← Cloudflare SSL/TLS / ssl / keyless-ssl / reference

Metriky serveru klíčů

Key server gokeyless zpřístupňuje Prometheus ↗ koncový bod metrik, který můžete použít ke sledování výkonu podepisování, chybovosti, stavu připojení a platnosti certifikátů. Tento koncový bod může sbírat i OpenTelemetry Collector Prometheus receiver, čímž zpřístupní metriky libovolnému backendu kompatibilnímu s OpenTelemetry.

Ve výchozím nastavení jsou metriky dostupné na adrese:

http://<host>:2406/metrics

Port lze nakonfigurovat pomocí metrics_port klíč ve vašem konfiguračním souboru, --metrics-port příznak, nebo KEYLESS_METRICS_PORT proměnná prostředí.

Tento endpoint obsluhuje pouze /metrics. Neexistují žádné další HTTP koncové body, jako například /health nebo /debug.

Všechny metriky typu histogram sdílejí stejnou konfiguraci košů: 15 exponenciálních košů, které začínají na 100 mikrosekundách a s každým krokem se zdvojnásobují až na přibližně 1.64 sekundy, plus poslední +Inf bucket.

Typ: Čítač
Popisky: opcode

Počítá každý příchozí požadavek přijatý přes navázané připojení, bez ohledu na výsledek. Zvyšuje se jednou pro každý požadavek, ještě než začne jakékoli zpracování.

opcode štítek používá celý název konstanty z protokolu gokeyless.

Typ: Histogram
Popisky: type, error

Měří dobu potřebnou k provedení jedné operace, od zahájení zpracování až po vytvoření odpovědi. U operací podporovaných HSM PKCS#11 zahrnuje tato doba i čekání na relaci z fondu a čas kryptografické operace HSM.

Tato metrika nezahrnuje čas, který požadavek stráví čekáním na uvolnění místa v semaforu připojení. Ten je zachycen v keyless_request_total_duration_per_opcode.

Pro tento popisek jsou opcode kódy seskupeny do hrubších kategorií:

U úspěšných požadavků je hodnota no error. Všechny ostatní hodnoty značí neúspěšnou operaci.

Typ: Histogram
Popisky: type, error (stejné hodnoty jako keyless_request_exec_duration_per_opcode)

Měří celkovou dobu potřebnou ke zpracování požadavku, od přečtení paketu požadavku ze sítě až po zápis bajtů odpovědi zpět klientovi.

total_duration = exec_duration + response_write_time

Obě časové značky se zaznamenávají až poté, co je semafor připojení již podržen, takže doba čekání ve frontě semaforu není zahrnuta v žádném z histogramů. Za běžné zátěže jsou celková doba trvání a doba provádění přibližně stejné. Rostoucí rozdíl mezi nimi značí pomalý zápis zpět klientovi, například síťový tlak mezi key serverem a Cloudflare edge.

Typ: Histogram
Popisky: Žádné

Měří dobu, za kterou keystore vyhledá a vrátí soukromý klíč pro každý požadavek, rozdělenou podle SKI, SNI a IP adresy serveru.

• U úložišť klíčů založených na souborech jde o vyhledání v mapě, které obvykle trvá méně než milisekundu.
• U úložišť klíčů PKCS#11 nebo HSM to může zahrnovat síťovou komunikaci s HSM, pokud odkazy na klíče nejsou uloženy v mezipaměti.

Tato metrika se zaznamenává pro všechny operace podepisování a dešifrování: OpRSADecrypt, všechny OpRSASign*, všechny OpRSAPSSSign*, všechny OpECDSASign*, a OpEd25519Sign.

Je ne zaznamenané pro OpPing, OpSeal, OpUnseal, OpRPC, nebo OpCustom, které nevyžadují vyhledání privátního klíče.

Typ: Čítač
Popisky: Žádné

Počítá selhání přenosu na úrovni připojení. Tato metrika odráží problémy na síťové nebo TLS vrstvě, nezahrnuje chyby podepisování ani chyby vyhledávání klíčů, které se hlásí v error štítek histogramů doby trvání.

Typ: Ukazatel
Popisky: source, serial_no, cn, hostnames, ca, server, client

Uvádí čas vypršení platnosti (NotAfter) každého certifikátu načteného key serverem jako časové razítko Unix. Pro každý certifikát se generuje jedna časová řada.

Tato metrika se aktualizuje:

• Při spuštění se pro certifikát ověřování serveru (auth_cert) a certifikát CA Cloudflare (cloudflare_ca_cert).
• Při každém úspěšném příchozím TLS spojení, pro certifikáty protistrany předložené připojujícím se klientem.

sum by (opcode) (rate(keyless_requests[1m]))

sum by (error) (
  rate(keyless_request_exec_duration_per_opcode_count{error!="no error"}[5m])
)

histogram_quantile(
  0.99,
  rate(keyless_request_exec_duration_per_opcode_bucket{type="rsa"}[5m])
)

Hodnota blížící se 10 sekundám značí vyčerpání fondu relací PKCS#11. Více informací najdete v Škálování a benchmarking a v dokumentaci k vašemu HSM najděte pokyny, jak zvětšit velikost session poolu.

histogram_quantile(0.99, rate(keyless_key_load_duration_bucket[5m]))

Nárůst zde bez odpovídajícího nárůstu doby provádění naznačuje, že pomalé je samotné vyhledávání v keystore: může jít o problém se vstupně-výstupními operacemi disku nebo o zpoždění při výčtu objektů PKCS#11.

rate(keyless_failed_connection_total[5m])

Trvale nenulová hodnota značí problémy se sítí nebo TLS mezi sítí Cloudflare a vaším key serverem.

(certificate_expiration_timestamp_seconds - time()) / 86400 < 30