Prečo Wi-Fi hodnotenie routera nepredpovedá priepustnosť VPN

Router s nálepkou Wi-Fi 3,000 Mbps môže stále prenášať šifrovanú prevádzku len zlomkom tohto čísla a ani jedno z tých čísel nie je nečestné. Rádiové hodnotenie opisuje najlepšiu možnú moduláciu bezdrôtového spoja, ktorú čipová sada podporuje; číslo VPN opisuje, ako rýchlo dokáže jedno zariadenie pretlačiť šifrované pakety cez procesor routera a von z vášho prístupového okruhu. To sú rôzne vrstvy, rôzne veľkosti paketov a rôzne metódy merania. Berte číslo na krabici ako strop, ktorý nikto nedosiahne, nie ako predpoveď rýchlosti vášho tunela.

Krok 1: Zmapujte štyri vrstvy, ktoré číslo obmedzujú

Takmer každá sťažnosť na pomalý router, s ktorou som pracoval, spadá do jednej zo štyroch úrovní: bezdrôtový spoj, rýchlosť prístupu WAN, cesta preposielania (NAT, firewall, sledovanie spojení) alebo kryptografická cesta VPN. Skladajú sa a najpomalšia úroveň určuje výsledok. Inzerovaná rýchlosť Wi-Fi hovorí len o prvej úrovni a hovorí o nej štedro.

Toto číslo vzniká z počtu tokov krát šírka kanála krát najvyššia modulácia, ktorú čipová sada dokáže vyjednať. Rádio 2x2 na 5 GHz pri 80 MHz s 1024-QAM sa inzeruje okolo 1,200 Mbps, ale Wi-Fi je zdieľané poloduplexné médium: klienti sa striedajú, opakované prenosy a riadiaca prevádzka spaľujú vysielací čas a TCP pridáva vlastnú réžiu. Klient, ktorý v ideálnych podmienkach vyjedná najvyššiu rýchlosť, zvyčajne nameria hlboko pod polovicou a ešte menej, keď sa objavia susedné siete.

Ak tabuľka ukazuje na rádio, najprv opravte bezdrôtovú stranu: pásmo, šírku kanála, vzdialenosť. Ak ukazuje pod rádio, rozhodujú nasledujúce štyri kroky a žiadne nakupovanie antén to nezmení.

Krok 2: Zmerajte káblovú základnú líniu, kým sa dotknete rádia

Pripojte notebook na Ethernet a najprv zmerajte cestu bez tunela, pretože to vám dá menovateľ. Spustite nástroj priepustnosti na druhej strane, na VPS alebo domácom serveri, ktorý ukončuje VPN, a nasmerujte klienta na jeho verejnú adresu, aby prevádzka prechádzala vaším routerom a prístupovým okruhom.

# on the far host (VPN endpoint)
iperf3 -s

# wired client, direct to the endpoint's public address
iperf3 -c 203.0.113.10 -t 30

# same client, four parallel streams
iperf3 -c 203.0.113.10 -t 30 -P 4

Dve čísla z toho bloku odpovedajú na rôzne otázky. Jeden tok ukazuje strop na spojenie, ktorý zahŕňa správanie okna TCP a akékoľvek tvarovanie toku na ceste. Štyri toky ukazujú, či má spoj kapacitu, ktorú nevyužívate, pretože paralelné toky dokážu naplniť rúru, ktorú jeden tok nenaplní.

Držte to čestne: rovnaký hostiteľ, denná doba a trvanie a nič iné doma nestreamuje. Tridsaťsekundový hromadný prenos je tu správna jednotka a RFC 6349, rámec na testovanie priepustnosti TCP, je postavený práve na tejto úvahe, pretože krátke nárazy a malé požiadavky spoja lichotia. Zapíšte základnú líniu, kým čokoľvek zmeníte.

Krok 3: Spustite rovnaký test cez tunel

Teraz to zopakujte proti adrese tunela koncového bodu, s rovnakým klientom, trvaním a počtom tokov, s tunelom hore a bez inej prevádzky. Pomer medzi oboma výsledkami vám povie, čo stojí šifrovanie a zapuzdrenie na tomto hardvéri; absolútne číslo povie, či to na danú prácu stačí.

Sledujte počítadlá, kým prenos beží. Pri WireGuarde wg show hlási prenesené bajty na partnera; pri OpenVPN vám stavový súbor zapisovaný v intervale dáva rovnaký pohľad.

watch -n 1 'wg show wg0 transfer'
# OpenVPN: add --status /run/openvpn/server.status 10 to the server config
tail -f /run/openvpn/server.status

Ak je číslo tunela blízko káblovej základnej línie, VPN nie je vaše úzke hrdlo a môžete ju prestať obviňovať. Ak je to zlomok základnej línie, strata vznikla vnútri kryptografickej a preposielacej cesty routera a nasledujúci krok povie, v ktorej časti.

Jedno upozornenie: hneď ako sa zmení výstupná IP, niektoré služby na test rýchlosti si ticho vyberú iný merací server, takže nakoniec porovnávate dve rôzne destinácie. Adresu servera si zafixujte sami.

Krok 4: Čítajte procesor ako cestu, nie ako priemer

Router, ktorý ukazuje 30 percent celkového vyťaženia procesora, môže byť stále nasýtený: práca jedného tunela zvyčajne padne na jedno jadro, jedno prerušovacie pole alebo jedno vlákno jadra, takže priemer strop skrýva. Pozerajte sa na čísla po jadrách a na softirq namiesto meradla na paneli.

mpstat -P ALL 1
top -H -p $(pgrep -f 'openvpn')
grep -o -m1 aes /proc/cpuinfo

V tom výstupe záleží na troch veciach. Jedno jadro pripnuté blízko 100 percent, kým ostatné oddychujú, ukazuje na limit na spojenie. Vysoký %soft alebo zaneprázdnený ksoftirqd na jednom procesore ukazuje na spracovanie paketov na strane príjmu, ktoré sa nerozkladá medzi fronty. A chýbajúci príznak aes znamená, že procesor nemá inštrukcie AES, takže symetrické šifrovanie beží v softvéri a stojí oveľa viac na paket.

Aj implementácia je dôležitá. Tradičná inštancia OpenVPN v používateľskom priestore spracúva pakety jedného tunela prevažne na jednom mieste, takže rýchla viacjadrová krabica sa pre tento tunel môže správať ako jednojadrová. WireGuard v jadre rozkladá prácu medzi procesory a odľahčenie dátového kanála OpenVPN tiež presúva spracovanie paketov do jadra, ale len v zostaveniach a na platformách, ktoré to podporujú. Tvrdenie o hardvérovom zrýchlení na marketingovej stránke nie je dôkaz, že ho cesta kódu, ktorú spúšťate, využíva.

Krok 5: Rozhodnite, čo zmeniť, práve v tomto poradí

Prejdite zoznam nadol a zastavte sa na prvom pravdivom riadku, pretože zmena čohokoľvek pod ním číslom nepohne.

1. Káblová priama priepustnosť je nižšia než to, čo platíte: porozprávajte sa s poskytovateľom, pretože tunel nemôže vytvoriť kapacitu, ktorú prístupový okruh nedodá. 2. Káblom priamo je to v poriadku, ale jedno jadro sa pri teste tunela pripne: kryptografická cesta routera je limit. 3. Procesor oddychuje, ale tunel je pomalý: skontrolujte MTU a fragmentáciu, potom vlastnú kapacitu vzdialeného koncového bodu. 4. Pomalí sú len klienti Wi-Fi: zmeňte pásmo alebo šírku kanála a prijmite, že inzerovaná rýchlosť nikdy nebola číslom VPN.

Keď je router naozaj limit, čestné možnosti sú zariadenie s inštrukciami AES a rýchlejšou cestou preposielania, tunel na strane jadra ako WireGuard namiesto toho v používateľskom priestore, alebo presun klienta na samotné zariadenie, aby router prestal šifrovať. Vypnutie autentizovaného šifrovania, aby ste vyhrali porovnávací test, medzi ne nepatrí; mení bezpečnostnú vlastnosť za číslo, ktoré aj tak nebude sedieť s krabicou.

Kým čokoľvek kúpite, spustite kroky 2 a 3 znova na novom zariadení s rovnakým serverom a trvaním, a potom porovnávajte pomery, nie špičky.