Pse vlerësimi Wi-Fi i routerit nuk parashikon xhiron e VPN-së

Një router me etiketë Wi-Fi prej 3,000 Mbps mund të lëvizë gjithsesi trafik të kriptuar me një pjesë të vogël të atij numri, dhe asnjëri prej dy numrave nuk është i pandershëm. Vlerësimi i radios përshkruan modulimin më të mirë të mundshëm të lidhjes pa kabllo që mbështet çipseti; numri i VPN-së përshkruan sa shpejt një pajisje e vetme mund të shtyjë paketat e kriptuara përmes procesorit të routerit dhe jashtë qarkut tuaj të aksesit. Këto janë shtresa të ndryshme, madhësi të ndryshme paketash dhe metoda të ndryshme matjeje. Trajtojeni numrin në kuti si një tavan që askush nuk e arrin, jo si parashikim i shpejtësisë së tunelit tuaj.

Hapi 1: Hartoni katër shtresat që e kufizojnë numrin

Pothuajse çdo ankesë për një router të ngadaltë me të cilën jam marrë bie në një nga katër nivelet: lidhja pa kabllo, shpejtësia e aksesit WAN, rruga e përcjelljes (NAT, firewall, gjurmimi i lidhjeve) ose rruga kriptografike e VPN-së. Ato grumbullohen, dhe niveli më i ngadaltë përcakton rezultatin. Një shpejtësi Wi-Fi e reklamuar flet vetëm për nivelin e parë, dhe flet për të me bujari.

Ky numër vjen nga rrjedhat shumëzuar me gjerësinë e kanalit dhe me modulimin më të lartë që çipseti mund të negociojë. Një radio 2x2 në 5 GHz me 80 MHz dhe 1024-QAM reklamohet pranë 1,200 Mbps, por Wi-Fi është një mjedis i përbashkët gjysmë-dyfish: klientët alternohen, ritransmetimet dhe trafiku i menaxhimit djegin kohë ajri, dhe TCP shton sipërfaqen e vet. Një klient që negocion shpejtësinë më të lartë në kushte ideale mat zakonisht shumë nën gjysmën e saj, dhe më pak sapo shfaqen rrjetet fqinje.

Nëse tabela tregon radion, rregulloni së pari anën pa kabllo: brezi, gjerësia e kanalit, distanca. Nëse tregon poshtë radios, katër hapat vijues kanë rëndësi, dhe asnjë blerje antene nuk do ta ndryshojë këtë.

Hapi 2: Merrni një linjë bazë me kabllo përpara se të prekni radion

Vendoseni laptopin në Ethernet dhe matni së pari rrugën pa tunel, sepse kjo ju jep një emërues. Ekzekutoni mjetin e xhiros në anën tjetër, në VPS ose serverin shtëpiak që përfundon VPN-në, dhe drejtojeni klientin në adresën e tij publike që trafiku të kalojë përmes routerit dhe qarkut tuaj të aksesit.

# on the far host (VPN endpoint)
iperf3 -s

# wired client, direct to the endpoint's public address
iperf3 -c 203.0.113.10 -t 30

# same client, four parallel streams
iperf3 -c 203.0.113.10 -t 30 -P 4

Dy numra nga ai bllok u përgjigjen pyetjeve të ndryshme. Një rrjedhë tregon tavanin për lidhje, që përfshin sjelljen e dritares TCP dhe çdo formësim për rrjedhë në rrugë. Katër rrjedha tregojnë nëse lidhja ka kapacitet që nuk e përdorni, sepse rrjedhat paralele mund të mbushin një tub që një rrjedhë e vetme nuk e mbush.

Mbajeni me ndershmëri: i njëjti host, ora e ditës dhe kohëzgjatja, pa asgjë tjetër që transmeton në shtëpi. Një transferim masiv tridhjetë sekondash është njësia e duhur këtu, dhe RFC 6349, kuadri për testimin e xhiros TCP, bazohet pikërisht në atë arsyetim, sepse shpërthimet e shkurtra dhe kërkesat e vogla e lajkatëjnë një lidhje. Shkruani linjën bazë përpara se të ndryshoni diçka.

Hapi 3: Ekzekutoni të njëjtin test përmes tunelit

Tani përsëriteni kundrejt adresës së tunelit të pikës fundore, me të njëjtin klient, kohëzgjatje dhe numër rrjedhash, me tunelin lart dhe pa trafik tjetër. Raporti mes dy rezultateve ju thotë sa kushton kriptimi dhe inkapsulimi në atë hardware; numri absolut ju thotë nëse mjafton për punën.

Vëzhgoni numëruesit ndërsa transferimi ecën. Në WireGuard, wg show raporton bajtët e transferuar për çdo partner; në OpenVPN, një skedar statusi i shkruar në intervale ju jep të njëjtën pamje.

watch -n 1 'wg show wg0 transfer'
# OpenVPN: add --status /run/openvpn/server.status 10 to the server config
tail -f /run/openvpn/server.status

Nëse numri i tunelit është afër linjës bazë me kabllo, VPN-ja nuk është pengesa juaj dhe mund të hiqni dorë nga fajësimi i saj. Nëse është vetëm një pjesë e linjës bazë, humbja ndodhi brenda rrugës së kriptimit dhe përcjelljes së routerit, dhe hapi tjetër ju thotë cila pjesë.

Një paralajmërim: sapo ndryshon IP-ja e daljes, disa shërbime të testimit të shpejtësisë zgjedhin në heshtje një server tjetër matjeje, kështu që në fund krahasoni dy destinacione të ndryshme. Fiksoni ju vetë adresën e serverit.

Hapi 4: Lexojeni procesorin si rrugë, jo si mesatare

Një router që tregon 30 për qind procesor total mund të jetë ende i ngopur: puna e një tuneli zakonisht zbarkon në një bërthamë, një radhë ndërprerjesh ose një fije bërthame, kështu që mesatarja fsheh tavanin. Shikoni numrat për bërthamë dhe softirq në vend të matësit të panelit.

mpstat -P ALL 1
top -H -p $(pgrep -f 'openvpn')
grep -o -m1 aes /proc/cpuinfo

Tri gjëra kanë rëndësi në atë dalje. Një bërthamë e mbërthyer afër 100 për qind ndërsa të tjerat rrinë bosh tregon një kufi për lidhje. Një %soft i rëndë ose një ksoftirqd i zënë në një procesor tregon përpunim paketash në anën e marrjes që nuk shpërndahet nëpër radhë. Dhe mungesa e flamurit aes do të thotë se procesori nuk ka udhëzime AES, pra kriptimi simetrik ecën në softuer dhe kushton shumë më tepër për paketë.

Edhe zbatimi ka rëndësi. Një instancë tradicionale e OpenVPN në hapësirën e përdoruesit i përpunon paketat e një tuneli kryesisht në një vend, kështu që një kuti e shpejtë me shumë bërthama mund të sillet si njëbërthamëshe për atë tunel. WireGuard në kernel e shpërndan punën nëpër procesorë, dhe shkarkimi i kanalit të të dhënave të OpenVPN e zhvendos gjithashtu trajtimin e paketave në kernel, por vetëm në ndërtime dhe platforma që e mbështesin. Një pohim për përshpejtim hardware në faqen e marketingut nuk është provë që rruga e kodit që ekzekutoni e përdor atë.

Hapi 5: Vendosni çfarë të ndryshoni, në atë rend

Zbritni këtë listë dhe ndaloni në rreshtin e parë të vërtetë, sepse ndryshimi i çdo gjëje poshtë tij nuk e lëviz numrin.

1. Xhiroja e drejtpërdrejtë me kabllo është nën atë që paguani: flisni me ofruesin, sepse tuneli nuk mund të krijojë kapacitet që qarku i aksesit nuk e jep. 2. Me kabllo drejtpërdrejt është në rregull, por një bërthamë mbërthehet gjatë testit të tunelit: rruga kriptografike e routerit është kufiri. 3. Procesori është bosh, por tuneli është i ngadaltë: kontrolloni MTU dhe fragmentimin, pastaj kapacitetin e vetë pikës fundore të largët. 4. Janë të ngadaltë vetëm klientët Wi-Fi: ndryshoni brezin ose gjerësinë e kanalit, dhe pranoni që shpejtësia e reklamuar nuk ishte kurrë numër VPN.

Kur routeri është vërtet kufiri, opsionet e ndershme janë një pajisje me udhëzime AES dhe një rrugë përcjelljeje më të shpejtë, një tunel në anën e kernelit si WireGuard në vend të një në hapësirën e përdoruesit, ose zhvendosja e klientit në vetë pajisjen që routeri të mos kriptojë më. Fikja e kriptimit të autentikuar për të fituar një provë krahasuese nuk është një prej tyre; shkëmben një veti sigurie për një numër që gjithsesi nuk do të përputhet me kutinë.

Përpara se të blini diçka, ekzekutoni përsëri hapat 2 dhe 3 në pajisjen e re me të njëjtin server dhe kohëzgjatje, pastaj krahasoni raporte, jo maja.