Backups na nuvem estão lentos pela VPN: encontre a fase real

Um backup que se arrasta por uma VPN convida à experiência óbvia de desligar o túnel e medir de novo. Essa experiência responde muitas vezes a outra pergunta, porque a tarefa pode ter estado a calcular hashes de ficheiros ou à espera de uma nova tentativa em vez de mover bytes. Separe primeiro as fases e a queixa transforma-se num teste concreto com um resultado esperado concreto. A rota só se torna candidata quando é a fase de transferência que está realmente lenta.

Em que fase está a tarefa quando parece lenta

As ferramentas de backup passam por fases: descobrir ficheiros, lê-los e calcular hashes, comprimir, cifrar, carregar e depois verificar. Cada fase tem o seu próprio estrangulamento, e apenas algumas tocam na rede. Uma ferramenta que ainda não comunica qualquer fase está a dizer-lhe que não terminou a análise.

Uma tarefa que passa vinte minutos a preparar um milhão de ficheiros pequenos não vai acelerar quando o túnel ficar mais rápido. Uma tarefa que satura a ligação de envio é um problema de capacidade com outra solução. Leia a saída de progresso enquanto o atraso acontece, anote a fase e registe o horário, porque a fase no momento da queixa é a única que importa. Os ficheiros pequenos também se comportam de forma diferente de um objeto grande, porque dominam as idas e voltas por ficheiro e a transferência nunca atinge um ritmo estável. Compare o comparável antes de tirar conclusões sobre o túnel.

Um endpoint público e um NAS privado falham de forma diferente

Um serviço de backup público traz a sua própria ligação de aplicação autenticada, e o túnel é um salto num caminho mais longo. Um NAS privado depende normalmente desse túnel para a acessibilidade básica à sua rede. Essa diferença decide se desligar é uma linha de base válida ou um teste de nada.

No caso público, a mesma tarefa por outra rota pode ser uma comparação justa quando a política o permite. No caso privado, remover o túnel não deixa qualquer rota para o servidor, por isso o resultado descreve o caminho que apagou e não o que utiliza.

Um bloqueio é uma falha diferente de uma transferência lenta

A terceira coluna dessa tabela decide se um teste de estabilidade pode sequer correr, porque uma linha de base que remove o túnel só significa algo onde existe outro caminho. Com uma linha de base utilizável, olhe para a forma da falha em vez da taxa média. Um envio baixo mas constante aponta para capacidade, enquanto uma tarefa que bloqueia e reinicia aponta para interrupção, autenticação ou um ficheiro problemático. Estes dois produzem queixas quase idênticas e reparações completamente diferentes.

As tentativas repetidas distorcem qualquer medição, porque os bytes no cabo podem ser maiores do que a quantidade que realmente mudou. Leia o comportamento de retoma antes de interromper a tarefa outra vez para ver o que acontece, porque os envios fragmentados retomáveis recuperam barato e os reinícios de ficheiro inteiro não. Um túnel que se reconecta a cada poucos minutos também parece um problema de largura de banda quando na verdade é um problema de estabilidade. O MTU do caminho agrava isto, porque um túnel que reduz a carga útil bloqueia os segmentos grandes enquanto os pequenos passam.

journalctl -u wg-quick@wg0 -n 50 --no-pager
ss -tin dst :443
ping -M do -s 1400 -c 3 backup.example.com

Um envio pode esfomear todos os outros fluxos

Um envio que enche a ligação de envio deixa as chamadas e a navegação sem resposta, e o backup raramente é a única coisa a competir por ela. Um segundo cliente de sincronização produz o mesmo sintoma sozinho. Antes de culpar o túnel, veja o que mais está a enviar.

Use a programação ou o limite de largura de banda que a ferramenta documenta em vez de lutar pelo débito máximo; deixar margem para trabalho interativo costuma valer mais do que os últimos por cento. Depois verifique a que se aplica realmente o limite, porque algumas ferramentas limitam por ficheiro, outras toda a execução e outras ignoram completamente o custo dos ficheiros pequenos. Um limite que não corresponde à carga de trabalho não muda nada. O túnel dividido também merece suspeita aqui, porque excluir o lançador do túnel não exclui o serviço auxiliar que faz o envio. O Rclone, por exemplo, publica tanto os limites de transferência como o comportamento das tentativas na sua documentação, o que o torna uma referência útil sobre o que um limite deve controlar.

Termine com um restauro, não com um teste de velocidade

Um envio concluído não é um backup até algo ser restaurado a partir dele. Confirme que a versão esperada existe e depois restaure um ficheiro representativo com o procedimento que a ferramenta documenta. Guarde as informações de recuperação noutro local que não a máquina ou o perfil que pode perder, e nunca deite fora um backup que funciona só para manter uma experiência arrumada.

restic snapshots --latest 3
restic restore latest --target /tmp/restore-check --include /etc/hosts

Repita tanto a transferência como o restauro depois da mudança de rede, para que a melhoria se mostre ao serviço do backup e não apenas de mover dados mais depressa. É essa segunda execução que fecha o pedido. Uma transferência mais rápida com um restauro não testado é uma forma mais lenta de ficar sem proteção.