Буря от повторни връзки в клона: лимити за приемане в strongSwan

Вижте как клонът се връща след отказ на връзката и шлюзът вижда нещо, което никога не се появява в нормален ден: десетки лаптопи пристигат от един публичен адрес наведнъж. Всеки е законно устройство и всеки започва IKE обмен, който още не е завършил. Дали този взрив ще успее, зависи от лимити, които нямат нищо общо с това колко служители може да понесе сървърът. Взривът е кратък и е точно натоварването, за което пътят на приемане е създаден.

Проследете един лаптоп обратно в мрежата

Клиентът изпраща първоначална заявка и чака, а докато обменът завърши, шлюзът държи състояние на приемане за този опит. Други устройства зад същия адрес пристигат, докато първото още чака, и се нареждат зад лимит, който брои адреси, а не потребители. Отвън симптомът е шепа потребители, които се свързват, и по-голяма група, която изтича.

Нищо в тази последователност не е дефект. Пътят на приемане прави това, за което е конфигуриран.

Броете полуотворената работа като отделен ресурс

strongSwan разделя две популации: асоциации, които са напълно установени, и опити, които още се свързват или чакат обработка. Прагът за блокиране важи за полуотворени асоциации, приписани на един адрес на партньор, а праговете за бисквитки важат глобално и за всеки адрес. Тези броячи пазят демона от изразходване от неудостоверена работа, което е точно формата на буря от повторни връзки. Нищо от това състояние не се появява в списък с установени тунели.

Да ги четете като таван на служителските сесии е грешката, която води до вдигане на всичко наведнъж. Сървър, който носи четиристотин установени тунела, не е автоматично способен да поеме четиристотин едновременни първи пакета, защото двете цени попадат на различни места.

Закъснението при удостоверяване решава колко дълго всеки опит остава в броя на полуотворените. Бекенд, който отговаря бавно, превръща краткия взрив в дълга опашка дори когато интензивността на пристигане е скромна.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Прочетете настройките за приемане, преди да ги променяте

Намерете стойностите, които работещият демон действително е заредил, преди да си съставите мнение за тях. Конфигурацията често е разделена между основен файл и директория с фрагменти за всеки плъгин, така че стойност, зададена на едно място, може да бъде отменена на друго. Търсенето по-долу показва всеки файл, който споменава тези настройки.

После решете кое число е твърде малко. Ако един адрес законно представлява цял офис, прагът за блокиране на адрес е стойността, която трябва да поеме тази концентрация. Глобалният праг за бисквитки пази демона от по-широк поток и не бива да се отпуска, защото един обект се свързва отново. Сравнете тази стойност за адрес с най-големия обект, който действително имате.

Оставете механизма за бисквитки включен. Бисквитките карат клиента да докаже, че може да получава на заявения адрес, преди демонът да изразходва реална работа по обмена, а изключването им не е неутрално увеличение на капацитета. Вдигайте праг само с измерена интензивност на пристигане и обявен бюджет за удостоверяване зад него.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Планирайте връщането, не само устойчивото състояние

Цел за наличност, която брои само установени сесии, описва тих следобед, а не възстановяване. Питайте вместо това как целевата популация се връща след споделено мрежово събитие и дали пътят на приемане може да поеме тази форма.

Разсейването на повторните връзки през управляван парк често е по-евтино от увеличаване на лимитите, защото премахва изкуствения взрив, вместо да плаща за него постоянно. Наблюдавайте полуотвореното състояние и събитията по приемане до успешните установявания и третирайте растящия брой полуотворени при плоски успехи като ранно предупреждение, а не като любопитност.

Справката на доставчика за тези настройки е документацията на strongswan.conf, която назовава броячите и изданието, въвело прага за бисквитки на адрес. Четете раздела за вашата инсталирана версия, а не най-новата страница, защото стойностите по подразбиране се менят между изданията.