Zakaj ocena Wi-Fi usmerjevalnika ne napove prepustnosti VPN

Usmerjevalnik z oznako Wi-Fi 3,000 Mbps lahko šifriran promet še vedno prenaša le z delčkom te številke, in nobena od obeh številk ni nepoštena. Radijska ocena opisuje najboljšo možno modulacijo brezžične povezave, ki jo podpira čipovje; številka VPN opisuje, kako hitro lahko ena naprava potisne šifrirane pakete skozi procesor usmerjevalnika in ven iz vašega dostopnega voda. To so različne plasti, različne velikosti paketov in različne metode merjenja. Številko na škatli obravnavajte kot zgornjo mejo, ki je nihče ne doseže, ne kot napoved hitrosti vašega tunela.

Korak 1: Preslikajte štiri plasti, ki omejujejo številko

Skoraj vsaka pritožba o počasnem usmerjevalniku, s katero sem se ukvarjal, pade v eno od štirih ravni: brezžična povezava, hitrost dostopa WAN, pot posredovanja (NAT, požarni zid, sledenje povezavam) ali kriptografska pot VPN. Te se nalagajo, in najpočasnejša raven določi rezultat. Oglaševana hitrost Wi-Fi govori samo o prvi ravni, in o njej govori radodarno.

Ta številka izhaja iz tokov, pomnoženih s širino kanala in z najvišjo modulacijo, o kateri se lahko dogovori čipovje. Radio 2x2 na 5 GHz pri 80 MHz s 1024-QAM se oglašuje blizu 1,200 Mbps, a Wi-Fi je deljen poldupleksni medij: odjemalci se izmenjujejo, ponovni prenosi in upravljalni promet kurijo čas v zraku, TCP pa doda svoje lastne stroške. Odjemalec, ki v idealnih razmerah izpogaja najvišjo hitrost, običajno izmeri precej pod polovico, in manj, ko se pojavijo sosednja omrežja.

Če tabela kaže na radio, najprej popravite brezžično stran: pas, širino kanala, razdaljo. Če kaže pod radio, štejejo naslednji štirje koraki, in noben nakup anten tega ne bo spremenil.

Korak 2: Vzemite žično osnovno linijo, preden se dotaknete radia

Prenosnik priklopite na Ethernet in najprej izmerite pot brez tunela, ker vam to da imenovalec. Zaženite orodje za prepustnost na drugi strani, na VPS ali domačem strežniku, ki zaključi VPN, in usmerite odjemalca na njegov javni naslov, da promet gre skozi vaš usmerjevalnik in dostopni vod.

# on the far host (VPN endpoint)
iperf3 -s

# wired client, direct to the endpoint's public address
iperf3 -c 203.0.113.10 -t 30

# same client, four parallel streams
iperf3 -c 203.0.113.10 -t 30 -P 4

Dve številki iz tega bloka odgovarjata na različni vprašanji. En tok pokaže zgornjo mejo na povezavo, ki vključuje vedenje okna TCP in kakršno koli oblikovanje po toku na poti. Štirje tokovi pokažejo, ali ima povezava zmogljivost, ki je ne izkoriščate, ker lahko vzporedni tokovi napolnijo cev, ki je en sam tok ne napolni.

Ohranite pošteno: isti gostitelj, del dneva in trajanje, in nič drugega ne pretaka v hiši. Tridesetsekundni množični prenos je tu prava enota, in RFC 6349, okvir za preskušanje prepustnosti TCP, temelji prav na tem razmišljanju, ker kratki izbruhi in majhne zahteve povezavi laskajo. Zapišite osnovno linijo, preden kar koli spremenite.

Korak 3: Zaženite isti test skozi tunel

Zdaj ga ponovite proti naslovu tunela končne točke, z istim odjemalcem, trajanjem in številom tokov, s tunelom gor in brez drugega prometa. Razmerje med obema rezultatoma pove, koliko staneta šifriranje in inkapsulacija na tej strojni opremi; absolutna številka pove, ali zadošča za delo.

Opazujte števce med prenosom. Pri WireGuardu wg show poroča o prenesenih bajtih na partnerja; pri OpenVPN vam statusna datoteka, zapisana v intervalu, da isti pogled.

watch -n 1 'wg show wg0 transfer'
# OpenVPN: add --status /run/openvpn/server.status 10 to the server config
tail -f /run/openvpn/server.status

Če je številka tunela blizu žične osnovne linije, VPN ni vaše ozko grlo in ga lahko nehate kriviti. Če je le delček osnovne linije, je izguba nastala znotraj kriptografske in posredovalne poti usmerjevalnika, in naslednji korak pove, v katerem delu.

Eno opozorilo: ko se izhodni IP spremeni, nekatere storitve za preskušanje hitrosti tiho izberejo drug merilni strežnik, zato na koncu primerjate dve različni ciljni točki. Naslov strežnika pripnite sami.

Korak 4: Procesor berite kot pot, ne kot povprečje

Usmerjevalnik, ki kaže 30 odstotkov skupnega procesorja, je lahko še vedno nasičen: delo enega tunela običajno pristane na enem jedru, eni vrstni čakalni vrsti prekinitev ali eni niti jedra, zato povprečje skrije zgornjo mejo. Glejte številke po jedrih in softirq namesto merilnika na nadzorni plošči.

mpstat -P ALL 1
top -H -p $(pgrep -f 'openvpn')
grep -o -m1 aes /proc/cpuinfo

V tem izhodu štejejo tri stvari. Eno jedro, pripeto blizu 100 odstotkov, medtem ko druga počivajo, kaže na omejitev na povezavo. Visok %soft ali zaseden ksoftirqd na enem procesorju kaže na obdelavo paketov na strani sprejema, ki se ne razporeja po vrstah. In manjkajoča zastavica aes pomeni, da procesor nima navodil AES, zato simetrično šifriranje teče v programski opremi in stane veliko več na paket.

Tudi izvedba je pomembna. Tradicionalni primerek OpenVPN v uporabniškem prostoru obdeluje pakete enega tunela večinoma na enem mestu, zato se lahko hitra večjedrna škatla za ta tunel obnaša kot enojedrna. WireGuard v jedru razporeja delo po procesorjih, in razbremenitev podatkovnega kanala OpenVPN prav tako prestavi obdelavo paketov v jedro, a le v gradnjah in na platformah, ki to podpirajo. Trditev o strojni pospešitvi na marketinški strani ni dokaz, da jo pot kode, ki jo izvajate, uporablja.

Korak 5: Odločite se, kaj spremeniti, prav v tem vrstnem redu

Pojdite po seznamu navzdol in ustavite se pri prvi resnični vrstici, ker sprememba česar koli pod njo številke ne bo premaknila.

1. Žična neposredna prepustnost je nižja od tistega, kar plačujete: pogovorite se s ponudnikom, ker tunel ne more ustvariti zmogljivosti, ki je dostopni vod ne daje. 2. Po kablu neposredno je v redu, a eno jedro se med preskusom tunela pripne: kriptografska pot usmerjevalnika je meja. 3. Procesor počiva, a tunel je počasen: preverite MTU in razdrobljenost, nato lastno zmogljivost oddaljene končne točke. 4. Počasni so samo odjemalci Wi-Fi: spremenite pas ali širino kanala in sprejmite, da oglaševana hitrost nikoli ni bila številka VPN.

Ko je usmerjevalnik res meja, so poštene možnosti naprava z navodili AES in hitrejšo potjo posredovanja, tunel na strani jedra, kot je WireGuard, namesto tistega v uporabniškem prostoru, ali premik odjemalca na samo napravo, da usmerjevalnik preneha šifrirati. Izklop avtenticiranega šifriranja za zmago na primerjalnem preskusu ni ena od njih; zamenja varnostno lastnost za številko, ki se še vedno ne bo ujemala s škatlo.

Preden kar koli kupite, znova zaženite koraka 2 in 3 na novi napravi z istim strežnikom in trajanjem, nato primerjajte razmerja, ne vrhov.