Wireguard Verständnisfrage

    Ich nutze einen VPS als Wireguatd Server. Als Client kommt ein Raspi 5 zum Einsatz. Clientseitig hängt der Raspi an einem 1000/500Mbit/s Telekom Anschluss. CPU seitig haben beiden noch ordentlich Luft nach oben. Das sollte schon mal als Flaschenhals rausfallen. Ich bekomme per Wireguard im Schnitt im Download "nur" rund 650Mbit/s, Upload 500/bit/s.

    Code
    iperf3 -c 10.0.0.1 -P 10 -R
Connecting to host 10.0.0.1, port 5201
Reverse mode, remote host 10.0.0.1 is sending
[ ID] Interval           Transfer     Bitrate            
[SUM]   0.00-10.02  sec   769 MBytes   644 Mbits/sec   61             sender
[SUM]   0.00-10.00  sec   744 MBytes   624 Mbits/sec                  receiver

    Nun habe ich testweise beim roten H mal eine ähnliche VM geklickt und dort ne 1:1 Kopie eingerichtet. Mit dem gleichen Client sind hier rund 800Mbit/s möglich im Download

    Code
    iperf3 -c 10.0.0.1 -P 10 -R
Connecting to host 10.0.0.1, port 5201
Reverse mode, remote host 10.0.0.1 is sending
[ ID] Interval           Transfer     Bitrate
[SUM]   0.00-10.01  sec   963 MBytes   807 Mbits/sec  106089             sender
[SUM]   0.00-10.00  sec   939 MBytes   788 Mbits/sec                  receiver

    Paketverluste konnte ich keine feststellen

    Das ist jetzt Meckern auf hohem Niveau und auch nicht unbedingt entscheidend. Trotzdem hätte ich gerne gewusst, wo das Problem zu suchen ist.

    Der Fluch der schnellen Internetleitungen. ;) Ich hab ne 400/200 Leitung, die bekomme ich mit einem RS2000 und einem Raspi 4 in beide Richtungen ausgelastet.

    Für einen VPS finde ich das vom Bauchgefühl her schon sehr ordentlich. Die CPU Performance allein entscheidet ja nicht über die Bandbreite. Hast du einen RS zum gegentesten? Da könnte ich mir noch einen Unterschied vorstellen.

    Welche Kernelversion verwendest Du am VPS?

    Bist Du wirklich ganz sicher, dass nicht z.B. ein Core vollständig ausgelastet ist und/oder hohe Steal-Werte auftauchen? Das wäre nämlich durchaus naheliegend, wenn es auf einem anderen System besser läuft.

    "Wer nur noch Enten sieht, hat die Kontrolle über seine Server verloren." (Netzentenfund)

    Server: Kernel 6.8.0
    Client: Kernel 6.6.62

    Code
    Raspi 5

top - 16:19:13 up  6:36,  2 users,  load average: 0.36, 0.15, 0.05
Tasks: 151 total,   2 running, 149 sleeping,   0 stopped,   0 zombie
%Cpu(s):  0.1 us,  8.4 sy,  0.0 ni, 89.2 id,  0.0 wa,  0.0 hi,  2.3 si,  0.0 st 
MiB Mem :   2012.0 total,   1195.4 free,    204.7 used,    689.4 buff/cache     
MiB Swap:    512.0 total,    512.0 free,      0.0 used.   1807.3 avail Mem
    Code
    VPS 1000 G11

top - 16:16:13 up 18:53,  0 user,  load average: 0.48, 0.20, 0.07
Tasks: 151 total,   2 running, 149 sleeping,   0 stopped,   0 zombie
%Cpu(s):  0.7 us, 15.4 sy,  0.0 ni, 71.1 id,  0.0 wa,  0.0 hi, 12.8 si,  0.0 st

    Ic hatte das vor ein paar Tagen mit einem RS1000 G9.5 getestet, die gleichen Werte.

    Zitat von Hille


    Ic hatte das vor ein paar Tagen mit einem RS1000 G9.5 getestet, die gleichen Werte.

    Das klingt doch dann so als würde etwas im netcup Netzwerk limitieren.

    Können denn beide System ohne VPN von der gleichen Quelle mit voller Geschwindigkeit saugen? So eine Datei z.B.:

    http://speedtest.tele2.net/

    Sind die Werte sehr konstant oder schwankt es merkbar? Beim Client belegt aber kein anderes Gerät die Leitung mit?

    Wenn beim Client Wireguard deaktiviert wurde, sind im Download rund 950Mbit/s konstant möglich. Das gleiche trifft für den VPS zu. Im Download rund 2,2Gbit/s. Wer wo was limitiert, ist schwer zu sagen. Da bin ich noch auf der Suche :)

    Es kann auch an einer Middlebox liegen. Wenn die TCP-Acks in ein VPN-Paket verpackt sind, koennen Middle-Boxen diese nicht mehr erkennen und priorisieren. Die Middle-Box kann auch so was Triviales wie eine Fritz-Box sein.

    Hast Du mal mit UDP gemessen?

    Zitat von heppel

    Es kann auch an einer Middlebox liegen. Wenn die TCP-Acks in ein VPN-Paket verpackt sind, koennen Middle-Boxen diese nicht mehr erkennen und priorisieren. Die Middle-Box kann auch so was Triviales wie eine Fritz-Box sein.

    Aber warum sind dann die Tests so unterschiedlich mit dem gleichen Client? Müssten dann nicht ähnlich „schlechte“ Werte rauskommen?

    Per UDP ist der Download Speed natürlich bei rund 950Mbit/s bei beiden Servern.

    Hab das auch mal zwischen VPS 1000 ARM G11 und VPS 1000 G11 getestet. Über Wireguard halbiert sich bei mir die Übertragungsgeschwindigkeit, die Prozessorauslastung steigt.


    Server VPS 1000 ARM G11 VPS 1000 G11
    Kernel 6.13.0-2-aarch64-ARCH
    		 6.1.0-29-amd64
    iperf3
    		 Server Client
    Übertragungsgeschwindigkeit
    (direkt)*
    		 2.26-2.28 Gbits/sec
    		 2.27-2.29 Gbits/sec
    Auslastung ARM_ohne_WG.png x86_ohne_WG.png
    Übertragungsgeschwindigkeit
    (über WireGuard)
    		 1.18-1.20 Gbits/sec
    		 1.18-1.20 Gbits/sec
    Auslastung WG_ARM.png WG_x86.png

    *) Übertragungsgeschwindigkeit über IPv4 und IPv6 sind quasi gleich.

    Ich habe mal eine ganz andere Frage an die Leute unter euch, die WireGuard auf einem VPS/Root Server verwenden, um Traffic nach hause und umgekehrt zu tunneln: Selbst verwende ich auch einen solchen Tunnel um Services, die ich zu Hause hoste, von außen erreichbar zu machen. Das führt aber unter Umständen dazu, dass NetCups DDOS-Protection anschlägt, weil eben ein paar hundert Mbps UDP-Traffic auf den VPS einprasseln.

    Habt ihr so etwas auch schon beobachtet und falls ja, gibt es eine Abhilfe dafür?