Dlink DFL-210, прошивка 2.27.03.25-14787 Nov 9 2010.
Раздает инет, клиенты ходят через NAT, который коробка и делает.
Правила разрешают пропуск VPN траффика через NAT.
Штук под 40-50 клиентов-арендаторов. Определенный процент из них устанавливают VPN соединения разных видов с внешним миром.

В один прекрасный момент времени клиенты не могут установить VPN соединение. (пока известно, что это PPTP, остальные виды пока не рассматириваем, но они тоже могут быть).
подключение не устанавливается с формулировкой "нет ответа от сервера".
Если подключаются туда же через мобильный инет, то все OK.

В этот момент времени загрузка процессора DFL -210 может достигать 50-60%. Конечно, много, но все-таки еще не смертельно. Суммарно всех соединений по данным коробки около 3000-4000 из 12000 максимальных. Тоже, вроде бы, не смертельно.

Это происходит "волнами". Когда волна сетевой активности клиентов спадает (например, утро), все работает прекрасно и соединения устанавливаются. Число активных соединений падает незначительно.

Коллеги, отсюда вопросы
0)Извечный русский - кто виноват и что делать ?

1) Сколько одновременных VPN соединений коробка может перекидывать через NAT (тянуть попросту) ?
Это если предположить, что не хватает мощи.

2)Поможет ли, на ваш взгляд, модернизация до DFL-800 ?

было бы не вредно поизучать лог в те моменты, когда возникают проблемы. Предварительно включив логирование на нужных правилах.

_________________
6 x DFL-210, 2 x DFL-800. Для DFL-210/260/800/860 лучшая прошивка 2.27.08.03 (for WW). СКАЧАТЬ.
Совет: Не используйте в IP- и Routing-правилах сочетание any/all-nets нигде, кроме временных правил. Иначе возможны бреши в безопасности и несрабатывание последующих правил.

PPtP работает по GRE протоколу. Если тупо натить весь трафик, то можно установить не более одного тоннеля из-за ната.

С чего это вдруг? В таблице NAT можно прописывать IP-источника и IP-получателя и тем самым устанавливать соответствие при трансляции адресов. Тут что-то другое. Возможно, что часть клиентов сами сидят за роутерами, тогда возникает ситуация, когда с одного IP из LAN DFLа идет запрос на несколько туннелей.

_________________
DFL-860E (10.22.01.04), DFL-210 (2.27.08.03-22678), DGS-1210-20/ME/B1A (7-03-B043), DGS-3200-10 (2.21.B018), DES-3200-10 (4.38.B012), DWL-2100AP (250eu-rc358), DNS-323 (1.10), DI-824VUP (1.06b21), DSL-300T (2.00B01T01.EU.20071227)