Come pianificare un server VPN silenzioso, a basso consumo e sempre acceso

Il riposo è lo stato in cui un box VPN domestico passa quasi tutta la sua vita, quindi è quello che vale la pena misurare. La stessa macchina deve comunque rispondere a una connessione, servire un file e completare un backup mentre il tunnel è attivo, e questi tre compiti tirano in direzioni diverse. Silenzioso, a basso consumo e sempre raggiungibile sono proprietà separate, e una scheda tecnica non ne descrive nessuna. Seguire i controlli qui sotto in ordine evita che una decisione sull'hardware diventi una ricostruzione sei mesi dopo.

Partite dai ruoli, non dai pezzi

Annotate ogni compito che il box deve svolgere mentre nessuno guarda. Un gateway WireGuard o OpenVPN, una condivisione file, una destinazione di backup e un compito di indicizzazione hanno costi stabili diversi, e una macchina che fa tutti e quattro ha un pavimento molto più alto di una che fa solo il primo. Il consumo a riposo è la somma di quei pavimenti, non la loro media. Per questo due box descritti entrambi come a basso consumo possono differire di un fattore tre nella stessa stanza.

Decidere presto se i dati vivono sullo stesso host del tunnel condiziona tutto il resto. Host separati significano due consumi a riposo, ma un gateway che resta sveglio mentre la memoria dorme; un solo host significa un solo consumo e un solo dominio di guasto. Nessuna delle due è sbagliata, ma la risposta va scritta prima che esista l'elenco dei pezzi.

Misurate l'intero box in tre stati

Un misuratore da parete tra la presa e l'alimentatore è l'unico strumento onesto qui, perché include le perdite di conversione, l'avvio dei dischi e ogni dispositivo USB che avete dimenticato. Annotate tre numeri: riposo con il tunnel attivo e nulla d'altro, lo stesso box sotto un vero trasferimento remoto e il box durante un backup pianificato.

I contatori software aiutano a spiegare la lettura del misuratore ma non la sostituiscono. L'interfaccia RAPL riporta l'energia del pacchetto e del dominio di memoria, il che esclude le perdite dell'alimentatore e tutto ciò che è collegato via USB.

read -r a < /sys/class/powercap/intel-rapl:0/energy_uj; sleep 60; read -r b < /sys/class/powercap/intel-rapl:0/energy_uj
awk -v a="$a" -v b="$b" 'BEGIN{printf "package average: %.1f W\n", (b-a)/60/1000000}'

Il rumore richiede lo stesso trattamento. Un case senza ventole elimina una fonte e lascia il disco rigido, l'alimentatore e il ronzio delle bobine, quindi ascoltate durante un backup e non alla schermata di accesso. La temperatura fa parte dello stesso giro: leggete i sensori sotto carico prolungato e non disattivate mai la protezione termica per rendere un box più silenzioso.

Convertite i watt in un anno confrontabile

Il consumo continuo si converte in energia con una moltiplicazione, e farlo una volta evita che il costo annuale sia una sorpresa. Una media illustrativa di 11 W su un anno intero si calcola così.

awk 'BEGIN{printf "%.1f kWh/year at 11 W\n", 11*24*365/1000}'

Quella cifra è aritmetica, non una misura del vostro box, e la tariffa per cui la moltiplicate sposta la risposta più di un paio di watt. Il calcolo serve a confrontare due progetti: un gateway a riposo a 6 W contro uno a 15 W è una decisione a cui potete dare un prezzo. La potenza nominale di un processore non è quella cifra, perché descrive un pacchetto sotto carico e non un sistema a riposo. Usate la media del misuratore da parete con la tariffa locale e etichettate il risultato come stima.

Decidete se la sospensione è ammessa

La sospensione risparmia più energia e rompe più ipotesi. Un host sospeso non può accettare la connessione in ingresso che lo sveglierebbe, e un keepalive del client non lo cambia; solo un dispositivo sempre acceso sulla stessa LAN può inviare un pacchetto wake-on-LAN.

Se il tunnel deve essere raggiungibile a qualsiasi ora, trattate la sospensione come disattivata per policy e scrivetelo nelle note di costruzione. Mascherare gli obiettivi è brutale, ma è esplicito e sopravvive agli aggiornamenti dei pacchetti meglio di un'abitudine.

systemctl status sleep.target suspend.target
sudo systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
systemd-inhibit --list

Wake-on-LAN merita una riga propria in quelle note perché fallisce in silenzio. La funzione va abilitata nel firmware, funziona solo su alcune interfacce e richiede un dispositivo già sveglio per inviare il pacchetto. Provatela prima di dipenderne, non dopo un viaggio.

Dimostratelo sotto il carico che vedrà davvero

L'ultimo controllo è quello che la gente salta: eseguite il carico previsto e osservate il box per un'ora. Un trasferimento remoto, un backup e una ricostruzione dell'indice insieme mostreranno se il raffreddamento, il collegamento e la memoria possono reggere la combinazione di ruoli scelta.

uptime
sensors | grep -E 'Core|Package|fan'
ss -s

Guardate anche il collegamento di accesso nella stessa finestra, perché la banda in uscita di solito limita il throughput remoto molto prima del processore. Se il tunnel si satura a una frazione di ciò che la CPU potrebbe cifrare, un chip più veloce non compra assolutamente nulla.