Ühenduse taastamise torm harukontoris: strongSwani vastuvõtupiirid

Vaadake, kuidas harukontor pärast lingitõrget naaseb, ja lüüs näeb midagi, mida tavalisel päeval kunagi ei ilmne: kümned sülearvutid saabuvad korraga ühest avalikust aadressist. Igaüks on seaduslik seade ja igaüks alustab IKE-vahetust, mis pole veel lõppenud. Kas see puhang õnnestub, sõltub piiridest, millel pole midagi pistmist sellega, kui palju töötajaid server kanda jaksab. Puhang on lühike ja see on täpselt see töökoormus, mille jaoks vastuvõtutee loodi.

Jälgige ühte sülearvutit tagasi võrku

Klient saadab algse päringu ja ootab, ja kuni vahetus pole lõppenud, hoiab lüüs selle katse jaoks vastuvõtuseisundit. Teised seadmed sama aadressi taga saabuvad, kui esimene veel ootab, ja nad järjestuvad piiri taha, mis loeb aadresse, mitte kasutajaid. Väljastpoolt on sümptomiks peotäis kasutajaid, kes ühenduvad, ja suurem rühm, kellel aegub.

Selles järjestuses pole miski rike. See on vastuvõtutee, mis teeb seda, milleks see seadistati.

Loendage pooleldi avatud tööd eraldi ressursina

strongSwan eraldab kaks populatsiooni: täielikult loodud assotsiatsioonid ja katsed, mis veel ühenduvad või ootavad töötlemist. Blokeerimislävi kehtib ühele partneraadressile omistatud pooleldi avatud assotsiatsioonidele ning küpsise lävendid kehtivad globaalselt ja iga aadressi kohta. Need loendurid kaitsevad deemonit autentimata tööga kulumise eest, mis on täpselt ühenduse taastamise tormi kuju. Midagi sellest seisundist ei ilmu loodud tunnelite loendis.

Nende lugemine töötajate sessioonide ülempiirina on viga, mis viib kõige korraga tõstmiseni. Server, mis kannab nelisada loodud tunnelit, ei suuda automaatselt neelata neljasada samaaegset esimest paketti, sest kaks kulu langevad erinevatesse kohtadesse.

Autentimise latentsus otsustab, kui kaua iga katse pooleldi avatud loendis püsib. Aeglaselt vastav taustaprogramm muudab lühikese puhangu pikaks järjekorraks ka siis, kui saabumiskiirus on tagasihoidlik.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Lugege vastuvõtuseadeid enne nende muutmist

Leidke väärtused, mille töötav deemon tegelikult laadis, enne kui nende kohta arvamuse kujundate. Konfiguratsioon on sageli jaotatud põhifaili ja pistikprogrammide kaupa tükeldatud kataloogi vahel, nii et ühes kohas seatud väärtuse võib teises kohas tühistada. Allolev otsing näitab iga faili, mis neid seadeid mainib.

Seejärel otsustage, milline arv on liiga väike. Kui üks aadress esindab seaduslikult tervet kontorit, on aadressipõhine blokeerimislävi väärtus, mis peab selle koondumise mahutama. Globaalne küpsise lävi kaitseb deemonit laiema üleujutuse eest ja seda ei tohiks lõdvendada sellepärast, et üks koht ühenduse taastab. Võrrelge seda aadressipõhist väärtust suurima kohaga, mis teil tegelikult on.

Jätke küpsiste mehhanism sisse lülitatuks. Küpsised panevad kliendi tõestama, et ta suudab väidetud aadressil vastu võtta, enne kui deemon kulutab vahetusele tegelikku tööd, ja nende väljalülitamine pole neutraalne mahutavuse uuendus. Tõstke läve ainult mõõdetud saabumiskiiruse ja selle taga deklareeritud autentimiseelarvega.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Planeerige naasmist, mitte ainult püsiseisundit

Kättesaadavuse eesmärk, mis loeb ainult loodud sessioone, kirjeldab vaikset pärastlõunat, mitte taastumist. Küsige hoopis, kuidas kavandatud populatsioon naaseb pärast ühist võrgu sündmust ja kas vastuvõtutee suudab seda kuju neelata.

Ühenduse taastamise hajutamine hallatud pargis on sageli odavam kui piiride suurendamine, sest see eemaldab kunstliku puhangu, selle asemel et selle eest püsivalt maksta. Jälgige pooleldi avatud seisundit ja vastuvõtusündmusi edukate loomiste kõrval ning käsitlege kasvavat pooleldi avatud arvu tasaste õnnestumiste juures varajase hoiatusena, mitte kurioosumina.

Tootja viide nendele seadetele on strongswan.conf dokumentatsioon, mis nimetab loendurid ja väljaande, mis võttis kasutusele aadressipõhise küpsise läve. Lugege oma paigaldatud versiooni jaotist, mitte uusimat lehte, sest vaikeväärtused liiguvad väljaannete vahel.