Funkciodaŭro de VPN-servilo: kion tiu nombro ne diras al vi

Publika listo de nodoj montras servilon kun funkciodaŭro mezurata en semajnoj, do vi elektas ĝin, kaj la konekto malsukcesas ĉe la unua provo. Tio ne estas falsa reklamado; ĝi estas la malĝusta demando farita al nombro, kiu mezuras ion alian. Funkciodaŭro kutime indikas, kiom longe procezo, ujo aŭ maŝino funkcias ekde sia lasta starto, kaj tio estas eco de la infrastrukturo de la eldonanto, ne de via vojo al ĝi. Trakti ĝin kiel fidindecon estas la sama kategoria eraro kiel trakti la odometron de aŭto kiel raporton pri la vojo.

Kion la nombro mezuras

Sur gastiganto kun moderna servadministrilo, la nombrilo estas ankrita al evento, kiun vi vere povas legi: la tempomarko, kiam la unuo eniris la aktivan staton, aŭ la starta tempo de la maŝino. Ĉio alia estas aritmetiko sur tiu ankro, kaj la difino de la ankro varias inter eldonantoj. Unu listo povas reŝargiĝi ĉe restarto de demono, alia ĉe restarto de la maŝino, kaj tria ĉe manka reŝargo farita de operatoro, kiu volis puran grafeon.

systemctl show -p ActiveEnterTimestamp --value openvpn-server@server
uptime -s
systemctl is-active openvpn-server@server

Tiuj tri komandoj respondas al tri diversaj demandoj, kaj dosierujo, kiu montras unu nombron, ne povas diri al vi, kiun el ili ĝi uzis. Kompari krudan nombrilon el du listoj tial tute ne estas komparo, ĝis vi scias, je kio ĉiu el ili reŝargiĝas.

Procezo povas funkcii dum la vojo estas senfunkcia

La demono aŭskultas. La atestilo validas. La procezo vivas jam dudek tri tagojn. Nenio el tio garantias, ke pakaĵoj el via reto atingos ĝin, ĉar atingeblo estas eco de la tuta vojo: la suprenligo de la provizanto, la kunligado inter ĝia reto kaj la via, la kongesto sur komuna transita ligo, kaj la fajroŝirmilo antaŭ via propra konekto.

Servilo ankaŭ povas funkcii kaj esti senutila pro alia kialo. Nodo, kiu akceptis multe pli da klientoj ol subtenas ĝia bendlarĝo, montros longan funkciodaŭron kaj teruran sperton, ĉar la nombrilo ne mezuras kapaciton nek konkuradon. Tio estas la plej ofta maniero, kiel nodo kun longa funkciodaŭro seniluziigas: nenio estas difektita, ĉio estas okupata.

Ankaŭ la inversa kazo indas memori. Nodo, kiu restartis antaŭ unu horo, povas esti tute sana nun, kaj ordigo laŭ la plej granda nombro silente ekskludas ĝin. Funkciodaŭro ne estas poentaro de kvalito, kaj trakti ĝin kiel tian elektas laŭ aĝo anstataŭ laŭ taŭgeco.

Freŝeco: la raporto estas pli malnova ol via provo

Publikaj dosierujoj estas paĝoj generitaj el periodaj kontroloj, ne viva telemetrio. La funkciodaŭro, kiun vi legas, estis kalkulita ĉe la lasta refreŝigo, kaj la konekto, kiun vi provas, okazas post ĝi. Intertempe provizanto povas perdi ligilon, ŝanĝi atestilon, movi adreson aŭ forigi nodon el servo, kaj la paĝo daŭre raportos la lastan konatan bonan staton ĝis la sekva trarigardo.

Tiu breĉo funkcias ankaŭ en la alia direkto. Nodo raportita kiel malaktiva eble resaniĝis minutojn post la kreado de la raporto, do tuja nova provo ĉe alia nodo ne ĉiam estas la pli bona elekto.

La praktika regulo estas, ke ĉiu raportita kampo estas aserto pri la pasinteco. Uzu ĝin por konstrui mallongan liston, poste kontrolu per mezurado, kiun vi mem faras en la momento, kiu gravas al vi.

Kion anstataŭe testi

Decidu, kion vi bezonas de la nodo, kaj testu tion. Se vi bezonas atingeblon, provo de TCP-konekto al la aŭskulta pordo diras al vi en unu sekundo pli ol iu ajn nombrilo. Se vi bezonas funkciantan tunelon, intertraktu unu. Se vi bezonas uzeblan trapon, transdonu ion realan kaj mezuru ĝin, ĉar konekta tempo kaj trapo estas diversaj ecoj, kaj rapida manpremo diras nenion pri la dua.

nc -vz -w 5 vpn.example.net 1194
curl -sS -o /dev/null -w '%{time_connect} %{time_appconnect} %{time_total}\n' https://vpn.example.net/
mtr -rwc 20 vpn.example.net

Ripetu la teston anstataŭ fidi unu provon. Fidindeco estas distribuo super tempo kaj kondiĉoj, kaj unu sukcesa konekto estas specimeno de grandeco unu. Pluraj provoj dum la horoj, kiam vi vere uzas la konekton, venkos iun ajn publikigitan funkciodaŭron per granda marĝeno.

Legi publikajn listojn de nodoj sen esti trompita

Funkciodaŭro ankaŭ portas neniun informon pri la aferoj, kiujn homoj kutime volas de VPN: valideco de la atestilo, kiu funkciigas la eliron, kiu DNS-politiko validas, kaj ĉu la operatoro konservas konektajn registrojn. Tiuj estas apartaj asertoj, kiuj bezonas apartajn pruvojn, kaj longa nombrilo ne estas pruvo por iu ajn el ili. Nodo povas esti stabila dum monatoj kaj tamen esti malbona elekto por privateca postulo.

Kie listo vere helpas, tio estas ĉe mallongigo. Ordigi laŭ tio, kion vi scias, ke vi bezonas, filtru nodojn en regionoj nerelevantaj por la tasko, poste testu la tri aŭ kvar, kiuj restas. Konservu la malsukcesan stadion de ĉiu provo anstataŭ simpla jes aŭ ne, ĉar «la TLS-manpremo malsukcesis» kaj «konektita sed sen trapo» kondukas al tute diversaj konkludoj.

La kadro por mezuri vojajn rendimentojn prezentas la saman punkton en pli rigora formo: difinu la metrikon, la kondiĉojn kaj la metodon antaŭ ol kolekti nombrojn. Aplikite al listo de nodoj, tio signifas, ke la kampo de funkciodaŭro estas kunteksto. La mezurado, kiun vi mem faras, estas la decido.