Неге роутеріңіздің Wi-Fi бағасы VPN өткізу қабілетін болжамайды
Жарнамаланған Wi-Fi жылдамдығы мен өлшенген VPN жылдамдығы әртүрлі қабаттарды сипаттайды. Жылдамырақ роутер сатып алудан бұрын осы ретті тексеруден өтіңіз.
3,000 Mbps Wi-Fi белгісі бар роутер де шифрланған трафикті сол санның бір бөлігі жылдамдығымен жылжыта алады, және екі санның ешқайсысы адалсыз емес. Радио бағасы чипсет қолдайтын сымсыз байланыстың ең жақсы модуляциясын сипаттайды; VPN саны бір құрылғының шифрланған пакеттерді роутер процессоры арқылы және сіздің кіру тізбегінен тыс қаншалықты жылдам итере алатынын сипаттайды. Бұлар әртүрлі қабаттар, әртүрлі пакет өлшемдері және әртүрлі өлшеу әдістері. Қораптағы санды ешкім жетпейтін төбе ретінде қарастырыңыз, туннель жылдамдығының болжамы ретінде емес.
1-қадам: санды шектейтін төрт қабатты картаға түсіріңіз
Мен жұмыс істеген баяу роутер туралы шағымдардың барлығы дерлік төрт деңгейдің біріне түседі: сымсыз байланыс, WAN кіру жылдамдығы, жіберу жолы (NAT, брандмауэр, қосылыстарды бақылау) немесе VPN шифрлау жолы. Олар бірінің үстіне бірі қатпарланады, және ең баяу деңгей нәтижені анықтайды. Жарнамаланған Wi-Fi жылдамдығы тек бірінші деңгей туралы айтады, және ол туралы жомарт айтады.
Бұл сан ағындар санын арна еніне және чипсет келісе алатын ең жоғары модуляцияға көбейтуден шығады. 5 GHz-те 80 MHz-те 1024-QAM бар 2x2 радио 1,200 Mbps-ке жақын жарнамаланады, бірақ Wi-Fi — ортақ, жартылай дуплексті орта: клиенттер кезектеседі, қайта жіберулер мен басқару трафигі әуе уақытын жағады, ал TCP өз қосымша шығынын қосады. Идеал жағдайда ең жоғары жылдамдықты келісетін клиент әдетте оның жартысынан әлдеқайда төмен өлшейді, ал көрші желілер пайда болғанда одан да төмен.
| Symptom | Tier to suspect first |
|---|---|
| Wired clients are slow too | WAN access or forwarding path |
| Only Wi-Fi clients are slow | Radio, airtime, or channel width |
| One stream is slow, four parallel streams add up | Per-connection CPU path, not the link |
| Every stream is slow and one core sits at 100% | Crypto path |
| Fast to LAN hosts, slow to the internet | WAN, not the tunnel |
Егер кесте радионы нұсқаса, алдымен сымсыз жағын түзетіңіз: диапазон, арна ені, қашықтық. Егер ол радиодан төменді нұсқаса, келесі төрт қадам маңызды, және антенна сатып алудың ешбір мөлшері оны өзгертпейді.
2-қадам: радионы ұстамас бұрын сымды базалық сызық алыңыз
Ноутбукті Ethernet-ке қосып, алдымен туннельсіз жолды өлшеңіз, өйткені бұл сізге бөлгіш береді. Өткізу қабілеті құралын қарсы жақта, VPN-ді аяқтайтын VPS немесе үй серверінде іске қосыңыз және клиентті оның жария мекенжайына бағыттаңыз, сонда трафик роутеріңіз бен кіру тізбегінен өтеді.
# on the far host (VPN endpoint)
iperf3 -s
# wired client, direct to the endpoint's public address
iperf3 -c 203.0.113.10 -t 30
# same client, four parallel streams
iperf3 -c 203.0.113.10 -t 30 -P 4
Сол блоктағы екі сан әртүрлі сұрақтарға жауап береді. Бір ағын қосылымға шаққандағы төбені көрсетеді, оған TCP терезесінің мінез-құлқы және жолдағы кез келген ағындық пішіндеу кіреді. Төрт ағын байланыста пайдаланбай жатқан қуат бар-жоғын көрсетеді, өйткені параллель ағындар бір ағын толтыра алмайтын құбырды толтыра алады.
Оны адал ұстаңыз: сол хост, тәулік уақыты мен ұзақтық, үйде басқа ештеңе ағындалмайды. Отыз секундтық жаппай жіберу мұнда дұрыс бірлік, ал RFC 6349, TCP өткізу қабілетін тестілеу шеңбері, дәл осы пайымдауға негізделген, өйткені қысқа жарылыстар мен шағын сұраныстар байланысты жақсырақ көрсетеді. Бірдеңені өзгертуден бұрын базалық сызықты жазып қойыңыз.
3-қадам: сол тесті туннель арқылы іске қосыңыз
Енді оны соңғы нүктенің туннель мекенжайына қарсы қайталаңыз, сол клиент, ұзақтық және ағын санымен, туннель қосулы және басқа трафик жоқ. Екі нәтиженің қатынасы сол аппаратта шифрлау мен капсулалау қанша тұратынын айтады; абсолюттік сан жұмысқа жететінін айтады.
Жіберу жүріп жатқанда есептегіштерді бақылаңыз. WireGuard-те wg show әр серіктеске жіберілген байттарды хабарлайды; OpenVPN-де аралықпен жазылатын күй файлы сізге сол көріністі береді.
watch -n 1 'wg show wg0 transfer'
# OpenVPN: add --status /run/openvpn/server.status 10 to the server config
tail -f /run/openvpn/server.status
Егер туннель саны сымды базалық сызыққа жақын болса, VPN сіздің кедергіңіз емес, және оны кінәлауды тоқтатуға болады. Егер ол базалық сызықтың бір бөлігі болса, жоғалту роутердің шифрлау және жіберу жолының ішінде болды, ал келесі қадам қай бөлікте екенін айтады.
Бір ескерту: шығыс IP өзгерген бойда кейбір жылдамдық тесті қызметтері үнсіз басқа өлшеу серверін таңдайды, сондықтан ақырында екі түрлі межеге салыстырасыз. Сервер мекенжайын өзіңіз бекітіңіз.
4-қадам: процессорды орташа емес, жол ретінде оқыңыз
Жалпы процессордың 30 пайызын көрсететін роутер де қаныққан болуы мүмкін: бір туннельдің жұмысы әдетте бір ядроға, бір үзу кезегіне немесе бір ядролық ағынға түседі, сондықтан орташа төбені жасырады. Панельдегі көрсеткіштің орнына ядро бойынша және softirq сандарын қараңыз.
mpstat -P ALL 1
top -H -p $(pgrep -f 'openvpn')
grep -o -m1 aes /proc/cpuinfoБұл шығыста үш нәрсе маңызды. Бір ядро 100 пайызға жақын бекітіліп, қалғандары бос тұрса, бұл қосылымға шаққандағы шектеуге меңзейді. Ауыр %soft немесе бір процессорда бос емес ksoftirqd кезектерге тарамайтын қабылдау жағындағы пакет өңдеуге меңзейді. Ал aes жалаушасының жоқтығы процессорда AES нұсқаулары жоқ дегенді білдіреді, сондықтан симметриялық шифрлау бағдарламалық жасақтамада жүреді және әр пакетке әлдеқайда қымбат.
Іске асыру да маңызды. Пайдаланушы кеңістігіндегі дәстүрлі OpenVPN данасы бір туннельдің пакеттерін негізінен бір жерде өңдейді, сондықтан жылдам көп ядролы қорап сол туннель үшін бір ядролы сияқты әрекет етуі мүмкін. Ядродағы WireGuard жұмысты процессорларға таратады, ал OpenVPN-нің деректер арнасын түсіру пакет өңдеуді ядроға да көшіреді, бірақ тек оны қолдайтын жинақтар мен платформаларда. Маркетинг бетіндегі аппараттық жеделдету туралы мәлімдеме сіз іске қосып отырған код жолы оны пайдаланатынының дәлелі емес.
5-қадам: нені өзгертуді дәл осы ретпен шешіңіз
Осы тізіммен төмен жүріңіз және дұрыс бірінші жолда тоқтаңыз, өйткені оның астындағыны өзгерту санды жылжытпайды.
1. Сымды тікелей өткізу қабілеті сіз төлейтіннен төмен: провайдермен сөйлесіңіз, өйткені туннель кіру тізбегі бермейтін қуатты жасай алмайды. 2. Сымды тікелей жақсы, бірақ туннель тесті кезінде бір ядро бекітіледі: роутердің шифрлау жолы — шек. 3. Процессор бос, бірақ туннель баяу: MTU мен фрагментацияны, содан кейін алыс соңғы нүктенің өз қуатын тексеріңіз. 4. Тек Wi-Fi клиенттері баяу: диапазонды немесе арна енін өзгертіңіз және жарнамаланған жылдамдық ешқашан VPN саны болмағанын қабылдаңыз.
Роутер шынымен шек болса, адал нұсқалар — AES нұсқаулары мен жылдамырақ жіберу жолы бар құрылғы, пайдаланушы кеңістігіндегі орнына WireGuard сияқты ядролық жақтағы туннель, немесе роутер шифрлауды тоқтатуы үшін клиентті құрылғының өзіне көшіру. Бенчмаркті ұту үшін аутентификацияланған шифрлауды өшіру олардың бірі емес; ол қауіпсіздік қасиетін әлі де қорапқа сай келмейтін санға айырбастайды.
Бірдеңе сатып алудан бұрын жаңа құрылғыда сол сервер мен ұзақтықта 2 және 3-қадамдарды қайта іске қосыңыз, содан кейін шыңдарды емес, қатынастарды салыстырыңыз.