Zergatik zure routerraren Wi-Fi kalifikazioak ez du VPN trafikoa aurreikusten

3,000 Mbps-ko Wi-Fi zigilua duen router batek enkriptatutako trafikoa zenbaki horren zati txiki batean mugi dezake oraindik, eta bi zenbakietako bat ere ez da zintzoa. Irrati-kalifikazioak txipsetak onartzen duen haririk gabeko loturaren modulazio onena deskribatzen du; VPN zenbakiak gailu batek enkriptatutako paketeak routerraren prozesadoretik eta zure sarbide-zirkuituetatik kanpora zenbat azkar bultzatu ditzakeen deskribatzen du. Geruza desberdinak dira, pakete-tamaina desberdinak eta neurketa-metodo desberdinak. Kutxako zenbakia inork lortzen ez duen sabai gisa hartu, ez zure tunelaren abiaduraren iragarpen gisa.

Pausoa 1: Zenbakia mugatzen duten lau geruzak mapatu

Landu ditudan router geldoaren kexa ia guztiak lau mailatako batean erortzen dira: haririk gabeko lotura, WAN sarbide-tasa, birbidaltze-bidea (NAT, suebakia, konexioen jarraipena) edo VPN kripto-bidea. Pilatzen dira, eta maila geldoenak ezartzen du emaitza. Iragarritako Wi-Fi abiadurak lehen mailaz soilik hitz egiten du, eta eskuzabal hitz egiten du.

Zenbaki hori korronte kopurua kanalaren zabaleraz eta txipsetak negozia dezakeen modulazio altuena biderkatuta ateratzen da. 5 GHz-ko 2x2 irrati bat 80 MHz eta 1024-QAM-ekin 1,200 Mbps inguruan iragartzen da, baina Wi-Fi partekatutako medio erdi-duplexa da: bezeroak txandakatu egiten dira, berriz bidaltzeek eta kudeaketa-trafikoak aire-denbora erretzen dute, eta TCPk bere gainkarga gehitzen du. Baldintza idealetan abiadura gorena negoziatzen duen bezeroak erdia baino nabarmen gutxiago neurtzen du normalean, eta are gutxiago inguruko sareak agertzen direnean.

Taulak irratira seinalatzen badu, konpondu lehenik haririk gabeko aldea: banda, kanalaren zabalera, distantzia. Irratiaren azpitik seinalatzen badu, hurrengo lau pausoek balio dute, eta antenak erosteak ez du hori aldatuko.

Pausoa 2: Hartu kablezko oinarri-lerroa irratia ukitu aurretik

Jarri ordenagailu eramangarria Etherneten eta neurtu lehenik tunelik gabeko bidea, horrek izendatzaile bat ematen dizulako. Exekutatu trafiko-tresna beste aldean, VPNa amaitzen duen VPS edo etxeko zerbitzarian, eta zuzendu bezeroa haren helbide publikora, trafikoak zure routerra eta sarbide-zirkuitua zehar dezaten.

# on the far host (VPN endpoint)
iperf3 -s

# wired client, direct to the endpoint's public address
iperf3 -c 203.0.113.10 -t 30

# same client, four parallel streams
iperf3 -c 203.0.113.10 -t 30 -P 4

Bloke horretako bi zenbakiek galdera desberdinei erantzuten diete. Korronte bakar batek konexio bakoitzeko sabaia erakusten du, TCP leihoaren jokaera eta bidean korronte bakoitzeko formakuntza barne. Lau korrontek loturak erabiltzen ez duzun gaitasunik duen erakusten dute, korronte paraleloek korronte bakar batek betetzen ez duen tutua bete baitaiteke.

Eduki zintzo: host bera, eguneko ordua eta iraupena, etxean besterik transmititzen ari ez dela. Hogeita hamar segundoko transferentzia masiboa da hemen unitate egokia, eta RFC 6349, TCP trafikoaren probetarako esparrua, arrazoibide horretan oinarritzen da, eztanda laburrek eta eskaera txikiek lotura edertzen dutelako. Idatzi oinarri-lerroa, ezer aldatu aurretik.

Pausoa 3: Exekutatu proba bera tuneletik

Orain errepikatu amaierako puntuaren tunel helbidearen aurka, bezero, iraupen eta korronte kopuru berarekin, tunela martxan eta beste trafikorik gabe. Bi emaitzen arteko erlazioak enkriptatzeak eta kapsulatzeak hardware horretan zenbat kostatzen duten esaten dizu; zenbaki absolutuak lana egiteko nahikoa den esaten dizu.

Begiratu kontagailuei transferentzia martxan den bitartean. WireGuarden, wg show kideak bidalitako byteak jakinarazten ditu; OpenVPN erabiliz gero, tartean idatzitako egoera-fitxategi batek ikuspegi bera ematen dizu.

watch -n 1 'wg show wg0 transfer'
# OpenVPN: add --status /run/openvpn/server.status 10 to the server config
tail -f /run/openvpn/server.status

Tunelaren zenbakia kablezko oinarri-lerrotik hurbil badago, VPNa ez da zure estugunea eta utzi diezaiokezu hari errua botatzen. Oinarri-lerroaren zati bat bada, galera routerraren enkriptatze- eta birbidaltze-bidean gertatu da, eta hurrengo pausoak zein zatitan esaten dizu.

Abisu bat: irteerako IPa aldatzen denean, abiadura-proba zerbitzu batzuek isilean beste neurketa-zerbitzari bat aukeratzen dute, eta azkenean bi helmuga ezberdin konparatzen dituzu. Finkatu zeuk zerbitzariaren helbidea.

Pausoa 4: Irakurri prozesadorea bide gisa, ez batez besteko gisa

Prozesadorearen ehuneko 30 erakusten duen router bat oraindik saturatuta egon daiteke: tunel baten lana nukleo batean, eten-ilara batean edo kernel hari batean erortzen da normalean, beraz, batez bestekoak sabaia ezkutatzen du. Begiratu nukleo bakoitzeko eta softirq zenbakiei, panelaren neurgailuari beharrean.

mpstat -P ALL 1
top -H -p $(pgrep -f 'openvpn')
grep -o -m1 aes /proc/cpuinfo

Hiru gauzak dute garrantzia irteera horretan. Nukleo bakarra ehuneko 100etik hurbil itsatsita egotea, besteak inaktibo dauden bitartean, konexio bakoitzeko muga baten seinale da. %soft astuna edo ksoftirqd lanpetuta prozesadore batean, ilaratan banatzen ez den harrera-aldeko pakete-prozesamendua adierazten du. Eta aes ikurra falta izateak prozesadoreak AES jarraibiderik ez duela esan nahi du, beraz, enkriptatze simetrikoa softwarean ibiltzen da eta askoz gehiago kostatzen da pakete bakoitzeko.

Inplementazioak ere balio du. Erabiltzaile-espazioko OpenVPN instantzia tradizional batek tunel baten paketeak hein handi batean leku bakarrean prozesatzen ditu, beraz, kutxa azkar multi-nukleo batek nukleo bakarreko gisa joka dezake tunel horretarako. Kernelen WireGuardek lana prozesadoreen artean banatzen du, eta OpenVPNen datu-kanalaren deskargak pakete-kudeaketa kernelera eramaten du ere, baina hori onartzen duten build eta plataformetan soilik. Marketin-orrian hardware azelerazioari buruzko baieztapen bat ez da exekutatzen ari zaren kode-bideak hura erabiltzen duen froga.

Pausoa 5: Erabaki zer aldatu, ordena horretan

Jaitsi zerrenda hau eta gelditu egia den lehen lerroan, azpian ezer aldatzeak zenbakia ez duelako mugituko.

1. Kable bidezko zuzeneko trafikoa ordaintzen duzuna baino txikiagoa da: hitz egin hornitzailearekin, tunelak ezin baitu sarbide-zirkuituak ematen ez duen gaitasunik sortu. 2. Kablez zuzenean ondo dago baina nukleo bat itsasten da tunelaren proban: routerraren kripto-bidea da muga. 3. Prozesadorea inaktibo dago baina tunela motela da: egiaztatu MTUa eta zatikapena, gero urruneko amaierako puntuaren gaitasuna. 4. Wi-Fi bezeroak soilik dira motelak: aldatu banda edo kanalaren zabalera, eta onartu iragarritako abiadura ez zela inoiz VPN zenbakia.

Routerra benetan muga denean, aukera zintzoak AES jarraibideak eta birbidaltze-bide azkarragoa dituen gailu bat dira, WireGuard bezalako kernel-aldeko tunela erabiltzaile-espazioko baten ordez, edo bezeroa gailura bertara eramatea routerrak enkriptatzeari utz diezaion. Benchmark bat irabazteko enkriptatze autentifikatua itzaltzea ez da horietako bat; segurtasun-propietate bat zenbaki baten truke aldatzen du, eta zenbaki horrek ez du kutxarekin bat egingo.

Ezer erosi aurretik, exekutatu berriro 2 eta 3 pausoak gailu berrian zerbitzari eta iraupen berarekin, eta gero konparatu erlazioak, ez gailurrak.