Storm ailgysylltu'r gangen: terfynau derbyn strongSwan

Gwyliwch gangen yn dychwelyd ar ôl methiant cyswllt, a'r porth yn gweld rhywbeth na welir byth ar ddiwrnod arferol: dwsinau o liniaduron yn cyrraedd o un cyfeiriad cyhoeddus ar unwaith. Mae pob un yn ddyfais gyfreithlon ac mae pob un yn dechrau cyfnewid IKE nad yw wedi gorffen eto. Mae llwyddiant y ffrwydrad hwnnw'n dibynnu ar derfynau sydd â dim i'w wneud â faint o weithwyr y gall y gweinydd eu cario. Mae'r ffrwydrad yn fyr, a dyma'n union y llwyth gwaith y cafodd y llwybr derbyn ei adeiladu i'w oroesi.

Dilynwch un gliniadur yn ôl i'r rhwydwaith

Mae'r cleient yn anfon cais cychwynnol ac yn aros, ac nes bod y cyfnewid yn gorffen mae'r porth yn cadw cyflwr derbyn ar gyfer yr ymgais honno. Mae dyfeisiau eraill y tu ôl i'r un cyfeiriad yn cyrraedd tra bo'r cyntaf yn dal i aros, ac maent yn ciwio y tu ôl i derfyn sy'n cyfrif cyfeiriadau yn hytrach na defnyddwyr. O'r tu allan, y symptom yw dyrnaid o ddefnyddwyr yn cysylltu a grŵp mwy yn rhedeg allan o amser.

Nid oes dim yn y dilyniant hwnnw yn fai. Mae'r llwybr derbyn yn gwneud yr hyn y cafodd ei ffurfweddu i'w wneud.

Cyfrwch waith hanner-agored fel adnodd ei hun

Mae strongSwan yn gwahanu dau boblogaeth: cymdeithasau sydd wedi'u sefydlu'n llawn, ac ymdrechion sy'n dal i gysylltu neu'n aros i gael eu prosesu. Mae'r trothwy blocio yn berthnasol i gymdeithasau hanner-agored a briodolir i un cyfeiriad cyfoed, ac mae'r trothwyon cwci yn berthnasol yn fyd-eang ac fesul cyfeiriad. Mae'r rhifyddion hynny'n amddiffyn y daemon rhag cael ei dreulio gan waith heb ei ddilysu, sef yn union siâp storm ailgysylltu. Nid oes dim o'r cyflwr hwnnw'n ymddangos mewn rhestr o dwneli sefydledig.

Mae eu darllen fel cap ar sesiynau gweithwyr yw'r camgymeriad sy'n arwain at godi popeth ar unwaith. Nid yw gweinydd sy'n cario pedwar cant o dwneli sefydledig yn gallu amsugno pedwar cant o bacedi cyntaf ar yr un pryd yn awtomatig, oherwydd bod y ddau gost yn glanio mewn gwahanol leoedd.

Mae hwyrni dilysu yn penderfynu pa mor hir y mae pob ymgais yn aros yn y cyfrif hanner-agored. Mae backend sy'n ateb yn araf yn troi ffrwydrad byr yn giw hir hyd yn oed pan fo'r gyfradd gyrraedd yn gymedrol.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Darllenwch y gosodiadau derbyn cyn eu newid

Darganfyddwch y gwerthoedd a lwythodd y daemon sy'n rhedeg mewn gwirionedd cyn ffurfio barn amdanynt. Mae ffurfweddiad yn aml wedi'i rannu rhwng prif ffeil a chyfeiriadur o ddarnau fesul ategyn, felly gall gwerth a osodwch mewn un lle gael ei ddiystyru mewn lle arall. Mae'r chwiliad isod yn dangos pob ffeil sy'n crybwyll y gosodiadau hyn.

Yna penderfynwch pa rif sy'n rhy fach. Os yw un cyfeiriad yn cynrychioli swyddfa gyfan yn gyfreithlon, y trothwy blocio fesul cyfeiriad yw'r gwerth sy'n rhaid iddo gynnwys y crynodiad hwnnw. Mae trothwy cwci byd-eang yn amddiffyn y daemon rhag llifogydd ehangach ac ni ddylid ei lacio oherwydd bod un safle'n ailgysylltu. Cymharwch y gwerth fesul cyfeiriad hwnnw â'r safle mwyaf sydd gennych mewn gwirionedd.

Cadwch y mecanwaith cwci wedi'i alluogi. Mae cwcis yn gwneud i'r cleient brofi y gall dderbyn yn ei gyfeiriad honedig cyn i'r daemon wario gwaith go iawn ar y cyfnewid, ac nid yw eu hanalluogi yn uwchraddiad capasiti niwtral. Codwch drothwy dim ond gyda chyfradd gyrraedd fesuredig a chyllideb dilysu a nodwyd y tu ôl iddo.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Cynlluniwch ar gyfer y dychweliad, nid y cyflwr sefydlog yn unig

Mae targed argaeledd sy'n cyfrif sesiynau sefydledig yn unig yn disgrifio prynhawn tawel, nid adferiad. Gofynnwch yn lle hynny sut mae'r boblogaeth arfaethedig yn dychwelyd ar ôl digwyddiad rhwydwaith a rennir, ac a all y llwybr derbyn amsugno'r siâp hwnnw.

Mae gwasgaru ailgysylltu ar draws fflyd a reolir yn aml yn rhatach na chwyddo terfynau, oherwydd ei fod yn tynnu'r ffrwydrad artiffisial yn lle talu amdano'n barhaol. Monitrwch gyflwr hanner-agored a digwyddiadau derbyn wrth ymyl sefydliadau llwyddiannus, a thriniwch gyfrif hanner-agored sy'n codi gyda llwyddiannau gwastad fel rhybudd cynnar yn hytrach na chywreinrwydd.

Cyfeirlyfr y gwerthwr ar gyfer y gosodiadau hyn yw dogfennaeth strongswan.conf, sy'n enwi'r rhifyddion a'r rhyddhad a gyflwynodd drothwy cwci fesul cyfeiriad. Darllenwch yr adran ar gyfer eich fersiwn wedi'i osod yn hytrach na'r dudalen ddiweddaraf, oherwydd bod diofynion yn symud rhwng rhyddhau.