Amazon Client VPN连接成功但速率仅8KB/s 故障排查求助

问题现象 #

• 已部署Amazon Client VPN，用于支持开发人员访问VPC内指定MongoDB数据库
• OpenVPN客户端、Amazon官方客户端均可正常建立VPN连接，客户端IP地址分配正常，AWS控制台侧显示连接状态为已成功建立
• 连接建立后实际传输速率仅约8KB/s，几乎无法承载正常业务访问
• 已尝试Linux端通过禁用TCP超时修复同类问题的方案，在Windows客户端上未生效

当前环境配置 #

• VPC网络划分公有子网、私有子网两类
• Client VPN端点部署在公有子网，关联安全组已放通到私有子网的访问权限
• 目标MongoDB部署在私有子网EC2实例上，访问路径需经过一台公有子网部署的代理/跳板机EC2
• 认证采用EasyRSA自生成证书：同一CA签发的server证书同时上传至Client VPN服务端配置项、客户端配置文件，使用同CA签发的client证书完成客户端认证
• Client VPN地址段为10.0.64.0/22，已配置授权规则的可访问目标网段为10.0.128.0/20、10.0.144.0/20、10.0.160.0/20
• 客户端原始配置文件如下：

client 
dev tun 
proto udp
remote cvpn-endpoint-XXX.prod.clientvpn.us-east-1.amazonaws.com 443 
remote-random-hostname 
resolv-retry infinite 
nobind
remote-cert-tls server 
cipher AES-256-GCM 
verb 3 
<ca>
-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----
</ca> 
<cert>
-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----
</cert>
<key>
-----BEGIN PRIVATE KEY-----
-----END PRIVATE KEY-----
</key>
reneg-sec 0

排查思路与解决方案 #

按问题出现概率从高到低排序排查：

1. MTU黑洞导致PMTUd失效（匹配8KB/s典型特征，优先排查） #

Client VPN隧道默认MTU为1500，叠加UDP、TLS封装开销后实际报文大小会超过公网路径、VPC网络的最大传输单元，若ICMP分片通知报文被安全组/ACL拦截，会出现小包能通、大包被丢弃，TCP窗口无法扩容，传输速率卡在几KB的情况。

• 验证方式：Windows客户端以管理员身份打开命令提示符，执行ping <跳板机内网IP> -f -l 1472，如果请求超时，逐步降低-l后的数值直到能正常收到响应，记录当前可通的最大包长
• 临时修复：在客户端ovpn配置文件末尾追加以下两行参数，重建VPN连接测试：

tun-mtu 1400
mssfix 1360

注意：MTU值不要设置低于1300，否则会额外降低隧道吞吐

• 永久修复：检查Client VPN关联子网路由表、跳板机/数据库EC2关联安全组、子网网络ACL，确保放通ICMP Type 3 Code 4（分片所需）报文，同时检查VPC内自定义防火墙规则是否丢弃携带DF（不分片）标记的大包，恢复路径MTU发现机制正常工作。

2. 证书配置错误带来额外性能开销 #

当前证书配置存在逻辑错误：服务端证书仅需要在AWS Client VPN控制台的服务端证书栏配置，不需要将server证书写入客户端配置文件，客户端配置的<ca>段仅需要保留签发所有证书的根CA证书即可。错误的证书配置会导致TLS握手、数据传输阶段反复执行无效的证书链校验，带来极高的CPU开销与传输延迟。

• 修正客户端配置：删除客户端配置中混入的服务端证书内容，仅保留根CA证书、客户端自身证书与私钥
• 控制台侧校验：确认服务端证书配置项仅上传了server证书，不要将客户端证书、根CA证书上传到该配置项
• 修正后重新导出客户端配置，重建连接测试速率。

3. 授权规则/路由配置遗漏导致丢包限流 #

当前配置的授权规则仅覆盖三个私有子网段，未包含跳板机所在的公有子网网段：

• 首先确认跳板机EC2内网IP所属网段，若公有子网网段不在已配置的三个授权网段内，Client VPN端点会对发往跳板机的流量执行白名单拦截，仅允许极少量控制报文通过，表现为连接状态正常但数据流量大量丢包、速率极低
• 补全授权规则：将跳板机所在的公有子网CIDR添加到Client VPN授权规则列表中
• 路由校验：确认Client VPN关联的公有子网路由表中，所有VPC内网网段路由均指向VPC local网关，不存在指向NAT网关、其他中转设备的冲突路由；同时确认关联子网已配置指向互联网网关的0.0.0.0/0公网路由，避免跨可用区绕转带来的额外转发损耗。

4. 传输协议与客户端系统配置问题 #

• 端口限流排查：部分本地运营商、企业网络会对UDP 443端口流量做限流，可在AWS控制台将Client VPN传输协议修改为TCP 443，导出新的客户端配置测试
• Windows系统配置修正：以管理员身份执行命令netsh int tcp set global autotuninglevel=normal，恢复TCP窗口自动缩放能力；禁用VPN虚拟网卡的IPv6协议，临时关闭本地安全软件、其他代理/VPN程序排除流量过滤干扰。Linux端禁用TCP时间戳的修复方案不适用于Windows系统，无需照搬配置

5. 关联资源性能瓶颈排查 #

• 查看Client VPN端点监控：在AWS控制台查看端点的IngressPacketDropCount、EgressPacketDropCount指标，若丢包率超过1%，说明端点连接数、带宽负载过高，可将端点关联到多个可用区的子网分摊负载
• 跳板机性能校验：检查跳板机EC2的CPU、网络带宽监控，若为t2/t3类突发性能实例，确认是否存在CPU积分耗尽、网络带宽被限速到基线的情况，可临时升级实例规格测试
• VPC流日志排查：开启VPC流日志，筛选Client VPN端点弹性网卡、跳板机弹性网卡的REJECT记录，确认是否存在隐式安全组/ACL规则拦截流量导致的大量重传。

内容的提问来源于stack exchange，提问作者Cy83rr