Pam nad yw sgôr Wi-Fi eich router yn rhagweld trwybwn VPN

Gall router â bathodyn Wi-Fi o 3,000 Mbps symud traffig wedi'i amgryptio ar ffracsiwn o'r ffigur hwnnw o hyd, ac nid yw'r naill ffigur na'r llall yn anonest. Mae'r sgôr radio yn disgrifio'r modiwleiddiad gorau posibl o'r cysylltiad di-wifr y mae'r chipset yn ei gefnogi; mae'r ffigur VPN yn disgrifio pa mor gyflym y gall un ddyfais wthio pecynnau wedi'u hamgryptio drwy CPU y router ac allan o'ch cylched mynediad. Haenau gwahanol yw'r rhain, maint pecyn gwahanol a dulliau mesur gwahanol. Triniwch y rhif ar y blwch fel nenfwd na chyrraedd neb iddo, nid fel rhagolwg o gyflymder eich tiwnel.

Cam 1: Mapio'r pedair haen sy'n capio'r rhif

Mae bron pob cwyn am router araf rwyf wedi gweithio drwyddi yn glanio yn un o bedair haen: y cysylltiad di-wifr, cyfradd mynediad WAN, y llwybr anfon (NAT, mur gwarchod, olrhain cysylltiadau) neu lwybr crypto VPN. Maent yn pentwr, a'r haen arafaf sy'n gosod y canlyniad. Mae cyfradd Wi-Fi a hysbysebir yn sôn am y lle cyntaf yn unig, ac mae'n sôn amdano'n hael.

Daw'r ffigur hwnnw o nifer y ffrydiau wedi'i luosi â lled y sianel ac â'r modiwleiddiad uchaf y gall y chipset ei negodi. Mae radio 2x2 ar 5 GHz ar 80 MHz gyda 1024-QAM yn cael ei hysbysebu'n agos at 1,200 Mbps, ond mae Wi-Fi yn gyfrwng a rennir, hanner deublyg: mae cleientiaid yn cymryd tro, mae ail-drosglwyddiadau a thraffig rheoli yn llosgi amser awyr, ac mae TCP yn ychwanegu ei orben ei hun. Mae cleient sy'n negodi'r gyfradd uchaf mewn amodau delfrydol fel arfer yn mesur lawer o dan ei hanner, a llai unwaith y bydd rhwydweithiau cyfagos yn ymddangos.

Os yw'r tabl yn pwyntio at y radio, trwsiwch yr ochr ddi-wifr yn gyntaf: band, lled sianel, pellter. Os yw'n pwyntio islaw'r radio, mae'r pedwar cam nesaf yn bwysig, ac ni fydd unrhyw faint o brynu antena yn newid hynny.

Cam 2: Cymerwch linell sylfaen frecheth cyn cyffwrdd â'r radio

Rhowch y gliniadur ar Ethernet a mesurwch y llwybr heb y tiwnel yn gyntaf, oherwydd mae hynny'n rhoi enwadur i chi. Rhedwch yr offeryn trwybwn ar yr ochr bell, ar y VPS neu'r gweinydd cartref sy'n terfynu'r VPN, a phwyntiwch y cleient at ei gyfeiriad cyhoeddus fel bod traffig yn croesi eich router a'ch cylched mynediad.

# on the far host (VPN endpoint)
iperf3 -s

# wired client, direct to the endpoint's public address
iperf3 -c 203.0.113.10 -t 30

# same client, four parallel streams
iperf3 -c 203.0.113.10 -t 30 -P 4

Mae dau ffigur o'r bloc hwnnw'n ateb cwestiynau gwahanol. Mae un ffrwd yn dangos y nenfwd fesul cysylltiad, sy'n cynnwys ymddygiad ffenestr TCP ac unrhyw luniad fesul llif ar y llwybr. Mae pedair ffrwd yn dangos a oes gan y cysylltiad gapasiti nad ydych yn ei ddefnyddio, oherwydd gall ffrydiau cyfochrog lenwi pibell na all un llif ei llenwi.

Cadwch hi'n onest: yr un gwesteiwr, amser y dydd a hyd, heb ddim arall yn ffrydio yn y tŷ. Trosglwyddiad swmp o dri deg eiliad yw'r uned iawn yma, ac mae RFC 6349, y fframwaith ar gyfer profi trwybwn TCP, wedi'i adeiladu ar y rhesymu hwnnw, oherwydd mae byrstio byr a cheisiadau bach yn fflatrio cysylltiad. Nodwch y llinell sylfaen i lawr cyn newid unrhyw beth.

Cam 3: Rhedwch yr un prawf drwy'r tiwnel

Nawr ei ailadrodd yn erbyn cyfeiriad tiwnel y pwynt terfyn, gyda'r un cleient, hyd a nifer o ffrydiau, â'r tiwnel i fyny ac heb draffig arall. Mae'r gymhareb rhwng y ddau ganlyniad yn dweud wrthych beth mae amgryptio ac amgáu yn ei gostio ar y caledwedd hwnnw; mae'r ffigur absoliwt yn dweud a yw'n ddigon ar gyfer y gwaith.

Gwyliwch y rhifyddion tra mae'r trosglwyddiad yn rhedeg. Ar WireGuard, mae wg show yn adrodd beitiau a drosglwyddir fesul partner; ar OpenVPN, mae ffeil statws a ysgrifennir bob cyfwng yn rhoi'r un olwg i chi.

watch -n 1 'wg show wg0 transfer'
# OpenVPN: add --status /run/openvpn/server.status 10 to the server config
tail -f /run/openvpn/server.status

Os yw ffigur y tiwnel yn agos at y llinell sylfaen frecheth, nid y VPN yw eich tagfa ac fe allwch roi'r gorau i'w feio. Os yw'n ffracsiwn o'r llinell sylfaen, digwyddodd y golled y tu mewn i lwybr amgryptio ac anfon y router, ac mae'r cam nesaf yn dweud wrthych pa ran.

Un rhybudd: unwaith y bydd yr IP allan yn newid, mae rhai gwasanaethau profi cyflymder yn dewis gweinydd mesur gwahanol yn dawel, felly rydych yn cymharu dau gyrchfan. Pinwch y cyfeiriad gweinydd eich hun.

Cam 4: Darllenwch y CPU fel llwybr, nid fel cyfartaledd

Gall router sy'n dangos 30 y cant o CPU cyfan fod yn ddirlawn o hyd: mae gwaith un tiwnel yn tueddu i lanio ar un craidd, un ciw rhyngdorri neu un edau cnewyllyn, felly mae'r cyfartaledd yn cuddio'r nenfwd. Edrychwch ar ffigurau fesul craidd a softirq yn lle mesurydd y dangosfwrdd.

mpstat -P ALL 1
top -H -p $(pgrep -f 'openvpn')
grep -o -m1 aes /proc/cpuinfo

Mae tri pheth o bwys yn yr allbwn hwnnw. Mae un craidd wedi'i binio'n agos at 100 y cant tra mae'r lleill yn segur yn awgrymu terfyn fesul cysylltiad. Mae %soft trwm neu ksoftirqd prysur ar un CPU yn awgrymu prosesu pecynnau ar yr ochr dderbyn nad yw'n ymledu ar draws ciwiau. Ac mae baner aes ar goll yn golygu nad oes gan y CPU gyfarwyddiadau AES, felly mae amgryptio cymesur yn rhedeg mewn meddalwedd ac yn costio llawer mwy fesul pecyn.

Mae gweithrediad o bwys hefyd. Mae achos traddodiadol OpenVPN yn y gofod defnyddiwr yn prosesu pecynnau un tiwnel i raddau helaeth mewn un man, felly gall blwch cyflym aml-graidd ymddwyn fel un un-craidd ar gyfer y tiwnel hwnnw. Mae WireGuard yn y cnewyllyn yn lledaenu gwaith ar draws CPU, ac mae dadlwytho sianel ddata OpenVPN yn symud trin pecynnau i'r cnewyllyn hefyd, ond dim ond mewn adeilediadau a phlatfformau sy'n ei gefnogi. Nid yw honiad cyflymu caledwedd ar y dudalen farchnata yn brawf bod y llwybr cod rydych yn ei redeg yn ei ddefnyddio.

Cam 5: Penderfynwch beth i'w newid, yn y drefn honno

Ewch i lawr y rhestr hon ac ataliwch ar y llinell gyntaf sy'n wir, oherwydd ni fydd newid unrhyw beth oddi tani yn symud y rhif.

1. Mae trwybwn uniongyrchol drwy gebl yn is na'r hyn rydych yn ei dalu amdano: siaradwch â'r darparwr, oherwydd ni all y tiwnel greu capasiti nad yw'r gylched fynediad yn ei ddanfon. 2. Mae'r cebl uniongyrchol yn iawn ond mae un craidd yn pinio yn ystod prawf y tiwnel: llwybr crypto y router yw'r terfyn. 3. Mae'r CPU yn segur ond mae'r tiwnel yn araf: gwiriwch MTU a darnio, yna capasiti'r pwynt terfyn pell ei hun. 4. Dim ond cleientiaid Wi-Fi sy'n araf: newidiwch fand neu led sianel, a derbyniwch nad oedd y gyfradd a hysbysebwyd erioed yn ffigur VPN.

Pan fo'r router yn wir yn derfyn, y dewisiadau onest yw dyfais â chyfarwyddiadau AES a llwybr anfon cyflymach, tiwnel ar ochr y cnewyllyn fel WireGuard yn lle un yn y gofod defnyddiwr, neu symud y cleient i'r ddyfais ei hun fel bod y router yn rhoi'r gorau i amgryptio. Nid yw diffodd amgryptio dilysiedig i ennill benchmark yn un ohonynt; mae'n cyfnewid eiddo diogelwch am ffigur na fydd yn cyfateb i'r blwch o hyd.

Cyn prynu unrhyw beth, rhedwch gamau 2 a 3 eto ar y ddyfais newydd gyda'r un gweinydd a hyd, yna cymharwch gymarebau yn hytrach na brigau.