Tempesta de reconnexió a la sucursal: límits d'admissió de strongSwan

Mireu com torna una sucursal després d'una fallada d'enllaç i la passarel·la veu una cosa que no apareix mai durant un dia normal: desenes d'ordinadors portàtils arriben alhora des d'una única adreça pública. Cadascun és un dispositiu legítim i cadascun inicia un intercanvi IKE que encara no ha acabat. Que aquest esclat tingui èxit depèn de límits que no tenen res a veure amb quants empleats pot suportar el servidor. L'esclat és curt, i és precisament la càrrega de treball per a la qual es va construir el camí d'admissió.

Seguiu un ordinador portàtil de tornada a la xarxa

El client envia una sol·licitud inicial i espera, i fins que l'intercanvi no es completa la passarel·la manté l'estat d'admissió per a aquell intent. Altres dispositius darrere de la mateixa adreça arriben mentre el primer encara espera, i fan cua darrere d'un límit que compta adreces en lloc d'usuaris. Des de fora, el símptoma és un grapat d'usuaris que es connecten i un grup més gran que es queda sense temps.

Res d'aquesta seqüència no és una fallada. És el camí d'admissió fent allò per a què estava configurat.

Compteu el treball semiobert com un recurs propi

strongSwan separa dues poblacions: associacions plenament establertes i intents que encara es connecten o esperen ser processats. El llindar de bloqueig s'aplica a les associacions semiobertes atribuïdes a una adreça de parell, i els llindars de galeta s'apliquen globalment i per adreça. Aquests comptadors protegeixen el dimoni de ser consumit per treball no autenticat, que és exactament la forma d'una tempesta de reconnexió. Res d'aquest estat no apareix a una llista de túnels establerts.

Llegir-los com un sostre de les sessions dels empleats és l'error que porta a apujar-ho tot alhora. Un servidor que porta quatre-cents túnels establerts no és automàticament capaç d'absorbir quatre-cents primers paquets simultanis, perquè els dos costos recauen en llocs diferents.

La latència d'autenticació decideix quant de temps cada intent roman al recompte de semioberts. Un backend que respon lentament converteix un esclat curt en una cua llarga fins i tot quan la taxa d'arribada és modesta.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Llegiu la configuració d'admissió abans de canviar-la

Trobeu els valors que el dimoni en execució ha carregat realment abans de formar-vos una opinió sobre ells. La configuració sovint es reparteix entre un fitxer principal i un directori de fragments per connector, de manera que un valor que establiu en un lloc pot ser anul·lat en un altre. La cerca de sota mostra cada fitxer que esmenta aquests paràmetres.

Després decidiu quin nombre és massa petit. Si una adreça representa legítimament una oficina sencera, el llindar de bloqueig per adreça és el valor que ha d'acollir aquesta concentració. Un llindar de galeta global protegeix el dimoni d'una inundació més àmplia i no s'ha de relaxar perquè un lloc es reconecti. Compareu aquest valor per adreça amb el lloc més gran que realment teniu.

Manteniu el mecanisme de galetes activat. Les galetes fan que el client demostri que pot rebre a l'adreça que afirma abans que el dimoni gasti treball real en l'intercanvi, i desactivar-les no és una actualització de capacitat neutral. Apugeu un llindar només amb una taxa d'arribada mesurada i un pressupost d'autenticació declarat al darrere.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Planifiqueu el retorn, no només l'estat estacionari

Un objectiu de disponibilitat que només compta sessions establertes descriu una tarda tranquil·la, no una recuperació. Pregunteu-vos en canvi com torna la població prevista després d'un esdeveniment de xarxa compartit, i si el camí d'admissió pot absorbir aquesta forma.

Escalonar la reconnexió per una flota gestionada sol ser més barat que ampliar els límits, perquè elimina l'esclat artificial en lloc de pagar-hi permanentment. Superviseu l'estat semiobert i els esdeveniments d'admissió al costat dels establiments correctes, i tracteu un recompte semiobert creixent amb èxits plans com un avís primerenc i no com una curiositat.

La referència del proveïdor per a aquests paràmetres és la documentació de strongswan.conf, que anomena els comptadors i la versió que va introduir el llindar de galeta per adreça. Llegiu la secció de la vostra versió instal·lada i no la pàgina més nova, perquè els valors per defecte es mouen entre versions.