
| версия прошивки | 3.6.0A_0W00 | |||
| размеры | ?? | |||
| вес | ?? | |||
Документация на устройство оказалась весьма скудной (с другими маршрутизаторами компании ASUS аналогичная ситуация), поэтому в ряде случаев в проведении тестов приходилось действовать наугад.
Конфигурацию устройства можно производить через WEB-интерфейс или по протоколу Telnet. Скриншоты WEB-интерфейса приведены здесь
Для смены параметров ADSL-соединения (например, VPI, VCI, параметры QoS) приходится сначала удалить существующее соединение, а затем создать его заново, что вызывает некоторые неудобства.
Устройство также поддерживает настройку по протоколу Telnet
Судя по выводимой информации, на роутере установлен один из вариантов операционной системы Linux.
Устройство также поддерживает задание параметров по протоколу SNMP. Список всех SNMP параметров настроенного роутера приведен здесь.
Тестирование производительности
Тестирование проводного сегмента
Тестирование проводного сегмента проводилось в режиме маршрутизатора (NAT включен).
Для тестирования ADSL соединения применялся ADSL IP DSLAM D-Link DAS-3216, предоставленный нам российским представительством компании D-Link.
Настройки DSLAM'а позволяют задавать время задержки передачи данных (interleave delay). Это время, указанное в миллисекундах, влияет на размер передаваемого за раз блока данных. Если это время установлено, например, в 10 мс — в единый блок собираются данные пришедшие за 10 мс. Задержка используется для коррекции ошибок передачи с использованием алгоритма Reed-Solomon (метод Рида-Соломона) — этот алгоритм более эффективен при использовании больших блоков данных. Увеличение времени задержки позволяет увеличить размер единого блока данных как раз для более эффективной работы алгоритма Reed-Solomon. Увеличение времени задержки оправдывает себя при низком качестве телефонной линии и ее большой протяженности. На качественной телефонной линии небольшой длины выгоднее минимизировать задержки.
Значения Interleave delay устанавливаются отдельно для прямого и обратного каналов. Для того чтобы увидеть как это изменение отражается на задержках связи — достаточно воспользоваться утилитой Ping. При установке задержек на прямом и обратном каналах в 0 мс, Ping показывает время приема-передачи порядка 7~8 мс. При увеличении значений Interleave delay время приема-передачи увеличивается.
Так как длина нашей ADSL-линии составляет всего порядка двух метров — мы можем ограничиться нулевым временем задержки. Но для интереса были проведены тесты для стандартного значения времени задержки (стандартное значение — 16 мс). Это сделано для предварительной оценки влияния времени задержки на скорость при высоком качестве линии связи.
Тест LAN-WAN - тестирование проводилось по этой методике
При установке времени задержки в 0 мс пропускная способность прямого канала возрастает почти на 2 Мбит/с.
Уменьшение времени задержки сильно сказывается на скорости при передаче маленьких пакетов (512 байт, 64 байта). При максимальном размере пакетов — изменение времени задержки сказывается не столь значительно.
Разберемся, почему полученные нами скорости проводного сегмента весьма ниже заявленных (8 Мбит/с — для прямого канала, и 1 Мбит/с — для обратного). Необходимо учитывать существование двух параметров:
- throughput — общая пропускная способность канала — сколько может через себя пропустить ADSL канал (в нашем случае это как раз 8 Мбит/с — для прямого канала, и 1 Мбит/с — для обратного)
- goodput — полезная пропускная способность канала — какую величину полезных данных может пропустить через себя канал — эта величина всегда меньше throughput
При уменьшении размера пакетов скорость передачи значительно уменьшается. Уменьшение скорости происходит, так как увеличиваются накладные расходы на передачу данных. Например, если данные передаются пакетами по 64 байта, то каждый пакет для передачи через ATM-соединение разбивается на 2 ячейки по 53 байта (48 байт — данные и 5 байт — заголовок) — таким образом, объем передаваемого трафика возрастает почти в 2 раза. С уменьшением размера пакета также уменьшается размер полезных данных в нем, в то время как размер "накладных расходов" для каждого пакета остается неизменным. Таким образом, при одном и том же throughput значение goodput может меняться в десятки раз в зависимости от размера используемых пакетов — сильнее всего это проявляется при использовании пакетов малой длины.
Таким образом, получая от провайдера канал шириной 8 Мбит/с — пользователь реально сможет "разогнать" его только на 6 — 7 Мбит/с, и только в том случае, если большая часть пакетов будет иметь максимальную длину (например, закачка крупных файлов) . Такая же ситуация и с обратным каналом.
Падение скорости при использовании полнодуплексного режима, возможно, связано с некоторыми аспектами работы протокола TCP. TCP — протокол с гарантированной доставкой — он требует подтверждение о доставке каждого отправленного пакета. При учете маленькой ширины обратного канала и его полной загруженности эти подтверждения могут теряться, а при потере подтверждения пакет отправляется заново — следовательно, "полезная скорость", которую мы как раз и замеряем, падает, так как одни и те же данные передаются повторно. Вдобавок, протокол TCP при возрастании потерь уменьшает скорость передачи данных. Таким образом, падение скорости прямого канала в полном дуплексе, возможно, связано с аспектами работы протокола TCP при малой ширине обратного канала.
Тестирование возможностей ограничения трафика
WEB-интерфейс рассматриваемого устройства аналогичен интерфейсу ADSL-маршрутизатора ASUS AAM6020VI. Настройки шейпинга трафика также аналогичны настройка роутера ASUS AAM6020VI — эти настройки рассматривались нами в одном из прошлых обзоров (Часть 2: Возможности шейпинга трафика роутера ASUS AAM6020VI), поэтому я не буду здесь на них останавливаться.
Ограничение общей ширины обратного канала с помощью задания параметров CBR, VBR, MBS (Constant Bit Rate, Variabe Bit Rate, Maximum Burst Size)
Это стандартный вид шейпинга, который встречается практически на всех ADSL-устройствах. Шейпинг осуществляется возможностями технологии ATM.
Сначала выберем пункт CBR (постоянная скорость передачи) и будем менять параметр PCR в пределах от 100 до 1500 ячеек/с.
По графику видно, что скорость обратного канала возрастает пропорционально увеличению значения PCR — линейная зависимость.
Теперь выберем пункт VBR (передача с переменной скоростью) и будем менять различные параметры.
Для начала установим параметры PCR = 1500 ячеек/с, SCR = 500 ячеек/с, MBS = 5000 ячеек. Результаты, полученные при данных значениях параметров, будем считать контрольными
Первые 5 секунд данные передаются со скоростью PCR, затем скорость падает до значения SCR. Промежуток длительностью 5 секунд обусловлен выбранным значением MBS — именно столько данных может быть передано со скоростью PCR.
Теперь увеличим значение MBS с 5000 ячеек до 10000 ячеек. При этом длина участка, где трафик идет со скоростью PCR, должна также увеличиться вдвое (и составить примерно 10 с)
Из графика видно, что со скоростью PCR трафик действительно передается около 10 секунд, затем скорость падает до значения SCR.
Теперь увеличим значение SCR с 500 ячеек/с до 1000 ячеек/с. При этом скорость на втором участке графика должна возрасти в 2 раза
И действительно скорость на втором участке возрастает примерно в 2 раза.
Таким образом, можно сказать, что механизм ограничения общей ширины обратного канала с помощью задания параметров CBR, VBR, MBS прекрасно выполняет свои функции.
Ограничение трафика исходящего с определенного интерфейса (LAN/WAN) с возможностью задания различных приоритетов и типа обслуживания (TOS) для трафика
Напомню, что для корректной работы правил QoS в ATM сетях требуется поддержка QoS на всех устройствах, через которые идет трафик. Используемый в наших тестах DSLAM D-Link DAS-3216 не поддерживает технологию QoS, поэтому приведенные тесты нельзя назвать объективными — мы просто будем менять параметры и посмотрим как это отразится на результатах. Возможно, как раз по этой причине не удалось применить правила шейпинга трафика к трафику прямого канала и все приведенные ниже тесты относятся к скорости трафика обратного канала.
Список проведенных тестов:
- 2 потока с приоритетами Low и Medium, полоса пропускания делится так: Low =10%, Medium = 90%
- 2 потока с приоритетами Low и Medium, полоса пропускания делится так: Low =90%, Medium = 10%
- 2 потока с приоритетами Low и Medium, полоса пропускания делится так: Low =50%, Medium = 50%
- 2 потока с приоритетами High и Medium
- 2 потока с приоритетами High и Low
Тест 1: 2 потока с приоритетами Low и Medium, полоса пропускания делится так: Low =10%, Medium = 90%
Поток с приоритетом Medium имеет более высокую скорость, чем потока с приоритетом Low, но скорости распределяются совсем не так, как установлено в параметрах (10% — для потока Low и 90% — для потока Medium).
Тест 2: 2 потока с приоритетами Low и Medium, полоса пропускания делится так: Low =90%, Medium = 10%
В данном тесте мы изменили параметры так, что поток с приоритетом Low может занимать до 90% ширины канала, а поток с приоритетом Medium может занимать всего 10% ширины канала. Скорость потока с приоритетом Low действительно стала выше скорости потока с приоритетом Medium, но распределение скоростей сильно отличается от заданного (10% / 90%).
Тест 3: 2 потока с приоритетами Low и Medium, полоса пропускания делится так: Low =50%, Medium = 50%
Несмотря на то, что в настройках установлена одинаковая ширина полосы для обоих потоков, скорость распределяется неравномерно — у потока с приоритетом Medium скорость выше.
Тест 4: 2 потока с приоритетами High и Medium
Поток с приоритетом High должен занимать большую часть полосы пропускания, но вместо этого скорость этого потока очень низкая и составляет около 2% от общей скорости трафика.
Тест 5: 2 потока с приоритетами High и Low
Здесь наблюдается картина, аналогичная полученной в предыдущем тесте: поток с приоритетом High занимает около 2% полосы пропускания.
Еще раз напомню, что для корректной работы шейпинга трафика, механизм IP QoS должен поддерживаться на всех ATM устройствах, через которые ведется передача, а используемый нами DSLAM не поддерживает механизма IP QoS (возможно поэтому нам не удалось применить данный вид шейпинга к трафику прямого канала), поэтому данные результаты нельзя с полной уверенностью назвать объективными.
Безопасность
Во время тестирования безопасности было включено удаленное управление через WEB, SNMP, Telnet.
Результаты Nessus'а:
Nessus находит 3 критические уязвимости:
- первая уязвимость связана со старой версией сервера OpenSSH, запущенного на устройстве
- вторая уязвимость связана с тем, что SNMP по умолчанию отвечает по паролю public (рекомендуется его изменить)
- третья уязвимость связана с возможностью доступа к внутренней базе данных, составляя собственные SQL запросы в URL
Доступность:
Средняя розничная цена на рассматриваемое в статье устройство : Н/Д(0)
Выводы:
ADSL-маршрутизатор ASUS AAM6020BI при своей сравнительно низкой стоимости обладает высокой производительностью. При настройке устройства через WEB-интерфейс сильное неудобство вызывает то, что для смены параметров ADSL-соединения (таких как VPI/VCI и др.) необходимо сначала удалить существующее соединение, а затем создать новое (при создании надо заново выставить все параметры), что вызывает определенные неудобства.
Плюсы:
- Высокая производительность проводного сегмента
- Возможность задания правил QoS (Quality of Service)
- Возможность задания режима соединения на каждом из портов коммутатора (10/100, fullduplex/halfduplex)
- Наличие большого количества предопределенных правил файрвола и форвардинга
- Возможность настройки по протоколу Telnet и SNMP
- Сравнительно низкая стоимость
Минусы:
- Скудность документации на устройство (этот недостаток распространяется почти на все ADSL-устройства компании ASUS)
- Отсутствие возможности использования динамического DNS
- Чтобы изменить параметры соединения, необходимо удалить существующее соединения, а затем создать его заново
