绿茶VPN协议升级：单连接吞吐实测1.6Gbps

2026年10月17日，绿茶VPN 在 5.7.0 客户端上线重写后的 WireGuard 通道，单连接吞吐实测从 940Mbps 提升到 1.6Gbps，握手耗时从 410 毫秒降到 180 毫秒。测试环境为千兆家宽与 10Gbps 机房出口，共采集 480 组样本，覆盖 4G、5G 与家宽三类网络，数据保留到个位。所有样本在晚高峰与凌晨各测一轮，取两次中位数中较小的那组。样本中 5G 网络占 42%，家宽占 46%，其余为 4G 与公共 Wi-Fi，测试终端包括笔记本、迷你主机与手机，CPU 核心数从 4 核到 16 核。测试脚本与原始数据保存在内部仓库，可按版本复现。

这次协议升级并非简单替换内核。旧实现把加密与转发放在同一线程，单核跑满后吞吐停在 900Mbps 左右；新实现把加密卸载到多队列，按 CPU 核心数自动扩展，同时在用户态维护会话表，减少上下文切换带来的开销。服务端保留了旧通道，用户可以在设置里自由切换，切换后节点与订阅保持不变，也不用重新登录。多队列按哈希分配到核心，单个核心过载时会自动把新会话交给空闲核心。

三种通道的差异

客户端目前提供三种通道：WireGuard、IKEv2 与 TCP 回退。WireGuard 适合家宽与移动网络，握手 180 毫秒，单连接 1.6Gbps；IKEv2 在 iOS 上切换网络更快，重连平均 0.8 秒，吞吐 780Mbps；TCP 回退用于限制 UDP 的网络，吞吐 310Mbps，但能稳定穿过 443 端口。三种通道共用同一订阅，切换不需要重新登录，也不需要重新选择节点。三种通道的加密算法不同，WireGuard 使用 ChaCha20，IKEv2 使用 AES，实际选择以网络环境为主。三种通道在同一台设备上依次测试，避免硬件差异影响结果，TCP 回退的延迟略高，但连接成功率最稳定。

选择逻辑由客户端按网络环境判断：检测到 UDP 被阻断时自动切到 TCP 回退，检测到移动网络切换时优先 IKEv2。用户也可以在设置中锁定某一种通道，锁定后不再自动切换，适合需要固定出口 IP 的远程运维场景。三种通道共用同一套节点与订阅，差异只在传输层，因此用户不需要为不同协议准备不同账号，换设备时也不必重新配置。锁定通道后客户端会隐藏自动切换选项，恢复自动只需再点一次。

“WireGuard 的代码量小，但默认实现不适合高并发网关。我们在会话表上加了一层引用计数，避免节点重启时大量握手同时打进来。”

—— 郭海涛，绿茶VPN 协议研发负责人

吞吐与握手实测

吞吐测试使用 iperf3 单向 60 秒，取 3 次中位数。关闭分流、单连接、MTU 1420 时，WireGuard 通道下行 1.62Gbps、上行 1.18Gbps；IKEv2 通道下行 780Mbps、上行 560Mbps；TCP 回退下行 310Mbps、上行 240Mbps。并发 200 连接时，WireGuard 单核占用 38%，IKEv2 为 71%，差距主要来自加密卸载方式。测试同时记录 CPU 温度，持续满载 30 分钟后未出现降频，上行数据在 1.18Gbps 时仍有富余，瓶颈出现在网卡队列而不是加密，客户端侧 8 核设备占用 22%，4 核设备为 47%。上行测试使用同一台服务器，关闭其他容器与后台任务，确保带宽不被抢占，数据保留两位小数。

握手耗时在 4G、5G、家宽三种网络下分别采样 160 次：WireGuard 中位数 180 毫秒，P95 为 320 毫秒；IKEv2 中位数 260 毫秒，P95 为 480 毫秒。断网重连方面，WireGuard 平均 1.3 秒恢复，IKEv2 为 0.8 秒。在 3000 并发连接的压测中，网关内存稳定在 1.9GB，CPU 峰值 62%，压测持续 6 小时未出现会话表泄漏。P95 与中位数的差距主要来自首次握手时的 DNS 查询，缓存命中后会明显收窄，会话表使用两级索引，查找耗时稳定在微秒级。高负载测试使用 8 台客户端同时发起连接，每台维持 375 条会话，网关侧只做转发，不做深度包检测。

“1.6Gbps 是单连接的上限，不是每个用户都能跑满。普通 300Mbps 家宽在两种协议下的差异不到 4%，真正拉开差距的是高带宽和大文件传输。”

—— 周敏，绿茶VPN 测试工程师

切换步骤与兼容性

切换通道只需三步：打开客户端设置，进入「连接协议」，选择 WireGuard 后保存；客户端会断开并用新通道重连，节点保持不变。若保存后 10 秒内未连接成功，客户端自动回退到上一个可用通道，并在通知栏提示原因，用户也可以手动切回。切换过程中下载任务会暂停，重连完成后自动续传，不需要重新开始。切换前建议先保存正在编辑的文档，虽然连接会保持，部分旧软件仍会重连。回退过程不会改变订阅状态。

兼容性方面，Windows 10 1809 及以上、macOS 12 及以上、Android 9 及以上、iOS 15 及以上均支持新通道。旧版 5.6 系列仍可连接，但节点表在 11 月后不再更新。路由器端建议把 MTU 设为 1420，过小会降低吞吐，过大容易分片；如果所在网络对 UDP 限速，切到 TCP 回退更稳，速度损失约两成。路由器固件的 MTU 选项在「网络」页，修改后需要重启一次才能生效，旧版 Android 若无法选择协议，升级系统 WebView 后即可看到选项。旧版 macOS 需要先升级系统，否则安装包无法验证签名。

协议层的下一次改动会集中在多路径聚合，目标是在 Wi-Fi 与 5G 同时可用时把两条链路的带宽叠加。该功能目前在小范围测试，尚未开放给全部用户，测试数据会先在资讯页公布。团队也在评估把握手与会话表指标开放到客户端诊断页，方便用户判断问题出在本地网络还是节点侧。多路径聚合目前只在实验室环境验证，公网测试还要解决乱序与计费问题。该功能不会默认开启，需要手动申请测试。

想体验新通道的用户可在下载页升级到 5.7.0，安装后原有订阅与节点收藏都会保留，无需重新配置；路由器版本会在下一次固件更新中同步这套参数。老设备如果 CPU 性能不足，客户端会默认保留 IKEv2，避免加密卸载把 CPU 占满导致发热和掉速。升级包体积约 92MB，移动网络下建议连接 Wi-Fi 后再下载，如遇安装失败，可先在设置中清除旧版缓存再重装。老设备的加密性能有限，保留旧通道可以避免 CPU 成为瓶颈。