Cómo planificar un servidor VPN silencioso, de bajo consumo y siempre activo

El reposo es donde una caja VPN doméstica pasa casi toda su vida, así que ese es el estado que merece medirse. La misma máquina todavía tiene que responder a una conexión, servir un archivo y terminar una copia de seguridad mientras el túnel está levantado, y esas tres tareas tiran en direcciones distintas. Silenciosa, de bajo consumo y siempre accesible son propiedades separadas, y una hoja de especificaciones no describe ninguna de ellas. Recorrer las comprobaciones siguientes en orden evita que una decisión de hardware se convierta en una reconstrucción seis meses después.

Empiece por los papeles, no por las piezas

Anote cada tarea que la caja debe hacer mientras nadie mira. Una puerta de enlace WireGuard u OpenVPN, un recurso compartido de archivos, un destino de copia de seguridad y una tarea de indexación tienen costes permanentes distintos, y una máquina que hace las cuatro tiene un suelo mucho más alto que una que solo hace la primera. El consumo en reposo es la suma de esos suelos, no su media. Por eso dos cajas descritas ambas como de bajo consumo pueden diferir en un factor de tres en la misma habitación.

Decidir pronto si los datos viven en el mismo host que el túnel condiciona todo lo demás. Hosts separados significan dos consumos en reposo, pero una puerta de enlace que permanece despierta mientras el almacenamiento duerme; un solo host significa un solo consumo y un solo dominio de fallo. Ninguna de las dos opciones es incorrecta, pero la respuesta tiene que quedar escrita antes de que exista la lista de piezas.

Mida toda la caja en tres estados

Un medidor de pared entre la toma y la fuente de alimentación es el único instrumento honesto aquí, porque incluye las pérdidas de conversión, el arranque del disco y cada dispositivo USB que haya olvidado. Anote tres números: reposo con el túnel levantado y nada más en marcha, la misma caja bajo una transferencia remota real y la caja durante una copia de seguridad programada.

Los contadores de software ayudan a explicar la lectura del medidor, pero no la sustituyen. La interfaz RAPL informa de la energía del paquete y del dominio de memoria, lo que excluye las pérdidas de la fuente de alimentación y todo lo conectado por USB.

read -r a < /sys/class/powercap/intel-rapl:0/energy_uj; sleep 60; read -r b < /sys/class/powercap/intel-rapl:0/energy_uj
awk -v a="$a" -v b="$b" 'BEGIN{printf "package average: %.1f W\n", (b-a)/60/1000000}'

El ruido necesita el mismo trato. Una caja sin ventiladores elimina una fuente y deja el disco duro, la fuente de alimentación y el zumbido de las bobinas, así que escuche durante una copia de seguridad y no en la pantalla de inicio de sesión. La temperatura pertenece a la misma pasada: lea los sensores bajo carga sostenida y no desactive nunca la protección térmica para que la caja sea más silenciosa.

Convierta los vatios en un año que pueda comparar

El consumo continuo se convierte en energía con una multiplicación, y hacerlo una vez evita que el coste anual sea una sorpresa. Una media ilustrativa de 11 W durante un año completo se calcula así.

awk 'BEGIN{printf "%.1f kWh/year at 11 W\n", 11*24*365/1000}'

Esa cifra es aritmética, no una medición de su caja, y la tarifa por la que la multiplica mueve la respuesta más que un par de vatios. El cálculo sirve para comparar dos diseños: una puerta de enlace en reposo a 6 W frente a otra a 15 W es una decisión a la que puede poner precio. La potencia nominal de un procesador no es esa cifra, porque describe un paquete bajo carga y no un sistema en reposo. Use la media del medidor de pared con la tarifa local y etiquete el resultado como una estimación.

Decida si se permite dormir

Dormir ahorra más energía y rompe más suposiciones. Un host dormido no puede aceptar la conexión entrante que lo despertaría, y un keepalive del cliente no lo cambia; solo un dispositivo siempre encendido en la misma LAN puede enviar un paquete wake-on-LAN.

Si el túnel tiene que ser accesible a cualquier hora, trate el sueño como desactivado por política y escríbalo en las notas de construcción. Enmascarar los objetivos es contundente, pero es explícito y sobrevive a las actualizaciones de paquetes mejor que una costumbre.

systemctl status sleep.target suspend.target
sudo systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
systemd-inhibit --list

Wake-on-LAN merece su propia línea en esas notas porque falla en silencio. La función tiene que estar activada en el firmware, solo funciona en algunas interfaces y necesita un dispositivo ya despierto para enviar el paquete. Pruébela antes de depender de ella, no después de un viaje.

Demuéstrelo bajo la carga que realmente verá

La última comprobación es la que la gente se salta: ejecute la carga prevista y observe la caja durante una hora. Una transferencia remota, una copia de seguridad y una reconstrucción de índice al mismo tiempo mostrarán si la refrigeración, el enlace y el almacenamiento pueden soportar la combinación de papeles que eligió.

uptime
sensors | grep -E 'Core|Package|fan'
ss -s

Mire también el enlace de acceso en la misma ventana, porque el ancho de banda de subida suele limitar el rendimiento remoto mucho antes que el procesador. Si el túnel se satura en una fracción de lo que la CPU podría cifrar, un chip más rápido no compra absolutamente nada.