Объединение 2 шлюзов FreeBSD через OpenVPN в несколько экземпляров

Как быть с клиентской стороной?

Что-то мешает аналогично на клиентской стороне объединить два tap?

Не знаю, как в FreeBSD, для линуксов есть MultipathTCP и MultipathUDP, которые позволяют баланисровать один тоннель на несколько линков. Скорее всего, нечто подобное нужно и вам. То есть распределение должно быть на уровне несущих линков, а тоннель должен быть представлен одним интерфейсом, по которому уже и получите выигрыш.

С другой стороны, в сам OpenVPN я слабо верю - идея хорошая, но реализация страдает из-за постоянных context switching'ов между ядром и userspace (демон в пользовательском режиме работает).

Один экземпляр OpenVPN упрётся в одно ядро процессора, плюс ещё и шифрование. Запусти несколько экземпляров и сделай поверх них бондинг. Олсо, IPSec у нас показал лучшие результаты в такой ситуации, чем OpenVPN.

Upd. а, до бондинга ты сам дошёл. Тогда что ты подразумеваешь под «клиентом»? Два шлюза, между ними несколько тоннелей (IPSec или OpenVPN), поверх этих тоннелей делаешь виртуальный тоннель, то бишь бондинг, он на обеих сторонах настраивается, иначе не работает.

поднял 2 tap-соединения между клиентом и сервером, траффик шел только через один tap-интерфейс, объединил в LAGG - вообще перестало ходить. Куда копать?

подскажи как на фряхе корректно объединять tap-интерфейсы, буду крайне признателен.

настраиваю GRE+IPSec в качестве альтернативы, но хочется это всё-таки настроить. Есть вариант запуска экземпляров OpenVPN с привязкой к ядру.

объединил в LAGG

Как объединил? На обеих сторонах настроил? Догадался для разных tap-интерфейсов разные сети выбрать?

поднял 2 tap-соединения между клиентом и сервером, траффик шел только через один tap-интерфейс

1) добейся того, чтобы у тебя оба tap-соединения работали;
2) что вообще в твоей терминологии клиент и сервер? Изобрази уже схему сети.

″ifconfig lagg0 create″

″ifconfig lagg0 laggproto roundrobin laggport tap0 laggport tap1 up″

Ну там ip-адрес назначить.

Только не понятно, что значит:

траффик шел только через один tap-интерфейс

Второй tap-интерфейс был не рабочий, или просто туда маршрута не было?

без объединения в lagg оба tap-интерфейса пашут. Объединяю в lagg - lagg-интерфейсы на сервере и клиенте видят друг друга, но траффик дальше не идет. Вероятно косяк с маршрутами. сетка 172.168.1.0/24. На шлюзе, который как openvpn server:

tap0: flags=8943<UP,BROADCAST,RUNNING,PROMISC,SIMPLEX,MULTICAST> metric 0 mtu 1500 options=80000<LINKSTATE> ether 00:bd:d6:5a:a0:00 inet 172.168.1.248 netmask 0xffffff00 broadcast 172.168.1.255 nd6 options=21<PERFORMNUD,AUTO_LINKLOCAL> media: Ethernet autoselect status: active Opened by PID 12642

tap1: flags=8943<UP,BROADCAST,RUNNING,PROMISC,SIMPLEX,MULTICAST> metric 0 mtu 1500 options=80000<LINKSTATE> ether 00:bd:d6:5a:a0:00 inet 172.168.1.249 netmask 0xffffff00 broadcast 172.168.1.255 nd6 options=21<PERFORMNUD,AUTO_LINKLOCAL> media: Ethernet autoselect status: active Opened by PID 12802

lagg0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 options=80000<LINKSTATE> ether 00:bd:d6:5a:a0:00 inet 10.10.10.10 netmask 0xffffff00 broadcast 10.10.10.255 nd6 options=29<PERFORMNUD,IFDISABLED,AUTO_LINKLOCAL> media: Ethernet autoselect status: active laggproto roundrobin lagghash l2,l3,l4 laggport: tap1 flags=4<ACTIVE> laggport: tap0 flags=4<ACTIVE>

на клиенте openvpn: tap0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 options=80000<LINKSTATE> ether 00:bd:3e:06:6d:00 inet 172.168.1.245 netmask 0xffffff00 broadcast 172.168.1.255 nd6 options=21<PERFORMNUD,AUTO_LINKLOCAL> media: Ethernet autoselect status: active Opened by PID 46838

tap1: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 options=80000<LINKSTATE> ether 00:bd:3e:06:6d:00 inet 172.168.1.246 netmask 0xffffff00 broadcast 172.168.1.255 nd6 options=21<PERFORMNUD,AUTO_LINKLOCAL> media: Ethernet autoselect status: active Opened by PID 46969

lagg0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 options=80000<LINKSTATE> ether 00:bd:3e:06:6d:00 inet 10.10.10.11 netmask 0xffffff00 broadcast 10.10.10.255 nd6 options=29<PERFORMNUD,IFDISABLED,AUTO_LINKLOCAL> media: Ethernet autoselect status: active laggproto roundrobin lagghash l2,l3,l4 laggport: tap1 flags=4<ACTIVE> laggport: tap0 flags=4<ACTIVE>

lagg-интерфейсы на сервере и клиенте видят друг друга

Если это означает, что с openvpn server'а пинг на 10.10.10.11 проходит успешно, при этом во время пинга растут счётчики интерфейсов (″systat -ifstat″), то lag-интерфейс работает. И тогда нужно искать проблему в другом — маршрутах, файерволе, может ещё в чём.