Firwat d'Wi-Fi-Bewäertung vun dengem Router den VPN-Duerchfloss net viraussoen
Eng beworben Wi-Fi-Vitesse an eng gemoossene VPN-Vitesse beschreiwen ënnerschiddlech Schichten. Schaff dës geuerdnet Kontroll duerch, ier s du en méi séiere Router kafs.
En Router mat engem Wi-Fi-Badge vun 3,000 Mbps kann verschlësselte Verkéier ëmmer nach mat engem Brochdeel vun dëser Zuel bewegen, an et ass keng vun den zwou Zuelen onséierlech. D'Radio-Bewäertung beschreift déi beschtméiglech Modulatioun vum drahtlosen Uschloss, deen de Chipsatz ënnerstëtzt; d'VPN-Zuel beschreift wéi séier een eenzegt Apparat verschlësselt Pakete duerch d'CPU vum Router an aus dengem Zougangskrees eraus drécke kann. Dat sinn ënnerschiddlech Schichten, ënnerschiddlech Pakettegréissten an ënnerschiddlech Moossmethoden. Behandle d'Zuel op der Këscht als eng Plaffong, déi keen erreecht, net als eng Prognose vun der Vitesse vun dengem Tunnel.
Schrëtt 1: Zeechnen déi véier Schichten op, déi d'Zuel begrenzen
Bal all Reklamatioun iwwer e luesen Router, mat där ech geschafft hunn, fält an eng vun véier Niveauen: den drahtlosen Uschloss, d'WAN-Zougangsvitesse, de Weiderleetungswee (NAT, Firewall, Verbindungsverfolgung) oder de VPN-Kryptowei. Si stappelen sech, an den luessten Niveau bestëmmt d'Resultat. Eng beworben Wi-Fi-Vitesse schwätzt nëmmen iwwer den éischten Niveau, an et schwätzt generéis doriwwer.
Dës Zuel kënnt aus de Streams mol Kanalbreed mol déi héchst Modulatioun, déi de Chipsatz aushandle kann. En 2x2-Radio op 5 GHz bei 80 MHz mat 1024-QAM gëtt no bei 1,200 Mbps beworben, awer Wi-Fi ass en gedeelt, hallefduplex Medium: d'Cliente wiessele sech of, Neisendungen a Management-Verkéier verbrennen Loftzäit, an TCP setzt säin eegene Iwwerhalt dobäi. En Client, deen ënner ideale Konditiounen déi héchst Vitesse aushandelt, misst normalerweis wäit ënner der Halschent, a manner, wann Nopeschnetzwierker optrieden.
| Symptom | Tier to suspect first |
|---|---|
| Wired clients are slow too | WAN access or forwarding path |
| Only Wi-Fi clients are slow | Radio, airtime, or channel width |
| One stream is slow, four parallel streams add up | Per-connection CPU path, not the link |
| Every stream is slow and one core sits at 100% | Crypto path |
| Fast to LAN hosts, slow to the internet | WAN, not the tunnel |
Wann den Tableau op de Radio weist, fléck als éischt déi drahtlos Säit: Band, Kanalbreed, Distanz. Wann en ënner de Radio weist, zielen déi nächst véier Schrëtt, an et wäert keng Antennekaaf dat änneren.
Schrëtt 2: Huelt eng ugeschloss Basislinn, ier s du de Radio beréiers
Setzt den Laptop op Ethernet a misst als éischt de Wee ouni den Tunnel, well dat gëtt dir en Nenner. Start de Duerchfloss-Tool op der anerer Säit, op der VPS oder dem Heemserver, deen d'VPN ofschléisst, a richt de Client op seng ëffentlech Adress, sou datt de Verkéier duerch däin Router an däi Zougangskrees geet.
# on the far host (VPN endpoint)
iperf3 -s
# wired client, direct to the endpoint's public address
iperf3 -c 203.0.113.10 -t 30
# same client, four parallel streams
iperf3 -c 203.0.113.10 -t 30 -P 4
Zwou Zuelen aus deem Block beäntweren ënnerschiddlech Froen. Een Stream weist d'Plaffong pro Verbindung, wat d'Verhalen vum TCP-Fënster an all Formung pro Floss op dem Wee enthält. Véier Streams weisen, ob den Uschloss Kapazitéit huet, déi s du net notz, well parallel Flëss eng Päif fëlle kënnen, déi een eenzege Floss net fëllt.
Hal et séierlech: dee selwechten Host, Tageszäit an Dauer, an näischt anescht streamt am Haus. Eng Iwwerdroung vun drësseg Sekonnen ass hei déi richteg Eenheet, an RFC 6349, de Kader fir TCP-Duerchflosstester, baséiert genau op där Logik, well kuerz Bursts a kleng Ufroe schmeichelen engem Uschloss. Schreif d'Basislinn op, ier s du eppes änderst.
Schrëtt 3: Start dee selwechten Test duerch den Tunnel
Widderhuel en elo géint d'Tunneladress vum Endpunkt, mat demselwechte Client, Dauer an Unzuel u Streams, den Tunnel uewen an ouni anere Verkéier. D'Verhältnis tëschent den zwou Resultater seet dir, wat Verschlësselung an Encapsulation op där Hardware kaschten; déi absolut Zuel seet dir, ob et duergaangen ass fir d'Aarbecht.
Kuck op d'Zieler, während d'Iwwerdroung leeft. Op WireGuard mellt wg show d'iwwerdroen Bytes pro Peer; op OpenVPN gëtt dir eng Statusdatei, déi am Intervall geschriwwe gëtt, déiselwecht Vue.
watch -n 1 'wg show wg0 transfer'
# OpenVPN: add --status /run/openvpn/server.status 10 to the server config
tail -f /run/openvpn/server.status
Wann d'Tunnelzuel no bei der ugeschlossener Basislinn ass, ass d'VPN net däin Fläschehals an du kanns ophalen, et ze beschëllegen. Wann et en Brochdeel vun der Basislinn ass, ass de Verloscht bannent dem Kryptowee an dem Weiderleetungswee vum Router geschitt, an den nächste Schrëtt seet dir wéien Deel.
Eng Warnung: soubal d'Ausgangs-IP sech ännert, wielen e puer Vitess-Test-Servicer stëll en anere Mooss-Server, sou datt s du am Schluss zwou verschidde Destinatiounen vergläichs. Pinn d'Serveradress selwer.
Schrëtt 4: Lies d'CPU als Wee, net als Duerchschnëtt
En Router, deen 30 Prozent Gesamt-CPU weist, kann nach ëmmer gesiedegt sinn: d'Aarbecht vun engem Tunnel lant meeschtens op engem Kär, enger Interrupt-Queue oder engem Kernel-Thread, sou datt den Duerchschnëtt d'Plaffong verstoppt. Kuck op Zuelen pro Kär a softirq amplaz vum Miesser op dem Dashboard.
mpstat -P ALL 1
top -H -p $(pgrep -f 'openvpn')
grep -o -m1 aes /proc/cpuinfoDräi Saachen zielen an deem Output. Een eenzege Kär no bei 100 Prozent festgestréckt, während déi aner idlen, deit op eng Limite pro Verbindung hin. Schwéier %soft oder en beschäftegten ksoftirqd op engem CPU deit op Empfangs-Säit Paketveraarbechtung hin, déi sech net iwwer d'Queue verdeelt. An e fehlenden aes-Fändel heescht, datt d'CPU keng AES-Instruktioune huet, also leeft symmetresch Verschlësselung a Software a kascht vill méi pro Paket.
D'Implementatioun zielt och. Eng traditionell OpenVPN-Instanz am Benotzerraum verschafft d'Pakete vun engem Tunnel gréisstendeels op enger Plaz, sou datt eng séier Multi-Kär-Këscht fir deen Tunnel wéi eng Een-Kär-Këscht behuele kann. WireGuard am Kernel verdeelt d'Aarbecht iwwer d'CPUen, an dem OpenVPN seng Datekanal-Offload verréit d'Paketbehandlung och an de Kernel, awer nëmmen a Builds an op Plattformen, déi et ënnerstëtzen. Eng Behaaptung vun Hardware-Beschleunegung op der Marketing-Säit ass kee Beweis, datt de Codewee, deen s du ausféiers, se benotzt.
Schrëtt 5: Entscheet, wat s du änderst, an där Reihenfolge
Schaff dës Lëscht erof a stoppt bei der éischter Linn, déi wouer ass, well eppes drënner z'änneren d'Zuel net beweegt.
1. Den direkten ugeschlossenen Duerchfloss ass ënner deem, wat s du bezuels: schwätz mat dem Provider, well den Tunnel keng Kapazitéit schafe kann, déi den Zougangskrees net liwwert. 2. Ugeschloss direkt ass gutt, awer een Kär pinnt während dem Tunneltest: de Kryptowee vum Router ass d'Limite. 3. D'CPU ass idle, awer den Tunnel ass lues: préif MTU a Fragmentatioun, duerno d'Kapazitéit vum fernen Endpunkt selwer. 4. Nëmmen d'Wi-Fi-Cliente sinn lues: ännert Band oder Kanalbreed, a akzeptéier, datt déi beworben Vitesse ni eng VPN-Zuel war.
Wann de Router wierklech d'Limite ass, sinn déi séierlech Optiounen en Apparat mat AES-Instruktiounen an engem méi séiere Weiderleetungswee, en Tunnel op der Kärsäit wéi WireGuard amplaz engem am Benotzerraum, oder de Client op den Apparat selwer ze plënneren, sou datt de Router ophält ze verschlësselen. D'authentifizéiert Verschlësselung auszeschalten, fir ee Benchmark ze gewannen, ass keng dovun; et tauscht eng Sécherheetseigenschaft géint eng Zuel, déi awer net mat der Këscht iwwerenee wäert kommen.
Ier s du eppes kafs, fuer Schrëtt 2 an 3 nach eng Kéier op dem neien Apparat mat demselwechte Server an Dauer, a vergläich duerno Verhältnisser amplaz Spëtzen.