Oluja ponovnog povezivanja u poslovnici: strongSwan ograničenja prijema

Gledajte kako se poslovnica vraća nakon prekida veze i gateway vidi nešto što se nikada ne pojavljuje tokom normalnog dana: desetine laptopa dolaze sa jedne javne adrese istovremeno. Svaki je legitimni uređaj i svaki započinje IKE razmjenu koja još nije završena. Hoće li taj udar uspjeti zavisi od ograničenja koja nemaju nikakve veze s tim koliko zaposlenika server može nositi. Udar je kratak i upravo je to radno opterećenje za koje je put prijema napravljen.

Pratite jedan laptop nazad na mrežu

Klijent šalje početni zahtjev i čeka, a dok se razmjena ne završi gateway drži stanje prijema za taj pokušaj. Drugi uređaji iza iste adrese dolaze dok prvi još čeka i redaju se iza ograničenja koje broji adrese, a ne korisnike. Spolja, simptom je šačica korisnika koji se povezuju i veća grupa kojoj istekne vrijeme.

Ništa u tom slijedu nije kvar. To put prijema radi ono za što je konfigurisan.

Brojite poluotvoreni rad kao vlastiti resurs

strongSwan razdvaja dvije populacije: asocijacije koje su potpuno uspostavljene i pokušaje koji se još povezuju ili čekaju obradu. Prag blokiranja primjenjuje se na poluotvorene asocijacije pripisane jednoj peer adresi, a pragovi kolačića primjenjuju se globalno i po adresi. Ti brojači štite daemon od trošenja neautentificiranim radom, što je upravo oblik oluje ponovnog povezivanja. Ništa od tog stanja ne pojavljuje se u spisku uspostavljenih tunela.

Čitati ih kao gornju granicu zaposleničkih sesija je greška koja vodi ka podizanju svega odjednom. Server koji nosi četiri stotine uspostavljenih tunela nije automatski u stanju apsorbovati četiri stotine istovremenih prvih paketa, jer dva troška padaju na različita mjesta.

Latencija autentifikacije odlučuje koliko dugo svaki pokušaj ostaje u broju poluotvorenih. Backend koji odgovara sporo pretvara kratak udar u dug red čak i kada je stopa dolaska skromna.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Pročitajte postavke prijema prije nego ih promijenite

Pronađite vrijednosti koje je pokrenuti daemon zaista učitao prije nego stvorite mišljenje o njima. Konfiguracija je često podijeljena između glavne datoteke i direktorija isječaka za svaki plugin, pa vrijednost koju postavite na jednom mjestu može biti nadjačana na drugom. Pretraga ispod prikazuje svaku datoteku koja spominje te postavke.

Zatim odlučite koji je broj premali. Ako jedna adresa legitimno predstavlja cijelu kancelariju, prag blokiranja po adresi je vrijednost koja mora primiti tu koncentraciju. Globalni prag kolačića štiti daemon od šireg pljuska i ne treba ga popuštati zato što se jedno mjesto ponovo povezuje. Uporedite tu vrijednost po adresi s najvećim mjestom koje zaista imate.

Ostavite mehanizam kolačića uključen. Kolačići tjeraju klijenta da dokaže da može primati na adresi koju tvrdi prije nego daemon potroši stvarni rad na razmjenu, a njihovo isključivanje nije neutralna nadogradnja kapaciteta. Podignite prag samo s izmjerenom stopom dolaska i navedenim budžetom autentifikacije iza njega.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Planirajte povratak, a ne samo stabilno stanje

Cilj dostupnosti koji broji samo uspostavljene sesije opisuje mirno poslijepodne, a ne oporavak. Pitajte umjesto toga kako se namijenjena populacija vraća nakon zajedničkog mrežnog događaja i može li put prijema apsorbovati taj oblik.

Raspoređivanje ponovnog povezivanja po upravljanoj floti često je jeftinije od povećanja ograničenja, jer uklanja umjetni udar umjesto da za njega trajno plaća. Pratite poluotvoreno stanje i događaje prijema uz uspješna uspostavljanja i tretirajte rastući broj poluotvorenih uz ravne uspjehe kao rano upozorenje, a ne kao zanimljivost.

Referenca proizvođača za te postavke je dokumentacija strongswan.conf, koja imenuje brojače i izdanje koje je uvelo prag kolačića po adresi. Čitajte odjeljak za svoju instaliranu verziju, a ne najnoviju stranicu, jer se zadane vrijednosti mijenjaju između izdanja.