Alacsony VPN-átvitel entrópiakérdés? Általában nem

A lassú átvitel az alagúton és a véletlenszámokra várva beragadt gép nagyon különböző élményeket ad, mégis ugyanazon panasz alatt rögzítik őket. Az egyik szünetként jelenik meg, mielőtt bármi működne. A másik olyan kapcsolatként jelenik meg, amely működik és lassan mozgatja az adatokat, ameddig csak nézi. Annak eldöntése, melyik van Önnél, tíz percet vesz igénybe, és egy hét találgatást takarít meg.

Két hasonlónak tűnő tünet

Egy szolgáltatás, amely friss indítás után lefagy, mielőtt egyetlen kapcsolatot elfogadna, valamire vár. Az az alagút, amely gyorsan felépül, majd a várt sebesség töredékével továbbít, valami más által korlátozott. A titkosítás szó mindkét történetben szerepel, ezért összevonják őket. Válassza szét őket, mielőtt hozzányúl egy konfigurációs fájlhoz.

Helyezzen időbélyegeket az indítás, a hitelesítés, a kulcsok újratárgyalása és maga az átvitel köré. A hosszú késleltetés, mielőtt az alagút használhatóvá válik, nem alacsony állandó sebesség, és a kettő egyetlen számba való átlagolása megsemmisíti a bizonyítékot.

systemd-analyze blame | head -10
journalctl -u [email protected] -o short-precise | head -40
cat /proc/sys/kernel/random/entropy_avail

Az első két parancs idővonalra helyezi az indítási munkát. A harmadik kiírja a kernel entrópia-elszámolási értékét, amely egyetlen adatpontként hasznos és sávszélesség-mérőként haszontalan.

Hogyan néz ki valójában a véletlenszámokra való várakozás

A biztonságos véletlen bájtok iránti kérés blokkolhat, amíg a kernel inicializálja a véletlen forrását. Ez leginkább virtuális gépeken és kis beágyazott lapokon számít az indítás elején, amikor kevés környezeti zaj gyűlt össze. Ebből nem következik, hogy minden titkosított bájt friss entrópiát fogyaszt.

A modern generátorok egyszer seedelődnek, majd determinisztikus konstrukcióból állítanak elő kimenetet, saját ütemtervük szerint újraseedelve. A tömeges átvitel nem üríti ki a tartályt bájtról bájtra, így a lassú átvitel alatti alacsony tartályérték semmit sem bizonyít az okról.

strace -f -e trace=getrandom -p $(pidof openvpn) 2>&1 | head -20
dmesg | grep -i 'random\|crng'

Az első parancs megmutatja, hogy a folyamat véletlenszám-hívásban ül-e, miközben nézi. A második a kernel saját inicializációs üzeneteit mutatja, és ott válik láthatóvá a korai indítási akadás.

Jegyezze fel a kernel verzióját és azt a könyvtárat, amelyhez a szolgáltatás valójában linkel, mert a viselkedés eltér a megvalósítások és a kiadások között. A helyreállítás után készített nyomkövetés általában teljesen kihagyja a szünetet.

Hogyan néz ki valójában a tartós lassúság

Az az alagút, amely végig lassan továbbít, az adatútvonal által korlátozott. Egy telített szál, a külső csomagok elvesztése, az újraküldések vagy a teli socket-sorok mindegyike ezt a mintát állítja elő, és mindegyiknek megvan a maga javítása. Az összesített CPU-százalék elrejt egyetlen foglalt szálat, és ez a leggyakoribb félreolvasás. Nézze meg a szálankénti időt, mielőtt a teljes terhelést nézné.

Mérjen mindkét irányban összehasonlítható alapvonallal, és figyelje az interfész számlálóit, ne az alkalmazás saját jelentését.

ss -tin dst 203.0.113.10
nstat -az | grep -i 'drop\|retrans'
ethtool -S eth0 | grep -i 'drop\|error'

Az első parancs egy társ sor- és torlódási állapotát mutatja. A második és a harmadik az eldobásokat és újraküldéseket jelenti a veremben és az interfészen, ahol az ok általában először megjelenik.

Válassza ki a mért szűk keresztmetszet javítását

Ha a bizonyítékok a korai indítási inicializálásra mutatnak, nézze meg a platform által támogatott seedelési útvonalat, amely virtuális gépen tartalmazhat a gazdagép által biztosított véletlen eszközt. A változatlanul sok vendégbe másolt seed-kép nem helyettesíti a független inicializálást.

Ha a bizonyítékok az adatútvonalra mutatnak, hangolja azt, amire a számlálók utalnak. A pufferméretek akkor segítenek, amikor a sorok túlcsordulnak, és semmit sem tesznek, amikor egy szál telített. Az entrópia-démon telepítése egy számláló emelésére nem átviteli javítás, és a seedelési feltevések módosítása, hogy a grafikon jobban nézzen ki, biztonsági tulajdonságot vált számra.

Csak akkor fogadja el a változtatást, ha ugyanaz a mérés ugyanazon feltételek mellett javul. A nagyobb számláló nem eredmény; a rövidebb mért várakozás vagy a gyorsabb átvitel azonosított okkal az.