Uudelleenyhdistymismyrsky sivukonttorissa: strongSwanin vastaanottorajat

Katso, miten sivukonttori palaa linkkivian jälkeen, ja yhdyskäytävä näkee jotain, mitä tavallisena päivänä ei koskaan näy: kymmeniä kannettavia saapuu yhtä aikaa yhdestä julkisesta osoitteesta. Jokainen on laillinen laite ja jokainen aloittaa IKE-vaihdon, joka ei ole vielä valmis. Onnistuuko tuo purske, riippuu rajoista, joilla ei ole mitään tekemistä sen kanssa, kuinka monta työntekijää palvelin voi kantaa. Purske on lyhyt, ja se on täsmälleen se kuormitus, jota varten vastaanottopolku rakennettiin.

Seuraa yhtä kannettavaa takaisin verkkoon

Asiakas lähettää alustavan pyynnön ja odottaa, ja kunnes vaihto on valmis, yhdyskäytävä pitää vastaanottotilaa tuolle yritykselle. Muut laitteet saman osoitteen takana saapuvat, kun ensimmäinen vielä odottaa, ja ne jonottavat rajan taakse, joka laskee osoitteita eikä käyttäjiä. Ulkopuolelta oire on kourallinen käyttäjiä, jotka yhdistävät, ja suurempi joukko, jolta aika loppuu.

Mikään tuossa sarjassa ei ole vika. Vastaanottopolku tekee sen, mihin se määritettiin.

Laske puoliavoin työ omaksi resurssikseen

strongSwan erottaa kaksi populaatiota: täysin vakiintuneet assosiaatiot ja yritykset, jotka vielä yhdistävät tai odottavat käsittelyä. Estokynnys koskee yhdelle vertaisosoitteelle kohdistettuja puoliavoimia assosiaatioita, ja evästekynnykset koskevat maailmanlaajuisesti ja osoitekohtaisesti. Nuo laskurit suojaavat daemonia kuluttavalta todentamattomalta työltä, joka on täsmälleen uudelleenyhdistymismyrskyn muoto. Mitään tuosta tilasta ei näy luettelossa vakiintuneista tunneleista.

Niiden lukeminen työntekijäistuntojen kattona on virhe, joka johtaa kaiken nostamiseen kerralla. Palvelin, joka kantaa neljäsataa vakiintunutta tunnelia, ei automaattisesti pysty imemään neljäsataa samanaikaista ensimmäistä pakettia, koska kaksi kustannusta laskeutuvat eri paikkoihin.

Todennuksen viive ratkaisee, kuinka kauan kukin yritys pysyy puoliavoimien luvussa. Hitaasti vastaava taustajärjestelmä muuttaa lyhyen purskeen pitkäksi jonoksi, vaikka saapumisnopeus olisi vaatimaton.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Lue vastaanottoasetukset ennen kuin muutat niitä

Selvitä arvot, jotka käynnissä oleva daemon todella latasi, ennen kuin muodostat niistä mielipiteen. Kokoonpano on usein jaettu pää tiedoston ja laajennuskohtaisten katkelmien hakemiston kesken, joten yhdessä paikassa asetettu arvo voidaan ohittaa toisessa. Alla oleva haku näyttää jokaisen tiedoston, joka mainitsee nämä asetukset.

Päätä sitten, mikä luku on liian pieni. Jos yksi osoite edustaa laillisesti koko toimistoa, osoitekohtainen estokynnys on arvo, jonka on mahduttava tuo keskittymä. Maailmanlaajuinen evästekynnys suojaa daemonia laajemmalta tulvalta, eikä sitä pidä löysätä siksi, että yksi toimipiste yhdistää uudelleen. Vertaa tuota osoitekohtaista arvoa suurimpaan toimipisteeseen, joka sinulla todella on.

Pidä evästemekanismi käytössä. Evästeet saavat asiakkaan todistamaan, että se voi vastaanottaa väittämässään osoitteessa, ennen kuin daemon käyttää vaihtoon todellista työtä, eikä niiden poistaminen käytöstä ole neutraali kapasiteettipäivitys. Nosta kynnystä vain mitatulla saapumisnopeudella ja sen takana ilmoitetulla todennusbudjetilla.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Suunnittele paluu, älä vain vakaata tilaa

Käytettävyystavoite, joka laskee vain vakiintuneet istunnot, kuvaa rauhallista iltapäivää, ei palautumista. Kysy sen sijaan, miten aiottu joukko palaa jaetun verkkotapahtuman jälkeen ja pystyykö vastaanottopolku imemään tuon muodon.

Uudelleenyhdistymisen hajauttaminen hallittuun laivueeseen on usein halvempaa kuin rajojen suurentaminen, koska se poistaa keinotekoisen purskeen sen sijaan, että siitä maksettaisiin pysyvästi. Seuraa puoliavointa tilaa ja vastaanottotapahtumia onnistuneiden vakiinnutusten rinnalla ja pidä kasvavaa puoliavoimien määrää tasaisilla onnistumisilla varhaisena varoituksena, ei kuriositeettina.

Toimittajan viite näille asetuksille on strongswan.conf-dokumentaatio, joka nimeää laskurit ja version, joka toi osoitekohtaisen evästekynnyksen. Lue asennetun versionsi osio, älä uusinta sivua, koska oletusarvot liikkuvat versioiden välillä.