Les équipes distribuées exigent une surface d’ingress mesurable, pas des tunnels ad hoc. Croisez ce texte avec MSS, BBR et SSH p95 et Happy Eyeballs et QUIC. La tendance follow-the-sun impose des revues hebdomadaires où les histogrammes des cinq métropoles se lisent sur un même écran exécutif. Pages publiques : aide, tarifs, accueil.
1) Le SSH nu expose une longue traîne de pertes sur les uplinks Wi-Fi hôteliers. 2) Le CONNECT ajoute TLS et l’ordonnancement HTTP/2, ce qui masque parfois la perte jusqu’à ce que les flux concurrents se bloquent mutuellement. 3) Les jobs rsync parallèles ignorant les budgets de flux effondrent les deux architectures dans la même latence de queue disque. Documentez chaque exception dans le ticket de changement.
| Signal mesurable | Transport HTTP/2 CONNECT | SSH direct |
|---|---|---|
| Premier octet p95 | TLS plus CONNECT : deux RTT typiques sans reprise de session prouvée | TCP puis SSH ; sensible aux trous PMTU |
| Retransmissions p95 | Plafond 0,8 % sur le socket TLS externe en tirage d’artefacts | Plafond 1,0 % sur SSH ; alerte si la perte suit un flip DNS |
| Flux concurrents | Cap seize flux par tunnel sauf doc proxy contraire | Chaque shell ou scp comme flux ; ControlMaster plutôt que scp parallèles naïfs |
| Artefact p95 | Objet un gigaoctet mesuré hors battements de contrôle | Même objet ; comparer hebdo au chemin CONNECT |
Traitez le CONNECT comme un PoP avec sa propre congestion. Exportez poignée TLS, création de flux et octets par flux dans le même entrepôt que le SSH pour comparer JP, KR, HK, SG, US Ouest. Lorsque les courbes divergent après un changement de fournisseur CDN, archivez la version des SETTINGS et des certificats pour corrélation ultérieure.
Modèle de chemin : pourquoi CONNECT et SSH divergent sous jitter
CONNECT passe par un front TLS, souvent anycast ou GeoDNS : utile sur Wi-Fi captif, mais plusieurs tunnels restent soumis aux priorités HTTP/2. Les équipes sécurité apprécient l’inspection homogène au bord, à condition que les journaux distinguent clairement chaque flux applicatif.
Discipline de multiplexage pour un trafic mixte contrôle et artefacts
Réservez les flux bas au shell et au git ; isolez rsync ou scp lourds si l’équité du proxy n’est pas garantie. Le SSH direct évite HTTP/2 mais partage une fenêtre TCP unique : voir MSS et BBR sur Mac vpshalo. Ajoutez une sonde ICMP discrète seulement si votre politique l’autorise ; sinon restez aux métriques applicatives.
Matrice de décision : CONNECT, SSH ou hybride selon la charge
Scorez chaque ligne avant changement de pare-feu ; sécurité et réseau cosignent.
| Charge | Chemin privilégié | Garde-fou |
|---|---|---|
| Shell développeur humain | CONNECT lorsque le portail captif autorise déjà HTTPS | Conserver le SSH direct comme brise-glace avec clés matérielles |
| Retour d’artefacts CI | Hybride : métadonnées via CONNECT, masse via SSH dédié ou stockage objet | Ne jamais dépasser le budget de flux sans découpage par blocs |
| Pair programming interrégional | CONNECT avec enregistrement de session au proxy | Répliquer les métriques p95 sur le même tableau de bord que la latence VNC |
JP, KR, HK, SG, US Ouest : lignes d’acceptation CONNECT contre SSH
Cibles pour heures ouvrées, sondes synthétiques toutes les dix minutes. Ticket d’exception si vous élargissez la fenêtre.
| PoP | p95 premier octet CONNECT | p95 premier octet SSH | Plafond retransmissions |
|---|---|---|---|
| JP | < 210 ms | < 160 ms | 0,9 % |
| KR | < 205 ms | < 155 ms | 0,9 % |
| HK | < 195 ms | < 150 ms | 0,8 % |
| SG | < 200 ms | < 158 ms | 1,0 % |
| US Ouest | < 185 ms | < 165 ms | 0,7 % |
Cinq étapes pour une voie d’ingress façon Halo
- 1 — Baseline identique des deux chemins par profil VPN bureau.
- 2 — Tableaux de bord étiquetés PoP, région, SKU pour isoler routage versus CPU.
- 3 — Budgets de flux sur comptes CI et plafond d’envois parallèles.
- 4 — CONNECT plus bascule GeoDNS sans session collée au-delà de trente secondes.
- 5 — Drill hebdo un gigaoctet, alerte si p95 dépasse douze pour cent semaine sur semaine ; runbook nommant bord TLS, bastion SSH et files disque Mac.
Citables : seize flux par tunnel ; drill un gigaoctet ; seuil douze pour cent pour revue rollback.
Matrice stable : louez un Mac mini M4 dans la métropole mesurée via console, achat, aide SSH, tarifs.
Faites coïncider le PoP avec le chemin validé par votre p95
Liens publics sans login : achat pour le forfait mensuel Mac mini M4, tarifs pour comparer les paliers, aide pour SSH et console, accueil pour le positionnement produit.
Suite Halo : SVCB, ECH, TLS p95 · blog technique.