Yönlendiricinizin Wi-Fi derecelendirmesi neden VPN verimini öngörmez

3,000 Mbps Wi-Fi etiketli bir yönlendirici bile şifreli trafiği bu sayının yalnızca küçük bir bölümü hızında taşıyabilir ve bu iki sayıdan hiçbiri yanıltıcı değildir. Radyo derecelendirmesi, yonga kümesinin desteklediği kablosuz bağlantının olası en iyi modülasyonunu anlatır; VPN sayısı ise tek bir cihazın şifreli paketleri yönlendiricinin işlemcisinden geçirip erişim hattınızın dışına ne kadar hızlı itebileceğini anlatır. Bunlar farklı katmanlar, farklı paket boyutları ve farklı ölçüm yöntemleridir. Kutudaki sayıyı kimsenin ulaşamadığı bir tavan olarak görün, tünelinizin hızına dair bir tahmin olarak değil.

Adım 1: Sayıyı sınırlayan dört katmanı haritalayın

Üzerinde çalıştığım yavaş yönlendirici şikayetlerinin neredeyse hepsi dört düzeyden birine düşer: kablosuz bağlantı, WAN erişim hızı, iletme yolu (NAT, güvenlik duvarı, bağlantı izleme) veya VPN şifreleme yolu. Bunlar üst üste yığılır ve en yavaş düzey sonucu belirler. Reklamı yapılan Wi-Fi hızı yalnızca birinci düzeyden söz eder ve ondan cömertçe söz eder.

Bu sayı, akış sayısının kanal genişliğiyle ve yonga kümesinin pazarlık edebileceği en yüksek modülasyonla çarpımından gelir. 5 GHz'de 80 MHz'de 1024-QAM'li 2x2 radyo 1,200 Mbps'e yakın reklam edilir, ancak Wi-Fi paylaşılan yarı çift yönlü bir ortamdır: istemciler sırayla çalışır, yeniden iletimler ve yönetim trafiği hava süresini yakar ve TCP kendi ek yükünü ekler. İdeal koşullarda en yüksek hızı pazarlık eden istemci genellikle bunun yarısının çok altında ölçer ve komşu ağlar göründüğünde daha da az.

Tablo radyoyu gösteriyorsa önce kablosuz tarafı düzeltin: bant, kanal genişliği, mesafe. Radyonun altını gösteriyorsa sonraki dört adım önemlidir ve ne kadar anten alırsanız alın bu değişmez.

Adım 2: Radyoya dokunmadan önce kablolu bir temel çizgi alın

Dizüstü bilgisayarı Ethernet'e bağlayın ve önce tünelsiz yolu ölçün, çünkü bu size bir bölen verir. Verim aracını karşı tarafta, VPN'i sonlandıran VPS veya ev sunucusunda çalıştırın ve istemciyi genel adresine yönlendirin, böylece trafik yönlendiricinizden ve erişim hattınızdan geçsin.

# on the far host (VPN endpoint)
iperf3 -s

# wired client, direct to the endpoint's public address
iperf3 -c 203.0.113.10 -t 30

# same client, four parallel streams
iperf3 -c 203.0.113.10 -t 30 -P 4

O bloktaki iki sayı farklı sorulara yanıt verir. Tek akış bağlantı başına tavanı gösterir; buna TCP penceresinin davranışı ve yoldaki her akışa özgü şekillendirme dahildir. Dört akış, bağlantıda kullanmadığınız kapasite olup olmadığını gösterir, çünkü paralel akışlar tek akışın dolduramadığı bir boruyu doldurabilir.

Dürüst tutun: aynı ana bilgisayar, günün saati ve süre, evde başka hiçbir şey akış yapmıyor. Otuz saniyelik toplu transfer burada doğru birimdir ve RFC 6349, TCP verim testinin çerçevesi, tam olarak bu mantığa dayanır, çünkü kısa patlamalar ve küçük istekler bir bağlantıya iltifat eder. Herhangi bir şeyi değiştirmeden önce temel çizgiyi yazın.

Adım 3: Aynı testi tünelden geçirerek çalıştırın

Şimdi bunu uç noktanın tünel adresine karşı yineleyin, aynı istemci, süre ve akış sayısıyla, tünel açık ve başka trafik yokken. İki sonuç arasındaki oran o donanımda şifreleme ve kapsüllemenin ne kadara mal olduğunu söyler; mutlak sayı iş için yeterli olup olmadığını söyler.

Transfer sürerken sayaçları izleyin. WireGuard'da wg show eş başına aktarılan baytları bildirir; OpenVPN'de aralıklarla yazılan durum dosyası aynı görünümü verir.

watch -n 1 'wg show wg0 transfer'
# OpenVPN: add --status /run/openvpn/server.status 10 to the server config
tail -f /run/openvpn/server.status

Tünel sayısı kablolu temel çizgiye yakınsa VPN sizin darboğazınız değildir ve onu suçlamayı bırakabilirsiniz. Temel çizginin yalnızca bir parçasıysa kayıp yönlendiricinin şifreleme ve iletme yolu içinde oluştu ve sonraki adım hangi bölümde olduğunu söyler.

Bir uyarı: çıkış IP'si değiştiğinde bazı hız testi hizmetleri sessizce başka bir ölçüm sunucusu seçer, bu yüzden sonunda iki farklı hedefi karşılaştırırsınız. Sunucu adresini kendiniz sabitleyin.

Adım 4: CPU'yu ortalama olarak değil, yol olarak okuyun

Toplam CPU'nun yüzde 30'unu gösteren bir yönlendirici yine de doygun olabilir: bir tünelin işi genellikle tek bir çekirdeğe, tek bir kesme kuyruğuna veya tek bir çekirdek iş parçacığına düşer, bu yüzden ortalama tavanı gizler. Gösterge panelindeki ölçüm cihazı yerine çekirdek başına ve softirq sayılarına bakın.

mpstat -P ALL 1
top -H -p $(pgrep -f 'openvpn')
grep -o -m1 aes /proc/cpuinfo

O çıktıda üç şey önemlidir. Bir çekirdeğin yüzde 100'e yakın sabitlenmesi ve diğerlerinin boşta olması bağlantı başına bir sınıra işaret eder. Ağır %soft veya tek bir CPU'da meşgul ksoftirqd, kuyruklara yayılmayan alım tarafı paket işlemeye işaret eder. Ve eksik aes bayrağı CPU'da AES komutları olmadığı anlamına gelir, bu yüzden simetrik şifreleme yazılımda çalışır ve paket başına çok daha pahalıdır.

Uygulama da önemlidir. Geleneksel kullanıcı alanı OpenVPN örneği bir tünelin paketlerini büyük ölçüde tek bir yerde işler, bu yüzden hızlı çok çekirdekli bir kutu o tünel için tek çekirdekli gibi davranabilir. Çekirdekteki WireGuard işi CPU'lara yayar ve OpenVPN'in veri kanalı boşaltması da paket işlemeyi çekirdeğe taşır, ancak yalnızca bunu destekleyen derlemelerde ve platformlarda. Pazarlama sayfasındaki donanım hızlandırma iddiası, çalıştırdığınız kod yolunun bunu kullandığının kanıtı değildir.

Adım 5: Neyi değiştireceğinize tam o sırayla karar verin

Bu listeyi aşağı doğru inin ve doğru olan ilk satırda durun, çünkü altındaki herhangi bir şeyi değiştirmek sayıyı hareket ettirmez.

1. Kablolu doğrudan verim ödediğinizin altındaysa sağlayıcıyla konuşun, çünkü tünel erişim hattının vermediği kapasiteyi yaratamaz. 2. Kablolu doğrudan iyiyse ama tünel testinde bir çekirdek sabitleniyorsa yönlendiricinin şifreleme yolu sınırdır. 3. CPU boştaysa ama tünel yavaşsa MTU ve parçalanmayı, ardından uzak uç noktanın kendi kapasitesini kontrol edin. 4. Yalnızca Wi-Fi istemcileri yavaşsa bandı veya kanal genişliğini değiştirin ve reklamı yapılan hızın hiçbir zaman bir VPN sayısı olmadığını kabul edin.

Yönlendirici gerçekten sınırsa dürüst seçenekler AES komutları ve daha hızlı iletme yolu olan bir cihaz, kullanıcı alanı yerine WireGuard gibi çekirdek tarafı bir tünel veya yönlendirici şifrelemeyi bıraksın diye istemciyi cihazın kendisine taşımaktır. Kimlik doğrulamalı şifrelemeyi bir kıyaslama testini kazanmak için kapatmak bunlardan biri değildir; bir güvenlik özelliğini hâlâ kutuyla eşleşmeyecek bir sayıyla değiştirir.

Bir şey satın almadan önce 2 ve 3 adımlarını aynı sunucu ve süreyle yeni cihazda yeniden çalıştırın, sonra tepe değerleri değil oranları karşılaştırın.