عاصفة إعادة الاتصال في فرع المكتب: حدود القبول في strongSwan

شاهد فرع مكتب يعود بعد انقطاع في الوصلة، فيرى المسار شيئًا لا يظهر أبدًا خلال يوم عادي: عشرات الحواسيب المحمولة تصل من عنوان عام واحد في الوقت نفسه. كل واحد منها جهاز شرعي، وكل واحد يبدأ تبادل IKE لم يكتمل بعد. ونجاح تلك الاندفاعة يعتمد على حدود لا علاقة لها بعدد الموظفين الذين يستطيع الخادم حملهم. الاندفاعة قصيرة، وهي بالضبط عبء العمل الذي بُني مسار القبول ليتحمله.

تتبّع حاسوبًا محمولًا واحدًا وهو يعود إلى الشبكة

يرسل العميل طلبًا أوليًا وينتظر، وإلى أن يكتمل التبادل تحتفظ البوابة بحالة القبول لتلك المحاولة. تصل أجهزة أخرى خلف العنوان نفسه بينما لا يزال الأول ينتظر، فتصطف خلف حد يعدّ العناوين لا المستخدمين. ومن الخارج تكون الأعراض حفنة من المستخدمين يتصلون ومجموعة أكبر تنتهي مهلتها.

لا شيء في ذلك التسلسل عطل. إنه مسار القبول يفعل ما ضُبط لفعله.

اعتبر العمل نصف المفتوح موردًا قائمًا بذاته

يفصل strongSwan بين فئتين: ارتباطات مكتملة التأسيس، ومحاولات لا تزال تتصل أو تنتظر المعالجة. ينطبق حد الحجب على الارتباطات نصف المفتوحة المنسوبة إلى عنوان نظير واحد، بينما تنطبق حدود ملفات تعريف الارتباط عالميًا ولكل عنوان. تحمي تلك العدادات الخادم من أن تستهلكه أعمال غير موثقة، وهذا بالضبط شكل عاصفة إعادة الاتصال. لا تظهر أي من تلك الحالة في قائمة الأنفاق القائمة.

قراءتها كسقف لجلسات الموظفين هي الخطأ الذي يؤدي إلى رفع كل شيء دفعة واحدة. الخادم الذي يحمل أربعمائة نفق قائم ليس قادرًا تلقائيًا على استيعاب أربعمائة حزمة أولى متزامنة، لأن الكلفتين تقعان في مكانين مختلفين.

تحدد زمن المصادقة مدة بقاء كل محاولة في عدّ نصف المفتوحة. والخادم الخلفي الذي يجيب ببطء يحول اندفاعة قصيرة إلى صف طويل حتى عندما يكون معدل الوصول متواضعًا.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

اقرأ إعدادات القبول قبل تغييرها

ابحث عن القيم التي حمّلها البرنامج الخفي العامل فعلًا قبل تكوين رأي عنها. غالبًا ما تتوزع الإعدادات بين ملف رئيسي ودليل من الشذرات لكل إضافة، لذا قد تُلغى قيمة تضبطها في مكان ما في مكان آخر. يظهر البحث أدناه كل ملف يذكر هذه الإعدادات.

ثم حدد أي رقم صغير جدًا. إذا كان عنوان واحد يمثل مكتبًا كاملًا بشكل شرعي، فحد الحجب لكل عنوان هو القيمة التي يجب أن تستوعب ذلك التركّز. أما حد ملفات تعريف الارتباط العالمي فيحمي البرنامج الخفي من طوفان أوسع، ولا ينبغي تخفيفه لأن موقعًا واحدًا يعيد الاتصال. قارن قيمة كل عنوان بأكبر موقع لديك فعلًا.

أبقِ آلية ملفات تعريف الارتباط مفعّلة. فملفات تعريف الارتباط تجعل العميل يثبت أنه يستطيع الاستقبال على العنوان الذي يدّعيه قبل أن يصرف البرنامج الخفي عملًا حقيقيًا على التبادل، وتعطيلها ليس ترقية سعة محايدة. لا ترفع حدًا إلا بمعدل وصول مقيس وميزانية مصادقة معلنة خلفه.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

خطّط للعودة، لا للحالة المستقرة وحدها

هدف التوافر الذي يعدّ الجلسات القائمة فقط يصف ظهيرة هادئة، لا عملية استعادة. اسأل بدلًا من ذلك كيف تعود الفئة المستهدفة بعد حدث شبكي مشترك، وهل يستطيع مسار القبول استيعاب ذلك الشكل.

توزيع إعادة الاتصال على أسطول مُدار غالبًا أرخص من توسيع الحدود، لأنه يزيل الاندفاعة الاصطناعية بدلًا من الدفع مقابلها دائمًا. راقب الحالة نصف المفتوحة وأحداث القبول إلى جانب عمليات التأسيس الناجحة، واعتبر عددًا متزايدًا من نصف المفتوحة مع نجاحات ثابتة إنذارًا مبكرًا لا مجرد غرابة.

المرجع الرسمي لهذه الإعدادات هو توثيق strongswan.conf، الذي يسمّي العدادات والإصدار الذي أدخل حد ملفات تعريف الارتباط لكل عنوان. اقرأ القسم الخاص بالإصدار المثبّت لديك لا أحدث صفحة، لأن القيم الافتراضية تتحرك بين الإصدارات.