Rekonekta ŝtormo en la filio: akceptlimoj de strongSwan

Rigardu filion reveni post liga fiasko, kaj la kluzo vidas ion, kio neniam aperas dum normala tago: dekoj da tekkomputiloj alvenas samtempe el unu publika adreso. Ĉiu estas legitima aparato kaj ĉiu komencas IKE-interŝanĝon, kiu ankoraŭ ne finiĝis. Ĉu tiu eksplodo sukcesos, dependas de limoj, kiuj havas nenion komunan kun tio, kiom da dungitoj la servilo povas porti. La eksplodo estas mallonga, kaj ĝi estas ĝuste la laborŝarĝo, por kiu la akceptovojo estis konstruita.

Sekvu unu tekkomputilon reen en la reton

La kliento sendas komencan peton kaj atendas, kaj ĝis la interŝanĝo finiĝos, la kluzo tenas akceptostaton por tiu provo. Aliaj aparatoj malantaŭ la sama adreso alvenas dum la unua ankoraŭ atendas, kaj ili staras en vico malantaŭ limo, kiu kalkulas adresojn anstataŭ uzantojn. De ekstere la simptomo estas plenmano da uzantoj, kiuj konektiĝas, kaj pli granda grupo, kiu eltempas.

Nenio en tiu sinsekvo estas difekto. La akceptovojo faras tion, por kio ĝi estis agordita.

Kalkulu duonmalfermitan laboron kiel propran rimedon

strongSwan apartigas du populaciojn: asociojn, kiuj estas plene establitaj, kaj provojn, kiuj ankoraŭ konektiĝas aŭ atendas prilaboradon. La bloka sojlo validas por duonmalfermitaj asocioj atribuitaj al unu samtavola adreso, kaj la kuketaj sojloj validas tutmonde kaj por ĉiu adreso. Tiuj nombriloj protektas la demonon kontraŭ konsumiĝo per neaŭtentikigita laboro, kio estas ĝuste la formo de rekonekta ŝtormo. Nenio el tiu stato aperas en listo de establitaj tuneloj.

Legi ilin kiel supera limo por dungitaj sesioj estas la eraro, kiu kondukas al altigi ĉion samtempe. Servilo, kiu portas kvarcent establitajn tunelojn, ne aŭtomate kapablas sorbi kvarcent samtempajn unuajn pakaĵojn, ĉar la du kostoj falas en malsamaj lokoj.

Aŭtentikiga latento decidas, kiom longe ĉiu provo restas en la kalkulo de duonmalfermitaj. Malantaŭa sistemo, kiu respondas malrapide, transformas mallongan eksplodon en longan vicon eĉ kiam la alvena indico estas modesta.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Legu la akceptajn agordojn antaŭ ol ŝanĝi ilin

Trovu la valorojn, kiujn la kuranta demono efektive ŝarĝis, antaŭ ol formi opinion pri ili. Agordo ofte estas dividita inter ĉefa dosiero kaj dosierujo de fragmentoj por ĉiu kromaĵo, do valoro, kiun vi starigas en unu loko, povas esti superregita aliloke. La serĉo sube montras ĉiun dosieron, kiu mencias tiujn agordojn.

Poste decidu, kiu nombro estas tro malgranda. Se unu adreso legale reprezentas tutan oficejon, la bloka sojlo por adreso estas la valoro, kiu devas enteni tiun koncentriĝon. Tutmonda kuketa sojlo protektas la demonon kontraŭ pli larĝa superfluo kaj ne devus esti malstreĉita ĉar unu ejo rekonektiĝas. Komparu tiun valoron por adreso kun la plej granda ejo, kiun vi efektive havas.

Lasu la kuketan mekanismon ŝaltita. Kuketoj igas klienton pruvi, ke ĝi povas ricevi ĉe sia asertita adreso antaŭ ol la demono elspezos realan laboron por la interŝanĝo, kaj malŝalti ilin ne estas neŭtrala kapacitplibonigo. Altigu sojlon nur kun mezurita alvena indico kaj deklarita aŭtentikiga buĝeto malantaŭ ĝi.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Planu la revenon, ne nur la stabilan staton

Disponebliga celo, kiu kalkulas nur establitajn sesiojn, priskribas trankvilan posttagmezon, ne reakiron. Demandu anstataŭe, kiel la celata populacio revenas post komuna reta evento, kaj ĉu la akceptovojo povas sorbi tiun formon.

Disigi rekonekton tra administrata floto ofte estas pli malmultekosta ol pligrandigi limojn, ĉar ĝi forigas la artefaritan eksplodon anstataŭ pagi por ĝi konstante. Observu duonmalfermitan staton kaj akceptajn eventojn apud sukcesaj establoj, kaj traktu kreskantan kalkulon de duonmalfermitaj kun ebenaj sukcesoj kiel fruegan averton, ne kiel kuriozaĵon.

La vendista referenco por tiuj agordoj estas la dokumentaro de strongswan.conf, kiu nomas la nombrilojn kaj la eldonon, kiu enkondukis la kuketan sojlon por adreso. Legu la sekcion por via instalita versio anstataŭ la plej nova paĝo, ĉar defaŭltoj moviĝas inter eldonoj.