روترهای نسل جدید میکروتیک بر پایه معماری RouterOS v7 و پردازنده‌های چندهسته‌ای ARM طراحی شده‌اند و تفاوت اصلی مدل‌ها در پشتیبانی از آفلود سخت‌افزاری لایه ۳، توان پردازش IPsec، چگالی پورت، آپلینک ۱۰ گیگابیت و بودجه توان PoE است. انتخاب صحیح مدل، مستقیماً بار پردازشی جدول کانکشن‌ها و پایداری تونل‌های شعب را تعیین می‌کند.

معماری سخت‌افزاری نسل جدید روترهای میکروتیک

نقطه شروع هر مقایسه فنی، تفکیک پلتفرم سیلیکونی این چهار مدل است، نه شمارش پورت‌ها روی دیتاشیت. روتر RB5009UG+S+IN روی پردازنده چهارهسته‌ای Marvell Armada 7040 با کلاک ۱.۴ گیگاهرتز، یک گیگابایت حافظه DDR4 و یک گیگابایت فلش NAND بنا شده است. بدنه آلومینیومی و خنک‌کاری کاملاً پسیو، آن را برای رک‌های نیمه‌بسته دفاتر استانی که کنترل دمای آن‌ها ایده‌آل نیست، گزینه قابل اتکایی می‌کند.

در مقابل، سوئیچ RB4011iGS+RM روی پلتفرم قدیمی‌تر IPQ-8072A با چهار هسته و کلاک مشابه ساخته شده و ساختار سوئیچینگ آن به دو گروه مجزای پنج‌پورتی تقسیم شده است. همین چگالی ده پورت گیگابیت به‌علاوه یک اسلات SFP+، باعث شده در بسیاری از سایت‌ها نقش تجمیع‌کننده لایه اکسس هم به آن سپرده شود. اما معماری داخلی آن با نسل ۵۰۰۹ تفاوت بنیادی دارد که در ادامه به آن می‌رسیم.

مدل L009UiGS-RM سبک‌ترین عضو این خانواده است. یک هسته ۸۰۰ مگاهرتزی روی تراشه Marvell 98DX3255، به همراه ۵۱۲ مگابایت رم، هشت پورت گیگابیت و یک اسلات SFP دو و نیم گیگابیتی در فرم‌فاکتور رک‌مونت. مدل RB5009UPr+S+IN نیز عملاً همان مغز پردازشی ۵۰۰۹ است که روی پورت‌های دو تا هشت، خروجی PoE مطابق استاندارد 802.3af/at تحویل می‌دهد.

تفاوت چگالی پورت و آپلینک نوری

• RB5009UG+S+IN با یک پورت ۲.۵ گیگابیت، هفت پورت گیگابیت و آپلینک SFP+ ده گیگابیت
• RB4011iGS+RM با ده پورت گیگابیت و یک SFP+ ده گیگابیت در فرم‌فاکتور یک یونیت
• L009UiGS-RM با هشت پورت گیگابیت و آپلینک SFP دو و نیم گیگابیت
• روتر RB5009UPr+S+IN با خروجی PoE روی هفت پورت و ورودی PoE روی پورت نخست

تفاوت پردازش L3HW در RB5009 و RB4011

تعیین‌کننده‌ترین تفاوت این نسل، پشتیبانی از Layer 3 Hardware Offloading است. تراشه‌های سری 98DX در RB5009 و L009 می‌توانند مسیریابی ترافیک بین ولن‌ها و ساب‌نت‌های داخلی را مستقیماً داخل سیلیکون سوئیچ انجام دهند. نتیجه، فورواردینگ نزدیک به Line-Rate بدون آن‌که پردازنده حتی یک پکت را لمس کند.

RB4011iGS+RM چنین قابلیتی ندارد و تمام تصمیم‌های مسیریابی آن، حتی برای ترافیک ساده بین دو ولن اداری، از مسیر FastPath و پردازنده عبور می‌کند. برای شعبه‌ای با ترافیک داخلی سنگین مثل انتقال فایل بین سرور محلی و کلاینت‌ها، این تفاوت خودش را در نمودار بار CPU نشان می‌دهد. برای مسیرهای اینترنتی معمولی که سقف پهنای باند پایین‌تر است، این اختلاف عملاً محسوس نیست.

نکته‌ای که اغلب در طراحی نادیده گرفته می‌شود این است که L3HW یک سوئیچ همیشه‌روشن نیست. لحظه‌ای که برای یک جریان ترافیکی، رول NAT، رول فایروال وابسته به کانکشن‌ترکینگ، منگل یا صف QoS تعریف کنید، آن جریان از مسیر سخت‌افزاری خارج و به Slow Path برمی‌گردد. بنابراین نوشتن قواعد فایروال بی‌ملاحظه روی یک ۵۰۰۹، عملاً مزیت رقابتی آن نسبت به ۴۰۱۱ را خنثی می‌کند.

نقش جدول کانترک در اشباع پردازنده روتر شعب

بیشترین گزارش‌های خرابی روترهای لبه شعب در ایران، ریشه سخت‌افزاری ندارند بلکه از اشباع جدول Connection Tracking می‌آیند. ظرفیت این جدول در RouterOS مستقیماً تابع حافظه در دسترس است. یک گیگابایت رم روی ۵۰۰۹ فضای تنفس به‌مراتب بیشتری نسبت به ۵۱۲ مگابایت L009 در اختیار می‌گذارد.

سناریوی تکرارشونده روشن است. یک شعبه استانی با چند صد کاربر پشت CGNAT، یک اسکن پورت گسترده یا حتی نشت ترافیک P2P، و جدول کانترک در چند دقیقه پر می‌شود. پردازنده به صد درصد می‌رسد، کیوها از کار می‌افتند و ارتباط مدیریتی هم قطع می‌شود.

راهکار مهندسی، جدول Raw و قاعده notrack برای ترافیک‌های ترنزیت است که اصلاً نیازی به رهگیری وضعیت ندارند. کوتاه کردن تایم‌اوت‌های TCP و UDP و اعمال Connection Limit روی هر آدرس داخلی هم بار جدول را به شکل معناداری پایین می‌آورد. برای شعبی با تعداد سشن بالا، انتخاب مدلی با یک گیگابایت رم یک تصمیم معماری است، نه یک ارتقای لوکس.

انتخاب مدل مناسب برای تجمیع پهنای باند استانی

در توپولوژی‌های ستاره‌ای که چند دفتر شهرستانی روی یک مرکز استان تجمیع می‌شوند، آپلینک نوری تعیین‌کننده است. اسلات SFP+ ده گیگابیت روی ۵۰۰۹ و ۴۰۱۱ امکان اتصال مستقیم به سوئیچ کُر مرکز استان یا لینک مترو اپراتور را می‌دهد. اسلات دو و نیم گیگابیتی L009 برای دفاتر کوچک‌تر با پهنای باند محدود کافی است و هزینه پروژه را پایین نگه می‌دارد.

جایی که مسیر کابل به دکل، نگهبانی محوطه یا ساختمان مجاور می‌رسد، بحث تغذیه و شرایط محیطی وارد می‌شود. [روتر RB5009UPr+S+OUT] با محفظه مقاوم و بازه دمایی گسترده، همان پلتفرم پردازشی را بیرون از اتاق سرور و مستقیماً نزدیک تجهیزات میدانی قرار می‌دهد.

نسخه RB5009UPr+S+IN نیز داخل رک، تغذیه دوربین‌ها و اکسس‌پوینت‌های اداری را بدون افزودن یک سوئیچ PoE مجزا بر عهده می‌گیرد. اینجا محاسبه بودجه توان کل، نه توان تک‌پورت، حرف اول را می‌زند. آداپتور تغذیه باید متناسب با مجموع مصرف دستگاه‌های متصل انتخاب شود، وگرنه افت ولتاژ زیر بار پیک به ریست‌های تصادفی منجر می‌شود که ردیابی آن‌ها ماه‌ها طول می‌کشد.

پایداری تونل‌های رمزنگاری‌شده و همگرایی BFD

برای ارتباط بین‌شهری، توان رمزنگاری تفاوت مدل‌ها را بی‌رحمانه آشکار می‌کند. موتور شتاب‌دهنده سخت‌افزاری IPsec روی Armada 7040 در تست‌های مرجع سازنده عبور بالای دو گیگابیت را ثبت می‌کند، RB4011iGS+RM در محدوده پایین‌تری می‌ایستد و L009 با تک‌هسته خود زیر نیم گیگابیت باقی می‌ماند. اگر بستر تونل شما WireGuard باشد، این معادله عوض می‌شود چون پردازش آن در RouterOS کاملاً نرم‌افزاری است و مستقیماً به فرکانس و تعداد هسته وابسته می‌ماند.

قطعی‌های پی‌درپی تونل‌های سایت‌توسایت هم اغلب تقصیر لینک نیست. تنظیم نامتقارن تایمرهای BFD بین دو سر تونل باعث می‌شود یک طرف پیش از دیگری همسایگی را مرده اعلام کند و چرخه فلپینگ آغاز شود. تایمرهای زیرثانیه‌ای فقط زمانی ارزش دارند که در هر دو سر یکسان و متناسب با جیتر واقعی بستر انتخاب شده باشند.

تفکیک ترافیک دپارتمان‌های حساس

نشت ناخواسته دیتا بین شبکه مالی، اداری و دوربین‌های نظارتی معمولاً از یک روت استاتیک فراموش‌شده شروع می‌شود. معماری Multi-VRF در RouterOS v7 امکان می‌دهد جداول مسیریابی هر دپارتمان کاملاً ایزوله بماند و تنها مسیرهای مشخصی از طریق Route Leaking بین آن‌ها به اشتراک گذاشته شود. لایه بعدی، صف‌بندی سلسله‌مراتبی است تا ترافیک پشتیبان‌گیری شبانه، پهنای باند سرویس‌های حیاتی روز کاری را نبلعد.

اصالت قطعات و ریسک آداپتورهای غیراورجینال

در مناقصات دولتی، ریسک اصلی این خانواده محصولات، جعل بدنه روتر نیست بلکه ورود دستگاه‌های ریفربیشد با NAND فرسوده، ماژول‌های SFP+ بدون هولوگرام و آداپتورهای تغذیه تقلبی است. یک آداپتور غیراستاندارد روی مدل PoE-out، دقیقاً همان قطعه‌ای است که در گزارش خرابی هرگز متهم نمی‌شود. ماژول‌های نوری بی‌کیفیت هم با خطای CRC و فلپینگ لینک، ساعت‌ها وقت تیم شبکه را تلف می‌کنند.

تیم فنی وینو سرور به‌عنوان ارائه‌دهنده راهکار زیرساخت، این چالش را در سطح فرآیندی حل می‌کند. هر دستگاه پیش از تحویل، از خط اعتبارسنجی سریال‌نامبر و تطبیق آن با رکورد سازنده عبور می‌کند، سلامت فلش و پایداری حرارتی آن زیر بار پیوسته سنجیده می‌شود و بودجه توان PoE با آداپتور تحویلی روی بار واقعی تست می‌گردد. ماژول‌های نوری نیز با خواندن مقادیر DOM از نظر توان ارسال و دریافت اعتبارسنجی می‌شوند.

به‌روزرسانی آفلاین RouterOS در شرایط تحریم

مزیت پنهان این پلتفرم برای سازمان‌های ایرانی این است که سطح لایسنس روی خود دستگاه ثبت شده و به سرور فعال‌سازی آنلاین وابسته نیست. اما فرآیند بررسی و دریافت نسخه جدید، مسیر خروجی به اینترنت می‌خواهد که در محیط‌های ایزوله یا تحت تحریم عملاً بسته است. اجرای کورکورانه دستور ارتقا روی یک روتر مرکزی هم ریسک بریک شدن و نیاز به حضور فیزیکی برای Netinstall را به همراه دارد.

رویه امن، ساخت مخزن آفلاین بسته‌های NPK و اعتبارسنجی چک‌سام آن‌ها پیش از انتقال به شبکه عملیاتی است. وینو سرور این مخزن را به همراه سناریوی بازگشت به نسخه قبل و برنامه ارتقای مرحله‌ای از شعبه کم‌ریسک به سایت مرکزی برای مشتریان سازمانی تدوین می‌کند. در همین چرخه، محدودسازی دسترسی WinBox به یک ولن مدیریتی مجزا و بستن آن روی اینترفیس‌های عمومی، از الزامات سخت‌گیرانه استقرار است.

معیارهای نهایی دپلویمنت در توپولوژی سازمان

اگر سایت شما ترافیک مسیریابی داخلی سنگین، تعداد سشن بالا یا تونل رمزنگاری‌شده پرحجم دارد، RB5009UG+S+IN با آفلود سخت‌افزاری لایه ۳ و یک گیگابایت رم انتخاب پیش‌فرض است و نسخه PoE-out آن وقتی معنا پیدا می‌کند که بخواهید یک سوئیچ تغذیه مجزا را از توپولوژی حذف کنید. RB4011iGS+RM هنوز برای سایت‌هایی که چگالی ده پورت مسی و آپلینک ده گیگابیت اولویت اصلی‌شان است گزینه منطقی می‌ماند، مشروط به آن‌که انتظار عبور خط‌سرعت لایه ۳ از آن نداشته باشید. روتر L009UiGS-RM جای خود را در دفاتر کوچک با پهنای باند محدود و بودجه فشرده پیدا می‌کند، به شرطی که تعداد کانکشن هم‌زمان و بار IPsec آن دقیق برآورد شده باشد. پیش از نهایی کردن BOM مناقصه، سناریوی تغذیه، آپلینک نوری و ظرفیت جدول کانترک را روی توپولوژی واقعی خود بازبینی کنید و برای دریافت مشاوره عمیق‌تر معماری، عبارت «وینو سرور روتر میکروتیک» را در گوگل جست‌وجو کنید.