Tiempo de actividad de un servidor VPN: qué no le dice esa cifra

Una lista pública de nodos muestra un servidor con un tiempo de actividad medido en semanas, así que lo elige, y la conexión falla en el primer intento. Eso no es publicidad engañosa; es la pregunta equivocada hecha a una cifra que mide otra cosa. El tiempo de actividad suele indicar cuánto lleva funcionando un proceso, un contenedor o una máquina desde su último arranque, y eso es una propiedad de la infraestructura del publicador, no de su camino hacia él. Tratarlo como fiabilidad es el mismo error de categoría que tratar el cuentakilómetros de un coche como un informe de la carretera.

Qué mide la cifra

En un host con un gestor de servicios moderno, el contador está anclado a un evento que realmente puede leer: la marca de tiempo en que la unidad entró en el estado activo, o la hora de arranque de la máquina. Todo lo demás es aritmética sobre ese anclaje, y la definición del anclaje varía entre publicadores. Una lista puede reiniciarse al reiniciar el demonio, otra al reiniciar el equipo y una tercera en un reinicio manual hecho por un operador que quería un gráfico limpio.

systemctl show -p ActiveEnterTimestamp --value openvpn-server@server
uptime -s
systemctl is-active openvpn-server@server

Esos tres comandos responden a tres preguntas distintas, y un directorio que muestra una sola cifra no puede decirle cuál de ellas usó. Por eso, comparar un contador en bruto de dos listas no es ninguna comparación hasta que sepa a qué se reinicia cada uno.

Un proceso puede estar activo mientras el camino está caído

El demonio escucha. El certificado es válido. El proceso lleva veintitrés días vivo. Nada de eso garantiza que los paquetes de su red lleguen a él, porque la accesibilidad es una propiedad de todo el camino: el enlace ascendente del proveedor, el peering entre su red y la suya, la congestión en un enlace de tránsito compartido y el cortafuegos delante de su propia conexión.

Un servidor también puede estar activo e inútil por otro motivo. Un nodo que ha aceptado muchos más clientes de los que soporta su ancho de banda mostrará un tiempo de actividad largo y una experiencia horrible, porque el contador no mide capacidad ni contención. Esta es la forma más habitual en que decepciona un nodo con mucho tiempo de actividad: nada está roto, todo está ocupado.

También vale la pena recordar el caso inverso. Un nodo que se reinició hace una hora puede estar perfectamente sano ahora, y ordenar por el número más grande lo excluye en silencio. El tiempo de actividad no es una puntuación de calidad, y tratarlo como tal selecciona por edad en lugar de por idoneidad.

Frescura: el informe es más antiguo que su intento

Los directorios públicos son páginas generadas a partir de comprobaciones periódicas, no telemetría en vivo. El tiempo de actividad que lee se calculó en la última actualización, y la conexión que intenta ocurre después. Entre medias, un proveedor puede tumbar un enlace, cambiar un certificado, mover una dirección o retirar un nodo de servicio, y la página seguirá mostrando el último estado bueno conocido hasta el siguiente rastreo.

Ese hueco también funciona en el otro sentido. Un nodo informado como caído puede haberse recuperado minutos después de generarse el informe, así que reintentar de inmediato contra otro nodo no siempre es la mejor opción.

La regla práctica es que cada campo informado es una afirmación sobre el pasado. Úselo para construir una lista corta y luego verifique con una medición que haga usted mismo en el momento que le importa.

Qué probar en su lugar

Decida qué necesita del nodo y pruébelo. Si necesita accesibilidad, un intento de conexión TCP al puerto de escucha le dice en un segundo más que cualquier contador. Si necesita un túnel que funcione, negocie uno. Si necesita caudal utilizable, transfiera algo real y mídalo, porque el tiempo de conexión y el caudal son propiedades distintas y un saludo rápido no dice nada sobre la segunda.

nc -vz -w 5 vpn.example.net 1194
curl -sS -o /dev/null -w '%{time_connect} %{time_appconnect} %{time_total}\n' https://vpn.example.net/
mtr -rwc 20 vpn.example.net

Repita la prueba en lugar de confiar en un solo intento. La fiabilidad es una distribución a lo largo del tiempo y de las condiciones, y una conexión exitosa es una muestra de tamaño uno. Un puñado de intentos durante las horas en que realmente usa la conexión superará cualquier tiempo de actividad publicado con un margen amplio.

Leer listas públicas de nodos sin dejarse engañar

El tiempo de actividad tampoco aporta información sobre las cosas que la gente suele querer de una VPN: la validez del certificado, quién opera la salida, qué política de DNS se aplica y si el operador guarda registros de conexión. Son afirmaciones separadas que necesitan pruebas separadas, y un contador largo no es prueba de ninguna de ellas. Un nodo puede ser estable durante meses y seguir siendo una mala elección para un requisito de privacidad.

Donde una lista sí ayuda es a hacer la lista corta. Ordene por lo que sabe que necesita, filtre los nodos de regiones irrelevantes para la tarea y pruebe los tres o cuatro que queden. Guarde la etapa de fallo de cada intento en lugar de un simple sí o no, porque «el saludo TLS falló» y «conectado pero sin caudal» llevan a conclusiones completamente distintas.

El marco para medir el rendimiento del camino plantea el mismo punto en una forma más rigurosa: defina la métrica, las condiciones y el método antes de recoger cifras. Aplicado a una lista de nodos, eso significa que el campo del tiempo de actividad es contexto. La medición que usted haga es la decisión.