Llwyth gweinydd VPN wedi’i esbonio: defnyddwyr, CPU neu llinell uwch?

Gall porth yn eistedd ar lwyth 0.4 o hyd gropian i bob defnyddiwr y tu ôl iddo. Mae’r llwyth cyfartalog yn cyfrif tasgau sy’n rhedegadwy neu’n sownd mewn cwsg na ellir ei darfu, ac ar westeiwr pedwar craidd mae un broses ddirlawn yn ddigon i’w gwthio tuag at 1.0 tra bo tri chraidd yn segur. Darllen y rhif hwnnw fel lle gwag yw’r camgymeriad mwyaf cyffredin wrth ddewis pwynt diwedd. Yr hyn sy’n cyfyngu twnnel mewn gwirionedd yw un o bedwar peth yn aml: un craidd prysur, y llinell uwch, y ciw o’i flaen, neu bolisi fesul sesiwn na chofnododd neb.

Mae’r llwyth cyfartalog yn cyfrif tasgau, nid trwythput

Mae’r cnewyllyn yn samplu’r gïw rhedeg a nifer y tasgau sy’n aros am fewnbwn ac allbwn, yna’n llyfnhau’r ddau dros un, pump a phymtheg munud. Nid oes dim yn y diffiniad hwnnw’n sôn am feitiau, pecynnau na thwneli. Gall gwesteiwr y mae ei storio wedi tagu adrodd llwyth uchel heb fawr o draffig, a gall gwesteiwr sy’n gwthio gigabit trwy lwybr data’r cnewyllyn adrodd un cyfforddus.

Felly mae cysylltu llwyth â pherfformiad twnnel yn gofyn am olwg fesul craidd. Os yw un craidd wedi’i binio, bydd y ganran gyfanredol ar ddangosfwrdd yn dal i edrych yn iawn:

cat /proc/loadavg
mpstat -P ALL 1 1
top -H -b -n 1 | head -n 20

Y trydydd gorchymyn yw’r un sy’n bwysicaf ar westeiwyr VPN. Mae prosesu pecynnau yn y gofod defnyddiwr yn OpenVPN 2.x yn cael ei gyfresoli fesul proses i raddau helaeth, felly gall un edau brysur ddod yn nenfwd tra bo’r dangosfwrdd yn adrodd digon o gapasiti segur. Os yw un edau’n dal y rhan fwyaf o graidd yn ystod eich cyfnod araf, nid yw’r gwesteiwr wedi’i danasesu ar y cyfan; mae wedi’i gyfyngu yn y dimensiwn sy’n digwydd bod yn bwysig.

Sylwch ar yr amseriad hefyd. Mae cyfartaleddau pymtheg munud yn cuddio’r ffrwydrad a ddifethodd alwad, felly mae sgrinlun a gymerwyd ar ôl y gŵyn yn dystiolaeth wael. Samplwch yn ystod y broblem, a chadwch y stamp amser gyda’r allbwn.

Y llinell uwch a’r ciw o’i flaen

Mae cownteri’r rhyngwyneb yn ateb y cwestiwn lled band na all ffigurau CPU ei ateb. Maent hefyd yn gwahanu capasiti oddi wrth golled, sef methiannau gwahanol â datrysiadau gwahanol:

ip -s link show dev eth0
tc -s qdisc show dev eth0
nstat -az TcpRetransSegs TcpExtTCPLostRetransmit

Mae dolen sy’n agos at ei chyfradd arfaethedig yn ystod eich prawf yn eglurhad, ac nid oes dim o CPU sbâr yn newid hynny. Mae llinell qdisc yn ychwanegu’r manylyn sy’n bwysig i draffig rhyngweithiol: mae ôl-groniad a cholledion yn dweud a yw pecynnau’n aros mewn ciw cyn gadael. Mae ciw sy’n llenwi o dan lwytho mawr yn cynhyrchu’n union y symptom y mae pobl yn ei feio ar y gweinydd pell, sef galwadau swrth ar gysylltiad sy’n dal i feincnodi’n dda.

Mae cownteri ail-drosglwyddo yn dal yr achos lle mae pecynnau’n gadael ond byth yn cyrraedd yn lân. Os yw ail-drosglwyddiadau’n codi yn ystod y ffenestr araf ac nad yw’r rhyngwyneb yn agos at ei gapasiti, mae’r broblem yn y llwybr yn hytrach nac ar y gwesteiwr, ac ni fydd symud i bwynt diwedd arall yn yr un ddinas yn helpu.

Mae cyfrifon sesiwn yn disgrifio galw, nid lle gwag

Mae pob cyfeiriadur cyhoeddus yn dangos rhyw nifer o ddefnyddwyr cysylltiedig, ac mae bron iawn neb ohonynt yn dweud wrthych beth mae’r defnyddwyr hynny’n ei wneud. Mae ugain sesiwn yn gwneud gwaith rhyngweithiol a phedair sesiwn yn tynnu ffeiliau mawr yn creu llwythi tra gwahanol ar yr un caledwedd. Mae’r ail batrwm yn anweladwy mewn cyfrif defnyddwyr, a hwnnw yw’r un sy’n difethu noswaith. Felly gwell darllen nifer y sesiynau fel awgrym am alw, byth fel datganiad am gapasiti sbâr.

Ar westeiwr rydych chi’n ei reoli, mae’r ffeil statws yn rhoi’r dimensiwn coll. Mae OpenVPN yn ysgrifennu ciplun cyfnodol sy’n cynnwys cownteri beit fesul cleient, sy’n ddigon i weld a yw un sesiwn yn gyfrifol am y llinell uwch gyfan:

status /run/openvpn/server.status 10
# then, after at least one interval
grep -E "^CLIENT_LIST" /run/openvpn/server.status

Mae dau sampl deg eiliad ar wahân yn troi’r cyfrifon cronnol hynny’n gyfradd fesul cleient. Dyna’r mesuriad y mae cyfrif defnyddwyr yn sefyll drosto, a dyna hefyd sut rydych yn darganfod bod un cleient wedi’i gamgyflunio yn dirlawnu’r ddolen bob nos yr un awr.

Mae terfynau fesul sesiwn yn cuddio y tu mewn i bolisi

Gall gweinydd fod yn segur ac o hyd yn gwrthod rhoi lled band i chi. Mae terfynau cyfradd, capiau lled band fesul cleient a siapio traffig yn aml yn cael eu cymhwyso fesul enw cyffredin neu fesul pwll, felly gall dau ddefnyddiwr ar yr un porth gael canlyniadau hollol wahanol. Nid yw’r mecanwaith yn gynnil, ond mae’n anweladwy o’r tu allan oherwydd bod y twnnel yn codi’n normal yn y ddau achos.

Chwiliwch am siapio ar ryngwyneb y twnnel yn hytrach nag ar yr un ffisegol. Gwiriwch a yw’r terfyn yn dilyn y defnyddiwr, y dystysgrif neu’r pwll cyfeiriadau. Os yw eich cyfrif prawf yn glanio yn y pwll heb gap, byddwch yn casglu bod y gweinydd yn iawn a bod y defnyddiwr sy’n cwyno yn anghywir. Mae’r casgliad hwnnw’n waeth na dim casgliad, oherwydd ei fod yn cau’r tocyn.

Cymharwch ddau bwynt diwedd ag un dasg sefydlog

Mae’r arbrawf ar ochr y cleient yn dal yn werth ei redeg, ond dim ond os yw’r newidynnau wedi’u pinio. Defnyddiwch yr un ddyfais, yr un rhwydwaith mynediad, yr un protocol a’r un ffeil gyrchfan, yna ailadroddwch yn erbyn ail bwynt diwedd ar bellter tebyg. Mae unrhyw beth sy’n newid rhwng rhediadau, gan gynnwys amser y dydd, yn halogi’r canlyniad.

Cofnodwch fethiannau mor ofalus â llwyddiannau. Mae cyfres lle mae tri phwynt diwedd yn gweithio ac un yn dod i ben mewn amser yn fwy addysgiadol na pedair ffigur cyflymder, oherwydd ei bod yn cyfeirio at broblem llwybr neu bolisi yn hytrach nag un capasiti. Rhedwch bob achos o leiaf ddwywaith; nid yw un sampl araf yn profi dim ar rwydwaith a rennir.

Yn olaf, cadwch y ffigurau a gasglwyd gennych gyda’r honiad maent yn ei gefnogi. Mae "gwnaeth y pwynt diwedd hwn y trosglwyddiad yn yr un ffenestr y tagodd y llall" yn amddiffynadwy, tra bo "mae’r pwynt diwedd hwn yn gyflymach" yn gwahodd dadl na allwch ei hennill gyda sgôr hafan. Mae llawlyfr OpenVPN 2.6 yn dogfennu’r ffeil statws a’r opsiynau siapio os oes arnoch angen y cyfarwyddiadau union ar gyfer ochr y gwesteiwr.