VPN EC2 burstable : crédits CPU standard ou illimités ?

Une petite passerelle VPN réussit un test de débit, semble correcte, puis se dégrade après le déjeuner. L’instance ne mentait pas pendant le test ; elle dépensait des crédits gagnés pendant qu’elle était inactive. Les instances burstable sont conçues exactement pour cela, ce qui fait d’un test court un mauvais prédicteur d’un après-midi de transferts. Les deux modes de crédits échouent aussi de manières différentes, et choisir entre eux est la vraie décision.

D’où le test de débit a emprunté

Un crédit CPU, c’est un vCPU fonctionnant à pleine utilisation pendant une minute. Une instance burstable gagne des crédits au rythme de sa ligne de base et les dépense lorsqu’elle la dépasse. Une nuit inactive constitue un solde ; un matin chargé le consomme.

C’est pourquoi le premier test est bon. L’instance avait un budget épargné, l’a dépensé en travail de chiffrement et a rapporté un débit sain. Rien dans le résultat ne vous dit ce qui se passe lorsque le solde atteint zéro. Le test a mesuré une rafale, et une rafale est ce que l’instance est conçue pour fournir. Il n’a jamais mesuré l’état stable dont vous allez dépendre.

Le calcul que vous devez faire

Les entrées sont le pourcentage de ligne de base par vCPU, le nombre de vCPU, le solde accumulé et la charge que vous attendez. À titre d’illustration seulement : prenez une instance hypothétique à deux vCPU, avec une ligne de base de dix pour cent par vCPU, 24 crédits accumulés et un vCPU pleinement occupé pendant que l’autre est inactif. Ces chiffres sont des entrées déclarées, pas la spécification d’une taille d’instance particulière.

Earn rate:       2 x 10% x 60 = 12 credits/hour
Workload usage:  1 x 100% x 60 = 60 credits/hour
Net draw:        60 - 12 = 48 credits/hour
Accrued budget:  24 / 48 = 0.5 hours

Dans ces hypothèses, le budget disparaît en une demi-heure environ. Le travail de fond, la charge changeante et la comptabilité propre de l’instance déplacent le résultat, et rien de tout cela ne prédit le débit du VPN. Ce que cela prédit, c’est quand la contrainte durable commencera à mordre.

Notez aussi la seconde lecture : dans cet exemple, un vCPU occupé représente environ la moitié de la capacité CPU totale. Un pourcentage global modéré peut masquer un cœur saturé, alors regardez le comportement par cœur à côté des chiffres de crédits.

Standard et Unlimited : le même zéro, une autre signification

En mode Standard, un solde épuisé contraint la CPU durable vers la ligne de base. L’instance continue de travailler, simplement plus lentement, et le plafond est prévisible. En mode Unlimited, l’instance peut continuer à puiser dans les crédits excédentaires une fois le solde à zéro, et une utilisation durable au-dessus de la ligne de base peut produire des frais selon les règles comptables du service.

Ainsi, un CPUCreditBalance à zéro signifie un bridage dans un mode et une facturation possible dans l’autre. C’est toute la comparaison, et c’est pourquoi lire la métrique sans lire le mode est trompeur.

L’excédent n’est pas non plus une simple facture par crédit. Une exploitation ultérieure sous la ligne de base peut amortir l’utilisation excédentaire, et d’autres conditions de facturation s’appliquent. Vérifiez le mode configuré et les règles actuelles du service plutôt que de vous fier à une affirmation sur le niveau gratuit tirée d’un vieil article de blog.

Ce qu’il faut surveiller pendant le vrai travail

Enregistrez CPUCreditUsage et CPUCreditBalance à côté de la durée et du débit du transfert. Sur Unlimited, ajoutez CPUSurplusCreditBalance et CPUSurplusCreditsCharged. Le guide de surveillance des crédits CPU d’AWS explique ce que chacun rapporte et à quelle fréquence.

Refaites le test avec une concurrence représentative et une durée suffisante pour voir la tendance, et notez le solde initial. Un matin inactif et un après-midi chargé ne sont pas la même expérience, même avec des commandes identiques.

Des limites qui ne sont pas la CPU

La bande passante réseau a sa propre ligne de base et son propre comportement en rafale, et des limites de débit de paquets ou de connexions peuvent se bloquer avant la CPU. La mémoire compte lorsque l’implémentation VPN conserve un état par connexion, et une petite instance peut en manquer bien avant de manquer de crédits.

Un solde de crédits sain prouve donc une chose : le budget CPU n’est pas la contrainte actuelle. Il ne dit rien du chemin réseau, ni de ce qui se passe à concurrence doublée. Surveillez les métriques réseau dans la même fenêtre que les métriques de crédits, afin qu’une chute de débit ait une cause candidate plutôt qu’une théorie.

Choisir une ligne de base exprès

Utilisez la charge durable mesurée pour choisir une ligne de base, ou acceptez explicitement les rafales et budgétez-les. Les deux réponses sont défendables lorsqu’elles sont écrites ; aucune ne l’est lorsqu’elle est déduite du flux vidéo réussi de quelqu’un d’autre.

Si la passerelle porte la charge, traitez le mode de crédits comme une partie du plan de capacité et non comme une valeur par défaut que vous n’avez jamais ouverte. Le mode que vous choisissez est la panne que vous pouvez prédire.