¿Se queda sin CPU el router o el portátil? Por qué tu velocidad VPN se corta antes

Un router anuncia Wi-Fi rápido y luego le cuesta cifrar el tráfico de tres dispositivos a la vez. Un portátil alcanza un límite de procesamiento mientras el enlace de acceso todavía tiene margen. Normalmente se culpa primero al servidor, y normalmente es inocente. El límite está en la máquina que hace el trabajo del túnel, y encontrarlo significa observar esa máquina en lugar de la prueba de velocidad.

El síntoma apunta a una máquina, no a internet

Dónde se ejecuta el túnel decide qué procesador paga por él. Si lo termina el router, cada cliente cubierto comparte el presupuesto de ese router. Si el portátil ejecuta un cliente, paga el portátil y el router no. Ejecutar túneles en ambos extremos crea dos cargas de trabajo que pueden ser el límite en días distintos. Nombrar la máquina es el primer paso, y es el paso que la gente se salta cuando abre un ticket contra el proveedor.

Cuenta los dispositivos entre la aplicación y el extremo remoto y luego marca el que cifra. Todo lo demás es un transportista de bytes que no puede leer.

Observa la carga por núcleo durante una transferencia

El porcentaje global de CPU es el instrumento equivocado, porque el trabajo de cifrado suele fijar un solo núcleo mientras el resto está inactivo. Mira las cifras por núcleo durante una transferencia controlada y vigila un núcleo cerca de la saturación. Una media moderada con un hilo ocupado es una señal fuerte, mientras que una media alta sin hilo ocupado suele significar un programa no relacionado. El patrón importa más que el número.

mpstat -P ALL 1 5
top -H -b -n 1 | head -20
lscpu | grep -i -E "model name|aes"

El tercer comando te dice si el procesador expone instrucciones AES, lo que cambia el coste del mismo cifrado en un margen amplio. No te dice si la implementación VPN las usa, y la brecha entre esos dos hechos es el origen de la mayoría de las afirmaciones de optimización.

Separa el cifrado del manejo de paquetes

El cifrado es un coste entre varios. Copiar paquetes entre el núcleo y el espacio de usuario, las búsquedas de enrutamiento, las reglas del cortafuegos y el manejo de interfaces contribuyen todos, y algunas implementaciones pagan más por copiar que por criptografía. Fíjate en qué contador sube con la transferencia en lugar de confiar en el nombre del proceso para explicar cada ciclo. Un túnel en espacio de usuario y un túnel en el núcleo pueden mostrar perfiles completamente distintos para un tráfico idéntico.

Si un núcleo está ocupado dentro del núcleo, la solución difiere de la de un hilo ocupado en el espacio de usuario, y el perfil te dice cuál tienes. Esa distinción vale una hora antes de comprar hardware.

Compara lo semejante con lo semejante antes de sacar conclusiones

Una comparación solo es útil si la tarea, la red de acceso y el punto final siguen igual. Cambia el servidor y el resultado incluye la ruta y la capacidad de ese servidor; cambia la red y incluye al operador. Usa el mismo archivo, el mismo destino y la misma hora del día, y detén tu propio trabajo en segundo plano. Si tienes que cambiar el dispositivo, cambia solo el dispositivo.

La alimentación y el calor cambian el rendimiento sostenido, así que una ejecución corta en una máquina fría no es la misma medición que una transferencia larga en una caliente. Compara condiciones de alimentación similares y anótalas, porque un límite térmico se ve exactamente como un límite de procesamiento en un gráfico.

Usa la descarga compatible y verifica que se activó de verdad

Algunas implementaciones pueden mover parte de la ruta de datos al núcleo o al hardware, y la disponibilidad depende del cliente, el sistema operativo, el servidor y la configuración. Lee la documentación de la versión que ejecutas y usa su propia salida de estado o sus registros para confirmar que la función está activa. Un paquete instalado o una casilla marcada no son prueba. El manual de OpenVPN documenta opciones del canal de datos para sus propias versiones, y esas opciones difieren entre versiones.

Cuando un cambio compatible mueve el techo, vuelve a ejecutar tanto la tarea de la aplicación como una transferencia masiva, y guarda el perfil anterior para poder revertir. Una tasa masiva que se duplica mientras la aplicación sigue lenta ha movido el cuello de botella en lugar de eliminarlo.

Si las observaciones del procesador no siguen el síntoma, vuelve al lado de la red. Los reintentos de Wi-Fi, la cola y la ruta de salida producen el mismo resultado sin ninguna participación de la CPU.