Monitoratge de servidors i xarxa mesh

Un servidor et pot fallar en el pitjor moment possible: un servei es penja, el proveïdor reinicia la màquina — o, pitjor encara, el servidor queda bloquejat al país d'un usuari i deixa de ser accessible tot i que tècnicament funciona. Els teus usuaris mai n'haurien de notar res. Aquesta lliçó tracta com vigila CreateYourVPN els teus servidors i què passa quan un d'ells té problemes.

Dues capes de verificació

El sistema mira cada servidor des de dos angles.

1. El servidor es verifica a si mateix

Cada pocs minuts, cada servidor informa: està viu l'escoltador de trànsit al port 443, s'executa el servei de VPN? Les mètriques de la lliçó 3 arriben amb el mateix informe. Si l'informe diu «no estic bé», el servidor rep l'estat «Servidor no disponible». Si els informes deixen d'arribar del tot, l'estat passa a ser «Sense dades del servidor» — la màquina podria estar apagada o haver perdut la xarxa.

2. Els servidors «truquen a la porta» els uns dels altres

Les autoverificacions no poden detectar el cas més enganyós: un servidor es creu sa, però des de fora no s'hi pot arribar — per exemple, la seva IP ha estat bloquejada. Per això tots els teus servidors estan units en una xarxa mesh de verificacions mútues: cada servidor intenta regularment arribar a cada veí — de la mateixa manera que ho faria l'aplicació d'un usuari.

A partir d'aquí, entra en joc una «votació»:

• Un sol intent fallit no vol dir res — la xarxa podria haver-hi tingut només una petita interrupció. Només compten les ratxes sostingudes de fallades.
• Un servidor es marca «No accessible des dels vostres servidors» només quan diversos servidors independents hi fallen de manera consistent — l'opinió d'un sol servidor no és un veredicte.
• També hi ha protecció contra el «testimoni no fiable»: si algun servidor de sobte afirma que no pot veure la meitat dels seus veïns, el problema és molt probablement seu — i els seus vots es descarten.

Aquest és exactament l'esquema que detecta els bloquejos: si un servidor queda bloquejat en un país on hi ha altres servidors teus, els veïns d'aquell país deixaran ràpidament d'arribar-hi, s'acumula un quòrum, i el sistema marca el servidor com a inaccessible. Mentrestant, els servidors de països sense el bloqueig el seguiran veient — i la diferència d'opinions fa que el quadre sigui evident.

Quan la comprovació de connexió entre dos servidors no passa

La votació detecta un bloqueig quan tens diversos servidors dins del país que ha tancat l'accés. Però el més habitual és tenir-ne allà exactament un: deixa de veure el teu servidor estranger, mentre que els estrangers es veuen perfectament entre ells. Per a aquesta imatge mai no es formarà un quòrum.

Tot i així ho detectem, però diem honestament què no sabem. De «A no veu B» no es pot deduir quina adreça està bloquejada: és una mateixa afirmació sobre el camí entre tots dos, i des de fora els dos casos es veuen igual. Per això:

• Per defecte no acusem ningú. Marquem com a «No disponible» els punts d'entrada del costat al qual la comprovació no arriba, i de tots dos costats si no passa en les dues direccions. La causa esmenta tots dos servidors (es veu si obres un punt d'entrada a la fitxa del servidor). Decidir quin servidor substituir et toca a tu: normalment és aquell al qual els teus clients no arriben.
• No se n'amaga cap dels dos. Amagar la parella trauria de la subscripció també un servidor perfectament sa. Els clients continuen rebent els punts d'entrada dels dos servidors, i el balanceig simplement preferirà els sans si la ruta en té.

El servidor verificador

Per obtenir una resposta concreta en lloc de «un dels dos», marca el servidor en la comprovació del qual confies: fitxa del servidor → «Utilitza aquest servidor per comprovar bloquejos als altres».

La regla és llavors simple: si el verificador deixa de veure un servidor normal, considerem bloquejada l'adreça del servidor normal, t'escrivim aconsellant-te canviar-ne la IP i deixem de lliurar els seus punts d'entrada als clients mentre la ruta tingui alternatives. El contrari, que un servidor normal no vegi el verificador, no significa res.

Què li passa a un servidor problemàtic

Els estats alimenten directament l'equilibri de càrrega: els servidors amb els estats «Servidor no disponible» i «No accessible des dels vostres servidors» es retiren de la rotació — no s'hi envien connexions noves, i a les subscripcions dels usuaris el seu lloc l'ocupen servidors sans de les mateixes rutes. L'única excepció és una parella trencada sense verificador: allà els punts d'entrada es marquen, però no se'n retira cap.

Alhora, el sistema és prudent — està construït sobre el principi «no fer mal»:

• Una ruta mai queda buida. Si tots els servidors d'una ruta resulten ser «dolents», el sistema oferirà als usuaris la millor opció disponible en lloc d'una llista buida — altrament, les aplicacions decidirien que els servidors han desaparegut i els esborrarien.
• El silenci no és un veredicte. L'estat «Sense dades del servidor» no treu tot sol un servidor de la rotació: sense dades fresques, el sistema no fa moviments precipitats.

Tot es cura sol

Cap dels estats «s'enganxa» per sempre — l'estat es torna a derivar a partir de dades fresques:

• el servidor torna a enviar un informe sa → «Servidor no disponible» es retira;
• els veïns tornen a poder-hi arribar → la ratxa de fallades es reinicia, i la marca «No accessible des dels vostres servidors» desapareix;
• els informes es reprenen → «Sense dades del servidor» desapareix.

Arregles el servidor (o esperes que es desbloquegi) — i es torna a posar en servei tot sol. Cap «reactivació» manual.

On es veu això al tauler

Obre la fitxa de qualsevol usuari → la seva llista de servidors: al costat de cada servidor hi ha un punt d'estat, i quan alguna cosa va malament — un text amb el motiu: «Servidor no disponible», «No accessible des dels vostres servidors» (incloent quants dels teus servidors no hi arriben) o «Sense dades del servidor». També apareixen senyals indirectes a les targetes dels servidors: una etiqueta «desactualitzat» a les mètriques i «Sense dades — l'agent no respon».

Idees clau

• Dues capes de control: un servidor es verifica a si mateix, i els seus veïns de la mesh el verifiquen des de fora.
• Els bloquejos es detecten mitjançant una «votació» de diversos servidors — sense pànic per una fallada aïllada.
• Els servidors problemàtics surten de la rotació; els usuaris passen silenciosament als sans.
• Tot es cura sol: en el moment que un servidor torna a la vida, s'hi reincorpora automàticament.
• Si la comprovació de connexió entre una parella de servidors no passa i no hi ha verificador, marquem els punts d'entrada del costat inabastable (o de tots dos, si no passa en les dues direccions) i no n'amaguem cap: la decisió és teva.

A continuació

La infraestructura sap com reparar-se a si mateixa, però hi ha una cosa que val la pena protegir per separat — la teva base d'usuaris.