วิธีปรับ OpenVPN เพื่อเพิ่มประสิทธิภาพ

OpenVPN ใช้งานกันมานานมาก และมาพร้อมรายการตัวเลือกยาวเหยียด ซึ่งเป็นทั้งพรและกับดัก เว็บบอร์ดเต็มไปด้วยส่วนของไฟล์ตั้งค่าที่ปรับสิบกว่าอย่าง คัดลอกจากการตั้งค่าหนึ่งไปอีกอันโดยไม่มีใครวัดว่าช่วยจริงหรือไม่ การปรับส่วนใหญ่ไม่ทำอะไร บางอย่างเป็นอันตราย และมีเพียงไม่กี่อย่างที่เปลี่ยนประสิทธิภาพจริง

บทความนี้ครอบคลุมพื้นฐานการปรับประสิทธิภาพ OpenVPN ว่าอะไรจำกัดความเร็วจริง ค่าไหนคุ้มที่จะแตะ ตามลำดับใด และตรวจอย่างไรว่าการเปลี่ยนช่วยได้ เหมาะกับคนที่ควบคุมไฟล์ตั้งค่าของตัวเอง เช่นเซิร์ฟเวอร์ที่ติดตั้งเองหรือไฟล์ตั้งค่าที่ได้รับมา และช่วยให้ทุกคนเข้าใจว่าทำไมโปรโตคอลเดียวกันจึงรู้สึกเร็วในการตั้งค่าหนึ่งและช้าในอีกแบบ บทความไม่ได้อ้างว่าบริการใดใช้ OpenVPN ถ้าคุณใช้แอปสำหรับผู้บริโภคที่ซ่อนตัวเลือกเหล่านี้ แนวทางที่สมเหตุสมผลคือใช้ค่าเริ่มต้นของแอป และบทเรียนทั่วไปในที่นี้ยังอธิบายได้ว่าเกิดอะไรขึ้น ถ้าเพิ่งรู้จักโปรโตคอลนี้ เริ่มที่ OpenVPN คืออะไร

วัดก่อน ปรับทีหลัง

การปรับโดยไม่วัดคือการเดา ก่อนเปลี่ยนอะไร ให้เก็บค่าฐานก่อน

1. ต่อด้วยสายถ้าทำได้ และปิดแอปเบื้องหลัง
2. จดความเร็วดาวน์โหลดและอัปโหลดสามครั้ง แล้วเอามัธยฐาน
3. จดความหน่วงขณะว่างด้วย ping หนึ่งร้อยครั้ง และจดช่วงเป็น jitter กับการสูญหาย
4. จดความหน่วงขณะมีการดาวน์โหลดไฟล์ใหญ่
5. ดูการใช้โปรเซสเซอร์ของอุปกรณ์ที่รันอุโมงค์
6. จดทั้งหมดพร้อมวันที่ เวลา และเซิร์ฟเวอร์

ตัวเลขโปรเซสเซอร์สำคัญกว่าที่คนคิด เส้นทางข้อมูลของ OpenVPN แต่เดิมทำงานบนเธรดเดียว แกนโปรเซสเซอร์หนึ่งแกนจึงกลายเป็นตัวจำกัดขณะที่แกนอื่นว่าง ถ้าแกนนั้นเต็ม การตั้งค่าเครือข่ายใดก็ช่วยไม่ได้ คุณต้องการแกนที่เร็วกว่า รหัสลับที่เบากว่า หรือฮาร์ดแวร์ช่วยเข้ารหัส คู่มือ วิธีทดสอบ VPN ครอบคลุมด้านการวัดโดยละเอียด

ค่าที่ 1 การส่งแบบ UDP หรือ TCP

OpenVPN ส่งอุโมงค์ผ่าน UDP หรือ TCP ได้ นี่คือการเลือกที่ใหญ่ที่สุด

• UDP ส่งแพ็กเก็ตโดยไม่มีการส่งซ้ำของตัวเอง ทำให้ความหน่วงต่ำและเลี่ยงปัญหา TCP-over-TCP
• TCP เชื่อถือได้ แต่การห่ออุโมงค์ที่ตัวมันเองก็ขนทราฟฟิก TCP อยู่ อาจทำให้เกิดการส่งซ้ำซ้อนและช้าลงฮวบเมื่อแพ็กเก็ตหาย

เมื่อมีทั้งสองแบบ UDP มักเป็นตัวเลือกที่ดีกว่าเรื่องความเร็วและการตอบสนอง TCP ส่วนใหญ่เป็นตัวสำรองสำหรับเครือข่ายที่บล็อกหรือรบกวน UDP การเปรียบเทียบเต็มรวมถึงเมื่อใดที่ TCP เป็นคำตอบอยู่ที่ OpenVPN TCP กับ UDP

กฎปฏิบัติ ถ้าการเชื่อมต่อของคุณใช้ TCP และรู้สึกอืด โดยเฉพาะเมื่อมีแพ็กเก็ตหาย ให้ลอง UDP ก่อนแตะอย่างอื่น

ค่าที่ 2 ขนาดแพ็กเก็ต MTU และ mssfix

ทุกลิงก์ในเครือข่ายมีขนาดแพ็กเก็ตสูงสุด อุโมงค์เพิ่มส่วนหัวของตัวเอง ขนาดแพ็กเก็ตใหญ่สุดที่แอปส่งได้ภายในอุโมงค์จึงเล็กกว่าปกติ ถ้าแพ็กเก็ตใหญ่เกิน ต้องถูกแบ่งซึ่งเสียประสิทธิภาพ หรือถูกทิ้งซึ่งทำให้สะดุด กลไกค้นหาขนาดที่ใช้ได้ใหญ่สุดตลอดเส้นทางอธิบายไว้ใน RFC 1191 แต่ต้องอาศัยความร่วมมือของทุกอุปกรณ์บนเส้นทาง และบางเครือข่ายกรองข้อความที่มันใช้

อาการของปัญหาขนาดแพ็กเก็ต

• บางเว็บโหลดไม่ครบ หรือค้างหลังส่วนแรกของหน้า ขณะที่เว็บอื่นปกติ
• การอัปโหลดไฟล์ใหญ่ค้างขณะที่ไฟล์เล็กสำเร็จ
• ความเร็วต่ำกว่าที่คาดมากโดยไม่มีคำอธิบายจากโปรเซสเซอร์หรือเครือข่าย

วิธีแก้ที่ใช้บ่อยคือคำสั่งในไฟล์ตั้งค่า

• mssfix สั่งอุโมงค์จำกัดขนาดส่วนข้อมูล TCP ของทราฟฟิกที่ผ่าน เพื่อให้แพ็กเก็ตพอดีโดยไม่แตกชิ้น แนวทางทั่วไปคือตั้งค่าเป็นค่าระมัดระวัง เช่น 1400 แล้วทดสอบ
• tun-mtu ตั้งขนาดแพ็กเก็ตของอินเทอร์เฟซ การเปลี่ยนค่านี้มักจำเป็นน้อยกว่า mssfix
• fragment ให้ตัวอุโมงค์แบ่งแพ็กเก็ต UDP ใหญ่เอง ใช้ได้เฉพาะบน UDP และเพิ่มโอเวอร์เฮด จึงถือเป็นทางเลือกสุดท้าย

ทดสอบทีละค่า ถ้าการลด mssfix แก้หน้าเว็บที่ค้างโดยความเร็วไม่เสีย ก็เก็บไว้ ถ้าช้าลงก็ย้อนกลับ อย่าลดขนาดแพ็กเก็ตมากกว่าที่จำเป็น เพราะแพ็กเก็ตเล็กลงหมายถึงโอเวอร์เฮดต่อไบต์ที่มากขึ้น

ค่าที่ 3 รหัสลับและต้นทุนโปรเซสเซอร์

การเข้ารหัสใช้เวลาประมวลผล และรหัสลับที่เลือกมีผลว่าใช้เท่าไร การตั้งค่าสมัยใหม่พบสองตระกูลใหญ่

• AES โหมด GCM เร็วบนโปรเซสเซอร์ที่มีตัวเร่ง AES ในตัว ซึ่งรวมแล็ปท็อป โทรศัพท์ และเซิร์ฟเวอร์สมัยใหม่ส่วนใหญ่
• ChaCha20-Poly1305 ออกแบบให้เร็วบนซอฟต์แวร์ จึงอาจเป็นตัวเลือกที่ดีกว่าบนอุปกรณ์ที่ไม่มีฮาร์ดแวร์ AES เช่นโทรศัพท์รุ่นเก่า เราเตอร์เล็ก และคอมพิวเตอร์แผงวงจรเดียว

ตัวเลือกที่ถูกขึ้นกับฮาร์ดแวร์ของคุณ การทดสอบง่าย เปิดตัวตรวจสอบโปรเซสเซอร์ รันเทสต์ปริมาณข้อมูลกับแต่ละรหัสลับ แล้วเทียบทั้งความเร็วและการใช้โปรเซสเซอร์ เลือกตัวที่ได้ความเร็วที่คุณต้องการโดยโปรเซสเซอร์ยังเหลือ อย่าเลือกรหัสลับอ่อนหรือล้าสมัยเพื่อได้ความเร็ว ผลที่ได้น้อยบนฮาร์ดแวร์สมัยใหม่ แต่ต้นทุนด้านความปลอดภัยเป็นของจริง บทความสั้นเรื่อง ChaCha20-Poly1305 อธิบายว่าทำไมมันถึงมีอยู่

จำไว้ว่าทั้งสองปลายของอุโมงค์ต้องตกลงรหัสลับตรงกัน สำหรับการตั้งค่าที่คุณไม่ได้ควบคุม นี่จึงเป็นคำถามสำหรับผู้ดูแลเซิร์ฟเวอร์

ค่าที่ 4 ปิดการบีบอัดไว้

บทแนะนำรุ่นเก่าแนะนำคำสั่งบีบอัดเพื่อรีดข้อมูลผ่านอุโมงค์ให้มากขึ้น ทุกวันนี้คำแนะนำนั้นล้าสมัย ด้วยสองเหตุผล หนึ่ง นักวิจัยแสดงว่าการบีบอัดภายในอุโมงค์ที่เข้ารหัสอาจรั่วข้อมูลเกี่ยวกับข้อมูลนั้น แนวทางปัจจุบันจึงให้หลีกเลี่ยง สอง ทราฟฟิกส่วนใหญ่ถูกเข้ารหัสหรือบีบอัดมาแล้ว เช่นวิดีโอ ภาพ และทุกอย่างบน HTTPS บีบอัดต่อไม่ได้ ผลที่ได้จึงใกล้ศูนย์ขณะที่ต้นทุนโปรเซสเซอร์ยังอยู่ ถ้าไฟล์ตั้งค่าที่รับช่วงมามีบรรทัดบีบอัด ให้ตรวจกับแหล่งที่มาก่อนลบ แต่อย่าเพิ่มเอง

ค่าที่ 5 บัฟเฟอร์ของซ็อกเก็ต

บัฟเฟอร์เก็บข้อมูลที่อยู่ระหว่างทางระหว่างอุโมงค์กับระบบปฏิบัติการ ถ้าเล็กเกินไปบนลิงก์เร็ว แพ็กเก็ตอาจถูกทิ้งเมื่อข้อมูลทะลักเข้ามา ปริมาณข้อมูลจึงเสีย คำสั่งคือ sndbuf และ rcvbuf

• หลายระบบมีค่าเริ่มต้นเล็กเมื่อเทียบกับที่การเชื่อมต่อเร็วต้องการ
• การตั้งทั้งสองเป็นค่าที่ใหญ่ขึ้น เช่น 512 KiB อาจช่วยบนลิงก์ความเร็วสูง โดยเฉพาะเมื่อเห็นการสูญหายบนอินเทอร์เฟซอุโมงค์แต่ไม่เห็นบนการเชื่อมต่อพื้นฐาน
• ระบบปฏิบัติการจำกัดค่าสูงสุด ค่ามากเกินไปอาจถูกลดอย่างเงียบๆ

เปลี่ยนทั้งสองพร้อมกัน ทดสอบ และเก็บไว้ถ้าช่วยจริง บนลิงก์ช้า บัฟเฟอร์ใหญ่ไม่ทำอะไรและอาจเพิ่มความหน่วง

ค่าที่ 6 keepalive และการเชื่อมต่อใหม่

ค่า keepalive ไม่ได้ทำให้การเชื่อมต่อเร็วขึ้น แต่กำหนดว่าอุโมงค์ที่ตายแล้วถูกสังเกตและสร้างใหม่เร็วแค่ไหน ซึ่งรู้สึกเหมือนประสิทธิภาพเวลาที่คุณย้ายระหว่างเครือข่าย

• คำสั่ง keepalive ส่ง ping เป็นระยะ และรีสตาร์ตอุโมงค์เมื่อ ping หยุดมา ค่าคู่ทั่วไปคือ ping ทุกสิบวินาทีและรีสตาร์ตหลังเงียบหกสิบวินาที
• ช่วงที่สั้นกว่าตรวจพบลิงก์ตายเร็วกว่า แต่ใช้ข้อมูลและแบตมากขึ้นเล็กน้อย
• บนอุปกรณ์เคลื่อนที่ที่สลับระหว่าง Wi-Fi กับเน็ตมือถือบ่อย ช่วงสั้นและการเชื่อมต่อใหม่อัตโนมัติให้ประสบการณ์ดีกว่า

ถ้าสนใจเรื่องการคงการเชื่อมต่อเป็นหลัก การทำให้เชื่อมต่อ VPN เสถียร ครอบคลุมด้านปฏิบัติ

ตัวเลือกอื่นที่บางครั้งมีผล

• การใช้หลายแกน ดีไซน์คลาสสิกของ OpenVPN เป็นเธรดเดียวต่ออุโมงค์ บนเซิร์ฟเวอร์ที่มีหลายแกน การรันหลายโปรเซสอุโมงค์ หรือใช้ฟีเจอร์ถ่ายโอนช่องข้อมูลรุ่นใหม่ถ้าเวอร์ชันของคุณรองรับ คือวิธีใช้ฮาร์ดแวร์ให้มากขึ้น
• ฮาร์ดแวร์ช่วยเข้ารหัส เมื่อมี จะเอางานรหัสลับออกจากโปรเซสเซอร์หลัก
• การตั้งค่า DNS หน้าเว็บเริ่มโหลดช้าอาจมาจากการค้นหาชื่อที่ช้า ไม่ใช่อุโมงค์ ทดสอบการค้นหาชื่อแยกต่างหาก
• ภาระและตำแหน่งเซิร์ฟเวอร์ แม้การตั้งค่าสมบูรณ์แบบก็แก้เซิร์ฟเวอร์ที่โหลดหนักหรืออยู่ไกลไม่ได้ ตำแหน่งที่ใกล้มักมีผลมากกว่าการปรับข้างต้นทั้งหมด ดู ทำไม VPN ช้า สำหรับเช็กลิสต์ที่กว้างกว่า

ตัวอย่างการปรับเป็นขั้นๆ

นี่คือการเดินผ่านที่สมมติแต่สมจริง เพื่อแสดงจังหวะการทำงาน

ผู้ใช้รันเซิร์ฟเวอร์ OpenVPN ที่ติดตั้งเองบนคอมพิวเตอร์เล็กที่บ้าน และเชื่อมต่อจากแล็ปท็อปบนสาย 300 Mbps ค่าฐานโดยไม่มีอุโมงค์คือ 280 Mbps เมื่อมีอุโมงค์เหลือ 45 Mbps และโปรเซสเซอร์ของคอมพิวเตอร์ที่บ้านเต็ม 100 เปอร์เซ็นต์บนหนึ่งแกน

ขั้น	สิ่งที่เปลี่ยน	ผล
0	ค่าฐานพร้อมอุโมงค์	45 Mbps หนึ่งแกนเต็ม
1	เปลี่ยนจาก TCP เป็น UDP	70 Mbps ยังเต็มอยู่
2	เปลี่ยนรหัสลับจากค่าเริ่มต้นเก่าเป็นตัวเลือก AES-GCM เพราะคอมพิวเตอร์เล็กมีฮาร์ดแวร์ AES	160 Mbps แกนอยู่ที่ 70 เปอร์เซ็นต์
3	ลบบรรทัดบีบอัดที่รับช่วงมา	165 Mbps ใช้โปรเซสเซอร์ลดลงเล็กน้อย
4	เพิ่ม sndbuf และ rcvbuf	190 Mbps การสูญหายบนอินเทอร์เฟซอุโมงค์หายไป
5	ลอง mssfix ที่ต่ำลง	ความเร็วไม่เปลี่ยน สองเว็บที่ค้างโหลดได้แล้ว
6	ปรับ keepalive สำหรับแล็ปท็อปที่หลับ	ความเร็วไม่เปลี่ยน เชื่อมต่อใหม่เร็วขึ้นหลังตื่น

ผลชนะใหญ่มาจากชนิดการส่งและรหัสลับ ซึ่งตรงกับลำดับในบทความนี้ ขั้นหลังเพิ่มการปรับปรุงเล็กกว่าแต่เป็นจริง ไม่มีขั้นใดต้องใช้ตัวเลือกแปลกประหลาด และสังเกตว่าผู้ใช้เปลี่ยนทีละอย่างต่อขั้นและวัดทุกครั้ง

สิ่งที่ไม่ควรทำ

• อย่าคัดลอกไฟล์ตั้งค่ายาวจากเว็บบอร์ด โดยไม่เข้าใจทุกบรรทัด
• อย่าปิดการเข้ารหัสหรือการยืนยันตัวตน เพื่อได้ความเร็ว เพราะนั่นลบจุดประสงค์ของอุโมงค์
• อย่าเลือกรหัสลับเก่า เพราะเบากว่า
• อย่าเปลี่ยนหลายค่าพร้อมกัน คุณจะไม่รู้ว่าอะไรช่วยหรือทำร้าย
• อย่าแก้ปัญหาของเซิร์ฟเวอร์ที่แออัดที่ฝั่งไคลเอนต์ ถ้าเซิร์ฟเวอร์โหลดหนัก ให้เปลี่ยนเซิร์ฟเวอร์หรือตำแหน่ง
• อย่าแก้การตั้งค่าของแอปที่มีการจัดการ โดยไม่มีคำแนะนำจากฝ่ายสนับสนุน ค่าเริ่มต้นถูกเลือกไว้สำหรับบริการนั้น

สรุป

ประสิทธิภาพ OpenVPN ขึ้นกับไม่กี่อย่างเป็นหลัก UDP แทน TCP เมื่อเป็นไปได้ ขนาดแพ็กเก็ตที่พอดีกับเส้นทาง รหัสลับที่เหมาะกับฮาร์ดแวร์ ปิดการบีบอัด บัฟเฟอร์ที่ขนาดเหมาะกับลิงก์เร็ว และ keepalive ที่เหมาะกับวิธีที่คุณเคลื่อนที่ วัดค่าฐาน เปลี่ยนทีละค่า จดผล และเก็บเฉพาะการเปลี่ยนที่ช่วยชัดเจน ถ้าโปรเซสเซอร์เต็มหรือเซิร์ฟเวอร์อยู่ไกล ค่าใดก็ช่วยไม่ได้ จึงควรตรวจสองข้อนี้ก่อน

ถ้าอยากข้ามเรื่องตั้งค่าและใช้แอปสำเร็จรูปกับแพ็กเกจระยะสั้น ดู หน้าราคา และดาวน์โหลดแอป VPNclient ฟรีได้ที่ หน้าดาวน์โหลด