શાખા ઓફિસમાં ફરી જોડાણનું તોફાન: strongSwan-ની પ્રવેશ મર્યાદા

લિંક નિષ્ફળતા પછી શાખા ઓફિસ પાછી આવે તે જુઓ, અને ગેટવે એવું કંઈક જુએ છે જે સામાન્ય દિવસે ક્યારેય દેખાતું નથી: ડઝનબંધ લેપટોપ એક જ જાહેર સરનામેથી એકસાથે આવે છે. દરેક કાયદેસર ઉપકરણ છે અને દરેક એવી IKE આપલે શરૂ કરે છે જે હજી પૂરી થઈ નથી. તે ધસારો સફળ થશે કે નહીં તે એવી મર્યાદાઓ પર આધાર રાખે છે જેનો સર્વર કેટલા કર્મચારીઓ ઉપાડી શકે તેની સાથે કોઈ સંબંધ નથી. ધસારો ટૂંકો છે, અને તે બરાબર એ જ કામભાર છે જેના માટે પ્રવેશ માર્ગ બનાવવામાં આવ્યો છે.

એક લેપટોપને નેટવર્ક પર પાછું જતું અનુસરો

ક્લાયન્ટ પ્રારંભિક વિનંતી મોકલે છે અને રાહ જુએ છે, અને આપલે પૂરી ન થાય ત્યાં સુધી ગેટવે તે પ્રયાસ માટે પ્રવેશ સ્થિતિ રાખે છે. એ જ સરનામા પાછળનાં બીજાં ઉપકરણો ત્યારે આવે છે જ્યારે પહેલું હજી રાહ જોઈ રહ્યું છે, અને તેઓ વપરાશકર્તાઓને બદલે સરનામાં ગણતી મર્યાદા પાછળ કતારમાં ઊભા રહે છે. બહારથી લક્ષણ એ છે કે થોડા વપરાશકર્તાઓ જોડાય છે અને મોટો સમૂહ સમય પૂરો થવાથી બહાર નીકળી જાય છે.

એ ક્રમમાં કંઈપણ ખામી નથી. પ્રવેશ માર્ગ તે જ કરી રહ્યો છે જેના માટે તેને ગોઠવવામાં આવ્યો હતો.

અર્ધ-ખુલ્લા કામને અલગ સંસાધન તરીકે ગણો

strongSwan બે વસ્તીને અલગ કરે છે: સંપૂર્ણ સ્થાપિત સંગઠનો અને એવા પ્રયાસો જે હજી જોડાઈ રહ્યા છે અથવા પ્રક્રિયાની રાહમાં છે. બ્લોક થ્રેશોલ્ડ એક પીઅર સરનામાને આભારી અર્ધ-ખુલ્લા સંગઠનોને લાગુ પડે છે, અને કૂકી થ્રેશોલ્ડ વૈશ્વિક અને દરેક સરનામા માટે લાગુ પડે છે. તે કાઉન્ટરો ડીમનને અપ્રમાણિત કામ દ્વારા વપરાઈ જવાથી બચાવે છે, જે ફરી જોડાણના તોફાનનો બરાબર આકાર છે. તે સ્થિતિમાંથી કંઈપણ સ્થાપિત ટનલની યાદીમાં.

તેમને કર્મચારી સત્રોની ટોચમર્યાદા તરીકે વાંચવું એ ભૂલ છે જે બધું એકસાથે વધારવા તરફ દોરે છે. ચારસો સ્થાપિત ટનલ ધરાવતો સર્વર આપોઆપ ચારસો એકસાથેના પ્રથમ પેકેટો શોષી શકતો નથી, કારણ કે બંને ખર્ચ અલગ અલગ જગ્યાએ પડે છે.

પ્રમાણીકરણ વિલંબ નક્કી કરે છે કે દરેક પ્રયાસ અર્ધ-ખુલ્લી ગણતરીમાં કેટલો સમય રહે છે. ધીમે જવાબ આપતું બેકએન્ડ ટૂંકા ધસારાને લાંબી કતારમાં ફેરવે છે, ત્યારે પણ જ્યારે આગમન દર સાધારણ હોય.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

પ્રવેશ સેટિંગ્સ બદલતા પહેલાં વાંચો

ચાલતા ડીમને ખરેખર કઈ કિંમતો લોડ કરી છે તે શોધો, તેમના વિશે મત બનાવતા પહેલાં. રૂપરેખાંકન ઘણીવાર મુખ્ય ફાઇલ અને દરેક પ્લગઇન માટેના ટુકડાઓની ડિરેક્ટરી વચ્ચે વહેંચાયેલું હોય છે, તેથી એક જગ્યાએ સેટ કરેલું મૂલ્ય બીજે ક્યાંક ઓવરરાઇડ થઈ શકે છે. નીચેની શોધ આ સેટિંગ્સનો ઉલ્લેખ કરતી દરેક ફાઇલ દર્શાવે છે.

પછી નક્કી કરો કે કઈ સંખ્યા બહુ નાની છે. જો એક સરનામું કાયદેસર રીતે આખી ઓફિસનું પ્રતિનિધિત્વ કરે છે, તો પ્રતિ-સરનામું બ્લોક થ્રેશોલ્ડ એ મૂલ્ય છે જે તે એકાગ્રતાને સમાવવું પડશે. વૈશ્વિક કૂકી થ્રેશોલ્ડ ડીમનને વધુ વ્યાપક પૂરથી બચાવે છે અને એક સાઇટ ફરી જોડાય છે તે કારણે તેને ઢીલું કરવું જોઈએ નહીં. તે પ્રતિ-સરનામું મૂલ્યને તમારી પાસે ખરેખર હોય તેવી સૌથી મોટી સાઇટ સાથે સરખાવો.

કૂકી પદ્ધતિ ચાલુ રાખો. કૂકીઓ ક્લાયન્ટને સાબિત કરવા મજબૂર કરે છે કે તે તેના દાવાવાળા સરનામે સ્વીકારી શકે છે, ડીમન આપલે પર વાસ્તવિક કામ ખર્ચે તે પહેલાં, અને તેમને બંધ કરવું તટસ્થ ક્ષમતા સુધારો નથી. થ્રેશોલ્ડ ત્યારે જ વધારો જ્યારે માપેલો આગમન દર અને તેની પાછળ ઘોષિત પ્રમાણીકરણ બજેટ હોય.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

પુનરાગમન માટે યોજના કરો, ફક્ત સ્થિર સ્થિતિ માટે નહીં

એવું ઉપલબ્ધતા લક્ષ્ય જે ફક્ત સ્થાપિત સત્રો ગણે છે તે શાંત બપોરનું વર્ણન કરે છે, પુનઃપ્રાપ્તિનું નહીં. તેના બદલે પૂછો કે વિભાજિત નેટવર્ક ઘટના પછી ઇચ્છિત વસ્તી કેવી રીતે પાછી આવે છે અને પ્રવેશ માર્ગ તે આકાર શોષી શકે છે કે નહીં.

સંચાલિત કાફલામાં ફરી જોડાણ ફેલાવવું ઘણીવાર મર્યાદા મોટી કરવા કરતાં સસ્તું છે, કારણ કે તે કૃત્રિમ ધસારાને દૂર કરે છે, તેના માટે કાયમ ચૂકવવાને બદલે. સફળ સ્થાપનોની સાથે અર્ધ-ખુલ્લી સ્થિતિ અને પ્રવેશ ઘટનાઓ પર નજર રાખો, અને સપાટ સફળતાઓ સાથે વધતી અર્ધ-ખુલ્લી ગણતરીને કુતૂહલ નહીં, પ્રારંભિક ચેતવણી તરીકે ગણો.

આ સેટિંગ્સ માટે વેન્ડર સંદર્ભ strongswan.conf દસ્તાવેજીકરણ છે, જે કાઉન્ટરો અને તે આવૃત્તિના નામ આપે છે જેણે પ્રતિ-સરનામું કૂકી થ્રેશોલ્ડ રજૂ કર્યું. નવીનતમ પૃષ્ઠને બદલે તમારી સ્થાપિત આવૃત્તિનો વિભાગ વાંચો, કારણ કે ડિફોલ્ટ આવૃત્તિઓ વચ્ચે બદલાય છે.