UDP ei ole alati kiirem: OpenVPN-i transpordi valimine

Iga juhend ütleb, et UDP on OpenVPN jaoks TCP-st parem, ja see nõuanne on vaikeväärtus, mitte mõõtmine. Transport muudab seda, kuidas pakette toimetatakse ja mis juhtub, kui tee need kaotab, mitte seda, kuidas tunnelit krüpteeritakse. Captive portali või ainult porti 443 lubava puhverserveri taga on aeglasem valik see, mis üldse ühendub. Järgnev eristab seda, mida protokoll teeb, sellest, mida teie juurdepääsuvõrk lubab.

Mida transport tegelikult muudab

TCP pakub usaldusväärset, järjestatud baitvoogu ja saadab uuesti kõik kadunu, nagu RFC 9293 sätestab. UDP annab datagrammid võrdule ning OpenVPN käitab selle soketi kohal oma usaldusväärsuse kihti. TCP kapseldamine TCP-sse virnastab kaks taastamistsüklit, nii et üks kadunud segment võib sisemise voo kinni hoida, kuni välimine kordussaadetis saabub. Just see vastastikmõju on tõeline argument UDP kasuks ja see ilmneb latentsusena, mitte läbilaskevõimena.

Mõju kasvab kadude ja edasi-tagasi ajaga. Puhtal kohalikul teel tunduvad mõlemad transpordid identsed, mistõttu laborikatse harva kaebust kordab. Ülekoormatud mobiililülil ilmneb erinevus interaktiivsetes seanssides ammu enne, kui suur ülekanne midagi märkab.

Miski sellest ei puuduta konfidentsiaalsust ega terviklikkust. TLS-kätlus ja andmekanali šiffer on mõlema transpordi puhul samad, seega vahetus ei päästa nõrka šifrikomplekti.

Kus TCP oma koha ära teenib

Juurdepääsuvõrgud on tavaline põhjus TCP valimiseks. Hotell, lennujaam või külalisvõrk võib lubada väljuvat 443 ja kõrvale heita kõik muu ning TCP-kuulaja sellel pordil on ainus profiil, mis töötab. See on kättesaadavus, mitte jõudlus, ja see on iseenesest piisavalt hea põhjus.

TCP aitab ka siis, kui tee on stabiilne, aga vahepealsed seadmed on vaenulikud. Mõned võrgud lähtestavad pikaajalisi UDP-vooge, taludes samal ajal TCP-seansse, mis meenutavad tavalist veebiliiklust. Kas see sarnasus õnnestub, on konkreetse võrgu omadus ja ükski juhend ei saa seda kõigi eest lubada. Testige võrgu sees, mis ebaõnnestub, enne kui protokolli süüdistate.

Tagasi lükatud sisselogimine ei ole transpordi probleem. Sertifikaadi kontrolli väljalülitamine ühenduse läbisurumiseks on teistsugune muudatus, mille tulemus on palju hullem.

TCP-profiili valmis hoidmine on praktiline kompromiss. Enamik kliente hoiab mõlemat ja laseb vahetada, kui võrk UDP-tee ära ütleb, mis ei maksa midagi enne, kui seda vajate. Mida te ei tohiks teha, on saata kaks profiili, mis osutavad erinevatele lõpp-punktidele, sest siis mõõdab teie võrdlus servereid.

Kontrollige, milline kuulaja teil tegelikult on

Enne jõudluse võrdlemist kinnitage, et mõlemad otsad nõustuvad transpordi ja pordi osas. proto udp muutmine proto tcp-ks kliendifailis ei loo serveri kuulajat. Server peab olema selle protokolli jaoks seadistatud ja profiil peab sellega sobima.

grep -E '^(proto|port|remote)' /etc/openvpn/server.conf
ss -lunp | grep openvpn
ss -ltnp | grep openvpn

grep väljastab selle, mida serveril kästi kasutada, samal ajal kui kaks soketi loendit näitavad, millega see on seotud. UDP-kuulaja ilmub ainult esimeses loendis ja TCP-kuulaja ainult teises, seega puuduv rida on kiireim viis leida profiil, mida kunagi ei rakendatud. Võrrelge ka porti, sest TCP-profiil pordil 1194 käitub enamikus juurdepääsuvõrkudes teisiti kui port 443 oma. Pärast muudatust taaskäivitage teenus ja lugege logirida, mis teatab sidumisest.

Kliendipoolne kinnitus on odav: käivitage ühendus valikuga --verb 4 ja lugege logist transpordirida. Kui klient ütleb UDP, samal ajal kui server kuulab TCP-d, ei alga kätlus kunagi ja ükski häälestus ei aita.

Võrrelge töökoormust, mitte transpordi silti

Õiglane võrdlus hoiab kõik peale transpordi muutumatuna. Sama seade, sama juurdepääsuvõrk, sama sihtkoha host, sama rakendus ja ideaalis sama server. Kui kaks profiili osutavad erinevatele hostidele, mõõdate ka neid hoste.

Registreerige iga käivituse kohta kolm tulemust: kas tunnel luuakse, kas see püsib püsti ja kas ülesanne lõpeb. Väikesed päringud, mis töötavad suurte ülekannete takerdudes, osutavad paketi suurusele ja MTU-le, mitte transpordile. Korduvad taasühendused osutavad teele või vahepealse seadme ajalõpule.

Hoidke profiili, mis töötab tingimustes, mida te tegelikult kohtate, ja hoidke teine salvestatud. Valik kuulub võrgule, mitte inimesele, mistõttu on iga üksik vaikevastus kuskil vale.