Медленный WireGuard: как найти ограничение в Queue Tree
Измеряем скорость между конечными узлами и проверяем очередь, родительские лимиты, packet marks и FastTrack, прежде чем менять настройки VPN.
- Конечные узлыTCP-тест в обе стороны, затем файловая операция
- Политика трафикаМетки, дочерняя очередь и потолок родителя
- Повторный замерТе же условия после одного изменения
VPN работает, но передача упирается в невысокую скорость. Первая мысль — не хватает процессора для шифрования. Однако тот же результат даёт давно забытая очередь: канал провайдера быстрее, а офисный трафик по-прежнему ограничен старой политикой. Проверять стоит не название интерфейса, а весь путь конкретного потока.
Сначала отделяем канал от файлового сервиса
Сравните передачу одного большого файла и группы мелких. Затем измерьте TCP между двумя конечными компьютерами через VPN. iperf3 на маршрутизаторе может сам стать нагрузкой и исказить картину, поэтому удобнее поставить сервер на разрешённом узле в удалённой LAN. Открывайте тестовый порт только для нужного клиента и только на время измерения.
# На тестовом сервере с адресом 10.60.20.50
iperf3 -s -B 10.60.20.50
# На клиенте в другом офисе
iperf3 -c 10.60.20.50 -t 15
iperf3 -c 10.60.20.50 -t 15 -R
iperf3 -c 10.60.20.50 -t 15 -P 4Записывайте направление, число потоков и результат получателя. Мбит/с и МБ/с отличаются в восемь раз. Более высокий результат с четырьмя потоками не означает, что одна файловая операция ускорилась так же. Если сетевой тест заметно быстрее копирования, дальше исследуют файловый протокол, задержку, диски и нагрузку сервера.
Смотрим, в какую очередь попал поток
/queue/tree/print detail
/queue/tree/print stats
/ip/firewall/mangle/print stats
/tool/profileЗапустите один контрольный тест и сравните прирост счётчиков. Важны packet-mark, родитель и ограничения на каждом уровне дерева. Тип очереди default не задаёт ей потолок скорости: max-limit находится у самой очереди. Например, в условной настройке max-limit=20M ограничивает ветку даже при более быстром WAN. Родительский лимит может ограничить несколько дочерних веток вместе.
Распределение гарантированной полосы и максимальная скорость — разные настройки. Приоритет не создаёт пропускную способность и не отменяет потолок родителя. Прежде чем увеличивать лимиты, проверьте назначение политики: возможно, она сохраняет связь и рабочие приложения во время больших выгрузок.
Учитываем ускорение и загрузку CPU
FastTrack меняет путь обработки пакетов. Глобальные очереди и часть правил могут не видеть ускоренный трафик; поведение очереди с родителем-интерфейсом нужно оценивать отдельно. Случайное включение FastTrack не заменяет исправление классификации. Сначала убедитесь, что счётчики выбранной политики действительно отражают тест.
Если лимиты не объясняют результат, посмотрите нагрузку процессов во время передачи, потери и задержку в обоих направлениях. Меняйте по одному параметру и повторяйте тот же тест. Сохраняйте не только лучший результат, но и условия: включённый sniffer или Torch способен изменить режим обработки трафика. После проверки закройте тестовый порт и остановите сервер iperf3.