Ĉu malalta trafluo de VPN estas entropia problemo? Kutime ne

Malrapida trafluo tra tunelo kaj maŝino haltigita atendante hazardajn nombrojn produktas tre malsamajn spertojn, tamen ili estas registritaj sub la sama plendo. Unu aperas kiel paŭzo antaŭ ol io ajn funkcias. La alia aperas kiel konekto, kiu funkcias kaj movas datumojn malrapide dum vi observas ĝin. Decidi, kiun vi havas, daŭras dek minutojn kaj ŝparas semajnon da divenado.

Du simptomoj, kiuj aspektas same

Servo, kiu pendas post freŝa lanĉo, antaŭ ol akcepti eĉ unu konekton, atendas ion. Tunelo, kiu establiĝas rapide kaj poste transdonas per frakcio de la atendata rapideco, estas limigita de io alia. La vorto ĉifrado aperas en ambaŭ rakontoj, kaj tial ili estas kunfanditaj. Apartigu ilin antaŭ ol tuŝi agordan dosieron.

Metu tempomarkojn ĉirkaŭ lanĉo, aŭtentikigo, renegocado de ŝlosiloj kaj la transdono mem. Longa prokrasto antaŭ ol la tunelo uzeblas ne estas malalta stabila rapideco, kaj averaĝi la du en unu nombron detruas la pruvon.

systemd-analyze blame | head -10
journalctl -u [email protected] -o short-precise | head -40
cat /proc/sys/kernel/random/entropy_avail

La du unuaj komandoj metas lanĉan laboron sur templinion. La tria presas la entropian kontvaloron de la kerno, kiu utilas kiel unu datenpunkto kaj senutilas kiel bendlarĝa mezurilo.

Kiel atendo de hazardaj nombroj vere aspektas

Peto pri sekuraj hazardaj bajtoj povas blokiĝi ĝis la kerno pravalorizos sian hazardan fonton. Tio plej gravas sur virtualaj maŝinoj kaj malgrandaj enkonstruitaj tabuloj frue en la lanĉo, kiam malmulte da media bruo kolektiĝis. El tio ne sekvas, ke ĉiu ĉifrita bajto konsumas freŝan entropion.

Modernaj generatoroj semiĝas unufoje kaj poste produktas eligon el determinisma konstruo, resentante laŭ sia propra horaro. Amasa transdono ne malplenigas naĝejon bajton post bajto, do malalta naĝeja valoro dum malrapida transdono pruvas nenion pri la kaŭzo.

strace -f -e trace=getrandom -p $(pidof openvpn) 2>&1 | head -20
dmesg | grep -i 'random\|crng'

La unua komando montras, ĉu la procezo sidas en hazardnombra voko dum vi rigardas. La dua montras la proprajn pravalorizajn mesaĝojn de la kerno, kaj tie frua lanĉa halto fariĝas videbla.

Notu la kernan version kaj la bibliotekon, kun kiu la servo efektive ligiĝas, ĉar la konduto malsamas inter realigoj kaj inter eldonoj. Spuro prenita post resaniĝo kutime tute maltrafas la paŭzon.

Kiel daŭra malrapideco vere aspektas

Tunelo, kiu malrapide transdonas la tutan tempon, estas limigita de la datenvojo. Unu saturita fadeno, perdo de eksteraj pakaĵoj, retransdonoj aŭ plenaj soketaj vicoj ĉiu produktas tiun ŝablonon, kaj ĉiu havas sian propran riparon. Suma CPU-procento kaŝas unu okupatan fadenon, kio estas la plej ofta mislego. Rigardu tempon laŭ fadeno antaŭ ol rigardi la totalan ŝarĝon.

Mezuru en ambaŭ direktoj kun komparebla bazo, kaj observu la interfacajn nombrilojn anstataŭ la raporton de la aplikaĵo mem.

ss -tin dst 203.0.113.10
nstat -az | grep -i 'drop\|retrans'
ethtool -S eth0 | grep -i 'drop\|error'

La unua komando montras vic- kaj kongestiĝan staton por unu samtavolano. La dua kaj tria raportas forĵetojn kaj retransdonojn ĉe la stako kaj ĉe la interfaco, kie la kaŭzo kutime aperas unue.

Elektu la korekton por la botelo, kiun vi mezuris

Se la pruvoj indikas fruan lanĉan pravalorizon, rigardu la subtenatan seman vojon de la platformo, kiu sur virtuala maŝino povas inkluzivi hazardan aparaton provizitan de la gastiganto. Sema bildo kopiita senŝanĝe en multajn gastojn ne anstataŭas sendependan pravalorizon.

Se la pruvoj indikas la datenvojon, agordu tion, kion la nombriloj montras. Bufraj grandecoj helpas, kiam vicoj superfluas, kaj faras nenion, kiam unu fadeno estas saturita. Instali entropian demonon por levi nombrilon ne estas traflua riparo, kaj ŝanĝi semajn supozojn por igi grafeon pli bela interŝanĝas sekurecan econ kontraŭ nombro.

Akceptu la ŝanĝon nur kiam la sama mezurado pliboniĝas sub la samaj kondiĉoj. Pli granda nombrilo ne estas rezulto; pli mallonga mezurita atendo aŭ pli rapida transdono kun identigita kaŭzo estas.