Warum ein VPN-Download durch den Upload des Servers begrenzt wird

Der Client zeigt einen schnellen Downlink, der Server sitzt auf einer Glasfaserverbindung, und die Übertragung kriecht trotzdem. Die Zahl, die Leute vergleichen, ist meist die im Tarif des Clients gedruckte, während das Paket tatsächlich zuerst die ausgehende Anbindung des Servers überquert. Diese Verbindung ist das Budget, in das die Übertragung passen muss. Bei einem kleinen Heimanschluss ist sie die kleinste Zahl im Pfad.

Die Zahl, die Sie gelesen haben, war die falsche Richtung

Ein Download zu einem entfernten Client verbraucht Upload-Kapazität am Serverende des Tunnels. Beworbene Download-Raten des Servers beschreiben die Gegenrichtung und sagen über diese nichts aus. Dieselbe Asymmetrie kehrt sich um, wenn der Client hochlädt, weshalb sich eine Richtung gut anfühlen kann, während die andere unbrauchbar ist.

Kapselungs-Overhead und jeder konkurrierende Verkehr verbrauchen einen Teil desselben Budgets. Beides ist außerdem in einem Geschwindigkeitstest nicht sichtbar, der nur den Client misst.

Schreiben Sie den Pfad als Budget

Listen Sie jede Grenze auf, die das Paket überqueren muss, und geben Sie jeder eine Zahl in derselben Einheit. Auslieferung an der Quelle, Verarbeitung auf dem Server, der Uplink des Servers, der dazwischenliegende Pfad, der Downlink des Clients und die Verarbeitung beim Client gelten alle. Die nutzbare Rate ist die kleinste davon minus Overhead, und kein Tuning oberhalb dieser Decke ändert das Ergebnis. Schreiben Sie die Liste vor dem Messen auf, denn sie sagt Ihnen, welcher Zahl Sie nicht trauen sollten.

Bei einem Server-Uplink von 20 Mbit/s und einem Client-Downlink von 100 Mbit/s begrenzt der Server die Übertragung lange bevor der Client es bemerkt. Overhead und jede gleichzeitige Übertragung nehmen einen weiteren Anteil, und ein gesättigter Uplink verzögert auch Bestätigungen, was eine TCP-Übertragung unter die rohe Decke drückt. Keiner der beiden Effekte erscheint in einem Tarifvergleich.

Halten Sie Megabit und Megabyte auseinander und sagen Sie, ob jede Zahl verschlüsselten Link-Verkehr oder Anwendungsnutzlast misst. Diese beiden zu vermischen ist der häufigste Grund, warum ein Budget scheinbar nicht aufgeht. Beschriften Sie jede Zahl mit ihrer Einheit und ihrem Messpunkt.

Wo die Platine Sie tatsächlich kostet

Sobald die Anbindung groß genug ist, wird die Endpunkt-Hardware sichtbar, und erst dann zählt der Prozessor. Bestimmen Sie Modell, Schnittstellenanordnung und die verwendete Implementierung. Eine Beobachtung über den geteilten Bus einer frühen Platine beschreibt nicht jede spätere Revision.

Vergleichen Sie einzelne Verarbeitungspfade statt eines einzigen CPU-Durchschnitts. Eine moderate Gesamtlast kann einen gesättigten Kern verbergen, der die ganze Arbeit pro Paket erledigt, und Taktfrequenz überträgt sich nicht als Leistungsnote zwischen Prozessordesigns. Die Paketrate zählt so viel wie der Durchsatz, denn kleine Pakete kosten pro Byte mehr als große. Messen Sie mit den Paketgrößen, die Ihre Arbeitslast tatsächlich verwendet.

Thermische und Leistungsgrenzen entscheiden ebenfalls über das Dauerverhalten. Ein kurzer Ausbruch kann hervorragend aussehen, während eine Übertragung über zehn Minuten drosselt, weshalb ein Benchmark von wenigen Sekunden ein schlechter Ratgeber für eine nächtliche Sicherung ist.

Die Leistungsrichtlinien des Herstellers trennen Anbindungsbandbreite, CPU, Paketverarbeitung, Transport und Paketgröße in verschiedene Einschränkungen. Es lohnt sich, sie zu lesen, bevor Sie einen Cipher ändern, denn eine Cipher-Änderung verschiebt selten eine Grenze, die nie das Limit war.

Messen Sie, bevor Sie einen Cipher ändern

Führen Sie einen richtungsbezogenen Test aus, der die tatsächlich durch den Tunnel erreichte Rate meldet, und führen Sie dann denselben Test auf der rohen Schnittstelle zum Vergleich aus. Die Differenz zwischen diesen beiden Zahlen sind die Kosten des Tunnels, und die kleinere der beiden Decken sagt Ihnen, welche Grenze Sie angreifen sollten.

Halten Sie die Sicherheitsrichtlinie intakt, während Sie vergleichen. Ein altes Ergebnis mit schwachem Cipher oder übertakteter Platine ist kein Plan für die aktuelle Bereitstellung.

iperf3 -c 10.44.0.1 -R -t 30
iperf3 -c 10.44.0.1 -t 30
ethtool eth0 | grep -i speed

Bewahren Sie die richtungsbezogenen Ergebnisse neben den Endpunkt-Beobachtungen desselben Laufs auf. Die nächste Änderung sollte auf die gemessene Decke zielen statt auf die Komponente, die im Datenblatt am kleinsten aussieht.