Werferbiningsstoarm yn 'e filiaal: strongSwan-tagongslimiten

Sjoch in filiaal weromkomme nei in ferbiningsflater, en de gateway sjocht eat dat op in normale dei nea ferskynt: tsientallen laptops komme tagelyk fan ien iepenbier adres. Elk is in legitimaasje-apparaat en elk begjint in IKE-útwikseling dy't noch net klear is. Oft dy útbarsting slagget, hinget ôf fan limiten dy't neat te meitsjen hawwe mei hoefolle meiwurkers de server drage kin. De útbarsting is koart, en it is krekt de wurklêst dêr't it tagongspaad foar boud is.

Folgje ien laptop werom it netwurk yn

De klient stjoert in earste fersyk en wachtet, en oant de útwikseling klear is hâldt de gateway tagongstastân foar dy poging. Oare apparaten efter itselde adres komme wylst it earste noch wachtet, en se steane yn 'e rige efter in limyt dat adressen telt ynstee fan brûkers. Fan bûten is it symptoom in hantsjefol brûkers dat ferbynt en in gruttere groep dy't úttimelet.

Neat yn dy folchoarder is in flater. It tagongspaad docht wat it foar konfigurearre is.

Tel healiepen wurk as in eigen boarne

strongSwan skiedt twa populaasjes: assosjaasjes dy't folslein fêstige binne, en pogingen dy't noch ferbine of op ferwurking wachtsje. De blokdrompel jildt foar healiepen assosjaasjes dy't oan ien peer-adres taskreaun wurde, en de koekjedrompels jilde globaal en per adres. Dy tellers beskermje de daemon tsjin it opbrûken troch net-autentisearre wurk, wat krekt de foarm fan in werferbiningsstoarm is. Neat fan dy tastân ferskynt yn in list fan fêstige tunnels.

Se lêze as in plafond foar meiwurkerssesjes is de flater dy't liedt ta alles tagelyk ferheegjen. In server dy't fjouwerhûndert fêstige tunnels draacht, kin net automatysk fjouwerhûndert tagelyk earste pakketten absorbearje, om't de twa kosten op ferskate plakken lânje.

Autentikaasjefertraging beslút hoe lang elke poging yn 'e telling fan healiepen bliuwt. In backend dy't stadich antwurdet, makket in koarte útbarsting in lange rige, sels as it oankomsttempo beskieden is.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Lês de tagongsynstellings foardat jo se feroarje

Fyn de wearden dy't de rinnende daemon feitlik laden hat foardat jo in miening foarmje. Konfiguraasje is faak ferdield oer in haadbestân en in map mei stikjes per plugin, dus in wearde dy't jo op ien plak sette, kin op in oar plak oerskreaun wurde. De syktocht hjirûnder toant elk bestân dat dizze ynstellings neamt.

Beslút dan hokker getal te lyts is. As ien adres legitimaasje in hiel kantoar fertsjintwurdiget, is de blokdrompel per adres de wearde dy't dy konsintraasje befetsje moat. In globale koekjedrompel beskermet de daemon tsjin in bredere floed en moat net fersoepelje om't ien lokaasje wer ferbynt. Ferlykje dy wearde per adres mei de grutste lokaasje dy't jo feitlik hawwe.

Hâld it koekjemeganisme ynskeakele. Koekjes litte in klient bewize dat er ûntfange kin op it adres dat er beweart, foardat de daemon echte arbeid oan 'e útwikseling besteget, en se útskeakelje is gjin neutrale kapasiteitsferbettering. Ferheegje in drompel allinnich mei in metten oankomsttempo en in ferklearre autentikaasjebudget dêrefter.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Plan foar de weromkomst, net allinnich foar de stabile tastân

In beskikberensdoel dat allinnich fêstige sesjes telt, beskriuwt in rêstige middei, net in werstel. Freegje ynstee hoe't de bedoelde populaasje weromkomt nei in dielde netwurkbarren, en oft it tagongspaad dy foarm absorbearje kin.

It fersprieden fan werferbining oer in beheard float is faak goedkeaper as it fergrutsjen fan limiten, om't it de keunstmjittige útbarsting fuorthellet ynstee der foar altyd foar te beteljen. Monitorje healiepen tastân en tagongsbarrens njonken slagge fêstigingen, en behannelje in stigende telling fan healiepen by flakke suksessen as in betide warskôging, net as in nijsgjirrichheid.

De leveransiersreferinsje foar dizze ynstellings is de dokumintaasje fan strongswan.conf, dy't de tellers neamt en de útjefte dy't de koekjedrompel per adres yntrodusearre. Lês de seksje foar jo ynstallearre ferzje, net de nijste side, om't standertwearden tusken útjeften ferskowe.