शाखा कार्यालय में पुनः कनेक्शन का तूफ़ान: strongSwan की प्रवेश सीमाएँ

लिंक विफलता के बाद शाखा कार्यालय को लौटते देखें, और गेटवे को कुछ ऐसा दिखता है जो सामान्य दिन में कभी नहीं दिखता: दर्जनों लैपटॉप एक ही सार्वजनिक पते से एक साथ आते हैं। हर एक वैध उपकरण है और हर एक ऐसा IKE विनिमय शुरू करता है जो अभी पूरा नहीं हुआ। वह झोंका सफल होगा या नहीं, यह ऐसी सीमाओं पर निर्भर है जिनका सर्वर कितने कर्मचारियों को उठा सकता है, उससे कोई संबंध नहीं है। झोंका छोटा है, और यह ठीक वही कार्यभार है जिसके लिए प्रवेश पथ बनाया गया था।

एक लैपटॉप का नेटवर्क पर लौटना अनुसरण करें

क्लाइंट प्रारंभिक अनुरोध भेजता है और प्रतीक्षा करता है, और जब तक विनिमय पूरा नहीं होता, गेटवे उस प्रयास के लिए प्रवेश स्थिति रखता है। उसी पते के पीछे के अन्य उपकरण तब आते हैं जब पहला अभी प्रतीक्षा कर रहा होता है, और वे उस सीमा के पीछे कतार में लगते हैं जो उपयोगकर्ताओं के बजाय पतों की गिनती करती है। बाहर से लक्षण यह है कि कुछ उपयोगकर्ता जुड़ते हैं और बड़ा समूह समय समाप्त होने से बाहर हो जाता है।

उस क्रम में कुछ भी खराबी नहीं है। प्रवेश पथ वही कर रहा है जिसके लिए उसे कॉन्फ़िगर किया गया था।

अर्ध-खुले काम को अपना अलग संसाधन मानें

strongSwan दो समूहों को अलग करता है: पूरी तरह स्थापित संबंध, और ऐसे प्रयास जो अभी जुड़ रहे हैं या संसाधित होने की प्रतीक्षा में हैं। ब्लॉक थ्रेशोल्ड एक पीयर पते को आवंटित अर्ध-खुले संबंधों पर लागू होता है, और कुकी थ्रेशोल्ड वैश्विक रूप से तथा प्रति पता लागू होते हैं। ये काउंटर डेमन को अपुष्ट काम से खप जाने से बचाते हैं, जो पुनः कनेक्शन तूफ़ान का ठीक वही रूप है। उस स्थिति में से कुछ भी स्थापित टनलों की सूची में।

इन्हें कर्मचारी सत्रों की ऊपरी सीमा के रूप में पढ़ना वह गलती है जो सब कुछ एक साथ बढ़ाने की ओर ले जाती है। चार सौ स्थापित टनल उठाने वाला सर्वर स्वतः ही चार सौ एक साथ आने वाले पहले पैकेटों को सोख नहीं सकता, क्योंकि दोनों लागतें अलग-अलग जगहों पर पड़ती हैं।

प्रमाणीकरण विलंब तय करता है कि हर प्रयास अर्ध-खुली गिनती में कितनी देर रहता है। धीमे उत्तर देने वाला बैकएंड छोटे झोंके को लंबी कतार में बदल देता है, तब भी जब आगमन दर मामूली हो।

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

प्रवेश सेटिंग्स बदलने से पहले उन्हें पढ़ें

चल रहे डेमन ने वास्तव में कौन-से मान लोड किए हैं, यह उनके बारे में राय बनाने से पहले खोजें। कॉन्फ़िगरेशन अक्सर एक मुख्य फ़ाइल और प्रति-प्लगइन स्निपेट की निर्देशिका में बंटा होता है, इसलिए एक जगह तय किया गया मान दूसरी जगह ओवरराइड हो सकता है। नीचे की खोज हर उस फ़ाइल को दिखाती है जो इन सेटिंग्स का उल्लेख करती है।

फिर तय करें कि कौन-सी संख्या बहुत छोटी है। यदि एक पता वैध रूप से पूरे कार्यालय का प्रतिनिधित्व करता है, तो प्रति-पता ब्लॉक थ्रेशोल्ड वह मान है जिसे यह सांद्रता समाहित करनी होगी। वैश्विक कुकी थ्रेशोल्ड डेमन को व्यापक बाढ़ से बचाता है और इसे इसलिए ढीला नहीं करना चाहिए कि एक साइट फिर से जुड़ रही है। उस प्रति-पता मान की तुलना उस सबसे बड़ी साइट से करें जो वास्तव में आपके पास है।

कुकी तंत्र को सक्षम रखें। कुकी क्लाइंट को यह साबित करने पर मजबूर करती हैं कि वह अपने दावा किए गए पते पर प्राप्त कर सकता है, इससे पहले कि डेमन विनिमय पर असली काम खर्च करे, और उन्हें बंद करना तटस्थ क्षमता उन्नयन नहीं है। थ्रेशोल्ड केवल मापी गई आगमन दर और उसके पीछे घोषित प्रमाणीकरण बजट के साथ ही बढ़ाएँ।

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

वापसी की योजना बनाएँ, केवल स्थिर स्थिति की नहीं

ऐसा उपलब्धता लक्ष्य जो केवल स्थापित सत्र गिनता है, शांत दोपहर का वर्णन करता है, पुनर्प्राप्ति का नहीं। इसके बजाय पूछें कि साझा नेटवर्क घटना के बाद इच्छित आबादी कैसे लौटती है, और क्या प्रवेश पथ उस आकार को सोख सकता है।

प्रबंधित बेड़े में पुनः कनेक्शन फैलाना अक्सर सीमाएँ बड़ी करने से सस्ता होता है, क्योंकि यह कृत्रिम झोंके को हटा देता है, उसके लिए हमेशा भुगतान करने के बजाय। सफल स्थापनाओं के साथ अर्ध-खुली स्थिति और प्रवेश घटनाओं की निगरानी करें, और सपाट सफलताओं के साथ बढ़ती अर्ध-खुली गिनती को जिज्ञासा नहीं, प्रारंभिक चेतावनी मानें।

इन सेटिंग्स के लिए विक्रेता संदर्भ strongswan.conf दस्तावेज़ीकरण है, जो काउंटरों और उस संस्करण का नाम देता है जिसने प्रति-पता कुकी थ्रेशोल्ड पेश किया। नवीनतम पृष्ठ के बजाय अपने स्थापित संस्करण का अनुभाग पढ़ें, क्योंकि डिफ़ॉल्ट संस्करणों के बीच बदलते हैं।