Masa operasi pelayan VPN: apa yang nombor itu tidak beritahu anda

Senarai nod awam menunjukkan pelayan dengan masa operasi yang diukur dalam minggu, jadi anda memilihnya, dan sambungan gagal pada percubaan pertama. Itu bukan iklan palsu; itu soalan yang salah diajukan kepada nombor yang mengukur sesuatu yang lain. Masa operasi biasanya melaporkan berapa lama proses, kontena atau mesin berjalan sejak kali terakhir ia dimulakan, dan itu ialah sifat infrastruktur penerbit, bukan laluan anda ke sana. Menganggapnya sebagai kebolehpercayaan ialah kesilapan kategori yang sama seperti menganggap odometer kereta sebagai laporan jalan.

Apa yang diukur oleh nombor itu

Pada hos dengan pengurus perkhidmatan moden, pembilang itu ditambatkan kepada peristiwa yang benar-benar boleh anda baca: cap masa apabila unit masuk ke keadaan aktif, atau masa but mesin. Segala-galanya ialah aritmetik pada tambatan itu, dan definisi tambatan berbeza antara penerbit. Satu senarai mungkin set semula apabila daemon dimulakan semula, satu lagi pada but semula, dan yang ketiga pada set semula manual yang dilakukan oleh pengendali yang mahukan graf yang bersih.

systemctl show -p ActiveEnterTimestamp --value openvpn-server@server
uptime -s
systemctl is-active openvpn-server@server

Ketiga-tiga arahan itu menjawab tiga soalan berbeza, dan direktori yang memaparkan satu nombor tidak dapat memberitahu anda yang mana satu digunakan. Jadi membandingkan pembilang mentah daripada dua senarai sama sekali bukan perbandingan sehingga anda tahu apa yang menjadi titik set semula setiap satu.

Proses boleh berjalan semasa laluan terputus

Daemon mendengar. Sijil itu sah. Proses itu sudah hidup dua puluh tiga hari. Tiada satu pun daripada itu menjamin bahawa paket dari rangkaian anda sampai kepadanya, kerana kebolehsampaian ialah sifat keseluruhan laluan: pautan naik penyedia, peering antara rangkaian mereka dan rangkaian anda, kesesakan pada pautan transit dikongsi, dan tembok api di hadapan sambungan anda sendiri.

Pelayan juga boleh berjalan dan tidak berguna atas sebab lain. Nod yang telah menerima lebih banyak klien daripada yang mampu disokong oleh jalur lebarnya akan menunjukkan masa operasi yang panjang dan pengalaman yang teruk, kerana pembilang itu tidak mengukur kapasiti atau pertikaian. Ini cara paling biasa nod bermasa operasi panjang mengecewakan: tiada apa yang rosak, semuanya sibuk.

Kes sebaliknya juga wajar diingati. Nod yang dimulakan semula sejam lalu boleh sihat sepenuhnya sekarang, dan menyusun mengikut nombor terbesar secara senyap mengecualikannya. Masa operasi bukan skor kualiti, dan menganggapnya sedemikian memilih mengikut usia dan bukan kesesuaian.

Kesegaran: laporan lebih lama daripada percubaan anda

Direktori awam ialah halaman yang dijana daripada pemeriksaan berkala, bukan telemetri langsung. Masa operasi yang anda baca dikira pada muat semula terakhir, dan sambungan yang anda cuba berlaku selepas itu. Dalam pada itu, penyedia boleh menggagalkan pautan, menukar sijil, memindahkan alamat atau mengeluarkan nod daripada perkhidmatan, dan halaman itu akan terus melaporkan keadaan baik terakhir yang diketahui sehingga crawler seterusnya.

Jurang itu juga berjalan ke arah sebaliknya. Nod yang dilaporkan mati mungkin telah pulih beberapa minit selepas laporan dijana, jadi mencuba semula dengan segera pada nod lain bukan selalu pilihan yang lebih baik.

Peraturan praktikalnya ialah setiap medan yang dilaporkan ialah dakwaan tentang masa lalu. Gunakannya untuk membina senarai pendek, kemudian sahkan dengan ukuran yang anda ambil sendiri pada saat yang penting kepada anda.

Apa yang perlu diuji sebagai gantinya

Tentukan apa yang anda perlukan daripada nod itu dan ujinya. Jika anda perlukan kebolehsampaian, percubaan sambungan TCP ke port pendengar memberitahu anda dalam satu saat lebih banyak daripada mana-mana pembilang. Jika anda perlukan terowong yang berfungsi, rundingkan satu. Jika anda perlukan daya pemprosesan yang boleh digunakan, pindahkan sesuatu yang sebenar dan ukurnya, kerana masa sambungan dan daya pemprosesan ialah sifat berbeza dan jabat tangan pantas tidak berkata apa-apa tentang yang kedua.

nc -vz -w 5 vpn.example.net 1194
curl -sS -o /dev/null -w '%{time_connect} %{time_appconnect} %{time_total}\n' https://vpn.example.net/
mtr -rwc 20 vpn.example.net

Ulangi ujian itu daripada mempercayai satu percubaan. Kebolehpercayaan ialah taburan sepanjang masa dan keadaan, dan satu sambungan berjaya ialah sampel bersaiz satu. Beberapa percubaan sepanjang jam-jam ketika anda benar-benar menggunakan sambungan itu akan mengalahkan mana-mana masa operasi yang diterbitkan dengan jurang yang luas.

Membaca senarai nod awam tanpa tertipu

Masa operasi juga tidak membawa maklumat tentang perkara yang orang biasanya mahu daripada VPN: kesahan sijil, siapa mengendalikan pintu keluar, dasar DNS apa yang terpakai, dan sama ada pengendali menyimpan rekod sambungan. Itu dakwaan berasingan yang memerlukan bukti berasingan, dan pembilang panjang bukan bukti bagi mana-mana satu daripadanya. Nod boleh stabil selama berbulan-bulan dan masih menjadi pilihan yang buruk untuk keperluan privasi.

Di mana senarai benar-benar membantu ialah membuat senarai pendek. Susun mengikut apa yang anda tahu anda perlukan, tapis nod di wilayah yang tidak berkaitan dengan tugas, kemudian uji tiga atau empat yang tinggal. Simpan peringkat kegagalan setiap percubaan dan bukannya satu ya atau tidak, kerana «jabat tangan TLS gagal» dan «disambungkan tetapi tiada daya pemprosesan» membawa kepada kesimpulan yang sangat berbeza.

Kerangka pengukuran prestasi laluan menyampaikan perkara yang sama dalam bentuk yang lebih ketat: tentukan metrik, keadaan dan kaedah sebelum mengumpul nombor. Apabila digunakan pada senarai nod, itu bermakna medan masa operasi ialah konteks. Ukuran yang anda ambil sendiri ialah keputusan.