Медленно работает VPN: асимметрия канала, Download/Upload и MTU

Обновлено: 27.08.2026 · Официальная документация ↗

Парадокс скорости VPN: дома 100 Мбит, в офисе 100 Мбит, а через VPN всего 10 Мбит

Удаленные сотрудники часто жалуются: при работе из дома интернет летает, ролики в 4K открываются мгновенно, но как только включается офисный VPN для копирования отчета или базы 1С с файлового сервера, скорость передачи падает до смешных 1–2 Мбайт/с. При этом обе стороны уверяют, что у них оплачен скоростной тариф «100 Мбит/с».

Факторы, занижающие реальную скорость в VPN-туннеле

Фактор	Как влияет на скорость передачи данных
Асимметрия домашнего тарифа (Download vs Upload)	Провайдеры дают 100 Мбит на скачивание (Download), но режут отдачу (Upload) до 10–20 Мбит. При передаче файлов из офиса домой трафик упирается в Upload офисного провайдера.
Фрагментация пакетов (Неправильный MTU/MSS)	Служебные заголовки шифрования раздувают размер пакета. Пакеты дробятся на части, удваивая нагрузку на процессор и снижая скорость в 2 раза.
Нагрузка на процессор роутера (CPU Crypto)	Слабый домашний или офисный роутер без аппаратной поддержки криптографии (AES-NI) упирается в 100% загрузки процессора.
Протокол TCP поверх TCP (TCP Meltdown)	Использование OpenVPN в режиме TCP при потерях пакетов приводит к экспоненциальному падению скорости из-за постоянных повторных подтверждений (ACK).

Как выжать максимальную скорость из корпоративного VPN

Проверка реального Upload в офисе:
- Помните: когда удаленный сотрудник скачивает файл из офиса к себе на домашний ноутбук, офисный интернет-канал работает на ОТДАЧУ (Upload). Если в офисе самый дешевый тариф с плохой исходящей скоростью — быстро скачать файл не получится физически.
Переход на быстрые протоколы с поддержкой UDP:
- Если вы используете OpenVPN, переключите его с протокола TCP на UDP.
- Или перейдите на современный сверхбыстрый протокол WireGuard, который работает в пространстве ядра операционной системы и выдает максимальную скорость даже на слабых процессорах.
Оптимизация размера пакета (MSS Clamping / MTU):
- Стандартный размер пакета в Ethernet равен 1500 байт. При упаковке в VPN-туннель заголовки увеличивают пакет до 1540 байт, из-за чего он не проходит через провайдера и фрагментируется.
- Настройте автоматическую коррекцию MSS на шлюзе MikroTik:
```
/ip firewall mangle
add action=change-mss chain=forward new-mss=clamp-to-pmtu passthrough=yes protocol=tcp tcp-flags=syn tcp-mss=1400-65535 comment="Clamp MSS for VPN"
```
Включение аппаратного шифрования (Hardware Crypto):
- В настройках IPsec убедитесь, что алгоритм шифрования совпадает с аппаратным ускорителем вашего роутера (например, aes-128-gcm или aes-256-cbc).

Работа с 1С по сети: Файловая база 1С (файл 1Cv8.1CD) принципиально не предназначена для прямого открытия через VPN по сетевой шаре SMB! Скорость будет катастрофически низкой. Удаленные пользователи должны подключаться к 1С через RDP (Удаленный рабочий стол) или Web/ тонкий клиент по протоколу HTTP/HTTPS.

💡 Практика специалистов: При жалобах на медленный VPN мы первым делом проверяем утилизацию процессора офисного шлюза командой /system resource cpu. Если в момент скачивания файла нагрузка взлетает до 100%, мы переводим криптографический туннель на протокол WireGuard либо заменяем процессор маршрутизатора на модель с блоком аппаратного шифрования (например, MikroTik серии RB4011/RB5009).

Частые вопросы (FAQ)

Что такое MTU простыми словами?

MTU (Maximum Transmission Unit) — это максимальный размер одного блока данных (пакета), который может быть передан по сети за один раз без разбиения на куски.

Почему при замере скорости на Speedtest показывает 90 Мбит/с, а файл копируется медленно?

Speedtest замеряет скорость прямого интернета в несколько параллельных потоков. VPN-соединение шифруется последовательно в один поток, упираясь в задержку (Ping) и производительность одного ядра процессора.

Поможет ли увеличение тарифа интернета у сотрудника дома?

Только если у сотрудника домашний тариф ниже 30–50 Мбит/с. В 90% случаев узким местом является исходящий канал в самом офисе компании или слабый процессор офисного маршрутизатора.

Как узнать оптимальный размер MTU для моего VPN соединения?

Выполните пинг с запретом фрагментации: ping vpn.company.ru -f -l 1472. Постепенно уменьшайте число 1472 с шагом 10, пока пакеты не перестанут теряться с ошибкой «Требуется фрагментация пакета».