Como planear um servidor VPN silencioso, de baixo consumo e sempre ativo

O repouso é onde uma caixa VPN doméstica passa quase toda a sua vida, por isso é esse o estado que vale a pena medir. A mesma máquina ainda tem de responder a uma ligação, servir um ficheiro e terminar uma cópia de segurança enquanto o túnel está ativo, e estas três tarefas puxam em direções diferentes. Silêncio, baixo consumo e acessibilidade permanente são propriedades distintas, e uma ficha técnica não descreve nenhuma delas. Percorrer as verificações abaixo por ordem evita que uma decisão de hardware se transforme numa reconstrução seis meses depois.

Comece pelos papéis, não pelas peças

Anote cada tarefa que a caixa tem de executar enquanto ninguém observa. Um gateway WireGuard ou OpenVPN, uma partilha de ficheiros, um destino de cópia de segurança e uma tarefa de indexação têm custos permanentes diferentes, e uma máquina que faz as quatro tem um patamar muito mais alto do que uma que só faz a primeira. O consumo em repouso é a soma desses patamares, não a sua média. É por isso que duas caixas descritas como de baixo consumo podem diferir num fator de três na mesma sala.

Decidir cedo se os dados vivem no mesmo host que o túnel condiciona tudo o resto. Hosts separados significam dois consumos em repouso, mas um gateway que fica acordado enquanto o armazenamento dorme; um único host significa um consumo e um domínio de falha. Nenhuma das opções está errada, mas a resposta tem de ficar escrita antes de existir a lista de peças.

Meça a caixa inteira em três estados

Um medidor de parede entre a tomada e a fonte de alimentação é o único instrumento honesto aqui, porque inclui perdas de conversão, o arranque dos discos e cada dispositivo USB de que se esqueceu. Registe três números: repouso com o túnel ativo e mais nada a correr, a mesma caixa sob uma transferência remota real e a caixa durante uma cópia de segurança agendada.

Os contadores de software ajudam a explicar a leitura do medidor, mas não a substituem. A interface RAPL reporta a energia do pacote e do domínio de memória, o que exclui perdas da fonte de alimentação e tudo o que está ligado por USB.

read -r a < /sys/class/powercap/intel-rapl:0/energy_uj; sleep 60; read -r b < /sys/class/powercap/intel-rapl:0/energy_uj
awk -v a="$a" -v b="$b" 'BEGIN{printf "package average: %.1f W\n", (b-a)/60/1000000}'

O ruído precisa do mesmo tratamento. Uma caixa sem ventoinhas remove uma fonte e deixa o disco rígido, a fonte de alimentação e o zumbido das bobinas, por isso ouça durante uma cópia de segurança e não no ecrã de início de sessão. A temperatura pertence à mesma passagem: leia os sensores sob carga sustentada e nunca desative a proteção térmica para tornar a caixa mais silenciosa.

Converta os watts num ano que possa comparar

O consumo contínuo converte-se em energia com uma multiplicação, e fazê-lo uma vez evita que o custo anual seja uma surpresa. Uma média ilustrativa de 11 W ao longo de um ano completo calcula-se assim.

awk 'BEGIN{printf "%.1f kWh/year at 11 W\n", 11*24*365/1000}'

Esse número é aritmética, não uma medição da sua caixa, e a tarifa pela qual o multiplica desloca a resposta mais do que uns quantos watts. O cálculo serve para comparar dois desenhos: um gateway em repouso a 6 W contra outro a 15 W é uma decisão a que pode atribuir preço. A potência nominal de um processador não é esse número, porque descreve um pacote sob carga e não um sistema em repouso. Use a média do medidor de parede com a tarifa local e rotule o resultado como estimativa.

Decida se a suspensão é permitida

A suspensão poupa mais energia e quebra mais pressupostos. Um host suspenso não consegue aceitar a ligação de entrada que o acordaria, e um keepalive do cliente não muda isso; só um dispositivo sempre ligado na mesma LAN pode enviar um pacote wake-on-LAN.

Se o túnel tiver de estar acessível a qualquer hora, trate a suspensão como desativada por política e escreva isso nas notas de construção. Mascarar os alvos é rude, mas é explícito e sobrevive a atualizações de pacotes melhor do que um hábito.

systemctl status sleep.target suspend.target
sudo systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
systemd-inhibit --list

O wake-on-LAN merece uma linha própria nessas notas porque falha em silêncio. A funcionalidade tem de ser ativada no firmware, só funciona em algumas interfaces e precisa de um dispositivo já acordado para enviar o pacote. Teste-o antes de depender dele, não depois de uma viagem.

Prove-o sob a carga que ele vai realmente ver

A última verificação é a que as pessoas saltam: execute a carga prevista e observe a caixa durante uma hora. Uma transferência remota, uma cópia de segurança e uma reconstrução de índice ao mesmo tempo mostrarão se o arrefecimento, a ligação e o armazenamento aguentam a combinação de papéis escolhida.

uptime
sensors | grep -E 'Core|Package|fan'
ss -s

Veja também a ligação de acesso na mesma janela, porque a largura de banda de subida costuma limitar o débito remoto muito antes do processador. Se o túnel satura numa fração do que o processador conseguiria cifrar, um chip mais rápido não compra absolutamente nada.