Kas madal VPN läbilaskevõime on entroopia probleem? Tavaliselt mitte

Aeglane läbilaskevõime tunnelist ja juhuarvude ootamisel takerdunud masin annavad väga erineva kogemuse, kuid need registreeritakse sama kaebuse alla. Üks ilmneb pausina enne, kui miski töötab. Teine ilmneb ühendusena, mis töötab ja liigutab andmeid aeglaselt seni, kuni te seda jälgite. Otsustamine, kumb teil on, võtab kümme minutit ja säästab nädala oletusi.

Kaks sarnaselt näivat sümptomit

Teenus, mis hangub värske käivituse järel, enne kui võtab vastu ühegi ühenduse, ootab midagi. Tunnel, mis püstitub kiiresti ja edastab seejärel murdosa oodatud kiirusest, on piiratud millegi muuga. Sõna krüpteerimine esineb mõlemas loos, mistõttu need liidetakse. Eraldage need enne, kui puudutate konfiguratsioonifaili.

Pange ajatemplid käivituse, autentimise, võtmete uuesti läbirääkimise ja edastuse enda ümber. Pikk viivitus enne, kui tunnel on kasutatav, ei ole madal püsikiirus, ja kahe keskmistamine üheks numbriks hävitab tõendi.

systemd-analyze blame | head -10
journalctl -u [email protected] -o short-precise | head -40
cat /proc/sys/kernel/random/entropy_avail

Kaks esimest käsku panevad käivitustöö ajateljele. Kolmas trükib tuuma entroopia arvestusväärtuse, mis on kasulik ühe andmepunktina ja kasutu ribalaiuse mõõdikuna.

Kuidas juhuarvude ootamine tegelikult välja näeb

Turvaliste juhuslike baitide taotlus võib blokeeruda, kuni tuum on oma juhusliku allika initsialiseerinud. See loeb kõige rohkem virtuaalmasinates ja väikestel manustatud plaatidel käivituse alguses, kui keskkonnamüra on vähe kogutud. Sellest ei järeldu, et iga krüpteeritud bait tarbib värsket entroopiat.

Kaasaegsed generaatorid seemendatakse üks kord ja seejärel toodavad nad väljundi deterministlikust konstruktsioonist, seemendades end uuesti oma ajakava järgi. Hulgiedastus ei tühjenda basseini bait baiti haaval, seega madal basseini väärtus aeglase edastuse ajal ei tõesta põhjuse kohta midagi.

strace -f -e trace=getrandom -p $(pidof openvpn) 2>&1 | head -20
dmesg | grep -i 'random\|crng'

Esimene käsk näitab, kas protsess istub juhuarvukutses seni, kui te jälgite. Teine näitab tuuma enda initsialiseerimisteateid ja just seal muutub varajane käivitustakerdumine nähtavaks.

Märkige üles tuuma versioon ja teek, millega teenus tegelikult lingib, sest käitumine erineb implementatsioonide ja väljaannete vahel. Taastumise järel võetud jälg jätab pausi tavaliselt täielikult vahele.

Kuidas püsiv aeglus tegelikult välja näeb

Tunnel, mis edastab aeglaselt kogu aeg, on piiratud andmeteega. Üks küllastunud lõim, väliste pakettide kadu, kordusedastused või täis soketi järjekorrad tekitavad igaüks selle mustri ja igaühel on oma parandus. Koondatud CPU protsent peidab üht hõivatud lõime ja see on kõige levinum vale lugemine. Vaadake aega lõime kohta enne, kui vaatate kogukoormust.

Mõõtke mõlemas suunas võrreldava baasjoonega ja jälgige liidese loendureid, mitte rakenduse enda aruannet.

ss -tin dst 203.0.113.10
nstat -az | grep -i 'drop\|retrans'
ethtool -S eth0 | grep -i 'drop\|error'

Esimene käsk näitab järjekorra ja ummiku olekut ühe partneri jaoks. Teine ja kolmas teatavad kõrvalejätmistest ja kordusedastustest virnas ja liidesel, kus põhjus tavaliselt kõigepealt ilmub.

Valige parandus mõõdetud kitsaskohale

Kui tõendid osutavad varajasele käivituse initsialiseerimisele, vaadake platvormi toetatud seemendusteed, mis virtuaalmasinas võib hõlmata hosti pakutavat juhuslikku seadet. Muutumatult paljudesse külalistesse kopeeritud seemnekujutis ei asenda sõltumatut initsialiseerimist.

Kui tõendid osutavad andmeteele, häälestage see, millele loendurid osutavad. Puhvri suurused aitavad, kui järjekorrad üle voolavad, ja ei tee midagi, kui üks lõim on küllastunud. Entroopiademoni paigaldamine loenduri tõstmiseks ei ole läbilaskevõime parandus ja seemenduseelduste muutmine, et graafik parem välja näeks, vahetab turbeküsimuse numbri vastu.

Nõustuge muudatusega ainult siis, kui sama mõõtmine paraneb samades tingimustes. Suurem loendur ei ole tulemus; lühem mõõdetud ootus või kiirem edastus tuvastatud põhjusega on.