Чаму спампоўванне праз VPN можа перасягнуць прамое злучэнне

Падключыце тунель, пачніце вялікае спампоўванне — і яно ідзе прыкладна ўдвая хутчэй, чым той жа файл без яго. Гэта гучыць як рэклама, але можа быць сапраўдным вымярэннем на хатняй лініі. Звычайная прычына — абмежаванне хуткасці, прывязанае да аднаго порта: тунель нясе вашу перадачу туды, дзе фармавальнік не сочыць, і рэальная прапускная здольнасць лініі ўпершыню паказвае сябе.

Гэта значыць, цікавая лічба — не тое, наколькі хуткім быў VPN. Яна ў тым, колькі сваёй лініі вы ніколі не атрымлівалі, і чаму.

Абмежаванне, якое ідзе за портам, а не за маршрутам

Пастаўшчык доступу можа абмяжоўваць прапускную здольнасць на кожнага абанента па пратаколе або порце прызначэння, і порт 80 — любімая цэль, бо вялікая частка звычайнага аглядання выкарыстоўвае менавіта яго. Абмежаванне часта ўводзіцца не з першага пакета: перадача пачынаецца каля хуткасці лініі, спальвае пульсавы запас, а затым асядае на абмежаванай лічбе. Першыя секунды выглядаюць здаровымі, а астатняя частка перадачы — не.

Адпраўце тыя ж байты праз іншы порт — і фармавальнік на 80 іх ніколі не ўбачыць. Тунель выглядае так, быццам перамагае прамое злучэнне, хоць ён дадаў пераход, шыфраванне і ўласныя накладныя выдаткі. Палепшыўся не шлях, а адсутнасць правіла.

Вось чаму эфект такі ўстойлівы па файлах і пунктах прызначэння. Калі абмежаванне на порце, усё, што перадаецца праз гэты порт, паводзіць сябе аднолькава, якім бы ні быў памер файла і хто б ні быў хатнім. Пункт прызначэння, які прыцягвае іншае правіла, паказвае іншую крывулю, і гэтая розніца сама па сабе дыягнастычная.

Мерце плато, а не пік

Пік — найменш інфарматыўная частка перадачы, бо кожнае злучэнне выглядае добра, пакуль запаўняюцца яго буферы. Запішыце, дзе хуткасць супакойваецца і колькі яна там трымаецца.

curl -o /dev/null -w '%{speed_download} %{time_total}\n' https://<host>/test.bin
scp user@<transfer-host>:/data/test.bin /tmp/

Запусціце пару адна за адной на той жа машыне, у той жа час, супраць хатніх у параўнальных сетках. Адзін замер нічога не даказвае; форма крывулі па двух запусках кожнага — гэта тое, што адрознівае пульсавы запас ад стабільнага абмежавання. Запішыце, дзе хуткасць выраўноўваецца, а не тое, што паказала першая секунда, бо пульсацыя — менавіта тое, што фармавальнік дае вам перад пачаткам абмежавання. Спакойнае плато, якое трымаецца да канца перадачы, — гэта лічба для параўнання.

Трымайце файл ужо сціснутым, каб транспартнае сцісканне не магло быць прапанавана як тлумачэнне. PDF або архіў прыбірае гэтую зменную і заадно не дае нікому сцвярджаць, што тунель сціснуў карысную нагрузку. Калі абедзве перадачы выкарыстоўваюць той жа файл, адзіная розніца, што засталася, — гэта шлях і порт. Запісвайце інструмент і порт побач з кожнай лічбай, інакш другі запуск не параўнальны з першым.

Тры параўнанні, якія вылучаюць прычыну

Прайдзіце іх па парадку і спыніцеся, як толькі ўзор стане ясным, бо кожнае выключае іншую версію.

1. Паўтарыце тое ж спампоўванне праз звычайны вэб-шлях і праз інструмент перадачы на іншым порце, з хатняга з параўнальнай ёмістасцю.
2. Паўтарыце абодва з несціскальным файлам, каб сцісканне перастала быць кандыдатам.
3. Калі вы самі кіруеце серверам тунеля, перапрывяжыце яго да порта 80, папраўце профіль кліента, каб абодва канцы дамовіліся, і перадайце зноў. Калі тунель цяпер сядзіць на абмежаванай вэб-хуткасці, абмежаванне ідзе за портам, а не за VPN.

Трэці крок — вырашальны, і менавіта яго людзі прапускаюць, бо ён патрабуе змены канфігурацыі. Без яго вы паказалі, што дзве рэчы адрозніваюцца, а не што прычына ў порце.

Што гэтае вымярэнне не можа пацвердзіць

Яно не паказвае, што тунель увогуле хутчэйшы, што ён нешта сціскае або што іншыя парты на лініі не абмежаваныя. Яно апісвае гэтую перадачу, на гэтай лініі, у гэтую гадзіну. Абмежаванні могуць дзейнічаць на сеанс, на абанента або па часе дня, і яны могуць змяніцца без папярэджання.

Яно таксама не даказвае, што прамы шлях зламаны. Абмежаваны шлях усё яшчэ працуе; ён абмежаваны наўмысна, а наўмысная палітыка — не паломка, якая чакае рамонту.

І яно аніяк не апраўдвае маршрутызацыю ўсяго праз тунель. Кожная праграма на порце 80 застаецца абмежаванай, а ўсё, што вы накіроўваеце, цяпер залежыць ад лішняга пераходу і лішняга рэжыму адмовы.

Ператварыце знаходку ў нешта дзейснае

Запішыце назіранне як вымярэнне, а не як вердыкт: вялікія перадачы праз порт 80 асядаюць каля паловы хуткасці, якую той жа файл дасягае на іншым порце, у гэтыя гадзіны, на гэтай лініі, з гэтымі пробамі ў дадатку. Гэта запыт у падтрымку, які хтосьці можа даследаваць.

«VPN хутчэйшы» — не. Гэта запрашае адказ пра накладныя выдаткі шыфравання, і такі адказ тэхнічна правільны, але нікому не кажа нічога карыснага. Далучыце колькасць пробаў, гадзіну і порт, каб чытач мог узнавіць узор.

Калі вы вырашыце працягваць карыстацца іншым портам для масавых перадач, адзначце засцярогу ў сваіх запісах: перанос слухача на порт 80 сутыкаецца з любым вэб-серверам, ужо прывязаным там, і выніковая адмова выглядае як зламаны тунель, а не як канфлікт партоў.