Melhorar a taxa de transferência e o desempenho da VPN site a site

Siga estas práticas recomendadas para otimizar a taxa de transferência da VPN site a site e, ao mesmo tempo, manter a conectividade estável. Você pode maximizar o desempenho configurando o gateway de VPN, as configurações criptográficas (usando IKEv2 e AES- GCM ), o roteamento e os parâmetros de rede (MTU/MSS). Quando implantada no modo ativo-ativo com tráfego distribuído ativado, uma VPN baseada em rota pode suportar até um máximo de 2 Gbps de throughput agregado em condições ideais.

A taxa de transferência pode ser menor nos seguintes cenários:

  • É usada uma VPN baseada em políticas.
  • O tráfego distribuído não está habilitado.
  • Apenas um único fluxo de tráfego está ativo.
  • O dispositivo VPN par é limitado em termos de CPU.
  • Ocorre fragmentação da rede.

A taxa de transferência real depende da capacidade do dispositivo par, da largura de banda disponível do ISP, da configuração de roteamento, do tamanho do pacote, dos padrões de tráfego e de outros fatores ambientais. As orientações a seguir abrangem a seleção do modo, o ajuste criptográfico, a configuração da rede e as práticas recomendadas operacionais para ajudá-lo a obter o desempenho ideal.

Antes de Iniciar

Para obter os melhores resultados, siga estas recomendações:

  • Teste o desempenho em seu próprio ambiente de teste antes de implementá-lo na produção.
  • Certifique-se de que seu dispositivo VPN local atenda a seus requisitos de taxa de transferência.
  • Confirme se a largura de banda do seu ISP está alinhada com a capacidade esperada da VPN.

Conclua os seguintes pré-requisitos antes de prosseguir:

  • Certifique-se de que o gateway de VPN site a site esteja provisionado e que os dois túneis de VPN estejam ativos.
  • Verifique se você tem permissão para modificar as definições de configuração no dispositivo par local.
  • Confirme se o gateway e o dispositivo par são compatíveis com IKEv2 e AES‑GCM.
  • Verifique se você tem as permissões para modificar as configurações de MTU e MSS em seu dispositivo local.
  • Instale o iperf em uma instância do servidor virtual IBM Cloud e em seu host local para validar o desempenho.

Selecione o modo VPN para obter a máxima taxa de transferência

IBM Cloud suporta os modos de VPN site a site baseados em rotas e em políticas. Sua escolha de modo afeta diretamente a taxa de transferência alcançável.

VPN baseada em rota (recomendado)

A VPN baseada em rota oferece o maior potencial de rendimento. Quando implantado no modo ativo-ativo com a opção Distribuir tráfego ativada, o tráfego pode fluir pelos dois túneis simultaneamente.

Para maximizar a produtividade:

  1. Usar VPN baseada em rota.
  2. Configure túneis para os dois endereços IP públicos da VPN baseada em rota.
  3. Habilitar Distribuir o tráfego de modo que ambos os túneis encaminhem o tráfego ativamente.
  4. Gere vários fluxos de tráfego simultâneos ao testar para usar totalmente a largura de banda disponível.

O desempenho observado em testes controlados mostra que um único túnel pode lidar com aproximadamente 1.6 Gbps, com um agregado de até 2 Gbps em ambos os túneis quando configurado com as definições arquitetônicas e criptográficas recomendadas. Esses números são exemplos de testes e não são garantidos em seu ambiente.

Se o tráfego distribuído estiver desativado, apenas um túnel transportará o tráfego por vez, o que normalmente resulta em uma taxa de transferência geral mais baixa.

VPN baseada em políticas

A VPN baseada em políticas suporta apenas um único túnel ativo por vez. O túnel secundário torna-se ativo somente durante o failover.

Como o tráfego não pode ser distribuído entre os túneis, a taxa de transferência é normalmente menor do que a VPN baseada em rota. Use a VPN baseada em políticas somente se for necessário devido à topologia da rede ou às limitações do dispositivo par.

Algoritmos de criptografia: AES vs AES- GCM

O tráfego da VPN é criptografado com o IPsec, e a escolha do algoritmo de criptografia afeta tanto a segurança quanto o desempenho:

  • AES (Advanced Encryption Standard)- Um padrão de criptografia amplamente usado que oferece segurança robusta. Quando usado com hashing separado para integridade (AES-CBC), ele incorre em uma sobrecarga um pouco maior.

  • AES- GCM (Galois/Counter Mode)- Uma variante moderna do AES que combina criptografia e verificação de integridade em uma única operação. O AES- GCM é compatível com processamento paralelo e, em geral, oferece maior rendimento do que o AES-CBC padrão.

Use AES- GCM sempre que suportado por ambos os pares de VPN para maximizar a taxa de transferência sem comprometer a segurança.

A tabela a seguir resume os valores mínimos de throughput de referência que são testados na rede interna do site IBM. Esses números representam o que foi observado em condições de teste controladas e "não" são uma garantia de desempenho real em seu ambiente. A taxa de transferência real depende da capacidade do dispositivo par, da largura de banda disponível do ISP, da configuração de roteamento, do tamanho do pacote, dos padrões de tráfego, da capacidade de computação e de outras condições da rede.

Exemplo de taxa de transferência de referência para VPN baseada em rota e baseada em política com os pacotes de cifras AES e GCM.
Modo VPN Somente AES AES- GCM
Distribuído com base em rotas ~1.6 Gbps ~1.6 Gbps
Não distribuído baseado em rota ~674 Mbps ~1.11 Gbps
Baseado em política ~598 Mbps ~1.11 Gbps

Configurar definições criptográficas para desempenho

Em uma VPN site a site entre um IBM Cloud VPC e sua rede local, o tráfego é criptografado usando o protocolo IPsec. Antes de iniciar a criptografia, uma troca de chaves segura é realizada usando o protocolo Internet Key Exchange (IKE), que consiste em duas fases:

  • Fase 1: estabelece um canal de comunicação seguro e autenticado entre os pares da VPN.
  • Fase 2: negocia as associações de segurança (SAs) IPsec que são usadas para criptografar o tráfego de dados real.

As escolhas criptográficas afetam diretamente o desempenho da VPN porque as operações de criptografia, hashing e troca de chaves consomem recursos da CPU em ambos os pares. A seleção de algoritmos eficientes e seguros ajuda a maximizar a taxa de transferência e a manter a conectividade estável.

Selecione a versão do protocolo IKE

O IKE estabelece o canal de comunicação seguro e autenticado entre os dispositivos VPN. Ele negocia parâmetros de segurança, troca chaves e configura o túnel criptografado.

IBM Cloud suporta tanto IKEv1 quanto IKEv2. No entanto, o site IKEv2 é recomendado porque:

Use IKEv2 sempre que for compatível com seu dispositivo par.

Configurações criptográficas da Fase 1 (IKE)

Durante a Fase 1, os pares de VPN se autenticam e estabelecem um canal seguro para negociação adicional. Os algoritmos de hash ajudam a garantir que os dados enviados pelo túnel VPN não sejam adulterados. Eles criam uma impressão digital exclusiva (hash) dos dados, que é verificada na extremidade receptora. Para obter mais informações, consulte os algoritmos suportados na Fase 1.

Configure os seguintes valores para a Fase 1:

  • Autenticação: SHA‑256 ou SHA‑384
  • Grupo Diffie-Hellman (DH): 14 ou 19
  • Tempo de vida: Padrão, a menos que seu ambiente exija intervalos mais curtos

Certifique-se de que o algoritmo de hash selecionado seja compatível com sua rede de pares. Caso contrário, use SHA-256 ou SHA-384, a menos que algoritmos mais fortes sejam necessários para a conformidade.

Configurações criptográficas da Fase 2 (IPsec)

Durante a Fase 2, os pares de VPN negociam SAs IPsec que definem como o tráfego de dados real é criptografado. As cifras de criptografia embaralham os dados e protegem a confidencialidade do seu tráfego para que somente as partes autorizadas possam lê-los. Para obter mais informações, consulte algoritmos suportados na Fase 2.

Configure os seguintes valores para a Fase 2:

  • Criptografia: AES‑GCM (recomendado)
  • Vida útil: Padrão para estabilidade

AES-GCM normalmente oferece maior rendimento do que o AES-CBC. Ele suporta processamento paralelo e oferece proteção de integridade integrada, eliminando a necessidade de hashing separado.

Otimizar o MTU e o MSS para evitar a fragmentação de pacotes

Os parâmetros de rede, como MTU (Maximum Transmission Unit, unidade máxima de transmissão) e MSS (Maximum Segment Size, tamanho máximo do segmento), podem afetar diretamente a taxa de transferência da VPN. A fragmentação ou perda de pacotes reduz o desempenho.

Para otimizar o MTU e o MSS, siga estas etapas:

  1. Defina o MSS para 1360 bytes em seu dispositivo local. Esse valor leva em conta a sobrecarga do IPsec e evita a fragmentação dos pacotes TCP. Para obter mais informações, consulte MSS clamping para limitar o MSS dos pacotes TCP.

  2. Valide o MTU usando testes de ping, que verificam o tamanho do pacote.

    ping -s 1472 -M do DESTINATION

    Em que:

    -s 1472
    Envia um pacote com 1472 bytes de carga útil.
    -M do
    Define o sinalizador "Don't Fragment" (DF) para evitar a fragmentação.
    DESTINATION
    Endereço IP ou nome de host que você deseja testar.

    No Windows:

    ping www.example.com -f -l 1472

    Em que:

    -f
    Define o sinalizador "Don't Fragment" (Não fragmentar) no pacote, o que ajuda a testar o tamanho máximo que pode ser enviado sem fragmentação.
    -l
    Especifica o tamanho da carga útil em bytes, excluindo os cabeçalhos.

    Para IBM VPN for VPC, o MTU é 1500 bytes e o MSS recomendado é 1360 bytes. Se ocorrer fragmentação, reduza a MTU para 1490 bytes.

A otimização desses parâmetros pode ajudar a garantir a utilização total da taxa de transferência de VPN disponível.

Configurar o gateway de VPN

A otimização do gateway de VPN garante que o tráfego possa fluir com eficiência e que ambos os túneis sejam usados quando suportados.

Para otimizar as configurações do gateway de VPN, siga estas etapas:

  1. Habilite um modo de VPN baseado em rota com tráfego distribuído.

    • VPN baseada em rota- O tráfego flui pelos dois túneis VPN simultaneamente quando a opção "Distribuir tráfego" está ativada. Além disso, a conexão de mais pares ao gateway permite uma melhor distribuição das cargas de tráfego, o que pode melhorar a taxa de transferência geral. Para obter mais informações, consulte Distribuição de tráfego para uma VPN baseada em rota.

      Em uma conexão VPN baseada em rota estática sem tráfego distribuído, apenas um túnel é usado, o que reduz a taxa de transferência geral.

    • VPN baseada em políticas- Apenas um túnel VPN está ativo por vez. O túnel secundário só fica ativo se o primário falhar, o que reduz a taxa de transferência. a opção "Distribuir tráfego" não está disponível nesse modo.

  2. Certifique-se de que o gateway da VPN esteja na mesma zona de disponibilidade que as sub-redes da VPC para evitar latência entre zonas. Para obter mais informações, consulte Quando o tráfego não é roteado por um gateway de VPN baseado em rota?

  3. Mova os túneis de alto tráfego para um gateway de VPN dedicado, pois a taxa de transferência geral depende da capacidade total do gateway. Se você tiver criado várias conexões em um único gateway, considere movê-las para um gateway separado, o que ajuda a reduzir a carga em dispositivos compartilhados e melhora a estabilidade da taxa de transferência.

  4. Desative os túneis não utilizados, pois eles podem aumentar o IKE e a sobrecarga de rechaveamento, que devem ser criptografados e descriptografados.

  5. Certifique-se de que as rotas sejam propagadas corretamente para as tabelas de roteamento da VPC. Os endereços IP de origem devem corresponder aos intervalos de sub-rede local da VPN configurados para evitar o desvio de tráfego. Além disso, certifique-se de que não haja CIDRs sobrepostos.

  6. Ativar NAT-T. Se o seu dispositivo VPN local estiver atrás de um NAT, ou se o tráfego ESP (Encapsulating Security Payload) estiver bloqueado por dispositivos intermediários. O NAT-T encapsula os pacotes IPsec em UDP, permitindo que o tráfego atravesse os dispositivos NAT.

Revisar as considerações operacionais

Outros fatores operacionais podem afetar o desempenho da VPN:

  • Certifique-se de que os firewalls em sua rede paritária permitam IBM Cloud VPC CIDRs para evitar erros de limitação de velocidade e de taxa.
  • Verifique se o seu ISP não limita o tráfego de rede.
  • Ao conectar outros ambientes ou cargas de trabalho por meio do site Transit Gateway, use somente VPN baseada em políticas (não há suporte para VPN baseada em rotas nessa topologia). Para obter mais informações, consulte Configuração da propagação de rotas para gateways de VPN.

Validar a taxa de transferência

Teste regularmente a taxa de transferência da VPN usando ferramentas de desempenho de rede, como iperf, para que o desempenho permaneça dentro dos intervalos esperados. Você deve instalar o site iperf nos sistemas servidor e cliente. Para usar o site iperf, siga estas etapas:

  1. No servidor ( IBM Cloud ou host local), inicie o servidor iperf que escuta as conexões de entrada:

    iperf -s

  2. No cliente, inicie um teste do cliente para o servidor:

    iperf -c SERVER_IP_ADDRESS

  3. Analise a saída para largura de banda, velocidade de transferência e outras métricas.

Seguindo essas práticas recomendadas, você pode melhorar significativamente a taxa de transferência da VPN site a site e, ao mesmo tempo, manter uma conectividade segura e estável.

Depois de concluir essas etapas, meça novamente a taxa de transferência da VPN e compare os resultados com os valores de linha de base que você capturou antes de fazer as alterações. Essa comparação ajuda a confirmar que as otimizações são eficazes e permite que você identifique quaisquer gargalos restantes, como limites de CPU do dispositivo par, restrições do ISP ou ineficiências do padrão de tráfego.

Se a taxa de transferência ainda não atender aos seus requisitos, revise cada área de configuração metodicamente e valide o desempenho após cada ajuste. O teste e o ajuste contínuos ajudam a garantir que a implementação da VPN funcione da forma mais eficiente e confiável possível em seu ambiente.