OpenVPN подойдёт для массового использования?

Question

[XiNull]

Если разрабатывать VPN под Android, подойдёт ли OpenVPN на сервере, чтобы держать одновременно 1000 - 5000 пользователей? Если нет, то какое серверное ПО использовать для этих целей? Может ещё какие-то советы сможете дать, буду благодарен :)

Answer 1

[Markus Saar]

Подойдет. Вопрос только в железе сервера и канале.
На каждые 50 юзеров потребуется, примерно:

• 100 мбит/с;
  
• 2 ядра на 3 ггц;
  
• 512 мб оперативки.
  

Comments

[CityCat4]

Вау, давно хотел иметь примерную количественную оценку!

[res2001]

По примерным требованиям к железу можно тут посмотреть: https://openvpn.net/vpn-server-resources/openvpn-a...

[Markus Saar]

res2001, мои показатели взяты из личной практики. По вашей ссылке указано 1000 гбит на 100 юзеров, но на практике, при таком количестве пользователей канал будет занят на 200-250 мбит. в пиках, а среднее и того меньше.

[res2001]

Markus Saar, В статье по ссылке они 10 раз повторяют, что все очень сильно зависит от конкретной нагрузки. Про "1000 ГБит на 100 юзеров" они имеют ввиду 100 активных юзеров полностью выбирающих свой лимит по трафику, а не то что имеете ввиду вы.
Зная свою нагрузку по статье можно прикинуть требования к процу, памяти и каналу.
Привел ссылку, чтоб автор смог посчитать сам какое железо ему требуется.

[Дмитрий]

Markus Saar, Скажите, а вы каким либо образом управляете трафиком пользователей? HTB или какой то другой шейпер?

[Markus Saar]

Дмитрий, нет, трафиком не управляем. Лучше каналы расширять, чем пытаться кого-то шейпить.

[Денис Сечин]

А как высчитал цифру 100 мегабит на 50 душ? Это из личного опыта? Мало кому щас 2 мегабита хватит по этой оценке. Да и к тому же когда 50 тел потребят каждый по 2 мегабита что останется для менеджмента? А мониторинг? Или вы расчитываете быть тем одним из 50и? а если кто-то из 50 потребит 10 мегабит? В таком случае нужен шейпер на юзера как минимум. Далее по поводу ядер тут следует уточнить что опенвпн работает только на одном ядре изначально. Если советуете 2 ядра то уточняйте что нужно будет запускать 2 инстанса.

[Markus Saar]

Денис Сечин, да, из личного опыта. Часть юзеров idle, часть что-то делают, качающих реально мало в % от общего количества. Поэтому в среднем так и получается.

OpenVPN может быть многопоточным, если есть в команде грамотный специалист по этому протоколу. Остальные запускают инстансы.

Answer 2

[Dimonchik]

https://habr.com/ru/post/432686/

Answer 3

[Alexey Dmitriev]

Wireguard будет при одинаковой нагрузке кушать гораздо меньше ресурсов, чем OpenVPN. Для RHEL\Centos есть репозиторий с dkms модулем.

Но нужно думать еще, как минимум про удобство раздачи сертификатов конечным клиентам. У OpenVPN это заморочно.
У wireguard проще - можно вообще все всю конфигурацию клиента, включая в ключи - загнать в qrcode и просто отсканировав его - получить настройки на клиенте. Так работает их официальный клиент.

Comments

[osada]

" У OpenVPN это заморочно." - а в чем именно заморочки? Устанавливается на клиентскую машину клиент OpenVPN через сайт OpenVPN -сервера и все. Никаких заморотов нет.
У OpenVPN гибкая система прописывания маршрутов по разным подсетям в случае необходимости доступа туда клиентам. Достаточно просто прописать эти маршруты на стороне сервера и затем не надо пушить заново клиенту OpenVPN обновленную версию. В Wireguard я этой функции пока не нашел.

[Alexey Dmitriev]

osada, прочитайте задачу внимательно. XiNull хочет, если перефразируя - "неофициального" клиента под Андроид разработать, который будет использовать OpenVPN сервер как серверную часть.
Соответственно механизм доставки сертификатов и настроек до каждого клиента должен быть user friendly.

[osada]

Alexey Dmitriev, А чем плохо, если использовать родного клиента openVPN для задач автора?

"должен быть user friendly." - не совсем понял, в чем конкретно тут будет поставка OpenVPN-сертификатов не user friendly даже для альтернативного клиента VPN?

Answer 4

[res2001]

OpenVPN однопоточный, на такой нагрузке нужно будет запускать несколько инстансов на разных портах и балансировать пользователей между ними (это поддерживается в клиентской конфигурации).
А дальше нужно смотреть на ваш трафик.

Вообще для большой нагрузки я бы взял что-то реализованное в ядре - IPSec.
Вот выше dimonchik2013 дал ссылку на WireGuard. Первый раз о нем слышу, какой-то новый продукт. Судя по статье для линукс есть ядерная реализация, но она еще не включена в состав ядра.

Comments

[Markus Saar]

OpenVPN может стать многопоточным, если очень захочется и найдете специалиста с прямыми руками.

[res2001]

Markus Saar, На сколько я понимаю, потребуется допиливать код. Это может быть очень не быстрый процесс.

[mureevms]

Markus Saar, это в случае, если запускать количество инстансов OVPN по количеству ядер или я все не правильно понял?

[Markus Saar]

mureevms, надо допиливать openvpn.

[mureevms]

Markus Saar, в курсе как работает в предложенном мной варианте? Я просто не пробовал.

[Валентин]

Вроде бы Wireguard недавно был включён в состав ядра

Answer 5

[Drno]

Почему нет. Подойдет
А мощности зависит от последних задач и сервера

Answer 6

[Sanes]

От сервера зависит. 1000 одновременных клиентов это много. И небезопасно.