რატომ არ იწინასწარმეტყველებს თქვენი როუტერის Wi-Fi შეფასება VPN-ის გამტარობას
რეკლამირებული Wi-Fi სიჩქარე და გაზომილი VPN სიჩქარე სხვადასხვა ფენას აღწერს. გაიარეთ ეს მოწესრიგებული შემოწმება, სანამ უფრო სწრაფ როუტერს იყიდით.
3,000 Mbps Wi-Fi ნიშნის მქონე როუტერს მაინც შეუძლია დაშიფრული ტრაფიკის გადატანა ამ რიცხვის მხოლოდ მცირე ნაწილის სიჩქარით და არც ერთი ეს რიცხვი არ არის არაკეთილსინდისიერი. რადიო შეფასება აღწერს ჩიპსეტის მიერ მხარდაჭერილი უსადენო ბმულის საუკეთესო მოდულაციას, ხოლო VPN-ის რიცხვი აღწერს, რამდენად სწრაფად შეუძლია ერთ მოწყობილობას დაშიფრული პაკეტების გატარება როუტერის პროცესორში და თქვენი წვდომის წრედიდან გარეთ. ეს სხვადასხვა ფენაა, სხვადასხვა პაკეტის ზომა და სხვადასხვა გაზომვის მეთოდი. ყუთზე დაწერილ რიცხვს მოეპყარით როგორც ზედა ზღვარს, რომელსაც ვერავინ აღწევს, და არა როგორც თქვენი გვირაბის სიჩქარის პროგნოზს.
ნაბიჯი 1: დაასახელეთ ოთხი ფენა, რომლებიც ზღუდავენ რიცხვს
თითქმის ყველა საჩივარი ნელი როუტერის შესახებ, რომელზეც მიმუშავია, ოთხი დონიდან ერთ-ერთში ხვდება: უსადენო ბმული, WAN წვდომის სიჩქარე, გადაგზავნის გზა (NAT, ფაირვოლი, კავშირების თვალყური) ან VPN-ის დაშიფვრის გზა. ისინი ერთმანეთზე ფენებად ჯდება და ყველაზე ნელი დონე განსაზღვრავს შედეგს. რეკლამირებული Wi-Fi სიჩქარე მხოლოდ პირველ დონეზე საუბრობს და ლმობიერად საუბრობს.
ეს რიცხვი მოდის ნაკადების რაოდენობის, არხის სიგანისა და ჩიპსეტის მიერ შეთანხმებული უმაღლესი მოდულაციის ნამრავლიდან. 5 GHz-ზე, 80 MHz-ზე, 1024-QAM-ით 2x2 რადიო რეკლამირდება 1,200 Mbps-თან ახლოს, მაგრამ Wi-Fi არის საერთო, ნახევრად ორმხრივი გარემო: კლიენტები რიგრიგობით მუშაობენ, ხელახალი გაგზავნები და მართვის ტრაფიკი ჰაერის დროს წვავს, ხოლო TCP თავის ხარჯს ამატებს. კლიენტი, რომელიც იდეალურ პირობებში უმაღლეს სიჩქარეს შეათანხმებს, ჩვეულებრივ ბევრად ნაკლებს ზომავს მის ნახევარზე, და კიდევ ნაკლებს, როცა მეზობელი ქსელები ჩნდება.
| Symptom | Tier to suspect first |
|---|---|
| Wired clients are slow too | WAN access or forwarding path |
| Only Wi-Fi clients are slow | Radio, airtime, or channel width |
| One stream is slow, four parallel streams add up | Per-connection CPU path, not the link |
| Every stream is slow and one core sits at 100% | Crypto path |
| Fast to LAN hosts, slow to the internet | WAN, not the tunnel |
თუ ცხრილი რადიოზე მიუთითებს, ჯერ უსადენო მხარე გაასწორეთ: დიაპაზონი, არხის სიგანე, მანძილი. თუ რადიოს ქვემოთ მიუთითებს, მნიშვნელოვანია შემდეგი ოთხი ნაბიჯი და ანტენის ყიდვის არავითარი რაოდენობა ამას არ შეცვლის.
ნაბიჯი 2: აიღეთ სადენიანი საბაზისო ხაზი, სანამ რადიოს შეეხებით
დასვით ლეპტოპი Ethernet-ზე და ჯერ გაზომეთ გზა გვირაბის გარეშე, რადგან ეს მოგცემთ მნიშვნელს. გაუშვით გამტარობის ხელსაწყო მეორე მხარეს, VPN-ს რომ ამთავრებს იმ VPS-ზე ან სახლის სერვერზე, და მიუთითეთ კლიენტი მის საჯარო მისამართზე, რომ ტრაფიკმა თქვენი როუტერი და წვდომის წრედი გაიაროს.
# on the far host (VPN endpoint)
iperf3 -s
# wired client, direct to the endpoint's public address
iperf3 -c 203.0.113.10 -t 30
# same client, four parallel streams
iperf3 -c 203.0.113.10 -t 30 -P 4
ამ ბლოკის ორი რიცხვი სხვადასხვა კითხვას პასუხობს. ერთი ნაკადი აჩვენებს კავშირზე ზედა ზღვარს, რომელიც მოიცავს TCP ფანჯრის ქცევას და გზაზე ნებისმიერ ნაკადობრივ ფორმირებას. ოთხი ნაკადი აჩვენებს, აქვს თუ არა ბმულს ის შესაძლებლობა, რომელსაც არ იყენებთ, რადგან პარალელურ ნაკადებს შეუძლიათ იმ მილის ავსება, რომელსაც ერთი ნაკადი ვერ ავსებს.
შეინარჩუნეთ პატიოსნად: იგივე ჰოსტი, დღის დრო და ხანგრძლივობა, და სახლში სხვა არაფერი არ გადაიცემა. ოცდაათწამიანი მასობრივი გადაცემა სწორი ერთეულია აქ, და RFC 6349, TCP გამტარობის ტესტირების ჩარჩო, სწორედ ამ მსჯელობაზეა აგებული, რადგან მოკლე აფეთქებები და პატარა მოთხოვნები ბმულს უკეთესად აჩენს. ჩაწერეთ საბაზისო ხაზი, სანამ რამეს შეცვლით.
ნაბიჯი 3: გაუშვით იგივე ტესტი გვირაბის გავლით
ახლა გაიმეორეთ ის საბოლოო წერტილის გვირაბის მისამართის წინააღმდეგ, იგივე კლიენტით, ხანგრძლივობით და ნაკადების რაოდენობით, გვირაბი ჩართული და სხვა ტრაფიკის გარეშე. ორი შედეგის შეფარდება გიჩვენებთ, რა ჯდება დაშიფვრა და ინკაფსულაცია ამ აპარატურაზე, ხოლო აბსოლუტური რიცხვი გიჩვენებთ, საკმარისია თუ არა სამუშაოსთვის.
თვალი ადევნეთ მთვლელებს, სანამ გადაცემა მიმდინარეობს. WireGuard-ზე wg show იუწყება გადაცემულ ბაიტებს თითოეულ პარტნიორზე, ხოლო OpenVPN-ზე ინტერვალით დაწერილი სტატუსის ფაილი იმავე სურათს გაძლევთ.
watch -n 1 'wg show wg0 transfer'
# OpenVPN: add --status /run/openvpn/server.status 10 to the server config
tail -f /run/openvpn/server.status
თუ გვირაბის რიცხვი ახლოსაა სადენიან საბაზისო ხაზთან, VPN თქვენი შეფერხება არ არის და შეგიძლიათ შეწყვიტოთ მისი დადანაშაულება. თუ ის საბაზისო ხაზის ნაწილია, დანაკარგი მოხდა როუტერის დაშიფვრისა და გადაგზავნის გზის შიგნით, და შემდეგი ნაბიჯი გეტყვით რომელ ნაწილში.
ერთი გაფრთხილება: როგორც კი გასასვლელი IP იცვლება, ზოგიერთი სიჩქარის ტესტის სერვისი ჩუმად სხვა საზომ სერვერს ირჩევს, ასე რომ საბოლოოდ ორ სხვადასხვა დანიშნულებას ადარებთ. სერვერის მისამართი თავად დაამაგრეთ.
ნაბიჯი 4: წაიკითხეთ პროცესორი როგორც გზა, და არა როგორც საშუალო
როუტერი, რომელიც 30 პროცენტ საერთო პროცესორს აჩვენებს, მაინც შეიძლება გაჯერებული იყოს: ერთი გვირაბის სამუშაო ჩვეულებრივ ერთ ბირთვზე, ერთ წყვეტის რიგში ან ერთ ბირთვულ ძაფზე ჯდება, ამიტომ საშუალო ზედა ზღვარს მალავს. უყურეთ ბირთვების მიხედვით და softirq რიცხვებს და არა დაფის მაჩვენებელს.
mpstat -P ALL 1
top -H -p $(pgrep -f 'openvpn')
grep -o -m1 aes /proc/cpuinfoსამი რამ არის მნიშვნელოვანი ამ გამოსავალში. ერთი ბირთვი 100 პროცენტთან ახლოს დამაგრებული, სანამ დანარჩენები უმოქმედოა, კავშირზე შეზღუდვაზე მიუთითებს. მძიმე %soft ან ერთ პროცესორზე დაკავებული ksoftirqd მიმღებ მხარეს პაკეტების დამუშავებაზე მიუთითებს, რომელიც რიგებზე არ ნაწილდება. ხოლო aes დროშის არარსებობა ნიშნავს, რომ პროცესორს AES ინსტრუქციები არ აქვს, ამიტომ სიმეტრიული დაშიფვრა პროგრამულად მუშაობს და თითოეულ პაკეტზე გაცილებით ძვირია.
რეალიზაციასაც აქვს მნიშვნელობა. მომხმარებლის სივრცეში მყოფი ტრადიციული OpenVPN ეგზემპლარი ერთი გვირაბის პაკეტებს ძირითადად ერთ ადგილას ამუშავებს, ამიტომ სწრაფი მრავალბირთვიანი ყუთი ამ გვირაბისთვის ერთბირთვიანივით შეიძლება მოიქცეს. ბირთვში მყოფი WireGuard სამუშაოს პროცესორებზე ანაწილებს, და OpenVPN-ის მონაცემთა არხის განტვირთვა პაკეტების დამუშავებას ბირთვშიც გადააქვს, მაგრამ მხოლოდ იმ აწყობებსა და პლატფორმებზე, რომლებიც ამას მხარს უჭერენ. მარკეტინგის გვერდზე აპარატული აჩქარების მტკიცება არ არის იმის მტკიცებულება, რომ თქვენი გაშვებული კოდის გზა მას იყენებს.
ნაბიჯი 5: გადაწყვიტეთ, რა შეიცვალოს, ზუსტად ამ თანმიმდევრობით
გაიარეთ ეს სია ქვემოთ და გაჩერდით პირველ ჭეშმარიტ სტრიქონზე, რადგან მის ქვემოთ რაიმეს შეცვლა რიცხვს არ გაამოძრავებს.
1. სადენიანი პირდაპირი გამტარობა ნაკლებია იმაზე, რასაც იხდით: ისაუბრეთ მომწოდებელთან, რადგან გვირაბს არ შეუძლია იმ შესაძლებლობის შექმნა, რომელსაც წვდომის წრედი არ იძლევა. 2. სადენით პირდაპირ კარგია, მაგრამ გვირაბის ტესტის დროს ერთი ბირთვი იჭედება: როუტერის დაშიფვრის გზა არის ზღვარი. 3. პროცესორი უმოქმედოა, მაგრამ გვირაბი ნელია: შეამოწმეთ MTU და ფრაგმენტაცია, შემდეგ შორეული საბოლოო წერტილის საკუთარი შესაძლებლობა. 4. მხოლოდ Wi-Fi კლიენტები არიან ნელი: შეცვალეთ დიაპაზონი ან არხის სიგანე და აღიარეთ, რომ რეკლამირებული სიჩქარე არასდროს ყოფილა VPN-ის რიცხვი.
როცა როუტერი ნამდვილად ზღვარია, პატიოსანი არჩევანია AES ინსტრუქციებითა და უფრო სწრაფი გადაგზავნის გზით აღჭურვილი მოწყობილობა, ბირთვის მხარეს მყოფი გვირაბი, როგორიც WireGuard-ია, მომხმარებლის სივრცის ნაცვლად, ან კლიენტის თავად მოწყობილობაში გადატანა, რომ როუტერმა დაშიფვრა შეწყვიტოს. ავთენტიფიცირებული დაშიფვრის გამორთვა ბენჩმარკის მოსაგებად მათ შორის არ არის; ის უსაფრთხოების თვისებას ცვლის რიცხვში, რომელიც მაინც არ დაემთხვევა ყუთს.
სანამ რამეს იყიდით, ხელახლა გაუშვით მე-2 და მე-3 ნაბიჯები ახალ მოწყობილობაზე იმავე სერვერით და ხანგრძლივობით, შემდეგ შეადარეთ შეფარდებები და არა პიკები.