Hoekom jou router se Wi-Fi-gradering nie VPN-deurset voorspel nie

'n Router met 'n Wi-Fi-kenteken van 3,000 Mbps kan steeds versleutelde verkeer teen 'n fraksie van daardie syfer beweeg, en nie een van die twee syfers is oneerlik nie. Die radiogradering beskryf 'n beste-geval-modulasie van die draadlose skakel wat die chipset ondersteun; die VPN-syfer beskryf hoe vinnig een toestel versleutelde pakkette deur die router se verwerkingseenheid en uit jou toegangslyn kan stoot. Dit is verskillende lae, verskillende pakketgroottes en verskillende meetmetodes. Behandel die syfer op die boks as 'n plafon wat niemand bereik nie, nie as 'n voorspelling van jou tonnelspoed nie.

Stap 1: Karteer die vier lae wat die syfer beperk

Byna elke klag oor 'n stadige router wat ek al nagegaan het, val in een van vier vlakke: die draadlose skakel, die WAN-toegangstempo, die deurstuurpad (NAT, firewall, verbindingnasporing) of die VPN-kriptopad. Hulle stapel, en die stadigste vlak bepaal die resultaat. 'n Geadverteerde Wi-Fi-tempo praat net oor die eerste vlak, en dit praat gul daaroor.

Daardie syfer kom van strome maal kanaalwydte maal die hoogste modulasie wat die chipset kan onderhandel. 'n 2x2-radio op 5 GHz teen 80 MHz met 1024-QAM word naby 1,200 Mbps geadverteer, maar Wi-Fi is 'n gedeelde, halfdupleks-medium: kliënte beur, herprobeersels en bestuursverkeer verbrand lugtyd, en TCP voeg sy eie oorhoofse koste by. 'n Kliënt wat die top-tempo onder ideale toestande onderhandel, meet gewoonlik ver onder die helfte daarvan, en minder sodra naburige netwerke verskyn.

As die tabel na die radio wys, maak eers die draadlose kant reg: band, kanaalwydte, afstand. As dit onder die radio wys, is die volgende vier stappe belangrik, en geen hoeveelheid antenna-inkopies sal dit verander nie.

Stap 2: Neem 'n bedrade basislyn voordat jy aan die radio raak

Sit die skootrekenaar op Ethernet en meet eers die pad sonder die tonnel, want dit gee jou 'n noemer. Hardloop die deurset-gereedskap aan die oorkant, op die VPS of tuisbediener wat die VPN beëindig, en rig die kliënt na sy openbare adres sodat verkeer deur jou router en toegangslyn gaan.

# on the far host (VPN endpoint)
iperf3 -s

# wired client, direct to the endpoint's public address
iperf3 -c 203.0.113.10 -t 30

# same client, four parallel streams
iperf3 -c 203.0.113.10 -t 30 -P 4

Twee syfers uit daardie blok antwoord verskillende vrae. Een stroom wys die plafon per verbinding, wat TCP-venstergedrag en enige per-vloei-vorming op die pad insluit. Vier strome wys of die skakel kapasiteit het wat jy nie gebruik nie, want parallelle vloei kan 'n pyp vul wat 'n enkele vloei nie kan nie.

Hou dit eerlik: dieselfde gasheer, tyd van die dag en duur, met niks anders wat in die huis stroom nie. 'n Oordrag van dertig sekondes is die regte eenheid hier, en RFC 6349, die raamwerk vir TCP-deursettoetsing, is op daardie redenasie gebou, want kort uitbarstings en klein versoeke vlei 'n skakel. Skryf die basislyn neer voordat jy iets verander.

Stap 3: Hardloop dieselfde toets deur die tonnel

Herhaal dit nou teen die eindpunt se tonneladres, dieselfde kliënt, duur en stroomgetal, met die tonnel op en geen ander verkeer nie. Die verhouding tussen die twee resultate vertel jou wat enkripsie en inkapseling op daardie hardeware kos; die absolute syfer vertel jou of dit genoeg is vir die werk.

Kyk na die tellers terwyl die oordrag loop. Op WireGuard rapporteer wg show oorgedraende grepe per eweknie; op OpenVPN gee 'n statuslêer wat met tussenposes geskryf word, jou dieselfde beeld.

watch -n 1 'wg show wg0 transfer'
# OpenVPN: add --status /run/openvpn/server.status 10 to the server config
tail -f /run/openvpn/server.status

As die tonnelsyfer naby die bedrade basislyn is, is die VPN nie jou bottelnek nie en kan jy ophou om dit te blameer. As dit 'n fraksie van die basislyn is, het die verlies binne die router se enkripsie- en deurstuurpad gebeur, en die volgende stap sê vir jou watter deel.

Een waarskuwing: sodra die uitgangs-IP verander, kies sommige spoedtoetsdienste stilweg 'n ander meetbediener, so jy vergelyk uiteindelik twee bestemmings. Pen die bedieneradres self vas.

Stap 4: Lees die verwerkingseenheid as 'n pad, nie as 'n gemiddelde nie

'n Router wat 30 persent totale verwerkingseenheid wys, kan steeds versadig wees: een tonnel se werk beland gewoonlik op een kern, een onderbrekingswagry of een kerndraad, so die gemiddelde verberg die plafon. Kyk na per-kern- en softirq-syfers eerder as na die paneelbordmeter.

mpstat -P ALL 1
top -H -p $(pgrep -f 'openvpn')
grep -o -m1 aes /proc/cpuinfo

Drie dinge maak saak in daardie uitset. 'n Enkele kern wat naby 100 persent vasgepen is terwyl die ander ledig is, wys op 'n beperking per verbinding. Swaar %soft of 'n besige ksoftirqd op een verwerkingseenheid wys op ontvangsy-pakketverwerking wat nie oor wagrye versprei nie. En 'n ontbrekende aes-vlag beteken die verwerkingseenheid het geen AES-instruksies nie, so simmetriese enkripsie loop in sagteware en kos baie meer per pakket.

Implementering maak ook saak. 'n Tradisionele OpenVPN-instansie in gebruikersruimte verwerk een tonnel se pakkette grootliks op een plek, so 'n vinnige veelkern-boks kan vir daardie tonnel soos 'n enkelkern-een optree. WireGuard in die kern versprei werk oor verwerkingseenhede, en OpenVPN se datakanaal-aflaai skuif pakketverwerking ook in die kern in, maar net op boue en platforms wat dit ondersteun. 'n Bewering oor hardeware-versnelling op die bemarkingsblad is nie bewys dat die kodepad wat jy hardloop dit gebruik nie.

Stap 5: Besluit wat om te verander, in daardie volgorde

Werk hierdie lys af en stop by die eerste reël wat waar is, want om enigiets daaronder te verander sal nie die syfer beweeg nie.

1. Bedrade direkte deurset is laer as wat jy betaal: praat met die verskaffer, want die tonnel kan nie kapasiteit skep wat die toegangslyn nie lewer nie. 2. Bedrade direk is reg, maar een kern pen vas tydens die tonneltoets: die router se kriptopad is die beperking. 3. Die verwerkingseenheid is ledig, maar die tonnel is stadig: kyk na MTU en fragmentasie, dan die verre eindpunt se eie kapasiteit. 4. Net Wi-Fi-kliënte is stadig: verander band of kanaalwydte, en aanvaar dat die geadverteerde tempo nooit 'n VPN-syfer was nie.

Wanneer die router regtig die beperking is, is die eerlike opsies 'n toestel met AES-instruksies en 'n vinniger deurstuurpad, 'n tonnel aan die kernkant soos WireGuard in plaas van een in gebruikersruimte, of om die kliënt na die toestel self te skuif sodat die router ophou enkripteer. Om geverifieerde enkripsie af te skakel om 'n maatstaf te wen, is nie een van hulle nie; dit ruil 'n sekuriteitseienskap vir 'n syfer wat steeds nie by die boks sal pas nie.

Voordat jy enigiets koop, hardloop stappe 2 en 3 weer op die nuwe toestel met dieselfde bediener en duur, en vergelyk dan verhoudings eerder as pieke.