Скорость интернета на VPS — что на самом деле меряет ваш speedtest

На VPS «1 Гбит/с» — это пропускная способность между вашей виртуальной машиной и нашим edge-маршрутизатором внутри дата-центра. Эта цифра измерима, зафиксирована в договоре и честная. Это НЕ пропускная способность между вашей VM и вашим ноутбуком в другой стране, и это НЕ то, что вам покажет speedtest. Эта статья объясняет разницу: что на самом деле меряет ваш speedtest, почему VPN-туннель добавляет ещё свой overhead сверху, сколько реально стоит гарантированный end-to-end гигабит между двумя городами и как правильно мерить скорость VPS.

Что такое «скорость интернета» на самом деле

Скорость — это не свойство сервера. Скорость — это свойство канала между двумя конкретными точками A и B. Один и тот же VPS может в одну минуту выдать 940 Мбит/с до одного хоста и 12 Мбит/с до другого — и при этом с самим VPS будет всё в порядке.

Когда мы говорим «у вашего VPS порт 1 Гбит/с», технически мы говорим вот что: между вашей виртуальной машиной и нашим edge-маршрутизатором внутри дата-центра есть линк на 1 Гбит/с. Эта часть честная, измеримая и под нашим контролем. Всё, что находится дальше edge-маршрутизатора, — уже нет. Как только пакет покинул наш ДЦ, мы его больше не везём, мы только заплатили за бензин до выезда с парковки.

Публичный интернет — это не наша оптика

Интернет — это не одна сущность. Это федерация примерно 75 000 независимых сетей (autonomous systems), которые согласились обмениваться между собой трафиком на разных коммерческих и пиринговых условиях. Никто — ни мы, ни Google, ни Amazon, ни Cloudflare — не владеет оптикой end-to-end до каждого дома на планете.

Когда вы подключаетесь из Алматы к серверу во Франкфурте, ваш пакет проходит обычно 8–12 хопов: ваш локальный ISP в Казахстане, его upstream, транзитная сеть в РФ (Билайн, Ростелеком или KazTransCom на выходе), точка обмена в Москве или Стокгольме, tier-1 транзит (Cogent, Telia, Lumen) до Германии, DE-CIX во Франкфурте, транзит-провайдер нашего ДЦ, наш edge-маршрутизатор, наш коммутатор, ваша VM. Двенадцать хопов. Каждый из них — это shared-линк, которым пользуются миллионы других людей, со своей очередью и своими заторами.

Если хотя бы один из этих двенадцати хопов сегодня не в форме — перегруженный транзит из-за популярного спортивного стрима, спор между двумя сетями о пиринге, плановое обслуживание у ISP — ваша скорость падает. И это падение происходит не на нашем порту 1 Гбит/с. Оно происходит на чьём-то другом линке, в чьей-то другой стране, в сети, с которой у нас вообще нет коммерческих отношений.

Сколько на самом деле стоит гарантированный гигабит между городами

Иногда клиент спрашивает: «ну окей, а почему вы просто не дадите мне гарантированный 1 Гбит/с до моего города end-to-end?». Честный ответ: можем — за десятки тысяч евро в месяц, и не до любой точки на планете. Ниже — реальные рыночные цифры за выделенный 1 Гбит/с point-to-point Layer-2 wave от tier-1 оператора (Lumen, GTT, Telia, Cogent), круглосуточно, по счёту в месяц:

Эти цифры не теоретические. Это то, что приходит в счёте, когда банк или биржа покупают гарантированный межконтинентальный гигабит. Это же причина, почему VPS за €2.98 не включает в себя персональную оптику от Франкфурта до вашей гостиной — она была бы дороже на пять порядков.

(Уточнение: 1 Гбит/с внутри нашего дата-центра — это не то же самое, что гарантированный 1 Гбит/с до любой точки в интернете. У нас есть отдельная статья на эту тему.)

Почему VPN обычно теряет скорость

VPN в принципе не может работать на той же скорости, что и прямое соединение. Это не дефект конкретного провайдера, это особенность самой технологии. VPN делает четыре дорогих вещи, которые прямое соединение пропускает:

• Шифрование — каждый байт прогоняется через AES-256-GCM (или ChaCha20-Poly1305). Современные CPU с AES-NI могут шифровать несколько Гбит/с, но это всё равно стоит CPU и добавляет задержку с обоих концов.
• Инкапсуляция — каждый исходный пакет заворачивается в новый. WireGuard добавляет ~60 байт заголовков, OpenVPN ~100, IPsec 50–80. На мелких пакетах overhead заметный.
• MTU-фрагментация — если завёрнутый пакет превысил path MTU (обычно 1500 байт), маршрутизаторы его делят, что фактически удваивает per-packet cost. Неправильно настроенный MTU тихо снижает практическую пропускную способность VPN вдвое.
• Лишний хоп — вместо «вы → пункт назначения» путь становится «вы → VPS → пункт назначения». VPS оказывается между вами и тем, что вам нужно, и каждый байт проезжает дважды (вход в туннель, выход из туннеля).

Типичные потери даже на идеально настроенном туннеле:

Расстояние — это тихий throttle

Свет в оптоволокне идёт примерно 200 000 км/с (медленнее чем в вакууме). Каждые 1 000 км оптики добавляют ~5 мс задержки в одну сторону — и это до любых очередей и буферизации в маршрутизаторах. Реальный RTT обычно в 2–3 раза больше теоретического минимума, потому что путь не прямой и в нём десятки хопов.

Чем больше RTT → тем медленнее single-flow TCP (см. формулу Mathis выше). Чем больше packet loss → тем хуже, потому что каждый ретрансмит стоит полного round-trip. Поэтому сайт, размещённый во Франкфурте, ощущается медленнее из Алматы даже на отличном местном канале — это не ваш ISP и не наш сервер, это скорость света через 5 000 км оптики и 12 маршрутизаторов.

Троттлинг — что это и когда срабатывает

Троттлинг = сеть принудительно ограничивает скорость трафика, который слишком долго идёт на максимуме. Это делает каждый VPS-провайдер на планете на базовых тарифах — продавать порт 1 Гбит/с за €2.98/мес и при этом позволять одному клиенту бесконечно его насыщать в ущерб всем остальным финансово невозможно. У нас есть отдельная статья, где разбираем по-человечески — зачем нужен троттлинг, когда срабатывает наш шейпер и как отличить его от других причин потерь скорости. Коротко: короткие burst-ы идут на полной скорости порта, длительная тяжёлая нагрузка ограничивается — ваш VPS продолжает работать, просто не получится бесконечно держать в полку shared-аплинк.

Как правильно измерить скорость

Есть ровно один честный способ померить пропускную способность порта VPS: изолировать наш сегмент пути. Всё, что пересекает чужой транзит, VPN-туннель или континент — это не измерение нас, это измерение всего интернета между вами и нами, плюс нас, плюс всего что после нас.

Методы, которые работают, в порядке предпочтения:

1. iperf3 изнутри VM до публичного iperf-сервера в том же городе или регионе ДЦ. Списки доступны на iperf.fr/iperf-servers.php и аналогичных реестрах.
2. iperf3 между двумя вашими собственными VM на одной ноде или в одной подсети — измеряет коммутационную фабрику ДЦ напрямую.
3. Speedtest CLI (не браузер) с явным выбором сервера: speedtest --server-id=<id-рядом-с-ДЦ>.
4. Замеры через RIPE Atlas, если нужна более серьёзная картина с множества точек по миру.

Методы, которые НЕ измеряют нас:

• speedtest.net в браузере через активный VPN-туннель из другой страны с автовыбором сервера. Вы измеряете: домашний ISP последняя миля → домашний роутер → местный ISP → международный транзит → VPN-туннель → наш VPS → выход из туннеля → ещё один транзит → speedtest-сервер. Из всего этого пути нам принадлежит примерно 5%.
• Скачивание большого файла «из интернета» (GitHub releases, S3, Docker registry). Вы меряете тот CDN, который вам отдаёт файл, на той PoP куда вас завернули.
• Пинг случайного IP. Ping измеряет путь, не пропускную способность, а политика хоста по ICMP может быть какой угодно.
• Сравнение со скоростью домашнего интернета. Дома — один ISP, одна страна, часто один роутер; VPS — совсем другая физическая инфраструктура с совсем другой топологией.

# Тест, который даёт полезные данные:
iperf3 -c <iperf-сервер-в-том-же-городе> -P 4   # 4 параллельных потока
iperf3 -c <iperf-сервер-в-том-же-городе> -R     # обратное направление (download)
iperf3 -c <iperf-сервер-в-том-же-городе> -t 60  # 60 секунд, проходим slow-start

# Тест, который даёт шум:
speedtest.net в браузере через VPN на сервер в другой стране
# (по результату такого теста тикет открывать не надо)

Что мы как провайдер про это знаем

Мы крутим VPS-инфраструктуру уже несколько лет в 13 локациях. Мы прошли через сотни тикетов «у вас медленный интернет». Расклад такой: примерно ~95% этих тикетов оказываются (а) VPN из дальней страны, (б) загруженный транзит, который нам не принадлежит, (в) измерение single-flow TCP против большого RTT, или (г) speedtest против перегруженного тестового сервера. Оставшиеся ~5% — это реальные проблемы нашей сети, и обычно мы их видим в своих мониторингах раньше, чем приходит тикет.

Мы от этого не прячемся. Внутри наших ДЦ работает современная Layer-3 фабрика (10/40 Гбит/с backbone, несколько аплинков на каждую хост-ноду), мы пиримся в основных точках обмена (DE-CIX во Франкфурте, AMS-IX в Амстердаме, BIX в Софии, плюс региональные). Внутрисетевые скорости у нас честные. Выход в публичный интернет хорошо инженерно отстроен. Но ни мы, ни кто-либо ещё на Земле не может гарантировать пропускную способность через публичный интернет — потому что публичный интернет по определению принадлежит тысячам разных сторон.

Если задача правда требует гарантированного end-to-end канала — для финансового торгового линка, бэкхола CDN, real-time видео-пайплайна — это существует, называется dedicated wave или MPLS L3VPN, и это как раз те «десятки тысяч в месяц» из таблицы выше. Мы можем его посчитать. Просто это никогда не было частью тарифа за €2.98 — ни у нас, ни у любого другого VPS-провайдера в индустрии.