Is jou VPN-poort CPU-gebonde? Lees eers die las per kern

Bepaal watter van die drie beperkings jy bereik het voordat jy ’n groter instansie koop. Een kern wat vasgepen is terwyl die res ledig is, dui op kriptowerk per stroom. Elke kern wat tydens ’n oordrag versadig is, dui op totale kapasiteit. Lae CPU met ’n stygende herversendingtelling dui op die pad. Elkeen het ’n ander eerste stap, en slegs een van hulle word deur ’n groter instansie opgelos.

Drie beperkings, een tabel, drie oplossings

Lees die rye as diagnoses, nie as fases nie. ’n Enkele draad op 100% terwyl die ander ledig is, is die algemeenste resultaat op ’n poort wat een groot tonnel dra, want die enkripsie vir daardie stroom loop op een kern. Alle kerne besig tydens die oordrag beteken die masjien doen reeds soveel werk as wat dit kan. Lae CPU met stygende herversendings beteken die verwerker wag op ’n netwerk wat aanhou data laat val.

Los hulle in daardie volgorde van bewyse op. Om strome oor werkers te versprei help die eerste geval en doen niks vir die tweede nie. ’n Groter instansie help die tweede en mors geld op die eerste. ’n MTU- of verliesoplossing is die enigste een wat die derde raak. Kapasiteit koop voordat jy weet in watter ry jy is is die duur weergawe van raai.

Skei ’n vasgepen draad van ’n besige gasheer

Begin met benutting per kern, sodat een vasgepen kern nie in ’n gemiddelde kan wegkruip nie. ’n Enkele lopie tydens die oordrag wys of die las gelyk of piekerig is. Beide vorms is insiggewend, en ’n piekerige profiel beteken dikwels dat die steekproefvenster beplanneraktiwiteit eerder as enkripsie gevang het.

mpstat -P ALL 1 5

Ken die besige kern aan ’n proses toe, dan aan ’n draad. Die opvolglopie hieronder hou ouer- en kinderdrade bymekaar, wat saak maak wanneer die daemon per verbinding vurk:

pidstat -u -t -p $(pgrep -f 'openvpn|wireguard|ipsec') 1 10

Kernkripto verskyn nooit in ’n gebruikersproses-teller nie. Neem drade op hul eie waar en vergelyk daardie beeld met die prosesrekenskap:

top -H -b -n 1 | head -20

Lees die soktellers laaste, want hulle besluit of meer CPU hoegenaamd sou help. Herversendings wat styg terwyl CPU gelyk bly, is nie ’n verwerkerprobleem nie. Hou die oordrag aan die gang terwyl jy meet, anders beskryf die syfers ’n ledige masjien:

ss -ti | grep -E 'retrans|cwnd|rtt'

’n Beheerde oordrag, twee keer uitgevoer

Ledige tellers bewys niks, en ’n maatstaf teen ’n ewekansige eindpunt bewys baie min. Kies een kliënt, een bestemming en een verteenwoordigende oordrag wat jy mag uitvoer, en teken dan deurset en interaktiewe vertraging in dieselfde venster op. ’n Poort kan versadig raak terwyl ’n groot kopie nog voltooi, en die vertragingskurwe is wat gebruikers werklik voel. Skryf die oordrag, die kliënttelling en die daemon-weergawe langs die syfers neer.

Herhaal die lopie met verskeie parallelle strome. Opwaartse skaling oor strome dui op vensterwerking per stroom; plat bly met een vasgepen kern dui op verwerking.

Herhaal dan nog een keer met opsionele werklas gestop. ’n Rugsteun, ’n logversender of ’n databasis op dieselfde gasheer kan ’n besige gemiddelde lewer wat niks met tonnels te doen het nie. As CPU steeds vasgepen is terwyl die gasheer andersins stil is, wys die bewyse op die VPN-proses. As dit daal, het jy die buurman gemeet, en die poort was nooit die probleem nie.

Sluit die pad uit voordat jy hardeware koop

Stygende herversendings, ’n krimpende oorladingvenster en groeiende heen-en-weer-tyd wys alles weg van die verwerker. Vergelyk die tonnel-MTU met die pad-MTU, kyk of die onderliggende skakel verlies het, en bevestig dat die kliënt se eie opstroom nie die beperking is nie. ’n Groter poort herstel nie ’n skakel wat pakkette laat val nie, en gebruikers beskryf albei foute met dieselfde woorde. Die herversendingteller skei hulle in minute.

Voeg op ’n virtuele bediener die verskaffer se maatstawwe by die gas se eie. Steeltyd is hoe oorintekening binne die gas sigbaar word, en geen instelling binne die gas verwyder dit nie. Gastellers kan nie die gasheer sien nie, so ’n skoon gasgrafiek is nie bewys van ’n gesonde gasheer nie.

Een verandering, een meting

Kies die hipotese wat die bewyse ondersteun, en verander dan presies een ondersteunde instelling: werkertelling, ’n gedokumenteerde aflaai-opsie, of die instansiegrootte. OpenVPN publiseer ’n gids vir die oplos van werkverrigtingprobleme oor dieselfde skeiding tussen verwerking en vervoer: Probleemoplossing vir OpenVPN-werkverrigting.

Bevestig dat die aflaai-opsie werklik aktief is in plaas van om die vlag te vertrou, en voer dan dieselfde oordrag weer uit en vergelyk gelykes met gelykes. Dit is die enigste manier om ’n werklike verbetering van ’n stil middag te onderskei. Hou ’n kontrolepunt wat jy kan herstel, want by die tweede verandering verloor mense dikwels spoor van wat gehelp het. Een veranderlike per lopie is stadig vir ’n dag en vinnig vir ’n maand.

Moet nie stawing of die syfersuite verswak om die grafiek beter te laat lyk nie. As CPU steeds nie die simptoom volg nie, gaan terug na pad- en toepassingstoetse eerder as om op ’n vermoede op te gradeer.