VPN ning past o'tkazuvchanligi entropiya muammosimi? Odatda yo'q

Tunnel orqali sekin o'tkazuvchanlik va tasodifiy sonlarni kutar holda qotib qolgan mashina juda boshqacha tajriba beradi, lekin ular baribir bitta shikoyat ostida qayd etiladi. Biri biror narsa ishlashidan oldingi tanaffus sifatida ko'rinadi. Ikkinchisi ishlaydigan va siz kuzatib turganingizcha ma'lumotni sekin ko'chiradigan ulanish sifatida ko'rinadi. Qaysi biri borligini aniqlash o'n daqiqa oladi va bir haftalik taxminni tejaydi.

Bir xil ko'rinadigan ikki alomat

Yangi yuklashdan keyin, birorta ulanishni qabul qilishdan oldin osilib qolgan xizmat nimanidir kutmoqda. Tez o'rnatiladigan va keyin kutilgan tezlikning bir qismi bilan uzatadigan tunnel boshqa narsa bilan cheklangan. Shifrlash so'zi ikkala hikoyada ham uchraydi, shuning uchun ular birlashtiriladi. Konfiguratsiya fayliga tegishdan oldin ularni ajrating.

Ishga tushish, autentifikatsiya, kalitlarni qayta kelishish va uzatishning o'zi atrofiga vaqt belgilarini qo'ying. Tunnel ishlatishga yaroqli bo'lishidan oldingi uzoq kechikish past barqaror tezlik emas, va ikkalasining o'rtachasini bitta songa kiritish dalillarni yo'q qiladi.

systemd-analyze blame | head -10
journalctl -u [email protected] -o short-precise | head -40
cat /proc/sys/kernel/random/entropy_avail

Birinchi ikki buyruq ishga tushish ishini vaqt chizig'iga qo'yadi. Uchinchisi yadro entropiya hisobi qiymatini chiqaradi, bu bitta ma'lumot nuqtasi sifatida foydali va tarmoqli kengligi o'lchagichi sifatida foydasiz.

Tasodifiy sonlarni kutish aslida qanday ko'rinadi

Xavfsiz tasodifiy baytlar uchun so'rov yadro tasodifiy manbasini ishga tushirmaguncha bloklanishi mumkin. Bu eng ko'p virtual mashinalarda va kichik o'rnatilgan platlarda yuklashning boshida, atrof-muhit shovqini kam to'planganda muhim. Bundan har bir shifrlangan bayt yangi entropiya sarflaydi degan xulosa chiqmaydi.

Zamonaviy generatorlar bir marta urug'lanadi va keyin deterministik tuzilmadan chiqish hosil qiladi, o'z jadvali bo'yicha qayta urug'lanadi. Ommaviy uzatish hovuzni bayt-bayt bo'shatmaydi, shuning uchun sekin uzatish paytida past hovuz qiymati sabab haqida hech narsani isbotlamaydi.

strace -f -e trace=getrandom -p $(pidof openvpn) 2>&1 | head -20
dmesg | grep -i 'random\|crng'

Birinchi buyruq siz kuzatayotganda jarayon tasodifiy son chaqiruvida o'tirganini ko'rsatadi. Ikkinchisi yadroning o'z ishga tushish xabarlarini ko'rsatadi, va aynan o'sha yerda erta yuklash tiqilishi ko'rinadi.

Yadro versiyasini va xizmat haqiqatan bog'lanadigan kutubxonani yozib qo'ying, chunki xatti-harakat amalga oshirishlar va nashrlar orasida farq qiladi. Tiklanishdan keyin olingan iz odatda tanaffusni butunlay o'tkazib yuboradi.

Davomiy sekinlik aslida qanday ko'rinadi

Butun vaqt davomida sekin uzatadigan tunnel ma'lumot yo'li bilan cheklangan. Bitta to'yingan ip, tashqi paketlar yo'qolishi, qayta uzatishlar yoki to'la soket navbatlari har biri shu naqshni hosil qiladi, va har birining o'z tuzatishi bor. Umumiy CPU foizi bitta band ipni yashiradi, va bu eng keng tarqalgan noto'g'ri o'qish. Umumiy yuklamaga qarashdan oldin har bir ip bo'yicha vaqtga qarang.

Taqqoslanadigan baza bilan ikki yo'nalishda ham o'lchang, va ilovaning o'z hisoboti o'rniga interfeys hisoblagichlarini kuzating.

ss -tin dst 203.0.113.10
nstat -az | grep -i 'drop\|retrans'
ethtool -S eth0 | grep -i 'drop\|error'

Birinchi buyruq bitta hamkor uchun navbat va tirbandlik holatini ko'rsatadi. Ikkinchi va uchinchisi stekda va interfeysda tashlab yuborishlar va qayta uzatishlar haqida xabar beradi, sabab odatda birinchi bo'lib o'sha yerda paydo bo'ladi.

O'lchagan tiqilinch uchun tuzatishni tanlang

Agar dalillar erta yuklash ishga tushishiga ishora qilsa, platforma qo'llab-quvvatlaydigan urug'lash yo'lini ko'ring, u virtual mashinada xost taqdim etgan tasodifiy qurilmani o'z ichiga olishi mumkin. Ko'plab mehmonlarga o'zgarmagan holda ko'chirilgan urug' tasviri mustaqil ishga tushishning o'rnini bosmaydi.

Agar dalillar ma'lumot yo'liga ishora qilsa, hisoblagichlar ko'rsatgan narsani sozlang. Navbatlar toshib ketganda bufer o'lchamlari yordam beradi va bitta ip to'yingan bo'lganda hech narsa qilmaydi. Hisoblagichni ko'tarish uchun entropiya demonini o'rnatish o'tkazuvchanlikni tuzatish emas, va grafik yaxshiroq ko'rinishi uchun urug'lash taxminlarini o'zgartirish xavfsizlik xususiyatini songa almashtiradi.

O'zgarishni faqat o'sha o'lchov o'sha sharoitda yaxshilanganda qabul qiling. Kattaroq hisoblagich natija emas; qisqaroq o'lchangan kutish yoki sababi aniqlangan tezroq uzatish natijadir.