最近从A服务器下载数据时，发现如果走B服务器的VPN下载，速率只能跑到300KB左右，但是B从A直接下载却能跑到1MB+/s，B到本地的速度也远超过A到B的速度，其实一开始我以为是VPN实现的问题，有段时间在思考如何优化VPN，但是尝试了其它VPN实现，问题并没有解决。后来发现，走B的代理而不是VPN，速度正常。 本地到B的RTT大约160ms，B到A大约50ms。 Wireshark抓包，对tcp sequence number统计了下： 放大点看： 大概每传输60KB，就要等大约200ms才能继续。200ms刚好差不多等于本地走VPN到A的RTT。传这60KB，只花了大概10ms，忽略这1 […]
Category: VPN
L2TPv3 MTU
L2TPv3支持自动拆包，封装后的数据包如果超出裸线路的MTU也能正常运作。 拆包合包毕竟需要耗资源的，这种多余的操作，能避免的话当然最好。 要避免，首先确定好L2TPv3隧道的MTU。 图： UDP封装模式： L2TPv3隧道MTU = 裸线路MTU – IP头 – UDP头 – L2TPv3头 – 以太网头 经测试L2TPv3头在这种模式下是12字节，如果裸线路MTU是1500，那么隧道MTU = 1500 – 20 – 8 – 12 – 14 = 1446，TCP MSS = 1446  […]
Linux Policy-based site-to-site IPsec VPN动态IP的配置及内网穿透的应用（StrongSwan）
上一篇文章提到了一点StrongSwan的配置。 本文继续使用StrongSwan。 StrongSwan的left和right是支持使用域名的，利用此可以实现动态IP的支持；上一篇文章用了type=transport模式转发UDP端口构建L2TPv3，如果没有L2组网的需求，其实可以直接利用type=tunnel模式实现L3转发。 网络拓扑： 上图中的路由器lan-router1和lan-router2都是通过pppoe接入互联网的，域名lan-router1.router和lan-router2.router通过ddns分别解析到了各自pppoe0的IP地址上；server1和server […]
Linux L2TPv3以及ip-xfrm的配置
L2TPv3：http://man7.org/linux/man-pages/man8/ip-l2tp.8.html ip-xfrm：http://man7.org/linux/man-pages/man8/ip-xfrm.8.html 这两个都是kernel内置的功能，通过这两个可以直接构建加密的VPN。 本文尝试使用ip-xfrm创建加密的隧道，并基于此隧道构建L2TPv3 VPN。 1. 生成密钥与ID 不使用StrongSwan，手动配置ip-xfrm时需要用到：
Default
|
1 2 3 4 |
HASH_KEY=0x`dd if=/dev/urandom count=32 bs=1 2> /dev/null | xxd -p -c 64` ENCRYPT_KEY=0x`dd if=/dev/urandom count=32 bs=1 2> /dev/null | xxd -p -c 64` ID=0x`dd if=/dev/urandom count=4 bs=1 2> /dev/null | xxd -p -c 8` echo -e "HASH_KEY=${HASH_KEY}\nENCRYPT_KEY=${ENCRYPT_KEY}\nID=${ID}" |
复制上面四行命令后输出的内容，粘贴到left和right […]
一款鲜为人知的杰出VPN方案 —— ACCEL-PPP
因PPTP简单、方便，无特别需要，平时需要用到VPN时一般都会首选PPTP。 数月前使用PPTP的过程中发现，Linux下的PoPToP方案极限速率仅有20 Mbps左右，而Windows下“网络策略和访问服务”提供的PPTP上限速率则高些，能达到70 – 80 Mbps。 当时了解到一款名为ACCEL-PPP的方案，尝试了一番，效果不负其名——ACCEL。 但今天发现，此方案的中文介绍、资料近乎无（英文介绍也不多），遂撰写此文，欲让更多人了解到此杰作。 服务器配置： CPU: Intel Xeon L5520 *2 RAM: 48GB 网络适配器: Intel 千兆 […]