终于搞明白为什么改桥接之后跑不满了

[crzidea]

电信 500 Mbps 套餐，之前一直都只能跑到 330 Mbps ，一直没管。最近较上劲了，各种怀疑：

- 是不是光猫性能不行？型号是电信送的华为 HS8145X6 ，查了一下数据，性能没问题。
- 是不是光猫时间不对的问题？调好了，还是跑不满。
- 是不是运营商给限速了？电信师傅今天上门，把路由器 WAN 口线拔下来插他电脑上测速，跑到 750 Mbps ，啪啪打我脸，我觉得这速度过分了啊！ 500 Mbps 的宽带怎么跑出来的这速度，看测速工具是 360……
- 是不是路由器性能不行？型号是 TOTOLINK X5000R ，在 OP 网站和论坛上查了数据，确实也没问题。

最后终于发现问题在哪儿了。把 OP 的防火墙服务关掉，重新测速马上跑到 540 Mbps 了，反复测了几次都是这样，实锤就是路由器跟运行 OP 防火墙性能不行的原因了，也有可能是 PPPoE + 防火墙一起运行太占资源了……

防火墙开：
```
% Total % Received % Xferd Average Speed Time Time Time Current
Dload Upload Total Spent Left Speed
54 953M 54 515M 0 0 34.1M 0 0:00:27 0:00:15 0:00:12 34.0M
curl: (18) transfer closed with 458937106 bytes remaining to read
```

防火墙关：
```
% Total % Received % Xferd Average Speed Time Time Time Current
Dload Upload Total Spent Left Speed
87 953M 87 829M 0 0 54.9M 0 0:00:17 0:00:15 0:00:02 55.0M
curl: (18) transfer closed with 129685655 bytes remaining to read
```

最后怎么解决还没确定：

- 不解决，300 Mbps 平时也够用。
- 光猫拨号，开个 DMZ 给路由器平时也还行。
- 换路由器，下次找个 CPU 好点的型号。

博客： https://crzidea.com/#/article/full-bandwidth-with-bridge-mode-on-modem

新版本防火墙性能改好了， 不关防火墙，速度也能上去了。但是无线还是跑不满 500 Mbps 。

[Terminl]

家用路由器的防火墙根本没必要开，每条宽带自带运营商的防火墙。只有商用才要开防火墙，但是那又是商用设备干的事情。

[YY]

流量监测 这些功能关掉

[yyzh]

要玩 OpenWRT 就得玩 X86.其他的没了硬件加速一样是死.

[PureWhiteWu]

家用没必要防火墙，给自己找麻烦。。。

[crzidea]

@Terminl 不开防火墙就不能进行透明代理了，我指的是 nft 。

[crzidea]

@PureWhiteWu 不开防火墙怎么加 tproxy 规则？

[crzidea]

@YY 没开流量检测，只有一些默认规则的 counter ，没找到在哪里关。

[PureWhiteWu]

所以你的瓶颈我猜不在 netfilter 上，而是梯子（加解密）吧？

[opengps]

家庭宽带有公网 IP 的，还是需要开防火墙的。
因为会被扫，虽然没有转发连接进不来，但是被扫这件事。。。。

[crzidea]

@PureWhiteWu 你猜的不对，关掉梯子，只开防火墙照样跑不满。

[Vinceeeent]

我家现在 1000m 也跑不满，回去试试

[TESTFLIGHT2021]

@yyzh OP 玩 X86 也是垃圾。。性能不行，不稳定，跑三个月必完蛋

[cpstar]

所以最终结论还是第四条 TOTOLINK X5000R 的性能不足呗。
查了查，880MHz 双核，这性能，还要带连个无线频段，就，确实，额。。。知名的 r2s 那也是 RK3328 四核 1.5GHz 的，最近比较流行 RK3568 大概是四核 2GHz ，所以，¯\(°_o)/¯

至于 op 和 x86 ，您要是给 op 上一个至强 U ，我就不信不行。

[lhbc]

MT7621A 就别要求太高了

[lhbc]

@TESTFLIGHT2021 OpenWrt 的稳定性没有问题，如果你的不稳，还是找下硬件或者其它原因吧

[Sekai]

家用防火墙还是需要的，时不常的就有人扫你服务

[Monkit]

换路由器呗

[jinqzzz]

你这个问题，加钱就能解决 :doge

[MeteorVIP]

哈哈哈，我记得你。
不过我的能跑到 950+。
那么问题来了，openwrt 要怎么关闭防火墙？具体一点。我之前试过，一关就不能上网。哈哈哈
还有一个问题不明白，光猫拨号 dmz 到 openwrt 的话，打开防火墙也能满速吗？还是是 lan 下防火墙不工作？

[lovelylain]

我用 n1 做主路由也是跑不满，600M 宽带最高跑 450 ，用 AX6 拨号可以 700 多，为了透明代理、电视断网等功能，忍了。

[crzidea]

@MeteorVIP 关防火墙最简单的办法就是在管理后台 system -> setup 里找到 firewall 。按照我理解，就连基本的 NAT 也是需要防火墙工作的，所以关闭防火墙确实内网设备就不能上网了，我是在路由器上直接跑脚本测的。至于光猫拨号能不能慢速，我得回家再试试。

[ranaanna]

OP 的问题解决起来不要太简单。开防火墙是要开启 hardware offloading 的，不然都经 CPU 怎么可能跑满。opwnwrt 里面 LuCI > Firewall > General Settings > Routing/NAT Offloading ，先点选 Software Flow Offloading 会出现 Hardware Flow Offloading ，再点选之。这设置真有点 tricky

[wildman9527]

330Mbps 是连 Wi-Fi 测的么? AP 什么配置? 信道? 频宽? 一般来说 1x1MIMO=433M, 看你 AP 能协商的速率了.

[guoyan]

请问 op 怎么关闭防火墙

[MeteorVIP]

@ranaanna #22 你说的是这个吗？

路由/NAT 分载
实验特性。与 QoS/SQM 不完全兼容。
软件流量分载

基于软件的 路由/NAT 分载
硬件流量分载

需要硬件 NAT 支持。目前 mt7621 已实现

[ranaanna]

@MeteorVIP exactly.

[465456]

没有装 netdata 记录下硬件状态？

[neroxps]

噗 感觉有些人 OpenWrt 都没用过就在教别人别开防火墙。搞不懂搞不懂。

OpenWrt 现在有些路由型号是支持硬件转发的 MTK 或者高通都有。

主要是硬件转发限制了性能。

[ranaanna]

@neroxps 不是硬件转发限制了性能，是没有用硬件流量卸载功能限制了性能，把具有有硬件 NAT 的嵌入式网络芯片当软路由来用

[TESTFLIGHT2021]

@lhbc 硬件无关。。。和代码有关。。。

[LxnChan]

查了一下，主控是 MT7621A
我寻思联发科这芯片都整整十年了还没清完库存？
注意是十年前的东西了，你掏出十年前的手机不知道现在还能干嘛，估计大概率还是 3G
所以综上换个路由器才是最佳选择

[kokutou]

十几年了。。。
放过 MT7621 吧。。。

买个 nx30 pro 刷 op 吧，也就 150 块 MT7981

https://item.jd.com/100050915542.html

[datocp]

openwrt 在测试性能时，pppoe-wan 一般情况性能不如 br-wan ，tun 接口需要消耗 cpu 资源。使用 br-wan 也就是光猫拔号情况，我记得就是 y1s 都有人测出 550mbps 的性能。至少在 openwrt21.02.5 都能让 mtk7620 跑满 pppoe-wan 100mbps

其它影响
开启自带 wifi 在 mtk7620 至少造成 50mbps 的下降
吃 cpu 的翻墙工具更不用说了。
至于防火墙导致的性能问题，真没注意。默认防火墙关和开影响多少有点。比较夸张的情况，搞几千条 iptables 规则放在那遍历当然消耗 cpu 资源导致呑吐能力下降。

还是找出吃 cpu 的东西吧。mtk7621 我认为没这么烂。

[ranaanna]

@LxnChan 开启硬件 NAT 卸载 920 Mbps 还是有的。OP 的这款不知道，ubiquiti 的 er-x 用到现在还是基本跑满千兆的

[cwbsw]

@LxnChan MT7621 可是一代神 U ，直到去年 MT7981 出来之前还真没啥好的替代。

[yyysuo]

@ranaanna 开了 offload ，可能导致 ios 推送延迟。
@crzidea 你这哪是 op 不行啊，7621 ，10 年前的 cpu ，能行才怪，就是路由不行，我 newifi mini 一样的 cpu ，刷老毛子，开 offload ，500M 也不在话下啊。

[lhbc]

如果开了些科学上网的规则，硬件 NAT 无效吧

[titanium98118]

@TESTFLIGHT2021 #12 此言差矣，openwrt 稳定性没问题。我从 10.03>12.09>14.07>15.05>18.06>21.02>23.05 ，中间换过 N 款路由器，到现在的 hyper-v 、r5c ，如果 3 个月必崩，那我肯定不会用上这赀 10 多年。

[lhbc]

@TESTFLIGHT2021 一年以上没关机的 OpenWrt 多去了

[MeteorVIP]

@yyzh #3 啥意思啊?怎么看 x86 是否有硬件加速? 比如 3865U 支持硬件加速吗?

[idealhs]

以前我也喜欢研究这些没用的
其实就不能多加两百块钱上个性能好点的 X86 么

[neroxps]

@ranaanna 还得看固件，看 cpu 。不是打开就可以。

[yyzh]

@MeteorVIP X86 没有,也用不上,CPU 力大砖飞干啥都没问题.也就路由器这种处理器性能差劲的设备才有一个专门的 NPU 去处理数据交换,但如果有其他功能(例如 QoS)导致不能走 NPU 的话那网络性能就变得非常差了

[MeteorVIP]

@yyzh #43 哈哈哈，力大飞砖，不是航模专用词吗。大概明白了，谢谢大佬😎

[zbinlin]

运行下 nft list ruleset ，看有什么规则

[wxlwsy]

亲测,换路由器.
首先我的猫是 2.5G 口的, 然后以前的路由器垃圾,千兆桥接后 500M.
然后换了个 TP 的满血 wifi6 那款路由器(300 左右),桥接能跑 950.跑不满大概率是路由器垃圾

[leloext]

很久以前买过 totolink 的路由，速度很拉跨，当时没去找原因直接换另一家路由了，然后问题解决；没想到到现在还有类似的问题，但有可能引起问题的原因并不一样。

[Yien]

@ranaanna x86 的开启有用吗？

[MSIAM]

你需要一个能跑满的 X86 小鸡。弄个稍微好点的小鸡，带着这些服务都能跑线速.

[kerwin1024]

@TESTFLIGHT2021 稳定运行 500 天以上的都有不少

[huangya]

楼主，mtk7621 openwrt 支持硬件 offload ，亲测可以跑满千兆，cpu 负载为 0. 要在页面上把它打开。

[huangya]

@huangya 至于怎么打开，见 22 楼。还有你测速在路由器跑，这个是不准的。直接在路由器跑，非常有可能不能使用硬件加速，导致测速过低。需要用电脑跑。路由器只做 NAT 转发，然后路由器在转发的时候，会用到硬件加速。

[crzidea]

@huangya offload 肯定是开了，不要被楼上的人舞蹈了。跑不满的原因就是因为 fw4 兼容性还没有做好，而且可能永远也做不好了。可以在 OP 的代码仓库里查一下 issue ，老设备上和 fw3 确实是有非常大的差距的。

[crzidea]

@MeteorVIP 光猫拨号，路由器上测速是能跑慢的，但是无线测速仍然只有不到 400 Mbps 的样子，看起来还是 fw4 NAT 性能的问题。

[MRG0]

我看 b 站卡顿，有没有辙

[crzidea]

已经准备换设备了，能想我这么执着查问题查到这种程度的人不多吧。另外附上几个 github 中看到的相关的 fw4 的性能问题，全是 mt7621 ，全是速度减少 30% 以上的案例，现象跟我的很像，但是我没能按照回复里给的方法彻底解决问题。不折腾了，换设备。
https://github.com/openwrt/openwrt/issues/9676
https://github.com/openwrt/openwrt/issues/9848
https://github.com/openwrt/openwrt/issues/10224

[crzidea]

@MRG0 用华为 5G ，不卡顿🐶。感觉你点错链接了。

[ttvast]

@yyzh 是的，我测试过还专门写了帖子，2000m 的宽带，n5105 虚拟化之后就跑不满了，不虚拟化，也跑起来很累。所以我现在直接用了 i7 9 代的 cpu 虚拟化来跑软路由。

[huangya]

@crzidea
1.用 stable 版本。
2. 用 speedtest 测速的时候，使用命令 grep HW_OFFLOAD /proc/net/nf_conntrack 看看 HW offload 有没有生效。如果不生效，看看配置有没有设置进去，命令是 grep flow_offloading_hw /etc/config/firewall

[ysb255236295]

联通千兆，测速 20-50 兆，

[crzidea]

建议在 OP 上关防火墙的，估计是真的没用过 OP 的，大家自动忽略吧。没有防火墙，连基本的 NAT 功能都没有。我只是关闭防火墙之后使用脚本在路由器上进行本地测试，不代表关掉防火墙这个行为不影响基本的日常使用。

[huangya]

@crzidea 你贴的三个链接其中两个链接都是 software offload ，不是 hardware offload 。哎，不说了。

[crzidea]

@datocp 你说的对 mtk7621 本来可以使用 fw3 跑满千兆的，但是替换 fw4 之后版本性能就降下来了，还是代码问题。但是我选择与时俱进，跟上 OP 的更新。

[qsnow6]

@huangya #62 这类 tips ，有什么比较齐全的来源吗？不然性能降低也不知道为啥

[huangya]

@qsnow6 主要是看实现代码和相关文档。https://docs.kernel.org/networking/nf_flowtable.html

You can identify hardware offloaded flows through the [HW_OFFLOAD] tag when listing your connection tracking table. Please, note that the [OFFLOAD] tag refers to the software offload mode, so there is a distinction between [OFFLOAD] which refers to the software flowtable fastpath and [HW_OFFLOAD] which refers to the hardware offload datapath being used by the flow.

[MRG0]

@crzidea #57 啊？

[datou]

@Terminl IPv6 不开防火墙很危险

[mohumohu]

看了下 OP 说的那个型号的拆机，型号是 MT7621AT ，双核 880MHz ，老掉牙了，二手硬件只值 30 块，还是换掉吧，联发科最新的 Filogic 830 很可以的，最便宜的应该是红米 ax6000

[adoal]

电信千兆宽，桥接，ER-X 开 HWNAT ，开了防火墙，switch0 做了 VLAN ，dnsmasq ipset 做分流到做梯子的虚拟机，不开 QoS ，用 speedtest.net 选本地移动测试点，下行跑到 920 的样子。虽然 7621 老了，但是正常跑个千兆还是没问题的。

[gvdlmjwje]

pfsense/opensense 你整个专门的盒子 分开

[2000wcw]

换个红米 AX6000 ，刷个 OP ，瞬间让你起飞

[crzidea]

楼上说让换掉 MT7621 的诸位，我刚才又翻了一遍 OP 官方最新的 Supported devices 表格，当前版本 + 支持 ax 筛选一下，你们自己看看结果。当然可以不用当前稳定版，你们都是全员使用 snapshot 版本，出问题自己提交 issue 改代码是吧？

https://openwrt.org/toh/views/toh_available_16128?dataflt%5B0%5D=device%20type_%3DWiFi%20Router&dataflt%5BWLAN%205.0GHz%2A~%5D=a%2Fn%2Fac%2Fax%09&dataflt%5B1%5D=supported%20current%20rel_%3D22.03.5

[FMoJpF4]

我也有这个问题，1000M 电脑只能 300M 多一点，电信来查，光猫出来的速度是够的。
晚上回去看看是不是开了防火墙

[xqdoo00o]

@crzidea 人家意思是让你上软路由+ap ，软路由负责路由，ap 负责信号

[adoal]

对了，看到 OP 筛选出来的结果，补充一点，7622 的性能是明显高于 7621 的。
7621 只能说算是路由器 SoC 里 MIPS 系的的天花板，但是 MIPS 早就停止发展，跟还在活跃的 ARM 肯定是不能比的。
根据 UBNT 的说法，他们一开始设计 UAP-6 Lite 的时候，SoC 选的 7621 ，做出来的 EA 版性能不符合预期，后面正式版换成了 7622 。

不过，用 7622 可能还是解决不了 OP 的问题。

[adoal]

另外，建议 OP 考虑一下，不必把自己局限在单个路由器全能的范围里。思路一换天地宽。

[vmebeh]

https://forum.openwrt.org/t/2-gbps-wan-lan-nat-routing-on-ramips-mt7621-devices/131478
在修了

[crzidea]

@vmebeh 已经试过了，昨晚刚刷的 23.05 ，仍然不行。

[Chieh]

同 OP 最近 300 升 500 ，也是 7621 ，实测网线直连路由是可以满速的， 防火墙打开，开了 Software flow offloading 和 Hardware flow offloading ，满速时 CPU 占用很低。

注意 NAT 只有流量在 WAN 和 LAN 之间传递时才起作用，所以要在连接到 LAN 端口的设备上测速，我直接在路由上跑脚本 CPU 满载测速只有 300

[jiangzm]

前段时间看到有位网友也找出一个光猫桥接被限速的问题原因， 可能更有代表性。 他那个是光猫的 NTP 服务连不上和上级设备通信时间对不上导致网速下降

所以很多网友说光猫桥接会被限速 、大多是终端的问题

https://v2ex.com/t/958813

[ranaanna]

@vmebeh 这个补丁是复用两个物理层连接来提高 CPU 的处理带宽, 就是一个端口在满速下载的情况下, 另一个端口还可以满速上传, 所以是 2 Gbps. 这是进一步提高路由器的性能的意思. 实际上 MT7261 只要用上 HWNAT 就能基本跑满千兆.

[jxdqwert131]

@TESTFLIGHT2021 怎么就不稳定了，J4125 pve ikuai op debian ，弱电箱里之前跑了 180 多天没重启，如果不是最近更新 pve8 我依然不会重启。

[azhi2007]

@mohumohu 刚入了一个不便宜，京东 435

[cwbsw]

@crzidea MT7981 或者加钱 MT7986 ，即将发布的 23.05 就支持了。
https://downloads.openwrt.org/releases/23.05.0-rc2/targets/mediatek/filogic/

[cwbsw]

@yyysuo iOS 推送延迟的问题应该是已经解决了。

[crzidea]

@jiangzm NTP 调过了。

[zanzhz1101]

你试试裸机安装 lean 的 lede ，你就会发现能跑满了

[Lightbright]

@crzidea 楼主有试过 xwrt 这个固件嘛，据说有硬件加速

[w01230]

开 FLOW OFFLOAD 就可以跑满了吧

[xymeng16]

@TESTFLIGHT2021 我的 x86 除了停电没重启过，目前这次半年没重启了，哪里来的不稳定一说？

[HeyBoy2077]

我之前是 1000 兆 迁移后跑不满，卡在 300M 最后找到通信管理局给解决了。问题在运营商，地区划片承包。节省成本 OLT 没扩容，扩容割接后完美解决。至于他们当时跑的时候用的 PDA 那我也很无语了，PDA 跑的本地测速节点。然后也是拿 360 测速。。。。*** 有些装维都是装傻

[TsukiMori]

OP 的问题一概都用 X86 碾过去……

[y1y1]

openwrt 防火墙能关吗？

[yyzh]

@y1y1 不能,它家防火墙也做 NAT 的,关了连网都上不了.

[hefish]

op 的防火墙我一直是关着的，
nat 是自己手打的 iptables 命令。。。

[sducxh]

@lovelylain 我 N1 做主路由（光猫桥接），红米 AX6 做 AP ，联通 300M 可以跑到 400+，现在移动千兆，默认光猫拨号，红米做 AP ，跑到 600 多，改桥接后与联通拓扑一致，只跑到 300+，不舒服-_-

[crzidea]

@hefish 哥，fw4 是 nft ，不用 iptables 了。

[crzidea]

@sducxh PPPoE 肯定会比 DHCP Client 多占用一些资源。

[sducxh]

@crzidea 我不解的是，网络设备拓扑不变的情况下，联通 300M 比移动千兆跑的还高~

[crzidea]

@sducxh 这种情况，我感觉是测速点的问题了，毕竟移动线路的骚操作比较多。