• Скорость передачи данных внутри туннеля OpenVPN не превышает 20–30 Мбит/с на гигабитном интернет-канале.
• Аномальный рост задержек при передаче объемных файлов (Bufferbloat).
• Предупреждения в логах сервера/клиента: TUN/TAP TX queue is full или Socket buffer overflow.
• Высокая утилизация одного потока CPU из-за устаревших алгоритмов сжатия (LZO/LZ4) или шифра CBC.

1. Анализ узких мест производительности OpenVPN

OpenVPN работает в пространстве пользователя (User Space) через виртуальный интерфейс /dev/net/tun. По умолчанию старые версии используют неоптимальные фиксированные буферы сокетов ОС (64 КБ), что при высоком RTT (задержке сети) жестко ограничивает пропускную способность согласно формуле BDP (Bandwidth-Delay Product).

2. Тонкая настройка конфигурации сервера OpenVPN (/etc/openvpn/server.conf)

# Переход на скоростной протокол UDP
proto udp4
port 1194
dev tun0

# 1. Отключение ручного ограничения буферов (передача управления ядру Linux)
sndbuf 0
rcvbuf 0
push "sndbuf 0"
push "rcvbuf 0"

# 2. Использование современного быстрого шифра AES-GCM (аппаратный AES-NI)
cipher AES-128-GCM
ncp-ciphers AES-128-GCM:AES-256-GCM

# 3. Полное отключение сжатия (защита от атак VORACLE и снижение нагрузки CPU)
compress
push "compress"

# 4. Оптимизация MTU туннеля
tun-mtu 1500
mssfix 1420

# 5. Многопоточный режим аутентификации
fast-io

3. Тюнинг сетевого стека хоста Linux

Добавьте параметры в /etc/sysctl.d/99-openvpn-speed.conf:

# Увеличение лимитов автотюнинга TCP/UDP буферов
net.core.rmem_max = 16777216
net.core.wmem_max = 16777216
net.core.rmem_default = 1048576
net.core.wmem_default = 1048576

# Алгоритм BBR
net.core.default_qdisc = fq
net.ipv4.tcp_congestion_control = bbr

sysctl --system

4. Оптимизация очереди драйвера TUN

# Увеличение длины очереди tun адаптера до 2000 пакетов
ip link set dev tun0 txqueuelen 2000

5. Тестирование пропускной способности утилитой iperf3

# На стороне сервера OpenVPN:
iperf3 -s

# На стороне клиента внутри туннеля:
iperf3 -c 10.8.0.1 -P 4 -t 30