Жалоба звучит одинаково: провайдер даёт сто мегабит, без туннеля они есть, с туннелем остаётся заметно меньше. Настройки при этом верные, сервер не перегружен, а скорость всё равно упирается в потолок и дальше не идёт.

Причина почти всегда одна и та же, и она не в настройках.

Аппаратное ускорение не работает для туннеля

Домашние роутеры давно не гоняют весь трафик через центральный процессор. За обычную пересылку пакетов между провайдером и локальной сетью отвечает отдельный аппаратный блок. Именно поэтому недорогая модель спокойно держит гигабит: процессор в этом почти не участвует.

С туннелем так не выйдет. Каждый пакет нужно расшифровать, обработать и зашифровать снова — операция, которую аппаратный ускоритель делать не умеет. Весь туннельный трафик идёт через центральный процессор, и его производительность становится жёстким потолком.

Отсюда следствие, которое ломает интуицию: скорость в туннеле не связана с тарифом провайдера. Купите канал вдвое быстрее — потолок туннеля не сдвинется, потому что упирается он в другое.

Почему WireGuard быстрее OpenVPN на том же железе

Если сравнивать протоколы на одном роутере, разница будет заметной.

WireGuard живёт в ядре системы и использует шифр ChaCha20, который хорошо считается на процессорах без аппаратного ускорения AES — а именно такие стоят в большинстве домашних роутеров. Кода мало, накладных расходов мало.

OpenVPN работает в пространстве пользователя: каждый пакет дополнительно путешествует между ядром и приложением. Плюс TCP-режим добавляет свои издержки. На роутерном процессоре это выливается в кратную разницу.

Поэтому при выборе протокола на роутере WireGuard — почти всегда правильный ответ, если он поддерживается вашей моделью и вам не нужна маскировка трафика.

Как измерить свой потолок за пять минут

Гадать по названию модели бессмысленно — измерьте.

  1. Подключите компьютер к роутеру кабелем. Wi-Fi добавит собственные ограничения и смажет картину.
  2. Замерьте скорость без туннеля. Это ваша базовая линия.
  3. Включите туннель и замерьте ещё раз.
  4. Во время второго замера откройте веб-интерфейс роутера и посмотрите загрузку процессора.

Дальше читается так:

  • Процессор в полке (около 100%), скорость ниже базовой — вы нашли предел модели. Настройками он не лечится.
  • Процессор загружен слабо, а скорость всё равно низкая — узкое место не в роутере. Смотрите в сторону сервера, канала до него или MTU.
  • Скорость проседает только на Wi-Fi, по кабелю нормально — ограничивает беспроводная часть, а не туннель.

Третий случай встречается чаще, чем кажется: люди меряют по Wi-Fi и списывают всё на VPN.

На что смотреть при выборе модели

Маркетинг роутеров построен вокруг класса Wi-Fi и числа антенн. Для VPN важно другое.

Процессор. Частота и количество ядер — единственное, что определяет потолок туннеля. Модель с более скромным Wi-Fi, но быстрым чипом обгонит нарядную новинку на слабом процессоре.

Многоядерность помогает не всегда. Обработка одного туннеля плохо распараллеливается: несколько ядер выручают, когда туннелей несколько или роутер занят другими задачами, но один поток упрётся в одно ядро.

Поддержка нужного протокола. Клиент WireGuard есть не во всех моделях линейки — на старых он недоступен, и остаются более медленные варианты. Проверять стоит до покупки, по списку компонентов конкретной модели на сайте производителя.

Конкретные цифры производительности по моделям производитель публикует сам, и они регулярно меняются с обновлениями прошивки — ориентируйтесь на официальные данные и на собственный замер, а не на цифры из обсуждений трёхлетней давности.

Когда роутер — вообще не то место для туннеля

Стоит честно сказать: VPN на роутере почти всегда медленнее, чем VPN на устройстве.

Процессор ноутбука или современного телефона в разы мощнее роутерного, и шифрование для него — фоновая нагрузка, которую не видно. Роутер выбирают не за скорость, а за удобство: настроил один раз, и туннель работает для телевизора, приставки и всего, куда клиент не поставишь.

Разумный компромисс — не гнать в туннель всё подряд. Через приоритеты подключений можно оставить в туннеле только те устройства, которым он нужен, а тяжёлый трафик вроде видео в высоком разрешении пустить напрямую. Потолок процессора при этом перестаёт мешать: он делится между меньшим числом устройств.

Что ещё крадёт скорость, кроме процессора

Прежде чем менять роутер, исключите остальное.

  • MTU. Неверное значение дробит пакеты, и часть полосы уходит впустую. Признак — соединение работает, но скорость странно низкая при незагруженном процессоре.
  • Расстояние до сервера. Задержка ограничивает скорость одного TCP-соединения независимо от ширины канала. Сервер поближе иногда даёт больше, чем более мощный, но далёкий.
  • Wi-Fi. Полоса делится между всеми клиентами, а на 2,4 ГГц ещё и с соседями. Замер по кабелю отсекает этот фактор сразу.

Коротко

Туннельный трафик идёт мимо аппаратного ускорителя, поэтому потолок задаёт процессор роутера, а не тариф провайдера. WireGuard на том же железе заметно быстрее OpenVPN.

Свой предел определяется замером по кабелю с одновременным взглядом на загрузку процессора — это пять минут и полная ясность. При выборе модели смотрите на процессор, а не на класс Wi-Fi.

А если нужна именно скорость — держите туннель на устройстве, а роутеру оставьте то, куда клиент не поставить.