Come posso migliorare l'affidabilità OpenVPN su un collegamento ad alta latenza?

Stiamo eseguendo una VPN OpenVPN su un collegamento satellitare BGAN in cui i tempi di ping sono di circa 3 secondi. Lo usiamo in una configurazione tun e siamo in esecuzione su Linux (CentOS). È principalmente la posta elettronica che verrà inviata tramite il collegamento, ma non appena la posta contiene allegati di grandi dimensioni, la VPN sembra bloccarsi.

Il "posso ping attraverso il tunnel, ma qualsiasi vero lavoro induce a bloccarsi. E 'questo un problema di MTU?" domanda nelle FAQ di OpenVPN sembra descrivere esattamente il mio problema, ma l'utilizzo mssfixe fragmentancora non sembra fare molto per migliorare la situazione.

Il mio test principale è quello di copiare un file da 2 MB sulla VPN con scp . Copia circa 192kbyte e quindi segnala uno stato - bloccato . Se aspetto un paio di secondi, ricomincerà a copiare e poi si fermerà di nuovo dopo un altro paio di kbyte.

Questo stallo si verifica indipendentemente dal fatto che abbia impostato fragmento meno le mssfixopzioni o nella mia configurazione OpenVPN (sebbene l'impostazione fragment 1000sembrasse ridurre lo stallo, ma non eliminarlo). OpenVPN ha mtu-testsegnalato 1542 come dimensione MTU.

Ho cercato su Internet ulteriori consigli su come e quando utilizzare mssfixe fragment, ma trovo solo pagine che dicono lo stesso delle FAQ e non forniscono dettagli su come e quando utilizzare quali parametri.

Le mie domande quindi sono:

• Quando uso mssfixe fragment?
• Uso mssfixe fragmentin combinazione?
• Se mssfixe fragmentsono la soluzione, quali sono i tun-mtu, link-mtue mtu-discparametri per?

Inoltre, sto usando lo strumento iperf per misurare la larghezza di banda. Senza VPN, misura costantemente nell'ordine di 210Kbit / sec.

Quando si utilizza iperf su VPN ( $ iperf -c remoteserver -t60 -i5), si avvia a 10 Kbit / sec, quindi si alza costantemente fino a quando non segnala 1,2 Mbit / sec, e quindi sembra bloccarsi, dove segnala 0 kbit / sec per un numero di iterazioni (I pensa che i 1.2Mbit / sec potrebbero essere dovuti ad alcuni buffer OpenVPN o simili)

Iperf è il modo migliore per misurare la larghezza di banda?

Qualsiasi aiuto in questa situazione sarà molto apprezzato.

1542 come MTU? Non ne ho mai sentito parlare per un collegamento WAN. Di solito, MTU è il carico utile massimo, la dimensione del pacchetto ip meno l'intestazione per IP (20 byte) e ICMP (8 byte). Ciò significa MTU = 1500 per una LAN Ethernet tradizionale. Inoltre, la maggior parte delle VPN introduce un overhead per l'incapsulamento dei pacchetti. Una MTU VPN tipica è 1400.

Nelle reti moderne, è difficile concludere quale sarà l'MTU in qualsiasi momento, poiché i percorsi di ingresso e uscita possono essere diversi e possono anche cambiare a causa del reinstradamento automatico del percorso. Per una rete come questa, potrebbe essere più efficace impostare l'MTU basso sugli host che si trovano su entrambi i lati del collegamento VPN, come 576.

MSS (dimensione massima del segmento) è MTU meno le intestazioni IP + TCP (40 byte). Questo è in genere negoziato dallo stack di rete e di solito non presenta gli stessi problemi di negoziazione di MTU, a meno che MTU non sia errato. (La negoziazione MTU è generalmente compromessa dall'ICMP bloccato o dai router black hole).

La prima cosa che farei è fare un'acquisizione di pacchetti di rete sull'estremità di invio e ordinare il display in base alla dimensione del frame (potrebbe essere necessario aggiungere questa colonna in Wireshark). Dovresti verificare che non stai inviando frame troppo grandi, come ti aspetteresti che siano. Non è insolito per le moderne schede di rete inviare frame di grandi dimensioni se sono abilitate opzioni come Offload invio di grandi dimensioni o Jumbo Frame. Ho visto oltre 30.000 frame di byte quando queste opzioni sono abilitate.

Solo per curiosità, hai provato ad abbassare l'MTU dell'interfaccia di rete? Forse il collegamento via satellite rovina gravemente la frammentazione. Come nota controintuitiva, potresti voler provare openvpn su TCP per una modifica. So che dovrebbe diminuire le prestazioni, ma se non hai alcun controllo sulla frammentazione lungo la linea, potrebbe aiutarti.

Quando si utilizza TCP, aumentare le dimensioni della finestra di TCP; questo aiuterà con il "numero di pacchetti nell'aria".

È passato un po 'di tempo da quando ho dovuto giocare con queste cose, ma ecco un link trovato da Google per me.

Dopo aver riletto la tua domanda, vedo che stai eseguendo BGAN: darei una buona occhiata a questo (o semplicemente google per: "spoofing BGAN").

Per quanto riguarda la misurazione della larghezza di banda, ho scoperto che l'iperf è abbastanza decente fintanto che stai utilizzando pacchetti di dimensioni ragionevoli.

Penso che potresti abbaiare all'albero sbagliato. Ogni volta che ho avuto problemi MTU sbagliati, il traffico si è fermato molto prima di 192 KB. Penso che sia più correlato ad alcuni nella finestra "in pacchetti di volo", o nella finestra TCP, o forse in alcuni buffer nell'uplink satellitare stesso.

Sicuramente fare alcune catture lungo a pacchetto (sia 'dentro' e 'fuori' del VPN) e vedere se stai ricevendo tutte le ACK's