Ass Ären VPN-Gateway CPU-gebonnen? Liest fir d'éischt d'Laascht pro Kär
Duerchschnëtt verstoppt den Thread, op deen et ukënnt. Liest d'Laascht pro Kär géint eng kontrolléiert Iwwerdroung, schléisst de Wee aus, an ännert dann eng dokumentéiert Astellung pro Laf.
Entscheet, wéi eng vun den dräi Grenzen Dir erreecht hutt, ier Dir eng méi grouss Instanz kaaft. Ee Kär voll ausgelaascht, wärend déi aner idle sinn, deit op Krypto-Aarbecht pro Flux hin. Sin all Kären während enger Iwwerdroung gesiedegt, deit dat op Gesamtkapazitéit hin. Niddereg CPU mat enger wiessender Zuel vu Retransmissiounen deit op de Wee hin. All huet en aneren éischte Schrëtt, an nëmmen een dovun gëtt duerch eng méi grouss Instanz geléist.
Dräi Grenzen, eng Tabell, dräi Korrekturen
| Limit | Reading during a transfer | First move |
|---|---|---|
| Single thread | one core near 100%, siblings idle | spread flows across workers |
| Aggregate CPU | every core busy, load average climbs | capacity, or less work per byte |
| Path or provider | low CPU, retransmits or steal time high | MTU, loss, host contention |
Liest d'Reien als Diagnosen, net als Etappen. Een eenzegen Thread op 100%, während déi aner idle sinn, ass dat heefegst Resultat op engem Gateway mat engem groussen Tunnel, well d'Verschlësselung vun deem Flux op engem Kär leeft. Sin all Kären während der Iwwerdroung beschäftegt, mécht d'Maschinn schonn esou vill Aarbecht wéi se kann. Niddereg CPU mat wiessende Retransmissiounen heescht, datt de Prozessor op en Netzwierk waart, dat ëmmer erëm Daten verléiert.
Behieft se an därer Reihenfolleg vun de Beweiser. Flëss iwwer Worker ze verdeelen hëlleft beim éischte Fall a mécht näischt fir den zweeten. Eng méi grouss Instanz hëlleft beim zweeten a verschwënnt Suen beim éischten. Eng MTU- oder Verloscht-Korrektur ass déi eenzeg, déi den drëtten ubelaangt. Kapazitéit kafen, ier Dir wësst, a wéi enger Rei Dir sidd ass déi deier Versioun vum Raten.
En ageklemmten Thread vun engem beschäftegte Host trennen
Fänkt mat der Notzung pro Kär un, sou datt een ageklemmte Kär sech net an engem Duerchschnëtt verstoppe kann. Een eenzegen Duercherlaf während der Iwwerdroung weist, ob d'Laascht flaach oder mat Spëtze ass. Béid Forme sinn informativ, an e spëtzte Profil heescht dacks, datt d'Samplingfenster d'Aktivitéit vum Scheduler amplaz vun der Verschlësselung erfaaft huet.
mpstat -P ALL 1 5Schreift de beschäftegte Kär engem Prozess zou, dann engem Thread. Den nächste Laf ënnendréit hält Elteren- an Kand-Threads zesummen, wat zielt, wann den Daemon pro Verbindung forkt:
pidstat -u -t -p $(pgrep -f 'openvpn|wireguard|ipsec') 1 10Kär-Krypto erschéngt ni an engem Benotzerraum-Prozesszähler. Sampelt Threads separat a vergläicht déi Vue mat der Prozessofrechnung:
top -H -b -n 1 | head -20Liest d'Socket-Zähler zu lescht, well se entscheeden, ob méi CPU iwwerhaapt géif hëllefen. Wiessend Retransmissiounen bei flaache CPU ass kee Prozessorproblem. Hält d'Iwwerdroung um Lafe wärend Dir sampelt, soss beschreiwen d'Zuelen eng idle Maschinn:
ss -ti | grep -E 'retrans|cwnd|rtt'Eng kontrolléiert Iwwerdroung, zweemol ausgefouert
Idle Zähler beweisen näischt, an e Benchmark géint en zoufällegen Endpunkt beweist ganz wéineg. Wielt ee Client, een Zil an eng representativ Iwwerdroung, déi Dir däerft lafen, a schreift dann Duerchset an interaktiv Verzögerung am selwechte Fënster op. E Gateway kann sech siedegen, während eng Masskopie nach fäerdeg geet, an d'Verzögerungskurve ass dat, wat d'Benotzer wierklech spieren. Schreift d'Iwwerdroung, d'Zuel vun de Clienten an d'Daemon-Versioun nieft d'Zuelen.
Widderhëlt de Laf mat e puer parallele Flëss. Erhéijung iwwer Flëss deit op Fenstere pro Flux hin; flaach bleiwen mat engem ageklemmte Kär deit op Veraarbechtung hin.
Widderhëlt dann eemol nach mat gestoppten optionalen Aarbechtslaaschten. Eng Sécherungskopie, eng Log-Uschéck oder eng Datebank um selwechten Host kënnen en beschäftegten Duerchschnëtt maachen, deen näischt mat Tunnellen ze dinn huet. Wann d'CPU nach ëmmer ageklemmt ass an den Host soss roueg ass, weisen d'Beweiser op de VPN-Prozess. Wann se fält, hutt Dir den Noper gemooss, an de Gateway war ni de Problem.
Schléisst de Wee aus, ier Dir Hardware kaaft
Wiessend Retransmissiounen, e schrumpfend Stau-Fënster an eng wiessend Ëmlafzäit weisen all vum Prozessor fort. Vergläicht d'Tunnel-MTU mat der Wee-MTU, kontrolléiert den ënnerleeënde Link op Verloscht a bestätegt, datt den eegenen Uplink vum Client net d'Grenz ass. E méi grousse Gateway reparéiert keen Link, dee Paketen verléiert, an d'Benotzer beschreiwen béid Feeler mat deene selwechte Wierder. Den Retransmissiouns-Zähler trennt se a Minutten.
Op engem virtuelle Server addéiert d'Metrike vum Provider zu deene vum Gaascht. Gestuelte Zäit ass de Wee, wéi Iwwerverkaf am Gaascht sichtbar gëtt, an keen Tuning am Gaascht hëlt se ewech. D'Zähler vum Gaascht kënnen den Host net gesinn, dofir ass e proppere Gaaschtgraph kee Beweis fir e gesonden Host.
Eng Ännerung, eng Miessung
Wielt d'Hypothese, déi d'Beweiser ënnerstëtzen, an ännert dann genau eng ënnerstëtzte Astellung: Zuel vun de Worker, eng dokumentéiert Offload-Optioun oder d'Gréisst vun der Instanz. OpenVPN verëffentlecht en Testhandbuch fir Leeschtungsproblemer iwwer déiselwecht Spléckung tëscht Veraarbechtung an Transport: OpenVPN Leeschtungsproblemer léisen.
Bestätegt, datt d'Offload-Optioun tatsächlech aktiv ass, amplaz dem Fändel ze vertrauen, a widderhëlt dann déiselwecht Iwwerdroung a vergläicht Gläich mat Gläich. Dat ass deen eenzege Wee, eng richteg Verbesserung vun engem rouegen Nomëtteg z'ënnerscheeden. Halt en Checkpoint, deen Dir kënnt restauréieren, well bei der zweeter Ännerung verléieren d'Leit den Iwwerbléck, wat gehollef huet. Eng Verännerlech pro Laf ass lues fir een Dag a séier fir ee Mount.
Schwächt d'Authentifikatioun oder de Cipher-Suite net, fir de Graph besser ausgesinn ze loossen. Wann d'CPU dem Symptom nach ëmmer net follegt, gitt zréck op Wee- an Uwendungsprüfunge amplaz op e Verdacht opzestoen.