树莓派上的 openvpn（pivpn）：连接成功但速度慢得无法使用

Question 1

在汤姆的帮助下，问题最终出在iptables配置上。

sudo iptables-save返回：

# Generated by xtables-save v1.8.2 on Sun Jun 20 15:47:29 2021
*filter
:INPUT ACCEPT [1308:157588]
:FORWARD ACCEPT [483:31962]
:OUTPUT ACCEPT [431:1989618]
COMMIT
# Completed on Sun Jun 20 15:47:29 2021
# Generated by xtables-save v1.8.2 on Sun Jun 20 15:47:29 2021
*nat
:PREROUTING ACCEPT [291:34883]
:INPUT ACCEPT [50:18696]
:POSTROUTING ACCEPT [252:17084]
:OUTPUT ACCEPT [11:897]
-A POSTROUTING -s 10.8.0.0/24 -o eth0 -m comment --comment openvpn-nat-rule -j MASQUERADE
COMMIT

注意-o eth0。我实际上正在使用无线接口。

将其移除/etc/iptables/rules.v4并重新启动后，vpn 连接现在可按预期工作。我可以访问 LAN 中的 IP 地址，并且连接速度很快：

一些评论：

android 上的 openvpn 客户端仍然显示速度很慢，即使在观看 YouTube 时也是如此。这让我有点不知所措，但我猜这只是 vpn 隧道本身的开销，即加密。

我没有手动输入该-o eth0选项iptables- 我认为它是通过pivpn脚本添加的。我做过短暂尝试使用以太网端口，但在最近设置/重新配置时无法使用pivpn。不确定这是否是一个错误，但至少在设置 vpn 服务器时需要记住这一点。

我希望这对遇到这个问题的其他人有所帮助。再次感谢汤姆

Answer

在汤姆的帮助下，问题最终出在iptables配置上。

sudo iptables-save返回：

# Generated by xtables-save v1.8.2 on Sun Jun 20 15:47:29 2021
*filter
:INPUT ACCEPT [1308:157588]
:FORWARD ACCEPT [483:31962]
:OUTPUT ACCEPT [431:1989618]
COMMIT
# Completed on Sun Jun 20 15:47:29 2021
# Generated by xtables-save v1.8.2 on Sun Jun 20 15:47:29 2021
*nat
:PREROUTING ACCEPT [291:34883]
:INPUT ACCEPT [50:18696]
:POSTROUTING ACCEPT [252:17084]
:OUTPUT ACCEPT [11:897]
-A POSTROUTING -s 10.8.0.0/24 -o eth0 -m comment --comment openvpn-nat-rule -j MASQUERADE
COMMIT

注意-o eth0。我实际上正在使用无线接口。

将其移除/etc/iptables/rules.v4并重新启动后，vpn 连接现在可按预期工作。我可以访问 LAN 中的 IP 地址，并且连接速度很快：

一些评论：

android 上的 openvpn 客户端仍然显示速度很慢，即使在观看 YouTube 时也是如此。这让我有点不知所措，但我猜这只是 vpn 隧道本身的开销，即加密。

我没有手动输入该-o eth0选项iptables- 我认为它是通过pivpn脚本添加的。我做过短暂尝试使用以太网端口，但在最近设置/重新配置时无法使用pivpn。不确定这是否是一个错误，但至少在设置 vpn 服务器时需要记住这一点。

我希望这对遇到这个问题的其他人有所帮助。再次感谢汤姆

Question 2

吞吐量问题可能是由于配置选项不理想（特别是 AES256）、未指定 TLS EC 密码以及缺乏调整造成的（不正确tun-mtu，可能接收/发送缓冲区等）：

AES128 至少在 2030 年之前仍将无法破解，因此吞吐量严重阻碍并未获得额外的安全性
最佳吞吐量来自调优配置（例子：连接可靠性和速度）
- tun-mtu应该〜48000使用AES-NI，可能〜24000没有

解决：

server.conf：

# SSL:
  cipher      AES-128-CBC

# TLS: (generate supported ciphers via: openvpn --show-tls)
  tls_cipher  'TLS-ECDHE-RSA-WITH-AES-128-GCM-SHA256:TLS-ECDHE-RSA-WITH-AES-128-CBC-SHA256:TLS-DHE-RSA-WITH-AES-128-CBC-SHA256:TLS-ECDH-RSA-WITH-AES-128-GCM-SHA256'

client.ovpn：
```
# SSL:
  cipher      AES-128-CBC
```

附加信息：

tls-crypt建议确保 PFS [磷完美F奥沃德年代保密：

# server.conf: (generate via: openvpn --genkey --secret tls-crypt.psk)

tls-crypt   /etc/openvpn/tc.psk

# client.ovpn:

<tls-crypt>
-----BEGIN OpenVPN Static key V1-----
# PASTE KEY HERE #
-----END OpenVPN Static key V1-----
</tls-crypt>

用户/组应该是nobody/nogroup除非操作系统/固件另有配置
SHA512如果使用 x64 CPU，建议使用（x64 CPU 处理 SHA512 比 SHA256 更快）
将服务器设置为verb 4和客户端更有效verb 5，因为它可以避免在需要进行故障排除时更改它们（服务器防火墙规则应该是tcp udp出于同样的原因）
我总是推荐适用于 Android 的 OpenVPN因为它提供更好的定制

Answer