Ass nidderegen VPN-Duerchsetz en Entropieproblem? Meeschtens net

Nidderegen Duerchsetz duerch en Tunnel an eng Maschinn, déi beim Waarden op Zufallszuelen hänkt, ginn ganz ënnerschiddlech Erfarungen, awer se ginn ënner der selwechter Plainte registréiert. Dat eng erschéngt als Paus, ier eppes funktionéiert. Dat anert erschéngt als Verbindung, déi funktionéiert an d'Donnéeën lues beweegt, soulaang Dir kuckt. Ze entscheeden, wéi ee vun deenen Dir hutt, dauert zéng Minutten a spuert eng Woch Rotschléi.

Zwee Symptomer, déi gläich ausgesinn

En Déngscht, deen no engem frëschen Start hänkt, ier hien eng eenzeg Verbindung unhëlt, waart op eppes. En Tunnel, dee sech séier etabléiert an dann mat engem Brochdeel vum erwaarte Tempo iwwerdréit, ass duerch eppes anescht limitéiert. D'Wuert Verschlësselung erschéngt an zwou Geschichten, dofir ginn se fusionéiert. Trennt se, ier Dir eng Konfiguratiounsdatei beréiert.

Setzt Zäitstempel ronderëm Start, Authentifikatioun, Schlëssel-Negociatioun an den Iwwerdroen selwer. Eng laang Verzögerung, ier den Tunnel benotzbar ass, ass kee nidderegen stännegen Tempo, an d'Moyenne vun deenen zwee an enger Zuel zerstéiert de Beweis.

systemd-analyze blame | head -10
journalctl -u [email protected] -o short-precise | head -40
cat /proc/sys/kernel/random/entropy_avail

Déi éischt zwou Kommandoen setzen d'Startaarbecht op eng Zäitlinn. Déi drëtt dréckt de Kernel säin Entropie-Comptewäert, dee wéi en eenzegen Datenpunkt nëtzlech an als Bandbreedmooss instrument onnëtzlech ass.

Wéi eng Waarde op Zufallszuelen tatsächlech ausgesäit

Eng Ufro fir sécher zoufälleg Bytes kann blockéieren, bis de Kernel seng zoufälleg Quell initialiséiert huet. Dat ass am wichtegsten op virtuelle Maschinnen an klengen agebauten Boards fréi beim Start, wann nach wéineg Ëmweltkaméidi gesammelt gouf. Duerch dat follegt net, datt all verschlësselt Byte frësch Entropie verbraucht.

Moderne Generatore ginn eemol gesammt a produzéieren duerno Ausgab aus enger deterministescher Konstruktioun, a sammelen sech no hirem eegene Plang nei. Massentransfer leeert keen Pool Byte fir Byte, dofir beweise kee nidderegen Poolwäert während engem luesen Transfer eppes iwwer d'Ursaach.

strace -f -e trace=getrandom -p $(pidof openvpn) 2>&1 | head -20
dmesg | grep -i 'random\|crng'

Déi éischt Kommando weist, ob de Prozess an engem Zufallszuelen-Uruff sëtzt, während Dir kuckt. Déi zweet weist dem Kernel seng eege Initialiséierungsmessagen, an do gëtt en Ustopp fréi am Start sichtbar.

Notéiert d'Kernelversioun an d'Bibliothéik, mat där den Déngscht tatsächlech verbonnen ass, well d'Verhalen tëschent Implementéierungen an tëschent Verëffentlechungen ënnerschiddlech ass. En Trace, deen nom Erhuelen geholl gëtt, verpasst d'Paus meeschtens komplett.

Wéi eng anhalend Luesheet tatsächlech ausgesäit

En Tunnel, deen déi ganz Zäit lues iwwerdréit, ass duerch de Datenwee limitéiert. Ee gesiedegten Thread, Verloscht vun äusseren Paketen, Iwwerdroungen oder voll Socket-Schlaangen produzéieren alleguer dëst Muster, an all huet seng eege Korrektur. Aggregéierte CPU-Prozentsaz verstoppt een eenzegen beschäftegte Thread, an dat ass déi heefegst falsch Liesung. Kuckt d'Zäit pro Thread, ier Dir d'Gesamtlaascht kuckt.

Misst a béide Richtungen mat enger vergläichbarer Basislinie, a beobachtet d'Interface-Comptoiren amplaz dem Bericht vun der Applikatioun selwer.

ss -tin dst 203.0.113.10
nstat -az | grep -i 'drop\|retrans'
ethtool -S eth0 | grep -i 'drop\|error'

Déi éischt Kommando weist de Schlaangen- an de Stauzoustand fir een Peer. Déi zweet an déi drëtt mellen Drops an Iwwerdroungen um Stack an um Interface, wou d'Ursaach meeschtens als éischt erschéngt.

Wielt d'Korrektur fir de Fläschhals, deen Dir gemooss hutt

Wann d'Beweiser op eng fréi Initialiséierung beim Start weisen, kuckt de vun der Plattform ënnerstëtzten Saumwee, deen op enger virtueller Maschinn en Apparat vum Host enthalen kann. E Saum Bill, deen onverännert a vill Gäscht kopéiert gëtt, ersetzt keng onofhängeg Initialiséierung.

Wann d'Beweiser op den Datenwee weisen, passt un wat d'Comptoiren uginn. Puffergréissten hëllefen, wann Schlaangen iwwerlafen, an maachen näischt, wann een Thread gesiedegt ass. En Entropie-Daemon installéieren, fir en Comptoir ze hiewen, ass keng Duerchsetz-Reparatur, an d'Saumunnoen ze änneren, fir e Diagramm besser ausgesinn ze loossen, tauscht eng Sécherheetseigenschaft géint eng Zuel.

Akzeptéiert d'Ännerung nëmmen, wann déi selwecht Mooss ënner deene selwechte Bedéngungen besser gëtt. En gréissere Comptoir ass keen Resultat; eng méi kuerz gemoossen Waard oder en méi séieren Transfer mat enger identifizéierter Ursaach ass et.