Тормозной OpenVPN

Шифрование на таком дохлом процессоре никогда не будет работать быстро.

Если верить openwrt Asus RT-N66U «Broadcom BCM5300 chip rev 1 pkg 0 (MIPS 74K V4.9)@ 600 Mhz» не совсем дохлятик.

Есть подозрение, что проблема с PMTU. tracepath с обоих сторон посмотреть бы.

не совсем дохлятик.

Да нет, совсем. Даже на нормальных серверах скорость с шифрованием и без может отличаться в десять раз.

Полезная ссылка: https://community.openvpn.net/openvpn/wiki/Gigabit_Networks_Linux

ИМХО, стоит попробовать для теста запустить openvpn вообще нбез шифрования и авторизации. Будет понятно на сколько именно шифрование снижает скорость.

Про гигабит и так понятно - неосилит, а 10-20 мбит/с не должно быть проблем с CPU

А попробовать сравнить разные типы шифрования было неплохо.

и еще - нет ли где по пути этого vpn перегруженного линки или шейпера ? дропы для udp должны сильно влиять на скорость.

Я бы попробовал на tcp переключить и сравнить.

TCP

С клиента (Win 8.1, mturoute):

D:\Progs>mturoute.exe 192.168.255.2
* ICMP Fragmentation is not permitted. *
* Speed optimization is enabled. *
* Maximum payload is 10000 bytes. *
+ ICMP payload of 1472 bytes succeeded.
- ICMP payload of 1473 bytes is too big.
Path MTU: 1500 bytes.

vit ~ $ tracepath 192.168.255.20
 1?: [LOCALHOST]                                         pmtu 1500
 1:  192.168.255.20                                      155.371ms reached
 1:  192.168.255.20                                      153.564ms reached
     Resume: pmtu 1500 hops 1 back 128

Чуть позже попробую TCP.

Попробовал выключить всё: tls-auth, компрессию, шифрование и переключиться на TCP - всё стало ещё тупее. Скорость упала до 0.2Mbps. С UDP было где-то 0.3. При этом прямое подключение на проброшенный порт даёт ~3MBps.

Ещё советы? Может ли быть это связано с большим числом соединений, открытых на маршрутизаторе (через него на сервер постоянно качаются торренты и количество соединений мной специально не лимитировалось).

udp, отключать была очень плохая идея.

Ещё про MTU: у меня подключение к интернету - GPON с PPPoE (поднимается маршрутизатором). Там в настройках MTU уже 1492. Это как-то повлияет? Я пробовал менять MTU - особенно не помогало.

С выключенным всем и UDP получается ~0.5 MBps, чуть выше, похоже, чем c шифрованием, но это капля в море, всё равно в 6 раз медленнее.

тестировать нужно на пустом канале, а не с торрентом за компанию.

т.е. у тебя по пути еще есть какой-то роутер с gpon (на «Asus RT-N66U» нет оптики).

Я бы взял какой-нибудь комп/ноут с линуксом. Настроил бы на нем openvpn-сервер и подключил бы к нему твой «Asus RT-N66U» и посмотрел бы скорость. на 95% уверен, что скорость будет больше 3Мбит/с.

Что за железяка с gpon ?

Итак схема подключения такая:

 сервер с Linux -(1Gbps)-> RT-N66U (OpenVPN сервер) -(1Gbps)-> Eltex NTP-RG-1402W -(оптика)-> Ростелеком -> ноутбук в гостинице (Open VPN клиент)

А почему именно сервер настраивать в сети? Я же могу поставить OpenVPN клиент на свой «сервер с Linux» и потестировать с него. Наверно так и сделаю. Просто не очень хотелось ставить iperf на RT-N66U.

Пусти IPsec в транспортном режиме.

Сделал iperf внутри домашней сети - 16Mbit (т.е. 2MBps). Правда на сервере стоял TUN, а не TAP, но, думаю, это не большая разница, с учётом того, что проц нагружается на 80% шифрованием, а на остальные 20% сервером iperf. Снаружи так и не поднимается выше 0.5MBps.

Если IPsec вместо OpenVPN - не получится, роутер не умеет его просто так, надо ставить optware, думаю, что не очень бы хотелось.

т.е. проблема в свойствах канала.

Я бы начал с определения MTU между openvpn клиентом и сервером (т.е. когда тунель не поднят)

Я бы попытался объяснить openvpn, что канал с MTU < 1500 через указание MTU для tun/tap, «mtu-disc no|yes», «fragment» и т.п.

Ну, в общем, можете считать меня ИКСПЕРТОМ тут.

В конфиг сервера добавьте:

fast-io
txqueuelen 250
sndbuf 393216
rcvbuf 393216
push "sndbuf 393216"
push "rcvbuf 393216"

OpenVPN в Tomato должен выдавать ~20Mbit/s с AES-128-CBC и MD5 в качестве HMAC на вашем роутере.

Надо еще заметить, что, по какой-то причине, OpenVPN на роутерах обычно очень тормозной (на DD-WRT и OpenWRT). На моем роутере (TP-LINK TL-WDR4300) что с шифрованием 10Мбит/с, что без, выше практически не поднимается. Я подозреваю, что это из-за того, что openssl и openvpn собирают с оптимизациями по размеру, а не по производительности. В Tomato же, вроде как, нормально собрали.

Ого :) спасибо, попробую.

Я вот думал ещё по приезду Асус-Мерлина попробовать. Стоит?

Не знаю, не пользовался, не подскажу.

Сегодня протестил у себя, сабж действительно работает.

http://habrahabr.ru/post/246953/

Кстати не знаешь можно ли как-нибудь в Network manager'е txqueuelen, sndbuf, sndbuf, explicit-exit-notify, hand-window выставлять? Там ведь формат конфига несколько отличается.

Не знаю. Когда мне нужен был IPv6, а его поддержки в плагине для NM еще не было, я его патчил. Вероятно, тут тоже надо сделать патч. Возможно, я просто добавлю редактируемое поле в интерфейс, чтобы можно было дополнять строку запуска, но это будет после нового года.