Herverbindingstorm in die takkantoor: toelatingsperke van strongSwan

Sien hoe 'n takkantoor terugkom ná 'n skakelfout, en die poort sien iets wat nooit gedurende 'n normale dag verskyn nie: dosyne skootrekenaars wat gelyktydig van een openbare adres aankom. Elkeen is 'n wettige toestel en elkeen begin 'n IKE-uitruiling wat nog nie voltooi is nie. Of daardie uitbarsting slaag, hang af van perke wat niks te doen het met hoeveel werknemers die bediener kan dra nie. Die uitbarsting is kort, en dit is juis die werklading waarvoor die toelatingsroete gebou is om te oorleef.

Volg een skootrekenaar terug na die netwerk

Die kliënt stuur 'n aanvanklike versoek en wag, en totdat die uitruiling voltooi is, hou die poort toelatingstoestand vir daardie poging. Ander toestelle agter dieselfde adres kom aan terwyl die eerste een nog wag, en hulle staan in 'n tou agter 'n perk wat adresse eerder as gebruikers tel. Van buite is die simptoom 'n handjievol gebruikers wat verbind en 'n groter groep wat uittyd.

Niks in daardie volgorde is 'n fout nie. Dit is die toelatingsroete wat doen waarvoor dit opgestel is.

Tel halfope werk as 'n eie hulpbron

strongSwan skei twee populasies: assosiasies wat volledig gevestig is, en pogings wat nog besig is om te verbind of op verwerking wag. Die blokkeerdrempel geld vir halfope assosiasies wat aan een eweadres toegeskryf word, en die koekiedrempels geld wêreldwyd en per adres. Daardie tellers beskerm die daemon teen verbruik deur ongeverifieerde werk, wat presies die vorm van 'n herverbindingstorm is. Niks van daardie toestand verskyn in 'n lys van gevestigde tonnels.

Om hulle as 'n perk op werknemersessies te lees, is die fout wat daartoe lei om alles gelyktydig te verhoog. 'n Bediener wat vier honderd gevestigde tonnels dra, is nie outomaties in staat om vier honderd gelyktydige eerste pakkette te absorbeer nie, want die twee kostes beland op verskillende plekke.

Verificasielatensie bepaal hoe lank elke poging in die halfope telling bly. 'n Agterkant wat stadig antwoord, verander 'n kort uitbarsting in 'n lang tou selfs wanneer die aankomstempo beskeie is.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Lees die toelatingsinstellings voordat jy hulle verander

Vind die waardes wat die lopende daemon werklik gelaai het voordat jy 'n mening daaroor vorm. Konfigurasie word dikwels verdeel oor 'n hoofleër en 'n gids van per-inprop-stukkies, so 'n waarde wat jy op een plek stel, kan op 'n ander plek oorheers word. Die soektog hieronder wys elke leër wat die instellings noem.

Besluit dan watter getal te klein is. As een adres wettig 'n hele kantoor verteenwoordig, is die per-adres blokkeerdrempel die waarde wat daardie konsentrasie moet akkommodeer. 'n Wêreldwye koekiedrempel beskerm die daemon teen 'n wyer vloed en moet nie verslap word omdat een terrein herverbind nie. Vergelyk daardie per-adres waarde met die grootste terrein wat jy werklik het.

Hou die koekiemeganisme geaktiveer. Koekies laat 'n kliënt bewys dat hy by sy beweerde adres kan ontvang voordat die daemon werklike werk aan die uitruiling bestee, en om hulle te deaktiveer is nie 'n neutrale kapasiteitsopgradering nie. Verhoog 'n drempel net met 'n gemete aankomstempo en 'n verklaarde verificasiebegroting daarby.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Beplan vir die terugkeer, nie net vir die bestendige toestand nie

'n Beskikbaarheidsteiken wat net gevestigde sessies tel, beskryf 'n rustige middag, nie 'n herstel nie. Vra eerder hoe die beoogde populasie terugkeer ná 'n gedeelde netwerkgebeurtenis, en of die toelatingsroete daardie vorm kan absorbeer.

Om herverbinding oor 'n bestuurde vloot te strooi, is dikwels goedkoper as om perke te vergroot, want dit verwyder die kunsmatige uitbarsting eerder as om permanent daarvoor te betaal. Monitor halfope toestand en toelatingsgebeurtenisse langs suksesvolle vestigings, en behandel 'n stygende halfope telling met plat suksesse as 'n vroeë waarskuwing eerder as 'n nuuskierigheid.

Die verskaffer se verwysing vir hierdie instellings is die strongswan.conf-dokumentasie, wat die tellers noem en die uitgawe wat die per-adres koekiedrempel ingestel het. Lees die afdeling vir jou geïnstalleerde weergawe eerder as die nuutste bladsy, want verstekwaardes skuif tussen uitgawes.