Onko alhainen VPN:n läpäisykyky entropiaongelma? Yleensä ei

Hidas läpäisykyky tunnelin läpi ja satunnaislukuja odottaessaan jumittunut kone tuottavat hyvin erilaisia kokemuksia, mutta ne kirjataan saman valituksen alle. Toinen näkyy tauona ennen kuin mikään toimii. Toinen näkyy yhteytenä, joka toimii ja liikuttaa dataa hitaasti niin kauan kuin sitä katselet. Sen selvittäminen, kumpi sinulla on, vie kymmenen minuuttia ja säästää viikon arvailun.

Kaksi samannäköistä oiretta

Palvelu, joka jumittuu tuoreen käynnistyksen jälkeen ennen kuin hyväksyy yhtäkään yhteyttä, odottaa jotain. Tunneli, joka muodostuu nopeasti ja siirtää sitten murto-osalla odotetusta nopeudesta, on rajoitettu jostain muusta. Sana salaus esiintyy molemmissa tarinoissa, ja siksi ne yhdistetään. Erottele ne ennen kuin kosket asetustiedostoon.

Aseta aikaleimat käynnistyksen, todennuksen, avainten uudelleenneuvottelun ja itse siirron ympärille. Pitkä viive ennen kuin tunneli on käyttökelpoinen ei ole alhainen tasainen nopeus, ja molempien keskiarvon laskeminen yhdeksi luvuksi tuhoaa todisteen.

systemd-analyze blame | head -10
journalctl -u [email protected] -o short-precise | head -40
cat /proc/sys/kernel/random/entropy_avail

Kaksi ensimmäistä komentoa asettavat käynnistystyön aikajanalle. Kolmas tulostaa ytimen entropian kirjanpitoarvon, joka on hyödyllinen yhtenä datapisteenä ja hyödytön kaistanleveysmittarina.

Miltä satunnaislukujen odotus todella näyttää

Turvallisten satunnaistavujen pyyntö voi estyä, kunnes ydin on alustanut satunnaislähteensä. Tällä on eniten merkitystä virtuaalikoneilla ja pienillä sulautetuilla levyillä käynnistyksen alussa, kun ympäristökohinaa on kerätty vähän. Tästä ei seuraa, että jokainen salattu tavu kuluttaa tuoretta entropiaa.

Nykyaikaiset generaattorit siemennetään kerran ja tuottavat sitten tulosteen deterministisestä rakenteesta, siementäen itsensä uudelleen omalla aikataulullaan. Joukkosiirto ei tyhjennä allasta tavu tavulta, joten alhainen allasarvo hitaan siirron aikana ei todista syystä mitään.

strace -f -e trace=getrandom -p $(pidof openvpn) 2>&1 | head -20
dmesg | grep -i 'random\|crng'

Ensimmäinen komento näyttää, istuuko prosessi satunnaislukukutsussa sinun katsoessasi. Toinen näyttää ytimen omat alustusviestit, ja siellä varhainen käynnistysjumittuminen tulee näkyväksi.

Kirjaa ytimen versio ja kirjasto, johon palvelu todella linkittyy, koska käyttäytyminen vaihtelee toteutusten ja julkaisujen välillä. Palautumisen jälkeen otettu jäljitys jättää tauon yleensä kokonaan väliin.

Miltä jatkuva hitaus todella näyttää

Tunneli, joka siirtää hitaasti koko ajan, on datapolun rajoittama. Yksi kyllästynyt säie, ulompien pakettien häviö, uudelleenlähetykset tai täydet socket-jonot tuottavat kukin tuon kuvion, ja kullakin on oma korjauksensa. Kokonais-CPU-prosentti kätkee yhden kiireisen säikeen, ja se on yleisin väärinluenta. Katso aikaa säikeittäin ennen kokonaiskuormaa.

Mittaa molempiin suuntiin vertailukelpoisella perustasolla ja seuraa liitännän laskureita sovelluksen oman raportin sijaan.

ss -tin dst 203.0.113.10
nstat -az | grep -i 'drop\|retrans'
ethtool -S eth0 | grep -i 'drop\|error'

Ensimmäinen komento näyttää jonon ja ruuhkautumisen tilan yhdelle vastapuolelle. Toinen ja kolmas raportoivat pudotukset ja uudelleenlähetykset pinossa ja liitännässä, missä syy yleensä ilmestyy ensin.

Valitse korjaus mittaamallesi pullonkaulalle

Jos todisteet viittaavat varhaiseen käynnistysalustukseen, katso alustan tukemaa siemennyspolkua, joka virtuaalikoneella voi sisältää isännän tarjoaman satunnaislaitteen. Muuttumattomana moniin vieraisiin kopioitu siemenkuva ei korvaa itsenäistä alustusta.

Jos todisteet viittaavat datapolkuun, säädä sitä, mihin laskurit viittaavat. Puskurikoot auttavat, kun jonot vuotavat yli, eivätkä tee mitään, kun yksi säie on kyllästynyt. Entropiademonin asentaminen laskurin nostamiseksi ei ole läpäisyn korjaus, ja siemennys-oletusten muuttaminen kaavion parantamiseksi vaihtaa turvaominaisuuden numeroon.

Hyväksy muutos vain, kun sama mittaus paranee samoissa olosuhteissa. Suurempi laskuri ei ole tulos; lyhyempi mitattu odotus tai nopeampi siirto tunnistetulla syyllä on.