Hardware Offload: switch chip e forwarding wire-speed

Molti dispositivi MikroTik — in particolare le serie CRS (Cloud Router Switch) e i RouterBoard con chip dedicato — dispongono di uno switch chip hardware in grado di inoltrare traffico a wire-speed senza coinvolgere la CPU principale. RouterOS v7 sfrutta questa capacità tramite il parametro hw=yes sulle bridge port.

Perché conta: CPU vs ASIC

La CPU di un RouterBoard inoltra al massimo qualche centinaio di Mbps a poche Gbps a seconda del modello, e si satura sotto carico (con effetti a cascata su routing, firewall, gestione). Lo switch chip invece è un ASIC progettato per spostare pacchetti: un CRS326 fa 1 Gbps non-blocking su tutte le 24 porte contemporaneamente senza che la CPU se ne accorga. Su uno switch di distribuzione o di aggregazione, l'offload non è un'ottimizzazione opzionale: è l'unico modo per reggere il traffico.

Come abilitare l'hardware offload

Per attivare l'offload su una porta è sufficiente impostare hw=yes quando si aggiunge la porta al bridge. RouterOS decide automaticamente se il chip supporta l'operazione; se non la supporta, il parametro viene ignorato silenziosamente.

# hw=yes richiede che tutte le porte offloaded siano
# sullo stesso switch chip fisico del dispositivo
/interface/bridge/port
add bridge=bridge1 interface=ether1 hw=yes
add bridge=bridge1 interface=ether2 hw=yes
add bridge=bridge1 interface=ether3 hw=yes
add bridge=bridge1 interface=ether4 hw=yes

# Verificare quali porte hanno effettivamente l'offload attivo
/interface/bridge/port print detail where hw=yes

Chip supportati e capacità

• Marvell Prestera (CRS3xx): offload completo — VLAN filtering, STP/RSTP/MSTP, IGMP snooping, DHCP snooping, bonding 802.3ad. Fino a 16 000 voci MAC.
• CRS1xx/CRS2xx (Marvell 88E6xxx): VLAN filtering offloaded, STP/RSTP, DHCP/DHCPv6 snooping. Limitazione: QinQ non supportato su 88E6393X/88E6191X.
• MT7621, MT7531, EN7523, RTL8367: VLAN filtering offloaded (v7+), STP/RSTP, IGMP snooping.
• Atheros QCA8337/AR8327: STP/RSTP soltanto; VLAN tramite /interface/ethernet/switch/vlan (metodo legacy).
• Solo un bridge offloaded per chip (eccezione: CRS series multipla).

# Elenco chip switch rilevati
/interface/ethernet/switch print

# Statistiche del chip (traffico, errori)
/interface/ethernet/switch print stats

Funzionalità che disabilitano l'offload

Alcune feature di RouterOS richiedono che il pacchetto passi dalla CPU, disabilitando l'hardware offload su quella porta o sull'intero bridge. Conoscerle è essenziale: a volte un cambio innocuo (es. una regola bridge filter) butta a terra le prestazioni di uno switch da 24 porte.

• horizon (split-horizon): disabilita l'offload sulla porta interessata.
• dhcp-snooping=yes: disabilita fast-forward sull'intero bridge (ma CRS3xx mantiene l'offload hardware).
• Regole /interface/bridge/filter attive: forzano il passaggio dalla CPU (sui chip che non offloadano le ACL).
• use-ip-firewall=yes in /interface/bridge/settings: tutto il traffico bridged passa per il firewall IP (CPU).
• Mescolare nello stesso bridge porte di switch chip diversi (l'offload vale solo per i sottogruppi sullo stesso chip).

# La colonna HW mostra "yes" se offloadata, "no" altrimenti
/interface/bridge/port print detail
# oppure con monitor per vedere lo stato in tempo reale
/interface/bridge/port monitor [find bridge=bridge1]