Час працы сервера VPN: пра што гэты лік не кажа

Публічны спіс вузлоў паказвае сервер з часам працы, які вымяраецца тыднямі, вы выбіраеце яго, і злучэнне зрываецца з першай спробы. Гэта не ілжывая рэклама; гэта няправільнае пытанне, зададзенае ліку, які вымярае нешта іншае. Час працы звычайна паказвае, колькі працэс, кантэйнер або машына працуюць з моманту апошняга запуску, і гэта ўласцівасць інфраструктуры публікатара, а не вашага шляху да яго. Ставіцца да яго як да надзейнасці — тая ж катэгорыя памылкі, што і ставіцца да адамэтра аўтамабіля як да справаздачы пра дарогу.

Што вымярае лік

На хаспе з сучасным мэнэджарам службаў лічыльнік прывязаны да падзеі, якую вы сапраўды можаце прачытаць: адзнакі часу, калі модуль перайшоў у актыўны стан, або часу загрузкі машыны. Усё астатняе — арыфметыка на гэтай прывязцы, і азначэнне прывязкі адрозніваецца ў розных публікатараў. Адзін спіс можа скідвацца пры перазапуску дэмана, другі — пры перазагрузцы, а трэці — пры ручным скідзе, які зрабіў аператар, што хацеў чысты графік.

systemctl show -p ActiveEnterTimestamp --value openvpn-server@server
uptime -s
systemctl is-active openvpn-server@server

Гэтыя тры каманды адказваюць на тры розныя пытанні, і каталог, які паказвае адзін лік, не можа сказаць вам, якое з іх выкарыстана. Таму параўнанне сырога лічыльніка з двух спісаў — зусім не параўнанне, пакуль вы не ведаеце, на чым кожны з іх скідваецца.

Працэс можа працаваць, калі шлях недаступны

Дэман слухае. Сертыфікат сапраўдны. Працэс жывы ўжо дваццаць тры дні. Нішто з гэтага не гарантуе, што пакеты з вашай сеткі дасягнуць яго, бо дасяжнасць — уласцівасць усяго шляху: вышэйшы канал правайдэра, пірынг паміж іх сеткай і вашай, затора на агульным транзітным канале і файрвол перад вашым уласным злучэннем.

Сервер можа таксама працаваць і быць бескарысным з іншай прычыны. Вузел, які прыняў значна больш кліентаў, чым падтрымлівае яго прапускная здольнасць, пакажа доўгі час працы і жахлівы досвед, бо лічыльнік не вымярае ёмістасць або канкурэнцыю. Гэта найбольш часты спосаб, якім вузел з доўгім часам працы расчароўвае: нішто не зламана, усё занята.

Адваротны выпадак таксама варта памятаць. Вузел, які перазапусціўся гадзіну таму, можа быць цалкам здаровым цяпер, і сартаванне па найбольшым ліку ціха выключае яго. Час працы — не ацэнка якасці, і стаўленне да яго як да такой выбірае ўзрост, а не прыдатнасць.

Свежасць: справаздача старэйшая за вашу спробу

Публічныя каталогі — гэта старонкі, створаныя з перыядычных праверак, а не жывая тэлеметрыя. Час працы, які вы чытаеце, быў вылічаны пры апошнім абнаўленні, а злучэнне, якое вы спрабуеце, адбываецца пасля яго. Пасярэдзіне правайдэр можа згубіць канал, змяніць сертыфікат, перанесці адрас або вывесці вузел з эксплуатацыі, і старонка будзе паказваць апошні вядомы добры стан да наступнага абходу.

Гэтая прамежка таксама працуе ў іншы бок. Вузел, пазначаны як недаступны, мог аднавіцца праз хвіліны пасля стварэння справаздачы, таму неадкладнае паўторнае спрабаванне на іншым вузле не заўсёды лепшы выбар.

Практычнае правіла: кожнае паказанае поле — сцвярджэнне пра мінулае. Выкарыстайце яго, каб скласці кароткі спіс, затым праверце вымярэннем, якое вы зробіце самі ў момант, які для вас важны.

Што правяраць замест гэтага

Вызначце, што вам патрэбна ад вузла, і праверце гэта. Калі патрэбна дасяжнасць, спроба TCP-злучэння да порта праслухоўвання за адну секунду скажа больш, чым любы лічыльнік. Калі патрэбен працоўны тунель, дамовіцеся пра яго. Калі патрэбна прыдатная прапускная здольнасць, перанясіце нешта рэальнае і вымерайце яго, бо час злучэння і прапускная здольнасць — розныя ўласцівасці, і хуткі рукапаціск нічога не кажа пра другую.

nc -vz -w 5 vpn.example.net 1194
curl -sS -o /dev/null -w '%{time_connect} %{time_appconnect} %{time_total}\n' https://vpn.example.net/
mtr -rwc 20 vpn.example.net

Паўтарайце тэст замест таго, каб давяраць адной спробе. Надзейнасць — гэта размеркаванне ў часе і ўмовах, а адно паспяховае злучэнне — выбарка памерам у адзін. Некалькі спроб на працягу гадзін, калі вы сапраўды карыстаецеся злучэннем, перасягнуць любы апублікаваны час працы з вялікім адрывам.

Чытанне публічных спісаў вузлоў без падману

Час працы таксама не нясе ніякай інфармацыі пра тое, чаго людзі звычайна хочуць ад VPN: сапраўднасць сертыфіката, хто кіруе выхадам, якая палітыка DNS прымяняецца і ці захоўвае аператар запісы злучэнняў. Гэта асобныя сцвярджэнні, якія патрабуюць асобных доказаў, і доўгі лічыльнік не доказ ні для аднаго з іх. Вузел можа быць стабільным месяцы і ўсё ж дрэнным выбарам для патрабавання прыватнасці.

Дзе спіс сапраўды дапамагае, дык гэта складанне кароткага спісу. Сартуйце па тым, што, як вы ведаеце, вам трэба, адфільтруйце вузлы ў рэгіёнах, не звязаных з задачай, затым праверце тры або чатыры, што засталіся. Захоўвайце этап збою кожнай спробы замест аднаго «так ці не», бо «рукапаціск TLS не ўдаўся» і «злучэнне ёсць, прапускной здольнасці няма» вядуць да цалкам розных высноў.

Падыход да вымярэння прадукцыйнасці шляху робіць тую ж думку ў больш строгай форме: вызначце метрыку, умовы і метад перад зборам лікаў. Ужыты да спісу вузлоў, гэта азначае, што поле часу працы — кантэкст. Вымярэнне, якое вы робіце самі, — гэта рашэнне.