Làm cách nào để cải thiện độ tin cậy của OpenVPN qua liên kết có độ trễ cao?

Chúng tôi đang chạy VPN OpenVPN qua liên kết vệ tinh BGAN trong đó thời gian ping khoảng 3 giây. Chúng tôi sử dụng nó trong một tun cấu hình, và chúng tôi đang chạy trên Linux (CentOS). Đây chủ yếu là email sẽ được gửi qua liên kết, nhưng ngay khi thư chứa tệp đính kèm lớn, VPN dường như bị đình trệ.

Các "Tôi có thể ping thông qua đường hầm, nhưng bất kỳ công việc thực tế làm cho nó bị khóa. Đây có phải là một vấn đề MTU?" câu hỏi trong Câu hỏi thường gặp về OpenVPN dường như mô tả chính xác vấn đề của tôi, nhưng sử dụng mssfixvà fragmentdường như vẫn không làm được gì nhiều để cải thiện tình hình.

Thử nghiệm chính của tôi là sao chép tệp 2MB qua VPN bằng scp . Nó sẽ sao chép khoảng 192 nghìn, và sau đó báo cáo trạng thái - bị đình trệ . Nếu tôi đợi một vài giây, nó sẽ bắt đầu sao chép lại, và sau đó bị đình trệ sau một vài kbyte khác.

Việc đình trệ này xảy ra cho dù tôi có đặt các tùy chọn fragmenthoặc mssfixcấu hình trong cấu hình OpenVPN của mình hay không (mặc dù cài đặt fragment 1000dường như làm giảm sự đình trệ, nhưng không loại bỏ nó). OpenVPN mtu-testđã báo cáo 1542 là kích thước MTU.

Tôi đã tìm kiếm trên internet để có thêm lời khuyên về cách sử dụng mssfixvà thời điểm sử dụng và fragment, nhưng tôi chỉ tìm thấy các trang có nội dung giống như Câu hỏi thường gặp và không cung cấp chi tiết về cách thức và thời điểm sử dụng tham số nào.

Câu hỏi của tôi là:

• Khi nào tôi sử dụng mssfixvà fragment?
• Tôi có sử dụng mssfixvà fragmentkết hợp không?
• Nếu mssfixvà fragmentlà giải pháp, là những gì tun-mtu, link-mtuvà mtu-disccác thông số cho?

Hơn nữa, tôi đã sử dụng công cụ iperf để đo băng thông. Không có VPN, nó liên tục đo theo thứ tự 210Kbit / giây.

Khi sử dụng iperf qua VPN ( $ iperf -c remoteserver -t60 -i5), nó sẽ bắt đầu với tốc độ 10Kbits / giây, sau đó tăng dần cho đến khi báo cáo 1,2Mbits / giây, và sau đó nó sẽ bị đình trệ, nơi nó báo cáo 0kbits / giây cho một số lần lặp (I nghĩ rằng 1,2Mbit / giây có thể là do một số bộ đệm OpenVPN hoặc như vậy)

Là iperf cách tốt nhất để đo băng thông?

Bất kỳ trợ giúp với tình huống này sẽ được đánh giá rất cao.

1542 là một MTU? Chưa bao giờ nghe về điều đó cho một liên kết WAN. Thông thường, MTU là tải trọng tối đa, kích thước gói ip trừ đi tiêu đề cho IP (20 byte) và ICMP (8 byte). Điều đó có nghĩa là MTU = 1500 cho mạng LAN Ethernet truyền thống. Hơn nữa, hầu hết các VPN đều giới thiệu một chi phí chung cho việc đóng gói gói của họ. Một MTU VPN thông thường là 1400.

Trong các mạng hiện đại, rất khó để kết luận MTU sẽ là gì vào bất kỳ lúc nào, vì đường vào và đường ra có thể khác nhau và chúng cũng có thể thay đổi do định tuyến lại đường dẫn tự động. Đối với một mạng như thế này, có thể hiệu quả hơn khi đặt MTU ở mức thấp trên các máy chủ của bạn ở hai bên của liên kết VPN, chẳng hạn như 576.

MSS (kích thước phân đoạn tối đa) là MTU trừ đi các tiêu đề IP + TCP (40 byte). Điều này thường được đàm phán bởi ngăn xếp mạng và thường không có các vấn đề đàm phán giống như MTU, trừ khi MTU sai. (Đàm phán MTU thường bị suy yếu bởi các bộ định tuyến ICMP hoặc lỗ đen bị chặn).

Điều đầu tiên tôi sẽ làm là thực hiện một gói chụp mạng ở đầu gửi của bạn và sắp xếp màn hình theo kích thước khung hình (bạn có thể cần thêm cột này trong Wireshark). Bạn nên xác minh rằng bạn không gửi bất kỳ khung hình nào quá khổ, những gì bạn mong đợi chúng sẽ là. Không có gì lạ khi các card mạng hiện đại gửi các khung quá khổ nếu các tùy chọn như Large Send Offload hoặc Jumbo Frames được bật. Tôi đã thấy hơn 30.000 khung byte khi các tùy chọn này được bật.

Vì tò mò, bạn đã thử hạ MTU của giao diện mạng chưa? Có lẽ các liên kết vệ tinh vít lên phân mảnh xấu. Là một ghi chú phản trực quan, bạn có thể muốn thử openvpn qua TCP để thay đổi. Tôi biết nó sẽ làm giảm hiệu suất, nhưng nếu bạn không kiểm soát được sự phân mảnh dọc theo dòng thì nó có thể hỗ trợ bạn.

Khi bạn sử dụng TCP, hãy tăng kích thước cửa sổ của TCP; điều này sẽ giúp với "số lượng gói trong không khí".

Đã được một thời gian kể từ khi tôi phải chơi với những thứ này, nhưng đây là một liên kết google tìm thấy cho tôi.

Sau khi tôi đọc lại câu hỏi của bạn, tôi thấy bạn đang chạy BGAN - Tôi sẽ có một cái nhìn tốt về điều này (hoặc chỉ cần google cho: "giả mạo BGAN").

Về đo lường băng thông, tôi đã thấy iperf khá tốt miễn là bạn đang sử dụng kích cỡ gói hợp lý.

Tôi nghĩ rằng bạn có thể đang sủa sai cây. Bất cứ khi nào tôi gặp sự cố MTU sai, lưu lượng truy cập đã dừng trước 192KB. Tôi nghĩ rằng nó liên quan nhiều hơn đến một số trong cửa sổ "trong gói bay", hoặc cửa sổ TCP hoặc có thể một số bộ đệm trong chính đường lên vệ tinh.

Chắc chắn làm một số ảnh chụp gói dài (cả 'bên trong' và 'bên ngoài' của VPN) và xem nếu bạn đang nhận được tất cả các ACK's