VPNren errendimendu baxua entropia arazo bat da? Normalean ez

Tunel batetikako errendimendu geldoak eta zenbaki aleatorioen zain blokeatutako makinak oso esperientzia desberdinak sortzen dituzte, baina kexa beraren pean erregistratzen dira. Bata zerbait funtzionatu aurretik etenaldi gisa agertzen da. Bestea funtzionatzen duen eta datuak poliki mugitzen dituen konexio gisa agertzen da, hari begira zauden bitartean. Zein duzun erabakitzeak hamar minutu hartzen ditu eta aste bat asmakizun aurrezten ditu.

Antzeko itxura duten bi sintoma

Abiarazte berri baten ondoren blokeatzen den zerbitzuak, konexio bakarra ere onartu aurretik, zerbaiten zain dago. Azkar ezartzen den eta gero espero zen abiaduraren zati batean transferitzen duen tunela beste zerbaitengatik mugatuta dago. Enkriptatze hitza bi istorioetan agertzen da, eta horregatik bateratzen dira. Bereizi itzazu konfigurazio fitxategi bat ukitu aurretik.

Jarri denbora-zigiluak abiaraztearen, autentifikazioaren, gakoen berriro negoziazioaren eta transferentziaren beraren inguruan. Tunela erabilgarri izan aurretiko atzerapen luzea ez da tasa baxu egonkorra, eta biak zenbaki bakarrean batez bestekoa egiteak froga suntsitzen du.

systemd-analyze blame | head -10
journalctl -u [email protected] -o short-precise | head -40
cat /proc/sys/kernel/random/entropy_avail

Lehen bi komandoek abiarazte-lana denbora-lerro batean jartzen dute. Hirugarrenak kernelaren entropia kontabilitate-balioa inprimatzen du, datu-puntu bakar gisa erabilgarria eta banda-zabaleraren neurgailu gisa erabilgaitza.

Nola ikusten da benetan zenbaki aleatorioen itxaronaldi bat

Byte aleatorio seguruen eskaera batek blokea dezake kernelak bere iturri aleatorioa hasieratu arte. Hori garrantzitsuena da makina birtualetan eta txertatutako plaka txikietan abiaraztearen hasieran, ingurumen-zarata gutxi bildu denean. Horrik ez da ondorioztatzen byte enkriptatu bakoitzak entropia freskoa kontsumitzen duenik.

Sorgailu modernoak behin hazten dira eta gero eraikuntza deterministiko batetik irteera sortzen dute, beren egutegiaren arabera berriz haziz. Transferentzia masiboak ez du putzu bat bytez byte husten, beraz putzu-balio baxuak transferentzia geldo batean ez du ezer frogatzen kausari buruz.

strace -f -e trace=getrandom -p $(pidof openvpn) 2>&1 | head -20
dmesg | grep -i 'random\|crng'

Lehen komandoak erakusten du prozesua zenbaki aleatorioen dei batean dagoen zuri begira zauden bitartean. Bigarrenak kernelaren beraren hasieratze-mezuak erakusten ditu, eta han bihurtzen da ikusgarri abiarazte goiztiarreko blokeoa.

Idatzi kernelaren bertsioa eta zerbitzuak benetan estekatzen duen liburutegia, portaera desberdina baita inplementazioen eta bertsioen artean. Berreskuratzearen ondoren hartutako traza batek etenaldia erabat galtzen du normalean.

Nola ikusten da benetan geldo jarraitua

Denbora osoan poliki transferitzen duen tunela datu-bideak mugatzen du. Hari saturatu batek, kanpo-paketeen galerak, berretransmisioek edo socket ilara beteek eredu hori sortzen dute bakoitzak, eta bakoitzak bere konponbidea du. CPU ehuneko agregatuak hari okupatu bakarra ezkutatzen du, eta hori da okerren irakurketa ohikoena. Begiratu hari bakoitzeko denbora karga osoa begiratu aurretik.

Neurtu bi norabideetan oinarri konparagarri batekin, eta begiratu interfazearen kontagailuei aplikazioaren beraren txostenari baino.

ss -tin dst 203.0.113.10
nstat -az | grep -i 'drop\|retrans'
ethtool -S eth0 | grep -i 'drop\|error'

Lehen komandoak ilara eta kongestioaren egoera erakusten ditu pare bateko. Bigarrenak eta hirugarrenak pilan eta interfazean botatzeak eta berretransmisioak jakinarazten dituzte, eta han agertzen da kausa normalean lehenengo.

Aukeratu neurtu duzun estugunerako zuzenketa

Frogek abiarazte goiztiarreko hasieratzea adierazten badute, begiratu plataformak onartutako hazte-bidea, zeinak makina birtual batean ostalariak emandako gailu aleatorioa izan baitezake. Aldaketarik gabe ostalari askotan kopiatutako hazi-irudi bat ez da hasieratze independentearen ordezkoa.

Frogek datu-bidea adierazten badute, doitu kontagailuek seinalatzen dutena. Buffer tamainek laguntzen dute ilarak gainezka egiten dutenean, eta ezer ez dute egiten hari bat saturatuta dagoenean. Entropia-daemon bat instalatzea kontagailu bat igotzeko ez da errendimenduaren konponketa, eta hazte-hipotesiak aldatzea grafiko bat hobeto ikusteko segurtasun-propietate bat zenbaki baten truke aldatzea da.

Onartu aldaketa neurketa berak baldintza beretan hobetzen duenean bakarrik. Kontagailu handiagoa ez da emaitza; itxaronaldi neurtu laburragoa edo kausa identifikatua duen transferentzia azkarragoa da emaitza.