Шторм перападключэння ў філіяле: ліміты допуску strongSwan

Паглядзіце, як філіял вяртаецца пасля збою канала, і шлюз бачыць тое, што ніколі не з'яўляецца ў звычайны дзень: дзясяткі ноўтбукаў прыходзяць з аднаго публічнага адраса адначасова. Кожны з іх — законная прылада, і кожны пачынае абмен IKE, які яшчэ не скончаны. Ці ўдасца гэты ўсплёск, залежыць ад лімітаў, якія не маюць нічога агульнага з тым, колькі супрацоўнікаў можа вытрымаць сервер. Усплёск кароткі, і гэта менавіта тая нагрузка, для якой шлях допуску і быў пабудаваны.

Прасочыце адзін ноўтбук назад у сетку

Кліент адпраўляе пачатковы запыт і чакае, і пакуль абмен не завершыцца, шлюз трымае стан допуску для гэтай спробы. Іншыя прылады за тым жа адрасам прыходзяць, пакуль першая яшчэ чакае, і яны стаяць у чарзе за лімітам, які лічыць адрасы, а не карыстальнікаў. Звонку сімптом выглядае так: жменька карыстальнікаў падключаецца, а большая група атрымлівае тайм-аўт.

Нішто ў гэтай паслядоўнасці не з'яўляецца збоем. Гэта шлях допуску робіць тое, для чаго ён быў настроены.

Лічыце напаўадкрытую працу асобным рэсурсам

strongSwan падзяляе дзве сукупнасці: цалкам усталяваныя асацыяцыі і спробы, якія яшчэ падключаюцца або чакаюць апрацоўкі. Парог блакіроўкі дзейнічае для напаўадкрытых асацыяцый, аднесеных да аднаго адраса апанента, а парогі cookie дзейнічаюць глабальна і для кожнага адраса. Гэтыя лічыльнікі абараняюць дэман ад спажывання неаўтэнтыфікаванай працай, што якраз і ёсць форма шторму перападключэння. Нішто з гэтага стану не паказваецца ў спісе ўсталяваных тунеляў.

Чытаць іх як абмежаванне колькасці сесій супрацоўнікаў — гэта памылка, якая вядзе да адначасовага павышэння ўсяго. Сервер, які трымае чатырыста ўсталяваных тунеляў, не абавязаны аўтаматычна паглынаць чатырыста адначасовых першых пакетаў, бо гэтыя два выдаткі аказваюцца ў розных месцах.

Затрымка аўтэнтыфікацыі вызначае, колькі часу кожная спроба застаецца ў ліку напаўадкрытых. Бэкэнд, які адказвае павольна, ператварае кароткі ўсплёск у доўгую чаргу, нават калі інтэнсіўнасць прыходу сціплая.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Прачытайце налады допуску, перш чым іх змяняць

Знайдзіце значэнні, якія працуючы дэман фактычна загрузіў, перш чым складаць пра іх меркаванне. Канфігурацыя часта падзелена паміж галоўным файлам і каталогам фрагментаў для кожнага плагіна, таму значэнне, зададзенае ў адным месцы, можа быць перакрыта ў іншым. Пошук ніжэй паказвае кожны файл, дзе згадваюцца гэтыя налады.

Затым вырашыце, які лік занадта малы. Калі адзін адрас законна прадстаўляе цэлы офіс, парог блакіроўкі для адраса — гэта значэнне, якое павінна ўмясціць такую канцэнтрацыю. Глабальны парог cookie абараняе дэман ад шырэйшага патоку і не павінен паслабляцца таму, што адзін аб'ект перападключаецца. Параўнайце гэтае значэнне для адраса з найбуйнейшым аб'ектам, які ў вас сапраўды ёсць.

Пакіньце механізм cookie ўключаным. Cookie прымушаюць кліента даказаць, што ён можа прымаць на заяўленым адрасе, перш чым дэман выдаткаваць рэальную працу на абмен, і адключэнне іх не з'яўляецца нейтральным павышэннем ёмістасці. Павышайце парог толькі з вымеранай інтэнсіўнасцю прыходу і заяўленым бюджэтам аўтэнтыфікацыі за ім.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Плануйце вяртанне, а не толькі ўстойлівы стан

Мэта даступнасці, якая лічыць толькі ўсталяваныя сесіі, апісвае ціхі пасляабедзенны час, а не аднаўленне. Спытайцеся замест гэтага, як мэтавая сукупнасць вяртаецца пасля агульнай сеткавай падзеі і ці можа шлях допуску паглынуць такую форму.

Размеркаванне перападключэння па кіраваным парку часта таннейшае за павелічэнне лімітаў, бо яно выдаляе штучны ўсплёск, а не плаціць за яго пастаянна. Назірайце за напаўадкрытым станам і падзеямі допуску побач з паспяховымі ўсталяваннямі, і лічыце рост ліку напаўадкрытых пры нязменных поспехах раннім папярэджаннем, а не цікавосткай.

Даведка вытворцы для гэтых налад — дакументацыя strongswan.conf, якая называе лічыльнікі і выпуск, што ўвёў парог cookie для адраса. Чытайце раздзел для вашай усталяванай версіі, а не самую новую старонку, бо значэнні па змаўчанні змяняюцца паміж выпускамі.