A është xhiroja e ulët e VPN një problem entropie? Zakonisht jo

Xhiroja e ngadaltë përmes një tuneli dhe një makinë e bllokuar duke pritur numra të rastësishëm japin përvoja shumë të ndryshme, por regjistrohen nën të njëjtin ankesë. Njëra shfaqet si pauzë përpara se diçka të funksionojë. Tjetra shfaqet si lidhje që funksionon dhe i lëviz të dhënat ngadalë për sa kohë e shikoni. Të përcaktosh cilën keni merr dhjetë minuta dhe kursen një javë hamendësimi.

Dy simptoma që duken njësoj

Një shërbim që ngec pas nisjes së re, përpara se të pranojë një lidhje të vetme, pret diçka. Një tunel që vendoset shpejt dhe më pas transferon me një pjesë të vogël të shpejtësisë së pritur kufizohet nga diçka tjetër. Fjala enkriptim shfaqet në të dyja historitë, prandaj bashkohen. Ndajini përpara se të prekni një skedar konfigurimi.

Vendosni vulat kohore rreth nisjes, vërtetimit, rinegocimit të çelësave dhe vetë transferimit. Një vonesë e gjatë përpara se tuneli të jetë i përdorshëm nuk është normë e ulët e qëndrueshme, dhe mesatarja e të dyjave në një numër të vetëm shkatërron provën.

systemd-analyze blame | head -10
journalctl -u [email protected] -o short-precise | head -40
cat /proc/sys/kernel/random/entropy_avail

Dy komandat e para e vendosin punën e nisjes në një vijë kohore. E treta shtyp vlerën kontabël të entropisë së kernelit, e cila është e dobishme si një pikë e vetme të dhënash dhe e padobishme si matës i gjerësisë së brezit.

Si duket në të vërtetë një pritje për numra të rastësishëm

Një kërkesë për bajt të rastësishëm të sigurt mund të bllokohet derisa kernel-i të inicializojë burimin e tij të rastësishëm. Kjo ka më shumë rëndësi në makinat virtuale dhe pllakat e vogla të integruara në fillim të nisjes, kur është mbledhur pak zhurmë mjedisore. Nga kjo nuk rrjedh se çdo bajt i enkriptuar konsumon entropi të freskët.

Gjeneratorët modernë mbillen një herë dhe më pas prodhojnë dalje nga një ndërtim deterministik, duke u rimbjellë sipas orarit të tyre. Transferimi masiv nuk e zbraz një pellg bajt për bajt, pra një vlerë e ulët e pellgut gjatë një transferimi të ngadaltë nuk provon asgjë për shkakun.

strace -f -e trace=getrandom -p $(pidof openvpn) 2>&1 | head -20
dmesg | grep -i 'random\|crng'

Komanda e parë tregon nëse procesi është ulur në një thirrje numrash të rastësishëm ndërsa ju shikoni. E dyta tregon mesazhet e inicializimit të vetë kernelit, dhe pikërisht aty bëhet i dukshëm një ngecje e nisjes së hershme.

Shënoni versionin e kernelit dhe librarinë me të cilën shërbimi lidhet në të vërtetë, sepse sjellja ndryshon midis implementimeve dhe midis lëshimeve. Një gjurmë e marrë pas rikuperimit zakonisht e humb pauzën plotësisht.

Si duket në të vërtetë një ngadalësi e vazhdueshme

Një tunel që transferon ngadalë gjatë gjithë kohës kufizohet nga rruga e të dhënave. Një fije e ngopur, humbja e paketave të jashtme, ritransmetimet ose radhët e plota të socket-ave secila prodhon atë model, dhe secila ka korrigjimin e vet. Përqindja e agreguar e CPU-së fsheh një fije të zënë, dhe kjo është leximi i gabuar më i zakonshëm. Shikoni kohën për fije përpara se të shikoni ngarkesën totale.

Matni në të dy drejtimet me një bazë të krahasueshme dhe vëzhgoni numëruesit e ndërfaqes në vend të raportit të vetë aplikacionit.

ss -tin dst 203.0.113.10
nstat -az | grep -i 'drop\|retrans'
ethtool -S eth0 | grep -i 'drop\|error'

Komanda e parë tregon gjendjen e radhës dhe të mbingarkesës për një palë. E dyta dhe e treta raportojnë hedhje dhe ritransmetime në stivë dhe në ndërfaqe, ku shkaku zakonisht shfaqet i pari.

Zgjidhni korrigjimin për grykën që matët

Nëse provat tregojnë inicializim në nisjen e hershme, shikoni rrugën e mbjelljes të mbështetur nga platforma, e cila në një makinë virtuale mund të përfshijë një pajisje të rastësishme të siguruar nga hosti. Një imazh i farës i kopjuar i pandryshuar në shumë mysafirë nuk zëvendëson një inicializim të pavarur.

Nëse provat tregojnë rrugën e të dhënave, rregulloni atë që tregojnë numëruesit. Madhësitë e buferit ndihmojnë kur radhët derdhen dhe nuk bëjnë asgjë kur një fije është e ngopur. Instalimi i një demoni entropie për të ngritur një numërues nuk është riparim i xhiros, dhe ndryshimi i supozimeve të mbjelljes për ta bërë një grafik të duket më mirë shkëmben një veti sigurie me një numër.

Pranojeni ndryshimin vetëm kur i njëjti matje përmirësohet në të njëjtat kushte. Një numërues më i madh nuk është rezultat; një pritje e matur më e shkurtër ose një transferim më i shpejtë me shkak të identifikuar është rezultat.