MikroTik Profiler: Анализ высокой загрузки CPU и утечек RAM
Архитектура RouterOS и процессы потребления ресурсов
Когда маршрутизатор MikroTik (особенно младших линеек RB750, hEX с ограниченным объемом оперативной памяти) начинает тормозить, терять пакеты или внезапно перезагружаться без видимых причин, часто виновата нехватка ресурсов (CPU 100% или Out of Memory - OOM). Встроенный инструмент Profiler (/tool profiler) позволяет заглянуть внутрь ядра Linux (на базе которого работает RouterOS) и посмотреть, какой именно системный процесс или классификатор трафика потребляет ресурсы. Бизнес-риски: деградация пропускной способности интернета, падение BGP-сессий, разрыв VPN-туннелей (IPsec).
Основные 'Пожиратели' ресурсов в RouterOS
| Процесс (в Profiler) | Ответственность | Причины аномальной загрузки |
|---|---|---|
networking / firewall | Обработка пакетов (Data Plane) | DDoS-атака (SYN Flood), тысячи мелких пакетов, отключенный FastPath / FastTrack, сложные правила Layer7 в Firewall. |
dns | Встроенный DNS кэш-сервер | Роутер используется злоумышленниками в атаке DNS Amplification (открыт 53 порт наружу), либо установлен огромный max-cache-size. |
routing / bgp | Таблицы маршрутов | Получение Full-View (сотни тысяч маршрутов) BGP на устройстве с 256MB RAM приведет к мгновенному OOM и ребуту. |
management | WinBox / WebFig / API | Слишком частые опросы по SNMP, API (скриптами Zabbix) или брутфорс SSH/WinBox. |
Диагностика с помощью Tools -> Profiler
Сценарий 1: Запуск и чтение Profiler (Анализ CPU)
Profiler запускается в реальном времени и показывает распределение процессорного времени между подсистемами ядра.
Запуск профайлера для всех ядер ЦП в терминале
/tool profiler cpu=all
(Нажмите 'q' для остановки. Изучите колонку 'Usage' - процент использования)- Если firewall занимает > 60%: Срочно проверьте соединения
/ip firewall connection. Возможно, вас DDOS'ят. Убедитесь, что настроено правило action=fasttrack-connection для установленных соединений. - Если ipsec в топе: Аппаратное шифрование (Hardware Offloading) не работает. Выбраны алгоритмы (например, sha512), которые не поддерживаются чипом устройства, и вся нагрузка легла на CPU.
Сценарий 2: Поиск утечек оперативной памяти (RAM)
Profiler в классическом виде показывает CPU, но для памяти нужно анализировать конкретные сервисы.
Проверка размера DNS кэша
/ip dns print (Обратите внимание на cache-used и max-cache-size)
Очистка кэша:
/ip dns cache flush
Проверка таблицы соединений (Connection Tracking)
/ip firewall connection tracking print (Параметр max-entries зависит от RAM. Если total-entries стремится к максимуму - память забита сессиями)Типовые ошибки администраторов
- Отказ от FastTrack: Использование Queues (Simple Queues) для шейпинга трафика несовместимо с FastTrack. Администраторы отключают FastTrack для работы очередей, после чего 1 Гбит/с трафика кладет CPU дешевого MikroTik на 100%. Выбирайте: либо скорость, либо шейпинг.
- Открытый DNS наружу: Галка
Allow Remote Requestsв настройках DNS без закрытия 53 порта (UDP/TCP) в/ip firewall filter (input chain)приведет к тому, что роутер сожрет всю память на DNS-ответы китайским ботнетам.
Тонкая настройка сетевого стека RouterOS требует понимания архитектуры Packet Flow. Аудиторы ITSTM проанализируют конфигурацию вашего роутера (экспорт конфига), найдут узкие места, оптимизируют Firewall и защитят маршрутизатор от внешних атак (DDoS, Bruteforce).
Частые вопросы (FAQ)
Почему в Profiler нет разбивки на конкретные IP-адреса, а только общие процессы?
Profiler предназначен для анализа работы ядра ОС (подсистем). Чтобы посмотреть загрузку по IP-адресам или интерфейсам (кто именно качает), нужно использовать утилиту /tool torch (Torch показывает трафик в реальном времени).
Что означает процесс 'unclassified' в Profiler?
Это процессорное время, потраченное на фоновые задачи ядра Linux, прерывания (IRQs) или работу драйверов специфичного оборудования, которые не подпадают под стандартные категории RouterOS (маршрутизация, файрвол, PPP).
Как посмотреть, сколько оперативной памяти (RAM) свободно?
Выполните команду '/system resource print'. Обратите внимание на параметр 'free-memory' и 'total-memory'. Если free-memory опускается ниже 10-15 MB на младших моделях, возможны аварийные перезагрузки из-за Watchdog.
Поможет ли увеличение файла подкачки (Swap) на MikroTik?
В RouterOS (особенно на устройствах с флеш-памятью NAND/SPI) нет классического файла подкачки (Swap) как в Windows или десктопном Linux, чтобы не 'убить' флешку перезаписями. Нехватка RAM решается только оптимизацией конфига или покупкой более мощной модели (например, переход с RB750Gr3 на RB4011).