Miglioramento del throughput e delle prestazioni delle VPN site-to-site

Seguite queste best practice consigliate per ottimizzare il throughput della VPN site-to-site mantenendo una connettività stabile. È possibile massimizzare le prestazioni configurando il gateway VPN, le impostazioni crittografiche (utilizzando IKEv2 e AES- GCM ), il routing e i parametri di rete (MTU/MSS). Quando viene implementata in modalità attiva-attiva con traffico distribuito abilitato, una VPN basata su route può supportare fino a un massimo di 2 Gbps di throughput aggregato in condizioni ottimali.

Il throughput potrebbe essere inferiore nei seguenti scenari:

  • Viene utilizzata una VPN basata su criteri.
  • Il traffico distribuito non è abilitato.
  • È attivo un solo flusso di traffico.
  • Il dispositivo VPN peer ha una CPU limitata.
  • Si verifica una frammentazione della rete.

Il throughput effettivo dipende dalla capacità del dispositivo peer, dalla larghezza di banda ISP disponibile, dalla configurazione del routing, dalle dimensioni dei pacchetti, dai modelli di traffico e da altri fattori ambientali. Le indicazioni che seguono riguardano la selezione della modalità, la messa a punto della crittografia, la configurazione della rete e le best practice operative per aiutarvi a raggiungere prestazioni ottimali.

Prima di iniziare

Per ottenere risultati ottimali, seguire le seguenti raccomandazioni:

  • Verificate le prestazioni nel vostro ambiente di test prima di distribuirlo in produzione.
  • Assicuratevi che il vostro dispositivo VPN on-premises soddisfi i vostri requisiti di throughput.
  • Confermate che la larghezza di banda del vostro ISP è in linea con la capacità VPN prevista.

Prima di procedere, completate i seguenti prerequisiti:

  • Assicurarsi che il gateway VPN da sito a sito sia stato configurato e che entrambi i tunnel VPN siano attivi.
  • Verificate di avere l'autorizzazione a modificare le impostazioni di configurazione sul dispositivo peer on-premises.
  • Confermare che il gateway e il dispositivo peer supportano IKEv2 e AES‑GCM.
  • Verificare di avere le autorizzazioni per modificare le impostazioni MTU e MSS sul dispositivo on-premises.
  • Installate iperf sia su un'istanza del server virtuale IBM Cloud che sull'host on-premises per convalidare le prestazioni.

Selezionare la modalità VPN per ottenere la massima velocità di trasmissione

IBM Cloud supporta sia la modalità VPN sito-sito basata su percorsi che quella basata su criteri. La scelta della modalità influisce direttamente sulla velocità di trasmissione raggiungibile.

VPN basata sulle rotte (consigliata)

La VPN basata sulle rotte offre il massimo potenziale di throughput. Quando viene distribuito in modalità attiva-attiva con la distribuzione del traffico abilitata, il traffico può scorrere su entrambi i tunnel contemporaneamente.

Per massimizzare la produttività:

  1. Utilizzare una VPN basata su percorsi.
  2. Configurare i tunnel verso entrambi gli indirizzi IP pubblici della VPN basata su route.
  3. Abilita Distribuire il traffico in modo che entrambi i tunnel inoltrino attivamente il traffico.
  4. Durante i test, generare più flussi di traffico simultanei per utilizzare appieno la larghezza di banda disponibile.

Le prestazioni osservate durante i test controllati mostrano che un singolo tunnel può gestire circa 1.6 Gbps, con un aggregato fino a 2 Gbps su entrambi i tunnel se configurato con le impostazioni architetturali e crittografiche raccomandate. Questi dati sono esempi di test e non sono garantiti nel vostro ambiente.

Se il traffico distribuito è disattivato, solo un tunnel trasporta il traffico alla volta, con un conseguente calo del throughput complessivo.

VPN basata su criteri

La VPN basata su criteri supporta solo un singolo tunnel attivo alla volta. Il tunnel secondario diventa attivo solo durante il failover.

Poiché il traffico non può essere distribuito tra i tunnel, il throughput è in genere inferiore a quello delle VPN basate su percorsi. Utilizzare una VPN basata su criteri solo se richiesto dalla topologia della rete o dalle limitazioni dei dispositivi peer.

Algoritmi di crittografia: AES vs AES- GCM

Il traffico VPN viene crittografato con IPsec e la scelta dell'algoritmo di crittografia influisce sia sulla sicurezza che sulle prestazioni:

  • AES (Advanced Encryption Standard)- Uno standard di crittografia ampiamente utilizzato che garantisce una forte sicurezza. Se utilizzato con un hashing separato per l'integrità (AES-CBC), comporta un overhead leggermente superiore.

  • AES- GCM (Galois/Counter Mode)- Una variante moderna di AES che combina crittografia e controllo dell'integrità in un'unica operazione. AES- GCM supporta l'elaborazione in parallelo e generalmente offre un throughput più elevato rispetto all'AES-CBC standard.

Utilizzare AES- GCM se supportato da entrambi i peer VPN per massimizzare il throughput senza compromettere la sicurezza.

La tabella seguente riassume i valori minimi di throughput di esempio testati all'interno della rete interna di IBM. Questi dati rappresentano ciò che è stato osservato in condizioni di test controllate e non sono una garanzia delle prestazioni effettive nel vostro ambiente. Il throughput effettivo dipende dalla capacità del dispositivo peer, dalla larghezza di banda ISP disponibile, dalla configurazione del routing, dalla dimensione dei pacchetti, dai modelli di traffico, dalla capacità di calcolo e da altre condizioni di rete.

Esempio di throughput di benchmark per VPN basate su route e policy con suite di cifratura AES e GCM.
Modalità VPN Solo AES AES- GCM
Distribuito in base alla rotta ~1.6 Gbps ~1.6 Gbps
Basato sulle rotte e non distribuito ~674 Mbps ~1.11 Gbps
Basata sulla politica ~598 Mbps ~1.11 Gbps

Configurare le impostazioni crittografiche per le prestazioni

In una VPN site-to-site tra un sito IBM Cloud VPC e la vostra rete on-premises, il traffico viene crittografato utilizzando il protocollo IPsec. Prima di iniziare la crittografia, viene eseguito uno scambio di chiavi sicuro utilizzando il protocollo Internet Key Exchange (IKE), che consiste in due fasi:

  • Fase 1: stabilisce un canale di comunicazione sicuro e autenticato tra i peer VPN.
  • Fase 2: negoziazione delle associazioni di sicurezza (SA) IPsec, utilizzate per crittografare il traffico dati effettivo.

Le scelte crittografiche influiscono direttamente sulle prestazioni della VPN perché le operazioni di crittografia, hashing e scambio di chiavi consumano risorse di CPU su entrambi i peer. La scelta di algoritmi efficienti e sicuri aiuta a massimizzare il throughput e a mantenere una connettività stabile.

Selezionare la versione del protocollo IKE

IKE stabilisce il canale di comunicazione sicuro e autenticato tra i dispositivi VPN. Negozia i parametri di sicurezza, scambia le chiavi e imposta il tunnel crittografato.

IBM Cloud supporta sia IKEv1 che IKEv2. Tuttavia, si consiglia di utilizzare il sito IKEv2 perché è in grado di fornire un servizio di assistenza tecnica:

Utilizzare IKEv2 quando è supportato dal dispositivo peer.

Impostazioni crittografiche della fase 1 (IKE)

Durante la Fase 1, i peer VPN si autenticano a vicenda e stabiliscono un canale sicuro per ulteriori negoziazioni. Gli algoritmi di hashing aiutano a garantire che i dati inviati attraverso il tunnel VPN non vengano manomessi. Creano un'impronta digitale unica (hash) dei dati, che viene verificata all'estremità ricevente. Per ulteriori informazioni, vedere gli algoritmi supportati nella Fase 1.

Configurare i seguenti valori per la Fase 1:

  • Autenticazione: SHA‑256 o SHA‑384
  • Gruppo Diffie-Hellman (DH): 14 o 19
  • Durata: Predefinito, a meno che l'ambiente non richieda intervalli più brevi

Assicurarsi che l'algoritmo di hashing selezionato sia supportato dalla rete peer. Altrimenti, utilizzare SHA-256 o SHA-384, a meno che non siano necessari algoritmi più potenti per la conformità.

Impostazioni crittografiche della fase 2 (IPsec)

Durante la Fase 2, i peer VPN negoziano gli IPsec SA che definiscono le modalità di crittografia del traffico dati effettivo. I cifrari criptano i dati e proteggono la riservatezza del traffico in modo che solo le parti autorizzate possano leggerlo. Per ulteriori informazioni, vedere gli algoritmi supportati nella Fase 2.

Configurare i seguenti valori per la Fase 2:

  • Crittografia: AES‑GCM (consigliato)
  • Durata: Predefinito per la stabilità

AES-GCM in genere offre una maggiore produttività rispetto a AES-CBC. Supporta l'elaborazione in parallelo e fornisce una protezione integrata dell'integrità, eliminando la necessità di un hashing separato.

Ottimizzare MTU e MSS per evitare la frammentazione dei pacchetti

I parametri di rete come MTU (Maximum Transmission Unit) e MSS (Maximum Segment Size) possono influire direttamente sul throughput della VPN. La frammentazione o la perdita di pacchetti riduce le prestazioni.

Per ottimizzare MTU e MSS, procedere come segue:

  1. Impostare l'MSS su 1360 byte sul dispositivo on-premises. Questo valore tiene conto dell'overhead di IPsec ed evita la frammentazione dei pacchetti TCP. Per ulteriori informazioni, vedere MSS clamping per limitare l'MSS dei pacchetti TCP.

  2. Convalidare l'MTU utilizzando i test di ping, che verificano la dimensione del pacchetto.

    ping -s 1472 -M do DESTINATION

    Dove:

    -s 1472
    Invia un pacchetto con 1472 byte di carico utile.
    -M do
    Imposta il flag "Non frammentare" (DF) per evitare la frammentazione.
    DESTINATION
    Indirizzo IP o hostname da testare.

    Su Windows:

    ping www.example.com -f -l 1472

    Dove:

    -f
    Imposta il flag "Non frammentare" nel pacchetto, che consente di verificare la dimensione massima che può essere inviata senza frammentazione.
    -l
    Specifica la dimensione del payload in byte, escluse le intestazioni.

    Per IBM VPN for VPC, l'MTU è 1500 byte e l'MSS consigliato è 1360 byte. Se si verifica una frammentazione, ridurre l'MTU a 1490 byte.

L'ottimizzazione di questi parametri può contribuire a garantire il pieno utilizzo del throughput VPN disponibile.

Configurare il gateway VPN

L'ottimizzazione del gateway VPN garantisce un flusso efficiente del traffico e l'utilizzo di entrambi i tunnel, se supportati.

Per ottimizzare le impostazioni del gateway VPN, procedere come segue:

  1. Abilitare una modalità VPN basata sulle rotte con traffico distribuito.

    • VPN basata sulle rotte- Il traffico scorre attraverso entrambi i tunnel VPN contemporaneamente quando l'opzione "Distribuisci traffico" è attivata. Inoltre, la connessione di più peer al gateway consente una migliore distribuzione dei carichi di traffico, che può migliorare il throughput complessivo. Per ulteriori informazioni, vedere Distribuzione del traffico per una VPN basata su route.

      In una connessione VPN basata su un percorso statico senza traffico distribuito, viene utilizzato un solo tunnel, il che riduce il throughput complessivo.

    • VPN basata su criteri- È attivo solo un tunnel VPN alla volta. Il tunnel secondario diventa attivo solo se il primario si guasta, il che riduce il throughput. la funzione "Distribuisci traffico" non è disponibile in questa modalità.

  2. Assicurarsi che il gateway VPN si trovi nella stessa zona di disponibilità delle sottoreti VPC per evitare la latenza tra zone. Per ulteriori informazioni, vedere Quando il traffico non viene instradato attraverso un gateway VPN basato su route?

  3. Spostate i tunnel ad alto traffico su un gateway VPN dedicato, perché il throughput complessivo dipende dalla capacità totale del gateway. Se sono state create più connessioni su un singolo gateway, si consiglia di spostarle su un gateway separato, in modo da ridurre il carico sulle appliance condivise e migliorare la stabilità del throughput.

  4. Disattivare i tunnel inutilizzati perché possono aumentare l'overhead di IKE e di rekeying, che devono essere criptati e decriptati.

  5. Assicurarsi che le rotte siano propagate correttamente nelle tabelle di routing della VPC. Gli indirizzi IP di origine devono corrispondere agli intervalli di subnet locali VPN configurati per evitare il bypass del traffico. Assicurarsi inoltre che non esistano CIDR sovrapposti.

  6. Abilitare NAT-T. Se il dispositivo VPN on-premises è dietro NAT, o il traffico ESP (Encapsulating Security Payload) è bloccato da dispositivi intermedi. NAT-T incapsula i pacchetti IPsec in UDP, consentendo al traffico di attraversare i dispositivi NAT.

Esaminare le considerazioni operative

Altri fattori operativi possono influire sulle prestazioni della VPN:

  • Assicurarsi che i firewall della rete peer consentano i CIDR IBM Cloud VPC per evitare errori di throttling e limitazione della velocità.
  • Verificate che il vostro ISP non limiti il traffico di rete.
  • Quando si collegano altri ambienti o carichi di lavoro attraverso Transit Gateway, utilizzare solo VPN basate su criteri (quelle basate su percorsi non sono supportate in questa topologia). Per ulteriori informazioni, vedere Configurazione della propagazione delle rotte per i gateway VPN.

Convalidare il throughput

Verificate regolarmente il throughput della VPN utilizzando strumenti per le prestazioni di rete come iperf, in modo che le prestazioni rimangano entro gli intervalli previsti. È necessario installare iperf su entrambi i sistemi, server e client. Per utilizzare iperf, procedere come segue:

  1. Sul server ( IBM Cloud o host on-premises), avviare il server iperf che ascolta le connessioni in entrata:

    iperf -s

  2. Sul client, avviare un test dal client al server:

    iperf -c SERVER_IP_ADDRESS

  3. Esaminare l'output per la larghezza di banda, la velocità di trasferimento e altre metriche.

Seguendo queste best practice, è possibile migliorare in modo significativo il throughput delle VPN site-to-site mantenendo una connettività sicura e stabile.

Dopo aver completato questi passaggi, misurate nuovamente il throughput della VPN e confrontate i risultati con i valori di base acquisiti prima di apportare le modifiche. Questo confronto conferma l'efficacia delle ottimizzazioni e consente di identificare eventuali colli di bottiglia rimanenti, come i limiti di CPU dei dispositivi peer, i vincoli dell'ISP o le inefficienze del modello di traffico.

Se il rendimento non soddisfa ancora le vostre esigenze, rivedete metodicamente ogni area di configurazione e convalidate le prestazioni dopo ogni regolazione. I test e la messa a punto continui contribuiscono a garantire che l'implementazione della VPN funzioni nel modo più efficiente e affidabile possibile all'interno del vostro ambiente.