Filial ofisində yenidən qoşulma fırtınası: strongSwan qəbul limitləri

Link nasazlığından sonra filial ofisinin geri qayıtmasına baxın: şlüz normal gün ərzində heç vaxt görünməyən bir şey görür — onlarla noutbuk eyni anda bir ictimai ünvandan gəlir. Hər biri qanuni cihazdır və hər biri hələ tamamlanmamış IKE mübadiləsinə başlayır. Bu partlayışın uğurlu olub-olmayacağı serverin neçə işçi daşıya bilməsi ilə heç bir əlaqəsi olmayan limitlərdən asılıdır. Partlayış qısadır və qəbul yolu məhz bu iş yükünü yaşatmaq üçün qurulub.

Bir noutbuku şəbəkəyə qayıdarkən izləyin

Müştəri ilkin sorğu göndərir və gözləyir; mübadilə tamamlanana qədər şlüz həmin cəhd üçün qəbul vəziyyətini saxlayır. Birinci hələ gözləyərkən eyni ünvan arxasındakı digər cihazlar gəlir və istifadəçiləri deyil, ünvanları sayan limitin arxasında növbəyə düzülür. Xaricdən simptom belədir: bir neçə istifadəçi qoşulur, daha böyük qrup isə vaxt aşımına uğrayır.

Bu ardıcıllıqda heç nə nasazlıq deyil. Bu, qəbul yolunun konfiqurasiya edildiyi işi görməsidir.

Yarım-açıq işi ayrı resurs kimi hesablayın

strongSwan iki populyasiyanı ayırır: tam qurulmuş assosiasiyalar və hələ qoşulan və ya emal gözləyən cəhdlər. Blok həddi bir peer ünvanına aid edilən yarım-açıq assosiasiyalara aiddir, kuki hədləri isə qlobal və hər ünvan üzrə tətbiq olunur. Bu sayğaclar daemonu autentifikasiya olunmamış işlə istehlak olunmaqdan qoruyur ki, bu da yenidən qoşulma fırtınasının məhz formasıdır. Bu vəziyyətin heç biri qurulmuş tunellərin siyahısında.

Onları işçi sessiyalarına tavan kimi oxumaq hər şeyi birdən artırmağa gətirən səhvdir. Dörd yüz qurulmuş tunel daşıyan server avtomatik olaraq dörd yüz eyni vaxtlı ilk paketi udmağa qadir deyil, çünki iki xərc fərqli yerlərə düşür.

Autentifikasiya gecikməsi hər cəhdin yarım-açıq sayda nə qədər qalacağını müəyyən edir. Yavaş cavab verən backend gəliş sürəti təvazökar olsa da qısa partlayışı uzun növbəyə çevirir.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Qəbul parametrlərini dəyişməzdən əvvəl oxuyun

İşləyən daemonun həqiqətən yüklədiyi dəyərləri tapın, sonra fikir formalaşdırın. Konfiqurasiya çox vaxt əsas fayl və hər plagin üçün parçalar kataloqu arasında bölünür, ona görə bir yerdə təyin etdiyiniz dəyər başqa yerdə üstələnə bilər. Aşağıdakı axtarış bu parametrləri qeyd edən hər faylı göstərir.

Sonra hansı rəqəmin çox kiçik olduğunu qərarlaşdırın. Əgər bir ünvan qanuni olaraq bütöv ofisi təmsil edirsə, hər ünvan üçün blok həddi bu konsentrasiyanı qarşılamalı olan dəyərdir. Qlobal kuki həddi daemonu daha geniş daşqına qarşı qoruyur və bir sayt yenidən qoşulduğu üçün yumşaldılmamalıdır. Bu ünvan üzrə dəyəri əslində malik olduğunuz ən böyük saytla müqayisə edin.

Kuki mexanizmini aktiv saxlayın. Kukilər müştərinin iddia etdiyi ünvanda qəbul edə bildiyini sübut etməsinə imkan verir, daemon mübadiləyə real iş sərf etməzdən əvvəl; onları söndürmək neytral tutum təkmilləşdirməsi deyil. Həddi yalnız ölçülmüş gəliş sürəti və arxasında bəyan edilmiş autentifikasiya büdcəsi ilə artırın.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Yalnız sabit vəziyyətə deyil, geri dönüşə də plan qurun

Yalnız qurulmuş sessiyaları sayan əlçatanlıq hədəfi sakit bir günortanı təsvir edir, bərpanı deyil. Əvəzində soruşun: nəzərdə tutulan populyasiya ortaq şəbəkə hadisəsindən sonra necə qayıdır və qəbul yolu bu formanı uda bilirmi?

İdarə olunan donanmada yenidən qoşulmanı səpələmək limitləri böyütməkdən çox vaxt daha ucuzdur, çünki süni partlayışı aradan qaldırır, onun üçün daim ödəmək əvəzinə. Yarım-açıq vəziyyəti və qəbul hadisələrini uğurlu qurulmalarla yanaşı izləyin; uğurlar sabit qalarkən artan yarım-açıq sayını maraqlı detal deyil, erkən xəbərdarlıq kimi qəbul edin.

Bu parametrlər üçün satıcı istinadı strongswan.conf sənədləşməsidir, hansı ki sayğacları və hər ünvan üzrə kuki həddini təqdim edən buraxılışı adlandırır. Ən yeni səhifəni deyil, quraşdırılmış versiyanız üçün bölməni oxuyun, çünki standart dəyərlər buraxılışlar arasında dəyişir.