Эмне үчүн роутериңиздин Wi-Fi баасы VPN өткөрүү жөндөмдүүлүгүн болжолдобойт
Жарнамаланган Wi-Fi ылдамдыгы жана өлчөнгөн VPN ылдамдыгы ар башка катмарларды сүрөттөйт. Тездүү роутер сатып алуудан мурун ушул тартиптеги текшерүүдөн өтүңүз.
3,000 Mbps Wi-Fi белгиси бар роутер да шифрленген трафикти ошол сандын бир бөлүгүндөй ылдамдыкта жылдыра алат, жана эки сандын экөө тең таза. Радио баасы чипсет колдогон зымсыз байланыштын эң жакшы модуляциясын сүрөттөйт; VPN саны бир түзмөк шифрленген пакеттерди роутердин процессору аркылуу жана сиздин кирүү чынжырыңыздан сыртка канчалык тез түртө аларын сүрөттөйт. Булар ар башка катмарлар, ар башка пакет өлчөмдөрү жана ар башка өлчөө ыкмалары. Кутудагы санды эч ким жетпеген төбө катары кабыл алыңыз, туннелиңиздин ылдамдыгынын болжолу катары эмес.
1-кадам: санды чектеген төрт катмарды картага түшүрүңүз
Мен иштеген жай роутер тууралуу кайрылуулардын дээрлик баары төрт деңгээлдин бирине түшөт: зымсыз байланыш, WAN кирүү ылдамдыгы, жөнөтүү жолу (NAT, брандмауэр, туташууларды көзөмөлдөө) же VPN шифрлөө жолу. Алар бири-биринин үстүнө катмарланат, жана эң жай деңгээл жыйынтыкты аныктайт. Жарнамаланган Wi-Fi ылдамдыгы биринчи деңгээл жөнүндө гана айтат, жана ал жөнүндө берешен айтат.
Бул сан агымдардын санын канал кеңдигине жана чипсет келише алган эң жогорку модуляцияга көбөйтүүдөн келет. 5 GHz де 80 MHz де 1024-QAM менен 2x2 радио 1,200 Mbps жакын жарнамаланат, бирок Wi-Fi — жалпы, жарым дуплекстик чөйрө: кардарлар кезектешет, кайра жөнөтүүлөр жана башкаруу трафиги аба убактысын күйгүзөт, ал эми TCP өзүнүн кошумча чыгымын кошот. Идеалдуу шартта эң жогорку ылдамдыкты келишкен кардар адатта анын жарымынан алда канча төмөн өлчөйт, ал эми коңшу тармактар пайда болгондо андан да төмөн.
| Symptom | Tier to suspect first |
|---|---|
| Wired clients are slow too | WAN access or forwarding path |
| Only Wi-Fi clients are slow | Radio, airtime, or channel width |
| One stream is slow, four parallel streams add up | Per-connection CPU path, not the link |
| Every stream is slow and one core sits at 100% | Crypto path |
| Fast to LAN hosts, slow to the internet | WAN, not the tunnel |
Эгер таблица радиону көрсөтсө, адегенде зымсыз жагын оңдогула: диапазон, канал кеңдиги, аралык. Эгер ал радиодон ылдый көрсөтсө, кийинки төрт кадам маанилүү, жана антенна сатып алуунун эч канчасы аны өзгөртпөйт.
2-кадам: радиого тийүүдөн мурун зымдуу базалык сызык алыңыз
Ноутбукту Ethernet ге кошуп, адегенде туннелсиз жолду өлчөңүз, анткени бул сизге бөлүүчү берет. Өткөрүү жөндөмдүүлүк куралын каршы тарапта, VPN ди бүтүргөн VPS же үй серверинде иштетип, кардарды анын ачык дарегине багыттаңыз, ошондо трафик сиздин роутер жана кирүү чынжыры аркылуу өтөт.
# on the far host (VPN endpoint)
iperf3 -s
# wired client, direct to the endpoint's public address
iperf3 -c 203.0.113.10 -t 30
# same client, four parallel streams
iperf3 -c 203.0.113.10 -t 30 -P 4
Ошол блоктогу эки сан ар башка суроолорго жооп берет. Бир агым туташууга карата төбөнү көрсөтөт, ага TCP терезесинин жүрүм-туруму жана жолдогу ар кандай агымдык формалоо кирет. Төрт агым байланышта пайдаланбай жаткан кубат бар-жогун көрсөтөт, анткени параллелдүү агымдар бир агым толтура албаган түтүктү толтура алат.
Аны таза кармаңыз: ошол хост, күндүн убактысы жана узактыгы, үйдө башка эч нерсе агымдалбайт. Отуз секунддук массалык өткөрүү бул жерде туура бирдик, жана RFC 6349, TCP өткөрүү жөндөмдүүлүгүн сыноо алкагы, дал ушул ой жүгүртүүгө негизделген, анткени кыска жаркылдоолор жана кичине суроолор байланышты жакшыраак көрсөтөт. Бир нерсени өзгөртүүдөн мурун базалык сызыкты жазып коюңуз.
3-кадам: ошол эле сыноону туннел аркылуу иштетиңиз
Эми аны акыркы чекиттин туннель дарегине каршы кайталаңыз, ошол эле кардар, узактык жана агым саны менен, туннель күйүк жана башка трафик жок. Эки жыйынтыктын катышы ошол аппаратта шифрлөө жана капсулалоо канча турарын айтат; абсолюттук сан ишке жетерин айтат.
Өткөрүү жүрүп жатканда эсептегичтерди көзөмөлдөңүз. WireGuard де wg show ар бир өнөктөшкө жөнөтүлгөн байттарды билдирет; OpenVPN де аралык менен жазылуучу абал файлы сизге ошол эле көрүнүштү берет.
watch -n 1 'wg show wg0 transfer'
# OpenVPN: add --status /run/openvpn/server.status 10 to the server config
tail -f /run/openvpn/server.status
Эгер туннелдин саны зымдуу базалык сызыкка жакын болсо, VPN сиздин тоскоолдугуңуз эмес жана аны күнөөлөөнү токтотсоңуз болот. Эгер ал базалык сызыктын бир бөлүгү болсо, жоготуу роутердин шифрлөө жана жөнөтүү жолунун ичинде болгон, жана кийинки кадам кайсы бөлүгүндө экенин айтат.
Бир эскертүү: чыгуу IP өзгөргөндө, айрым ылдамдык сыноо кызматтары үнсүз башка өлчөө серверин тандашат, ошондуктан акырында эки башка максатты салыштырасыз. Сервер дарегин өзүңүз бекитиңиз.
4-кадам: процессорду орточо эмес, жол катары окуңуз
Жалпы процессордун 30 пайызын көрсөткөн роутер да каныккан болушу мүмкүн: бир туннелдин иши адатта бир өзөккө, бир үзгүлтүк кезегине же бир өзөктүк жипке түшөт, ошондуктан орточо төбөнү жашырат. Панелдеги көрсөткүчтүн ордуна өзөк боюнча жана softirq сандарын караңыз.
mpstat -P ALL 1
top -H -p $(pgrep -f 'openvpn')
grep -o -m1 aes /proc/cpuinfoБул чыгарылышта үч нерсе маанилүү. Бир өзөк 100 пайызга жакын бекитилип, калгандары бош турса, бул туташууга карата чектөөгө белги берет. Оор %soft же бир процессордо бош эмес ksoftirqd кезектерге тарабаган кабыл алуу тарабындагы пакет иштетүүгө белги берет. Ал эми aes желегинин жоктугу процессордо AES буйруктары жок дегенди билдирет, ошондуктан симметриялык шифрлөө программалык камсыздоодо жүрөт жана ар бир пакетке алда канча кымбат.
Ишке ашыруу да маанилүү. Колдонуучу мейкиндигиндеги салттуу OpenVPN нускасы бир туннелдин пакеттерин негизинен бир жерде иштетет, ошондуктан тез көп өзөктүү куту ошол туннель үчүн бир өзөктүүдөй жүрүшү мүмкүн. Өзөктөгү WireGuard ишти процессорлорго таратат, ал эми OpenVPN дин маалымат каналын түшүрүү пакет иштетүүнү өзөккө да жылдырат, бирок аны колдогон курулуштарда жана платформаларда гана. Маркетинг баракчасындагы аппараттык ылдамдатуу тууралуу билдирүү сиз иштетип жаткан код жолу аны колдонорунун далили эмес.
5-кадам: эмнени өзгөртүүнү дал ушундай тартипте чечиңиз
Бул тизмени ылдый жүрүп, туура болгон биринчи сапта токтоңуз, анткени анын астындагыны өзгөртүү санды жылдырбайт.
1. Зымдуу түз өткөрүү жөндөмдүүлүгү сиз төлөгөндөн төмөн: провайдер менен сүйлөшүңүз, анткени туннель кирүү чынжыры бербеген кубатты жарата албайт. 2. Зымдуу түз жакшы, бирок туннель сыноосунда бир өзөк бекитилет: роутердин шифрлөө жолу — чек. 3. Процессор бош, бирок туннель жай: MTU жана фрагментацияны, андан кийин алыскы акыркы чекиттин өз кубатын текшериңиз. 4. Тек Wi-Fi кардарлары жай: диапазонду же канал кеңдигин өзгөртүңүз жана жарнамаланган ылдамдык эч качан VPN саны болбогонун кабыл алыңыз.
Роутер чындап чек болгондо, таза варианттар — AES буйруктары жана тезирээк жөнөтүү жолу бар түзмөк, колдонуучу мейкиндигинин ордуна WireGuard сыяктуу өзөк тарабындагы туннель, же роутер шифрлөөнү токтотушу үчүн кардарды түзмөктүн өзүнө жылдыруу. Бенчмаркты утуу үчүн аутентификацияланган шифрлөөнү өчүрүү алардын бири эмес; ал коопсуздук касиетин дагы эле кутуга туура келбеген санга алмаштырат.
Бир нерсе сатып алуудан мурун жаңы түзмөктө ошол эле сервер жана узактык менен 2 жана 3-кадамдарды кайра иштетиңиз, андан кийин чокуларды эмес, катыштарды салыштырыңыз.