Por que a cualificación Wi-Fi do teu router non predí o caudal da VPN

Un router cunha etiqueta Wi-Fi de 3,000 Mbps aínda pode mover tráfico cifrado a unha fracción desa cifra, e ningunha das dúas cifras é deshonesta. A cualificación de radio describe a mellor modulación posible da ligazón sen fíos que admite o chipset; a cifra de VPN describe con que rapidez un só dispositivo pode empurrar paquetes cifrados a través da CPU do router e fóra do teu circuíto de acceso. Son capas distintas, tamaños de paquete distintos e métodos de medida distintos. Trata o número da caixa como un teito que ninguén alcanza, non como unha previsión da velocidade do teu túnel.

Paso 1: Traza as catro capas que limitan a cifra

Case todas as queixas de router lento coas que traballei caen nun de catro niveis: a ligazón sen fíos, a velocidade de acceso WAN, a ruta de reenvío (NAT, cortalumes, seguimento de conexións) ou a ruta criptográfica da VPN. Apílanse, e o nivel máis lento fixa o resultado. Unha velocidade Wi-Fi anunciada só fala do primeiro nivel, e fala del con xenerosidade.

Esa cifra sae dos fluxos multiplicados polo ancho de canle e pola modulación máis alta que o chipset pode negociar. Unha radio 2x2 a 5 GHz con 80 MHz e 1024-QAM anúnciase preto de 1,200 Mbps, pero o Wi-Fi é un medio compartido e semidúplex: os clientes altérnanse, as retransmisións e o tráfico de xestión queiman tempo de aire, e TCP engade a súa propia sobrecarga. Un cliente que negocia a velocidade máxima en condicións ideais adoita medir moi por baixo da metade, e menos aínda en canto aparecen redes veciñas.

Se a táboa apunta á radio, arranxa primeiro o lado sen fíos: banda, ancho de canle, distancia. Se apunta por baixo da radio, importan os catro pasos seguintes, e ningunha compra de antenas o cambiará.

Paso 2: Toma unha liña base por cable antes de tocar a radio

Pon o portátil en Ethernet e mide primeiro a ruta sen o túnel, porque iso dache un denominador. Executa a ferramenta de caudal no extremo oposto, no VPS ou servidor doméstico que remata a VPN, e apunta o cliente ao seu enderezo público para que o tráfico cruce o teu router e o teu circuíto de acceso.

# on the far host (VPN endpoint)
iperf3 -s

# wired client, direct to the endpoint's public address
iperf3 -c 203.0.113.10 -t 30

# same client, four parallel streams
iperf3 -c 203.0.113.10 -t 30 -P 4

Dúas cifras dese bloque responden preguntas distintas. Un só fluxo mostra o teito por conexión, que inclúe o comportamento da ventá TCP e calquera modelado por fluxo na ruta. Catro fluxos mostran se a ligazón ten capacidade que non aproveitas, porque os fluxos paralelos poden encher un tubo que un só non enche.

Mantéño honesto: mesmo equipo, hora do día e duración, sen nada máis transmitindo na casa. Unha transferencia masiva de trinta segundos é a unidade correcta aquí, e RFC 6349, o marco para probar o caudal TCP, baséase nese razoamento, porque as ráfagas curtas e as peticións pequenas lisonjean unha ligazón. Anota a liña base antes de cambiar nada.

Paso 3: Executa a mesma proba a través do túnel

Agora repíteo contra o enderezo do túnel do extremo remoto, co mesmo cliente, duración e número de fluxos, co túnel levantado e sen outro tráfico. A proporción entre os dous resultados diche que custan o cifrado e a encapsulación nese hardware; a cifra absoluta diche se abonda para o traballo.

Mira os contadores mentres corre a transferencia. En WireGuard, wg show informa dos bytes transferidos por par; en OpenVPN, un ficheiro de estado escrito a intervalos dache a mesma vista.

watch -n 1 'wg show wg0 transfer'
# OpenVPN: add --status /run/openvpn/server.status 10 to the server config
tail -f /run/openvpn/server.status

Se a cifra do túnel se achega á liña base por cable, a VPN non é o teu pescozo de botella e podes deixar de culparla. Se é unha fracción da base, a perda ocorreu dentro da ruta de cifrado e reenvío do router, e o paso seguinte diche que parte.

Unha advertencia: en canto cambia o IP de saída, algúns servizos de proba de velocidade escollen en silencio outro servidor de medida, así que acabas comparando dous destinos. Fixa ti mesmo o enderezo do servidor.

Paso 4: Le a CPU como unha ruta, non como unha media

Un router que mostra un 30 por cento de CPU total aínda pode estar saturado: o traballo dun túnel adoita caer nun núcleo, unha cola de interrupcións ou un fío do núcleo, así que a media agocha o teito. Mira as cifras por núcleo e de softirq en lugar do medidor do panel.

mpstat -P ALL 1
top -H -p $(pgrep -f 'openvpn')
grep -o -m1 aes /proc/cpuinfo

Tres cousas importan nesa saída. Un só núcleo cravado preto do 100 por cento mentres os demais están inactivos apunta a un límite por conexión. Un %soft alto ou un ksoftirqd ocupado nunha CPU apunta a procesamento de paquetes no lado de recepción que non se reparte entre colas. E que falte o indicador aes significa que a CPU non ten instrucións AES, así que o cifrado simétrico vai en software e custa moito máis por paquete.

A implementación tamén importa. Unha instancia tradicional de OpenVPN en espazo de usuario procesa os paquetes dun túnel en gran parte nun só lugar, así que unha caixa rápida multinúcleo pode comportarse como unha dun só núcleo para ese túnel. WireGuard no núcleo reparte o traballo entre CPU, e a descarga da canle de datos de OpenVPN tamén move o manexo de paquetes ao núcleo, pero só en compilacións e plataformas que o admiten. Unha afirmación de aceleración por hardware na páxina de márketing non é proba de que a ruta de código que executas a use.

Paso 5: Decide que cambiar, nesa orde

Baixa por esta lista e detente na primeira liña que sexa certa, porque cambiar calquera cousa por baixo non moverá a cifra.

1. O caudal directo por cable está por baixo do que pagas: fala co provedor, porque o túnel non pode crear capacidade que o circuíto de acceso non entrega. 2. O directo por cable está ben pero un núcleo crávase durante a proba do túnel: a ruta criptográfica do router é o límite. 3. A CPU está inactiva pero o túnel é lento: revisa a MTU e a fragmentación, e despois a capacidade do propio extremo remoto. 4. Só son lentos os clientes Wi-Fi: cambia de banda ou de ancho de canle, e acepta que a velocidade anunciada nunca foi unha cifra de VPN.

Cando o router é de verdade o límite, as opcións honestas son un aparello con instrucións AES e unha ruta de reenvío máis rápida, un túnel no lado do núcleo como WireGuard en lugar dun en espazo de usuario, ou mover o cliente ao propio aparello para que o router deixe de cifrar. Apagar o cifrado autenticado para gañar unha proba de rendemento non é unha delas; cambia unha propiedade de seguridade por unha cifra que aínda non coincidirá coa caixa.

Antes de comprar nada, volve executar os pasos 2 e 3 no aparello novo co mesmo servidor e duración, e despois compara proporcións en lugar de picos.