Hög ping med openvpn?

snigel · Post by **snigel** » 2006-10-24 18:38:48

Har precis fått igång min openvpn-server att routa internet, testpingade lite genom den och såg att det är ganska höga latenser.

Rakt mot openvpn-servern pingar jag vanligtvis 6ms men det kan stiga upp till 30ms enstaka pingar. Att sedan routa genom den ökar på pingen en del till. Känns faktiskt oacceptabelt att ha ett påsläng på 10-20ms när man kör 100mbit nät och routerburken är dual 1600 med 2gb ram, vad kan man göra för att få lägre latenser?

EDIT: testade precis att gå över till UDP och stänga av kompressionen av länken. Gjorde dock ingen skillnad

Epic_p1 · Post by **Epic_p1** » 2006-10-24 23:19:25

Sänk krypteringen... Kolla så inte burkens load går i taket (utav någon outgrundlig anledning) höj/sänk MTU, trimma konfigen...

snigel · Post by **snigel** » 2006-10-25 18:08:41

MTU - Max Transmission Unit borde inte påverka vid lokala överföringar på ett fåtal byte.

Har ställt in openvpn på att ha prioriteten realtid på burken. CPU-loaden är väldigt låg.

Vet inte om jag kan ändra krypteringen i efterhand utan att byta ut alla certifikat och annat vilket är en del merjobb om det inte beror på det.

Epic_p1 · Post by **Epic_p1** » 2006-10-26 8:22:12

krypteringsdelen ligger i konfigfilerna vad jag vet

IcePic · Post by **IcePic** » 2006-10-26 10:20:59

Nyckelutbytet går i en separat "kanal" på nätet, så den bör inte störa så mycket. Däremot kanske
du skulle prova utan krypto en gång, eller med arcfour som klen-krypto för att se om det kan vara
det som ställer till det. Min gissning är nog att paketen snurrar runt "för mycket" mellan de virtuella
interface:n, filsystemskoden osv innan de åker ut igen, vilket adderar latens.

snigel · Post by **snigel** » 2006-10-26 16:33:08

IcePic wrote:Nyckelutbytet går i en separat "kanal" på nätet, så den bör inte störa så mycket. Däremot kanske
du skulle prova utan krypto en gång, eller med arcfour som klen-krypto för att se om det kan vara
det som ställer till det. Min gissning är nog att paketen snurrar runt "för mycket" mellan de virtuella
interface:n, filsystemskoden osv innan de åker ut igen, vilket adderar latens.

Just nu står alla krypton bortkommenterade, står även att blowfish är default så jag antar att den kör med blowfish.

Är det barar att skriva cipher arcfour?
edit: nej det var det inte, då blev openssl irriterat.

Testade openssl ciphers -v, men jag ser inget i listan som liknar arcfour, fast jag kanske inte vet vad jag letar efter.

IcePic · Post by **IcePic** » 2006-10-26 20:19:13

snigel wrote:Just nu står alla krypton bortkommenterade, står även att blowfish är default så jag antar att den kör med blowfish.

Är det barar att skriva cipher arcfour?
edit: nej det var det inte, då blev openssl irriterat.

Testade openssl ciphers -v, men jag ser inget i listan som liknar arcfour, fast jag kanske inte vet vad jag letar efter.

Kör openvpns kommando för att lista befintliga krypto och hash:ar.

snigel · Post by **snigel** » 2006-10-26 20:37:41

The following ciphers and cipher modes are available
for use with OpenVPN. Each cipher shown below may be
used as a parameter to the --cipher option. The default
key size is shown as well as whether or not it can be
changed with the --keysize directive. Using a CBC mode
is recommended.

DES-CBC 64 bit default key (fixed)
IDEA-CBC 128 bit default key (fixed)
RC2-CBC 128 bit default key (variable)
DES-EDE-CBC 128 bit default key (fixed)
DES-EDE3-CBC 192 bit default key (fixed)
DESX-CBC 192 bit default key (fixed)
BF-CBC 128 bit default key (variable)
RC2-40-CBC 40 bit default key (variable)
CAST5-CBC 128 bit default key (variable)
RC5-CBC 128 bit default key (variable)
RC2-64-CBC 64 bit default key (variable)
AES-128-CBC 128 bit default key (fixed)
AES-192-CBC 192 bit default key (fixed)
AES-256-CBC 256 bit default key (fixed)

Available TLS Ciphers,
listed in order of preference:

DHE-RSA-AES256-SHA
DHE-DSS-AES256-SHA
AES256-SHA
EDH-RSA-DES-CBC3-SHA
EDH-DSS-DES-CBC3-SHA
DES-CBC3-SHA
DHE-RSA-AES128-SHA
DHE-DSS-AES128-SHA
AES128-SHA
IDEA-CBC-SHA
DHE-DSS-RC4-SHA
RC4-SHA
RC4-MD5
EXP1024-DHE-DSS-DES-CBC-SHA
EXP1024-DES-CBC-SHA
EXP1024-RC2-CBC-MD5
EDH-RSA-DES-CBC-SHA
EDH-DSS-DES-CBC-SHA
DES-CBC-SHA
EXP1024-DHE-DSS-RC4-SHA
EXP1024-RC4-SHA
EXP1024-RC4-MD5
EXP-EDH-RSA-DES-CBC-SHA
EXP-EDH-DSS-DES-CBC-SHA
EXP-DES-CBC-SHA
EXP-RC2-CBC-MD5
EXP-RC4-MD5

IcePic · Post by **IcePic** » 2006-10-27 10:33:28

EXP-RC4-MD5 antagligen eller RC4-MD5 lär vara lidringast, men det är fortfarande
inte säkert att det är där problemet är iofs.

snigel · Post by **snigel** » 2006-10-27 12:55:52

Vad är skillnaden på cipher och tls cipher?

IcePic · Post by **IcePic** » 2006-10-27 13:46:00

snigel wrote:Vad är skillnaden på cipher och tls cipher?

TLS är de som baseras på att du har ett cert tror jag.