Server-Monitoring und das Mesh-Netzwerk

Ein Server kann dich im ungünstigsten Moment im Stich lassen: Ein Dienst stürzt ab, der Host startet die Maschine neu — oder, noch schlimmer, der Server wird im Land eines Nutzers blockiert und ist nicht mehr erreichbar, obwohl er technisch läuft. Deine Nutzer sollten davon nie etwas bemerken. Diese Lektion behandelt, wie CreateYourVPN über deine Server wacht und was passiert, wenn einer von ihnen Probleme hat.

Zwei Ebenen der Prüfung

Das System betrachtet jeden Server aus zwei Blickwinkeln.

1. Der Server prüft sich selbst

Alle paar Minuten meldet sich jeder Server: Läuft der Traffic-Listener auf Port 443, und läuft der VPN-Dienst? Die Metriken aus Lektion 3 kommen mit derselben Meldung. Meldet der Bericht „mir geht es nicht gut“, erhält der Server den Status „Server nicht verfügbar“. Bleiben Meldungen ganz aus, wird der Status zu „Keine Daten vom Server“ — die Maschine ist möglicherweise ausgeschaltet oder hat die Netzwerkverbindung verloren.

2. Server „klopfen“ sich gegenseitig an

Selbstprüfungen können den trickreichsten Fall nicht erfassen: Ein Server hält sich selbst für gesund, ist aber von außen nicht erreichbar — zum Beispiel, weil seine IP blockiert wurde. Deshalb sind alle deine Server zu einem Mesh-Netzwerk gegenseitiger Prüfungen zusammengeschlossen: Jeder Server versucht regelmäßig, jeden Nachbarn zu erreichen — genau wie es die App eines Nutzers tun würde.

Von dort übernimmt eine „Abstimmung“:

• Ein einzelnes fehlgeschlagenes Klopfen bedeutet nichts — das Netzwerk hat vielleicht nur kurz gehakt. Nur anhaltende Serien von Fehlschlägen zählen.
• Ein Server wird nur dann als „Von deinen Servern nicht erreichbar“ markiert, wenn mehrere unabhängige Server ihn beständig nicht erreichen — die Meinung eines einzelnen Servers ist kein Urteil.
• Es gibt auch Schutz vor dem „unzuverlässigen Zeugen“: Behauptet ein Server plötzlich, er könne die Hälfte seiner Nachbarn nicht sehen, liegt das Problem höchstwahrscheinlich bei ihm selbst — seine Stimmen werden verworfen.

Genau dieses Schema fängt Blockierungen ab: Wird ein Server in einem Land blockiert, in dem auch deine anderen Server stehen, hören die Nachbarn aus diesem Land schnell auf, ihn zu erreichen, es bildet sich ein Quorum, und das System markiert den Server als nicht erreichbar. Server in Ländern ohne die Blockierung sehen ihn währenddessen weiterhin — und die unterschiedlichen Meinungen machen das Bild eindeutig.

Wenn die Verbindungsprüfung zwischen zwei Servern fehlschlägt

Die Abstimmung erkennt eine Sperre, wenn Sie mehrere Server in dem Land haben, das den Zugang geschlossen hat. Meist steht dort aber genau einer: Er sieht Ihren ausländischen Server nicht mehr, während sich die ausländischen untereinander bestens sehen. Für ein solches Bild kommt niemals ein Quorum zustande.

Wir bemerken es trotzdem — sagen aber ehrlich, was wir nicht wissen. Aus „A sieht B nicht" lässt sich nicht ableiten, wessen Adresse gesperrt ist: Es ist ein und dieselbe Aussage über den Weg zwischen beiden, und von außen sehen beide Fälle identisch aus. Deshalb:

• Standardmäßig beschuldigen wir niemanden. Wir markieren als „Nicht erreichbar" die Zugangspunkte der Seite, die die Prüfung nicht erreicht — und beide Seiten, wenn sie in beide Richtungen fehlschlägt. Die Begründung nennt beide Server (sichtbar, wenn Sie einen Zugangspunkt in der Serverkarte öffnen). Die Entscheidung, welchen Server Sie ersetzen, liegt bei Ihnen: meist ist es der, den Ihre Kunden nicht erreichen.
• Keiner der beiden wird ausgeblendet. Das Paar auszublenden würde einen völlig gesunden Server gleich mit aus dem Abo nehmen. Kunden erhalten weiterhin die Zugangspunkte beider Server; das Balancing bevorzugt einfach gesunde, sofern die Route welche hat.

Der prüfende Server

Um statt „einer von beiden" eine eindeutige Antwort zu bekommen, markieren Sie den Server, dessen Prüfung Sie vertrauen: Serverkarte → „Diesen Server zur Sperrprüfung der anderen verwenden".

Die Regel ist dann einfach: Sieht der prüfende Server einen gewöhnlichen Server nicht mehr, gilt dessen Adresse als gesperrt, wir schreiben Ihnen mit dem Rat, die IP zu wechseln, und geben dessen Zugangspunkte nicht mehr an Kunden aus, solange die Route Alternativen hat. Umgekehrt — ein gewöhnlicher Server sieht den prüfenden nicht — bedeutet das gar nichts.

Was mit einem problematischen Server passiert

Die Status fließen direkt in die Lastverteilung ein: Server mit den Status „Server nicht verfügbar“ und „Von deinen Servern nicht erreichbar“ werden aus der Rotation genommen — es werden keine neuen Verbindungen zu ihnen geschickt, und in den Abonnements der Nutzer übernehmen gesunde Server aus denselben Routen ihren Platz. Die einzige Ausnahme ist ein getrenntes Paar ohne prüfenden Server: Dort werden die Zugangspunkte markiert, aber keiner davon wird herausgenommen.

Gleichzeitig geht das System vorsichtig vor — es basiert auf dem Prinzip „richte keinen Schaden an“:

• Eine Route bleibt nie leer. Stellt sich heraus, dass jeder Server einer Route „schlecht“ ist, bedient das System Nutzer lieber mit der besten verfügbaren Option, als eine leere Liste zu zeigen — sonst würden Apps entscheiden, die Server seien verschwunden, und sie löschen.
• Schweigen ist kein Urteil. Der Status „Keine Daten vom Server“ nimmt einen Server nicht von sich aus aus der Rotation — ohne frische Daten trifft das System keine überstürzten Entscheidungen.

Alles heilt sich selbst

Keiner der Status „klebt“ für immer — der Zustand wird stets neu aus frischen Daten abgeleitet:

• der Server meldet wieder einen gesunden Bericht → „Server nicht verfügbar“ wird aufgehoben;
• die Nachbarn erreichen ihn wieder → die Fehlschlagsserie wird zurückgesetzt, und die Markierung „Von deinen Servern nicht erreichbar“ verschwindet;
• Meldungen kommen wieder → „Keine Daten vom Server“ verschwindet.

Behebe das Problem am Server (oder warte, bis er entsperrt wird) — und er nimmt sich selbst wieder in Betrieb. Kein manuelles „wieder einschalten“ nötig.

Wo du das im Panel siehst

Öffne die Karte eines beliebigen Nutzers → seine Serverliste: Neben jedem Server gibt es einen Status-Punkt, und wenn etwas nicht stimmt — eine Beschriftung mit dem Grund: „Server nicht verfügbar“, „Von deinen Servern nicht erreichbar“ (inklusive, wie viele deiner Server ihn nicht sehen), oder „Keine Daten vom Server“. Auch auf den Server-Karten gibt es indirekte Anzeichen: ein „veraltet“-Badge bei den Metriken und „Keine Daten — Agent antwortet nicht“.

Zum Merken

• Zwei Kontrollebenen: Ein Server prüft sich selbst, und seine Mesh-Nachbarn prüfen ihn von außen.
• Blockierungen werden durch die „Abstimmung“ mehrerer Server erkannt — kein Alarm bei einmaligen Hakern.
• Problematische Server fallen aus der Rotation; Nutzer wechseln unbemerkt zu gesunden Servern.
• Alles heilt sich selbst: Sobald ein Server wieder zum Leben erwacht, wird er automatisch wieder eingebunden.
• Schlägt die Verbindungsprüfung zwischen zwei Servern fehl und ist kein prüfender Server gesetzt, markieren wir die Zugangspunkte der unerreichbaren Seite (oder beider, wenn sie in beide Richtungen fehlschlägt) und blenden keinen davon aus: Die Entscheidung liegt bei Ihnen.

Als Nächstes

Die Infrastruktur weiß, sich selbst zu reparieren, aber es gibt eine Sache, die es wert ist, gesondert geschützt zu werden — deine Nutzerbasis.