Administrace komentářů

Šifrování funguje v zásadě tak, že se na začátku dohodne nějaká pseudonáhodná sekvence (resp. dohaduje se opakovaně/postupně/průběžně) a touto pseudonáhodnou sekvencí, vlastně streamem dat, se XORuje (nebo tak něco) stream payloadu o shodné délce. A ten se potom přenáší. Takže objem payloadu po šifrování je shodný s objemem čistého payloadu. (Plus něco navíc přidává pravidelné dohadování o krátkodobých klíčích.) Aspoň se domnívám. Ono při tomto schématu by zůstalo zachováno rozložení toku v čase, což vlastně představuje "postranní kanál" pro případný útok, takže některé šifrovací technologie se tomuto snaží bránit...

Slabý procesor... možná. Musel byste to pitvat do hloubky: co má ten procesor za akcelerátory, jestli je pro ně ve firmwaru ovladač, jestli jsou uplatnitelné na používanou šifru a jestli to nakonec umí použít user-space démon (nebo kernelový subsystém?), který realizuje šifrující vrstvu VPNky. Druhá možnost je, prostě zkusit pro srovnání jiný router (HW/SW)

Obecnou nectností VPN je to, že při tunelování = balení "IP paketů do IP paketů" (plus hlavičky TCP nebo UDP) dochází k tomu, že se buď natáhne vnější velikost zabaleného paketu (je potřeba větší MTU od vrstev vespod) nebo se omezí maximální velikost transportovatelných paketů (omezí se MTU pro čistý payload). Pokud posíláte příliš velké pakety payloadu, budou se fragmentovat popř. zahazovat buď před zabalením nebo po zabalení, podle konfigurace VPN softwaru/firmwaru na routerech a ostatně i na routerech po cestě pod VPNkou. Dá se nastavit menší MTU na tunelech, nebo ručně zkrátit TCP MSS v nastavení TCP/IP stacku na "payloadovém" klientu a serveru (zamezíte fragmentaci, ale zhoršíte efektivitu TCP). Dále do toho vstupuje konfigurace fitrů různě po cestě - např. jestli se zpátky ke klientovi propouští "ICMP couldn't fragment" apod. V případě TCP umí slušné TCP/IP stacky (na koncích payloadové relace) "path MTU discovery" a "path MTU blackhole detection" - což se zřejmě týká jenom TCP, nikoli např. UDP, navíc i tomu TCP to chvíli trvá, než černou díru odhalí. Nějaký problém z tohoto soudku by měl být vidět ve wiresharku i na koncovém stroji jako TCP retransmissions (wireshark je tuším automaticky obarví na červeno) - zejm. pokud máte podezřele pomalý upload.

Poměrně podrobný výklad má na webu Cisco.

Nebudu se dnes pouštět do žabomyší debaty jestli IPSec nebo OpenVPN - mj. protože soudím, že tato volba nebyla Vaše a taky proto, že Vám IPSec zřejmě v zásadě funguje.