Uma VPN ociosa consome banda? Leia o contador certo

O seu túnel ficou aberto a noite toda, nada foi transmitido em streaming, e o gráfico de uso ainda assim se moveu. Isso é normal: uma VPN mantém uma conversa aberta em vez de reservar parte da sua linha, então a parcela reservada é zero enquanto os bytes são pequenos e reais. As duas ideias são trocadas o tempo todo, e é por isso que a pergunta se uma VPN ociosa consome banda é mal respondida nas duas direções. Medir o contador certo numa janela que consegue descrever resolve isso numa tarde.

Porque um túnel ocioso ainda move bytes

Um túnel é um mapeamento com um tempo de vida, e algo tem de manter esse mapeamento vivo. Os handshakes expiram, os dispositivos NAT descartam traduções ociosas, e um par que fica em silêncio tempo suficiente pode ficar inalcançável sem que nada falhe em nenhuma das pontas. Os protocolos diferem no que enviam quando não há nada para enviar: o WireGuard não transmite nada por padrão depois de o handshake assentar, e a definição opcional PersistentKeepalive acrescenta um pacote periódico para que um par atrás de uma tradução continue alcançável. Ligue-a de propósito e o intervalo fica visível num contador.

OpenVPN tem um auxiliar de keepalive que funciona de outra forma: define verificações ao estilo ping para que as duas pontas distingam uma sessão viva de uma morta, e os clientes que trazem o seu próprio transporte têm temporizadores equivalentes com outros nomes. Nada disto aparece na janela de uma aplicação, e é por isso que um ecrã vazio não diz nada sobre o que está no fio.

Uma aplicação ociosa não é um dispositivo ocioso

Um túnel aberto serve todos os clientes ligados a ele, e os clientes raramente param. A sincronização de fotografias, as consultas do resolver, as verificações de atualizações e um agente de monitorização seguem a rota que estiver predefinida, e num perfil de túnel completo essa rota é o túnel. Um telefone a dormir no bolso continua a inquirir, e uma tarefa de cópia de segurança não se importa que ninguém esteja a ver um vídeo. O túnel está ocioso no sentido em que você não o usa enquanto os seus dispositivos o usam.

Os perfis com bridge e encaminhados transportam tráfego diferente, por isso a mesma observação pode dar uma resposta diferente em cada um. Anote quem estava ligado antes de medir, porque um único cliente de sincronização pode pesar mais do que todos os keepalives no intervalo.

Escolha um contador e diga o que ele conta

Existem três totais e cada um responde a uma pergunta diferente: o que atravessou o túnel, o que atravessou a ligação física e o que o fornecedor decidiu faturar. Contar no uplink também conta tudo o que nunca entrou no túnel, desde o movimento ARP até ao streaming do vizinho. Contar na interface do túnel perde o cabeçalho externo, as tentativas de handshake e os keepalives que mantêm uma tradução aberta. Ler ambos é barato, e é a única forma de ver de que lado do túnel um byte foi contado.

ip -s link show wg0
ip -s link show eth0

Decida qual dos dois é a sua pergunta antes de citar qualquer um, porque somá-los conta trabalho relacionado duas vezes. A contabilidade do fornecedor pode fechar num período posterior ao que mediu, por isso um total que não bate certo com a fatura não é automaticamente errado. Anexe a interface, a direção e a janela a qualquer número que publique.

Faça uma medição curta e supervisionada

Deixe o túnel e a sua proteção exatamente como funcionam num dia normal, salte as transferências opcionais e anote quem ficou ligado. Leia os contadores, espere uma janela suficientemente longa para valer a pena ler, leia-os de novo e guarde o tempo decorrido ao lado da diferença. Um teste de velocidade grande responde a outra pergunta: satura a ligação e não diz nada sobre o custo da ociosidade.

Repita a janela uma vez se o primeiro resultado parecer impossível, porque uma amostra pode apanhar uma tarefa agendada a meio. Dois intervalos que concordam são prova; um intervalo é uma anedota com unidades.

Não compre um zero mais limpo com um túnel pior

Desligar um keepalive ou uma verificação de vitalidade para arrumar o gráfico muda a instalação que está a medir, e o túnel pode não voltar depois do próximo período de ociosidade. Pergunte se o mecanismo serve a alcançabilidade ou a manutenção antes de lhe tocar, e meça com ele ativo se servir, porque é essa a configuração que vai suportar. Um zero mais limpo que esconde um caminho de recuperação quebrado é o resultado mais caro deste exercício.

Quando o número é realmente grande, encontre o processo ou o cliente que o produziu em vez de assumir que é o protocolo a encher a linha. Compare o contador interno e o externo para ver de que lado estão os bytes, e depois reporte o uso desse período em vez da capacidade que pensa ter.