OpenVPN замедляет работу по сети LAN

Никак. OpenVPN медленный.

что-то у меня не сходится. А зачем на клиентах локальной сети (всех) vpn клиенты?

OpenVPN медленный

Вообще не сказал бы. Мы в half-life / Quake 3 играли как-то через сеть OpenVPN - вроде никто не жаловался.

Тесты.

Там, правда, на клиентах Windows, но алгоритмы от этого не меняются.

half-life / Quake 3 играли как-то через сеть OpenVPN

Такой себе тест. Для HL/Q3 нужен быстрый пинг, а не скорость.

А, я не увидел вопрос. У тебя вопрос в том, как роутинг настроить, чтобы в VPN не попадал, а не как VPN ускорить.

Роутинг выглядит нормально. ICMP тоже через VPN ходит? traceroute 192.168.0.111 как выглядит?

Это удалённый розничный магазин, на котором стоит две кассы. Они подключаются к OpenVPN и заходят по RDP на сервер. Обоим кассам это нужно, чтобы на роутере не настраивать подключение и не менять оборудование. Скорость по туннелю меня устаивает, для RDP хватает, но приколы начинаются при передачи файлов между этими кассами. Почему всё уходит в туннель, а не напрямую.

Вот traceroute, как бы всё логично выглядит.

C:\Users\Mag099>tracert 192.168.0.111

Трассировка маршрута к Kassa1 [192.168.0.111]
с максимальным числом прыжков 30:

  1    <1 мс    <1 мс    <1 мс  Kassa1 [192.168.0.111]

Трассировка завершена.

Это, в общем-то, чудеса, потому что ICMP инкапсулируется в тот же самый протокол IP, что и TCP, и если ICMP ходит напрямую, то и TCP должен ходить напрямую.

C:\Users\Mag099

Спроси на профильном форуме тогда, со стороны Linux всё настроено корректно.

Тесты https://community.openvpn.net/openvpn/wiki/PerformanceTestingOpenVPN

The test run we did following this guide gave us these results:

Direct TCP connection without VPN: close to 7Gbit/sec

OpenVPN 3 Windows reference client, using wintun: 904 Mbit/sec

OpenVPN 2 Windows client, using wintun: 737 Mbit/sec

OpenVPN 3 Windows reference client, using tap-windows6: 652 Mbit/sec

OpenVPN 2 Windows client, using tap-windows6: 414 Mbit/sec

Фигасе, как порезало. Я на таких скоростях не тестил, но выглядит как-то фантастически.

Ты ещё ccd покажи, вдруг там где опция закралась типа этой

https://serverfault.com/questions/480069/how-to-force-all-traffic-through-vpn
redirect-gateway def1

хехе, в точку

Нашёл проблемы:

1. OpenVPN
2. data-ciphers AES-128-GCM:AES-256-CBC

И если первое нужно заменить года так с 2019 обязательно на Wireguard, то второе можно переключить, например, на сломанные шифры. Или патчем xorить

А как вы определили, что трафик идёт в тунель? Вобще не понятно, как у вас пакет на 192.168.0.111 может пройти через OpenVPN. Вы же на нём, скорее всего, iroute не прописывали? Сервер не знает где 192.168.0.111.

В том то и дело, что в туннеле нет такой адресации, там только 10.10.0.0/24 и 10.100.0.0/16 Определил так:

1. Когда начинаешь передавать файлы, скорость падает до 1 Мбита.
2. В счётчике пакетов сетевого подключения VPN идёт передача.
3. Поставил OpenVPN Connect GUI v3 для Windows и там на красивом графике видно, что идёт передача данных.
4. На самом pfSense нахожу клиента в списке подключённых и его трафик увеличивается.

Стоит отключить одного из этих клиентов kassa1 или kassa2 от OVPN и всё приходит в норму, что логично, больше пакетам некуда идти. Такая проблема у меня на двух разных магазинах, находящихся в двух разных городах и ведут они себя одинаково, проблема одна и та же.

Вчера попытался повторить эксперимент и собрал у себя в офисе тестовый стенд из таких же двух касс, с тем же образом Windows и теми же самыми конфигурационными файлами OVPN с проблемного магазина, но у меня этой проблемы почему то нет.

Сейчас думаю, что последнее отличие между моим тестовым стендом и магазином было в роутерах. На магазине стоят TP-Link 841, а у меня на тестовом стенде был Huawei b315, а у него по умолчанию адресация сети LAN 192.168.8.0, а не 192.168.0.0.

У тебя домен есть? Как вариант, кассы регистрируются в домене с vpn-адресами, и когда ты обращаешься к ним по имени, весь траффик идёт через vpn.

зайти через проводник по IP 192.168.0.111,

Ну то есть не должно быть.

Домен вообще есть, но магазины и кассы к нему не подключены. Когда собирал стенд, специально взял роутер Huawei c 4G, чтобы с офисной сетью никаким образом не пересекалось. А теперь и думаю, что именно поэтому тестирование вышло не идеальным и не все условия удалось повторить.