Oluja ponovnog povezivanja u podružnici: strongSwanove granice prijema

Gledajte kako se podružnica vraća nakon prekida veze i pristupnik vidi nešto što se nikada ne pojavljuje tijekom normalnog dana: deseci prijenosnika dolaze s jedne javne adrese istodobno. Svaki je legitiman uređaj i svaki započinje IKE razmjenu koja još nije završena. Hoće li taj udar uspjeti, ovisi o granicama koje nemaju nikakve veze s tim koliko zaposlenika poslužitelj može nositi. Udar je kratak i upravo je to radno opterećenje za koje je put prijema izgrađen.

Pratite jedan prijenosnik natrag na mrežu

Klijent šalje početni zahtjev i čeka, a dok se razmjena ne dovrši pristupnik drži stanje prijema za taj pokušaj. Ostali uređaji iza iste adrese dolaze dok prvi još čeka i redaju se iza granice koja broji adrese, a ne korisnike. Izvana je simptom šačica korisnika koji se povezuju i veća skupina kojoj istekne vrijeme.

Ništa u tom slijedu nije kvar. Put prijema radi ono za što je konfiguriran.

Brojite poluotvoreni rad kao vlastiti resurs

strongSwan razdvaja dvije populacije: asocijacije koje su potpuno uspostavljene i pokušaje koji se još povezuju ili čekaju obradu. Prag blokiranja primjenjuje se na poluotvorene asocijacije pripisane jednoj peer adresi, a pragovi kolačića primjenjuju se globalno i po adresi. Ti brojači štite daemon od trošenja neautentificiranim radom, što je upravo oblik oluje ponovnog povezivanja. Ništa od tog stanja ne pojavljuje se u popisu uspostavljenih tunela.

Čitati ih kao gornju granicu zaposleničkih sesija pogreška je koja vodi k podizanju svega odjednom. Poslužitelj koji nosi četiri stotine uspostavljenih tunela nije automatski u stanju apsorbirati četiri stotine istodobnih prvih paketa, jer dva troška padaju na različita mjesta.

Latencija autentifikacije odlučuje koliko dugo svaki pokušaj ostaje u broju poluotvorenih. Backend koji odgovara sporo pretvara kratak udar u dug red čak i kada je stopa dolaska skromna.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Pročitajte postavke prijema prije nego ih promijenite

Pronađite vrijednosti koje je pokrenuti daemon doista učitao prije nego stvorite mišljenje o njima. Konfiguracija je često podijeljena između glavne datoteke i direktorija isječaka za svaki plugin, pa vrijednost koju postavite na jednom mjestu može biti nadjačana na drugom. Pretraga ispod prikazuje svaku datoteku koja spominje te postavke.

Zatim odlučite koji je broj premalen. Ako jedna adresa legitimno predstavlja cijeli ured, prag blokiranja po adresi vrijednost je koja mora primiti tu koncentraciju. Globalni prag kolačića štiti daemon od šireg pljuska i ne treba ga popuštati zato što se jedno mjesto ponovno povezuje. Usporedite tu vrijednost po adresi s najvećim mjestom koje doista imate.

Ostavite mehanizam kolačića uključenim. Kolačići tjeraju klijenta da dokaže da može primati na adresi koju tvrdi prije nego daemon potroši stvarni rad na razmjenu, a njihovo isključivanje nije neutralna nadogradnja kapaciteta. Podignite prag samo s izmjerenom stopom dolaska i navedenim proračunom autentifikacije iza njega.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Planirajte povratak, a ne samo stabilno stanje

Cilj dostupnosti koji broji samo uspostavljene sesije opisuje mirno poslijepodne, a ne oporavak. Pitajte umjesto toga kako se namijenjena populacija vraća nakon zajedničkog mrežnog događaja i može li put prijema apsorbirati taj oblik.

Raspoređivanje ponovnog povezivanja po upravljanoj floti često je jeftinije od povećanja granica, jer uklanja umjetni udar umjesto da za njega trajno plaća. Pratite poluotvoreno stanje i događaje prijema uz uspješna uspostavljanja i tretirajte rastući broj poluotvorenih uz ravne uspjehe kao rano upozorenje, a ne kao zanimljivost.

Referenca proizvođača za te postavke je dokumentacija strongswan.conf, koja imenuje brojače i izdanje koje je uvelo prag kolačića po adresi. Čitajte odjeljak za svoju instaliranu verziju, a ne najnoviju stranicu, jer se zadane vrijednosti mijenjaju između izdanja.