Comment puis-je résoudre les problèmes liés à la faible vitesse de transfert de mon VPN site à site ?

Brève description

Les problèmes réseau courants suivants entraînent une faible vitesse de transfert sur une connexion VPN site à site :

• Routage à faible performance
• Unités de transmission maximales (MTU) faibles le long du trajet
• Problèmes de débit TCP/UDP causés par un tunnel à faible bande passante
• Dispositif de passerelle qui limite le transfert de données
• Tunnel VPN sursaturé

Les problèmes courants liés au système ou à l'application suivants entraînent également une faible vitesse de transfert :

• Quotas de ressources pour points de terminaison d'application
• Points de terminaison d'application qui utilisent un seul flux TCP pour le transfert de données

Résolution

Pour résoudre les problèmes liés aux faibles vitesses de transfert sur le VPN site à site, prenez les mesures suivantes.

Vérifiez les faibles performances de routage

Tout d'abord, installez l'outil Linux MTR. La plupart des distributions Linux sont livrées avec MTR préinstallé. Vous pouvez également télécharger MTR depuis le gestionnaire de packages logiciels de votre distribution :

• Pour installer MTR pour Amazon Linux, exécutez la commande suivante :

  sudo yum install mtr

• Pour installer MTR pour Ubuntu, exécutez la commande suivante :

  sudo apt-get install mtr-tiny

Puis, utilisez MTR depuis votre point de terminaison sur site pour exécuter la commande suivante :

mtr -T -nrz example_IP

Remarque : Remplacez example_IP par l'adresse IP publique de votre tunnel AWS.

La sortie MTR inclut le numéro de système autonome (ASN) du fournisseur de services Internet (ISP) le long du chemin. Examinez le résultat pour vérifier que le trafic circule le long d'un chemin direct entre le périphérique de passerelle client et AWS.

Si nécessaire, utilisez la sortie MTR pour identifier la latence sur Internet.

Vérifiez le MTU le long du chemin

Identifiez le MTU le plus bas sur votre chemin :

• Pour Linux, exécutez la commande suivante :

  ping  example_IP -M do -s 1460

• Pour Windows, exécutez la commande suivante :

  ping  example_IP -l 1460 -f

Remarque : Remplacez example_IP par l'adresse IP de votre destination et 1460 par votre taille maximale de segment (MSS) en octets.

Si vous recevez un message « packet needs to be fragmented but DF set », réduisez la taille du MSS de 1 et exécutez à nouveau la commande. Répétez le test jusqu'à ce que la sortie indique un ping réussi.

Résoudre les problèmes de débit TCP/UDP

Prérequis : Vous devez installer l'outil iPerf3. Pour installer iPerf3, consultez la page Télécharger les fichiers binaires iPerf sur le site Web d'iPerf.

Testez les capacités de bande passante UDP depuis le serveur et le client :

• Depuis le serveur, exécutez la commande suivante :

  sudo iperf -s -u

• Depuis le client, exécutez la commande suivante :

  sudo iperf3 -i 1 -u -p 33344 -b 1.2G -c example_IP -V

Remarque : Remplacez example_IP par l'adresse IP privée du serveur.

Assurez-vous que votre crédit de bande passante est disponible pour l'instance Amazon Elastic Compute Cloud (Amazon EC2) associée au VPN. Si le crédit de bande passante n'est pas disponible, créez une instance de plus grande taille, puis effectuer un nouveau test.

Testez le débit TCP entre le serveur et le client.

• Depuis le serveur, exécutez la commande suivante :

  iperf3 -s

• Depuis le client, exécutez la commande suivante :

  sudo iperf3 -c example_IP -P 10 -w 128K -V
  sudo iperf3 -c example_IP -P 10 -w 512K -V
  sudo iperf3 -c example_IP -P 10 -w 1024K -V   

Remarque : Remplacez example_IP par l'adresse IP privée du serveur.

Pour tester les tampons de mémoire source et de destination lorsque vous augmentez la taille de l'instance, testez différentes tailles de fenêtres de réception TCP.

Assurez-vous que le périphérique de passerelle client autorise le transfert de données

Effectuez une capture de paquets (PCAP) sur le périphérique de passerelle client. Si le PCAP présente une latence élevée ou des pertes de paquets sur le périphérique de passerelle client, vérifiez les paramètres de configuration du périphérique. Utilisez ces informations pour vérifier si la passerelle client limite le transfert de données. Pour résoudre les problèmes, consultez la documentation du fournisseur de votre appareil ou contactez le support du fournisseur de l'appareil.

Vérifiez que le tunnel VPN n'est pas sursaturé

La bande passante maximale pour chaque tunnel VPN site à site est de 1,25 gigabits par seconde (Gbit/s). Pour vérifier que le débit de vos tunnels ne dépasse pas le quota, procédez comme suit :

1. Ouvrez la console Amazon CloudWatch.
2. Sélectionnez Métriques du VPN site à site.
3. Sélectionnez TunnelDataIn et TunnelDataOut.
4. Pour Statistique, sélectionnez Somme, puis pour Période, sélectionnez 5 minutes.
5. Pour calculer le débit de votre tunnel en Gbit/s, utilisez l'équation suivante :
   (((m1+m2)/300)*8)/1,000,000,000
   Remarque : Dans cette équation, remplacez m1 par la valeur la plus élevée de TunnelDataIn et m2 par la valeur la plus élevée TunnelDataOut.
6. Vérifiez si le débit est supérieur à 1,2 Gbit/s. Pour un débit supérieur à 1,2 Gbit/s, lancez deux tunnels BGP (Border Gateway Protocol) avec le protocole de routage Equal Cost Multi-Path (ECMP) et une passerelle de transit AWS Transit Gateway.

Vérifiez si les points de terminaison de l'application dépassent leurs quotas de ressources

Sur le périphérique de passerelle client, utilisez Wireshark (pour Windows) ou tcdump (pour Linux) pour effectuer un PCAP lorsque les données circulent via le tunnel VPN.

Important : Démarrez le PCAP avant de lancer le transfert de données. Il est recommandé d'utiliser le PCAP simultanément sur les hôtes finaux source et de destination, et sur la passerelle client sur site.

Vérifiez la sortie PCAP pour les retards et les retransmissions de paquets. Si vous constatez une latence inattendue ou une retransmission de paquets sur les hôtes finaux, contactez le support technique du fournisseur du périphérique de passerelle client.

Testez les flux TCP supplémentaires

Procédez comme suit :

1. Testez le nombre de flux TCP utilisés par l'application.
   Depuis le serveur, exécutez la commande suivante :

   iperf3 -s

   Depuis le client, exécutez la commande suivante :

   sudo iperf3 -c example_IP -P 10 -t 30

   Remarque : Remplacez example_IP par l'adresse IP privée du serveur. La commande client précédente teste 10 flux TCP parallèles.
2. Pour vérifier si un nombre supplémentaire de flux TCP parallèles stimulent le transfert de données, répétez le test avec d'autres flux TCP. Exemple :

   sudo iperf3 -c example_IP -P 30 -t 30

   Remarque : La commande précédente teste 30 flux TCP.
3. Si le débit augmente lorsque vous ajoutez des flux au test, contactez le support technique du fournisseur de logiciels pour ajouter des flux TCP à l'application.

Informations connexes

Mise en réseau améliorée sur les instances Amazon EC2

FAQ sur le VPN AWS