OpenVPN连接印度研究院速度极慢（约1Mbps）求优化方案

我当前通过OpenVPN连接印度某研究院，客户端默认使用TCP协议，也尝试过UDP协议。连接VPN后网速暴跌至约1Mbps，恳请提供优化方案。我清楚这类问题没有通用解决方案，已尝试调整缓冲区大小、txqueuelen等参数，比如设置：

sndbuf 0
rcvbuf 0

以及txqueuelen = 4000，也试过其他参数组合，但均无改善，当前MTU设为1500。服务器系统为CentOS 7，我使用的客户端系统是Ubuntu 18.04.6 LTS，OpenVPN版本为OpenVPN 2.5.7 x86_64-pc-linux-gnu（我用过VPN，但对技术细节不熟悉）。

无VPN测速结果 #

Testing from University of <hidden> ...
Retrieving speedtest.net server list...
Selecting best server based on ping...
Hosted by Bresco Broadband (Columbus, OH) [263.97 km]: 23.339 ms
Testing download speed..........................................
Download: 542.38 Mbit/s
Testing upload speed............................................
Upload: 611.33 Mbit/s

有VPN测速结果 #

Retrieving speedtest.net configuration...
Testing from <hidden> Communications (<hidden IP address>)...
Retrieving speedtest.net server list...
Selecting best server based on ping...
Hosted by BBNL (Bangalore) [2.23 km]: 649.717 ms
Testing download speed................................................................................
Download: 0.96 Mbit/s
Testing upload speed................................................................................................
Upload: 2.19 Mbit/s

OpenVPN客户端配置文件 #

dev tun
proto TCP
persist-tun
persist-key
cipher AES-256-CBC
ncp-ciphers AES-256-GCM:AES-128-GCM
auth SHA1
tls-client
client
resolv-retry infinite
remote <hidden> 443 tcp
verify-x509-name "<hidden>-VPN" name
auth-user-pass
pkcs12 pfSense-TCP4-443-<username hidden>.p12
tls-auth pfSense-TCP4-443-<username hidden>-tls.key 1
remote-cert-tls server
sndbuf 512000
rcvbuf 512000
txqueuelen 1000

优化方案建议 #

1. 彻底排查UDP协议可用性 #

你提到试过UDP但无改善，建议重新确认：

• 联系服务器管理员，确认目标UDP端口（如默认1194或443）是否开放，CentOS 7的firewalld是否拦截UDP流量
• 修改客户端配置为proto UDP，remote行改为remote <hidden> 1194 udp（对应服务器端口），关闭TCP连接后单独测试UDP连接的速度

2. 调整MTU适配VPN封装开销 #

当前MTU设为1500，未考虑VPN封装的额外字节，建议：

• 在客户端配置中添加mtu-test自动探测最优MTU；或手动设置mtu 1400，逐步上调至1450左右，找到稳定连接且速度最优的值
• 临时调整Ubuntu客户端TUN接口MTU测试：sudo ip link set dev tun0 mtu 1400，有效后写入配置文件

3. 优化加密算法提升性能 #

当前配置的加密组合存在性能优化空间：

• 将cipher AES-256-CBC改为cipher AES-128-GCM，GCM算法自带认证且为流加密，比CBC更高效，128位加密强度已足够多数场景
• 调整NCP优先级为ncp-ciphers AES-128-GCM:AES-256-GCM，优先使用轻量高效的算法
• 将auth SHA1改为auth SHA256，SHA1已不安全，现代CPU对SHA256的性能损耗可忽略，需确保服务器端同步调整

4. 缓冲区与系统内核参数优化 #

针对缓冲区参数尝试以下调整：

• 在客户端配置中添加socket-flags TCP_NODELAY（仅TCP协议有效），减少TCP延迟；同时设置sndbuf 393216和rcvbuf 393216，平衡缓冲区大小与内存占用
• 临时调整Ubuntu内核参数提升网络性能：

  sudo sysctl -w net.core.rmem_max=16777216
  sudo sysctl -w net.core.wmem_max=16777216
  sudo sysctl -w net.ipv4.tcp_window_scaling=1
  

  要永久生效，将上述参数写入/etc/sysctl.conf文件后执行sudo sysctl -p

5. 服务器端优化建议（需联系管理员） #

• 确认CentOS 7服务器的OpenVPN版本，建议升级至最新稳定版，旧版本可能存在性能瓶颈
• 服务器端开启compress lz4-v2，客户端同步添加该配置，LZ4压缩比LZO更高效，能减少传输数据量
• 调整服务器端txqueuelen至4000，并检查服务器带宽是否被其他用户占用
• 确认服务器是否支持AES-NI硬件加速：执行cat /proc/cpuinfo | grep aes，如果支持，OpenVPN会自动利用该特性提升加密速度

6. 路由精细化配置 #

如果仅需访问研究院内网，避免全流量走VPN：

• 在客户端配置中添加route <研究院内网网段> 255.255.255.0，仅指定目标网段走VPN，减少不必要的流量开销
• 若无需全局代理，移除redirect-gateway def1 bypass-dhcp类配置

内容的提问来源于stack exchange，提问作者RTh