其实在 linux 下实现 vpn 是如此简单。linux 已经负责实现了 tun/tap 设备，可以帮你把 ip 层的流量（或以太网层）倒入一个虚拟设备。我们要做的仅仅是处理一下互联网上的通道转发而已。
google 了一下多路径的 vpn 方案，发现有这个想法的人太多了。比如 Multipath-VPN(http://ift.tt/1IL7ZbY) 就是，不过几百行 perl 代码 。PeerVPN 虽然也不复杂，但就我需要的应用来看，大部分功能都是不需要的。所以还不如自己实现一下，应该也就是几百行代码的量吧。
如果在 IP 层做流量转发，UDP 肯定是最合适的。因为 IP 包可以允许丢掉，可以乱序，这样必定最大程度的利用 tunnel 的有效负载。如果我们 tunnel 的两端都有不同网络的出口，那么可以并行的通道就有 N * M 条。使用连接去管理也复杂的多。而且网络出口也不一定是稳定的，对于办公室， ISP 给你换 IP 也是常事。tunnel 本身是不需要有连接的。
研究了两小时的 tun 开发手册，我便兴致盎然的写了一晚上，就有了这个：mptun- http://ift.tt/1MgRxPC
动态负载均衡的算法是我拍脑袋想的。一开始将每个出口 IP 都赋予一个均等的权值，而目的 IP 也如此。当有流量需要发出的时候，select 出可写的通路，然后按权值随机选择一个目的地和出发源地址，把从 tun 设备里读到的 IP 包打包成 UDP 转发出去。一旦从一条通路发出，就给源 IP 的权值加上一点。
而当从某个对端 IP 接收到数据包时，也给对应的目的地加上点权值。
这样，如果从某个位置收的包多，就有更大几率向其发包；而从一个出口发的多，也就更可能从它那里发出。
原本还计划给每条通路做一个计数，来统计丢包率来修正权值的。不过后来发现上面的策略已经可以满意了，就懒得再加。
最后我们实际测试了一下效率。我们办公室有 4 个不同运营商的出口，对端 VPS 只有一个。用了一个接近 40M 的 zip 文件，用 wget 测试速度。以直接拉取（只利用一个出口的 TCP 连接）为基准，发现使用 mptcp 下载，虽然也会建立 4 条连接（通过四条路径），但总的下载速度只提高了 2.6 倍左右；如果使用 mptun 做 tunnel 的话，几乎可以提高 4 倍，真的把 4 条出口的可以利用的带宽都跑满了。
当然对于小文件或做 ping 测试，丢包率可能略微上升、响应速度下降了一点。我的直觉解释是：tunnel 间建立了多条路径，IP 包的转发是随机在不同路径中进行的，依赖请求回应的应用，来回很可能走的不同路径，很大概率受最慢的路径的影响。而对于大量的流量，总体带宽却能提升不少。
目前没有测试对端也有多个入口的情况。我设想是这样的：租用日本和美国两个机房的 VPS 。由于没有墙的干扰，日本和美国间的通路是非常顺畅的。所以我们可以把日本 VPS 做 DNAT 将 UDP 对应端口映射到美国机房。这样，从办公室看来，对端机器就有两个 IP 且这两个 IP 在互联网上属于完全不同的两个网段。
当我们从办公室发包过去的时候，上游路由看起来我们的 IP 包发向了截然不同的地方，这样就可以互不影响，出国的流量就可以大大提高了.
－－－－－－－－－－－
Multi-Path Tunnel VPN
It’s a peer to peer VPN tunnel over UDP. You can specify multiple local ip if you have many gateway , and also can specify multiple remote ip . mptun can use all the possible paths for tunneling.
For example, if you have two internet connections , and you want to create one tunnel to your vps (it’s very necessary in China :) over two of them , mptun can be helpful.
At server side (your VPS) that has public IPs (SERVERIP) :
mptun -i tun0 -p PORT -v 10.0.0.2 -t 10.0.0.1 -k SECRET
At client side :
mptun -i tun0 -p PORT -v 10.0.0.1 -t 10.0.0.2 -r SERVER_IP1 -r SERVER_IP2 -l LOCAL_IP1 -l LOCAL_IP2 -k SECRET
You can also omit -l argument, for short
mptun -i tun0 -p PORT -v 10.0.0.1 -t 10.0.0.2 -r SERVER_IP1 -k SECRET
Now you can testing the connection, ping -c 3 10.0.0.2 for details
The local ips only for sending package out (can be none public IP). if you specify multiple local ip , that means multiple paths to server.
-k specify the secret for authentication, it’s optional but must be the same between server and client。
（客户端机器必须为linux系统，因为要用到tun device)
via 细节的力量 http://ift.tt/1Ufu6dn
No comments:
Post a Comment