Újracsatlakozási vihar a fiókirodában: strongSwan belépési korlátok

Nézze meg, hogyan tér vissza egy fiókiroda kapcsolathiba után, és az átjáró olyat lát, ami normál napon soha nem jelenik meg: több tucat laptop érkezik egyszerre egyetlen nyilvános címről. Mindegyik legitim eszköz, és mindegyik olyan IKE-cserét indít, amely még nem fejeződött be. Hogy ez a roham sikerül-e, olyan korlátoktól függ, amelyeknek semmi közük ahhoz, hány alkalmazottat tud elvinni a kiszolgáló. A roham rövid, és pontosan az a terhelés, amelyre a belépési útvonal épült.

Kövessen végig egy laptopot a hálózatra való visszatéréskor

Az ügyfél elküldi a kezdeti kérést és vár, és amíg a csere be nem fejeződik, az átjáró belépési állapotot tart fenn ahhoz a kísérlethez. Ugyanazon cím mögötti más eszközök akkor érkeznek, amikor az első még vár, és olyan korlát mögé állnak sorba, amely címeket számol felhasználók helyett. Kívülről a tünet az, hogy néhány felhasználó csatlakozik, nagyobb csoport pedig időtúllépésbe fut.

Ebben a sorrendben semmi sem hiba. A belépési útvonal azt teszi, amire konfigurálták.

A félig nyitott munkát saját erőforrásként számolja

A strongSwan két populációt választ szét: a teljesen létrejött asszociációkat és a még csatlakozó vagy feldolgozásra váró kísérleteket. A blokkolási küszöb az egy társ-címhez rendelt félig nyitott asszociációkra vonatkozik, a cookie-küszöbök pedig globálisan és címenként érvényesek. Ezek a számlálók védik a démont attól, hogy hitelesítetlen munka feleméssze, ami pontosan az újracsatlakozási vihar formája. Ebből az állapotból semmi sem jelenik meg a létrejött alagutak listájában.

Ezeket az alkalmazotti munkamenetek felső korlátjaként olvasni az a hiba, amely mindent egyszerre emel. Egy négyszáz létrejött alagutat vivő kiszolgáló nem képes automatikusan négyszáz egyidejű első csomagot elnyelni, mert a két költség különböző helyeken jelentkezik.

A hitelesítési késleltetés dönti el, mennyi ideig marad minden kísérlet a félig nyitottak számában. A lassan válaszoló háttérrendszer rövid rohamot hosszú sorrá változtat, akkor is, ha az érkezési arány szerény.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Olvassa el a belépési beállításokat, mielőtt módosítja őket

Keresse meg azokat az értékeket, amelyeket a futó démon ténylegesen betöltött, mielőtt véleményt alkotna róluk. A konfiguráció gyakran egy fő fájl és egy bővítményenkénti részleteket tartalmazó könyvtár között oszlik meg, így az egyik helyen beállított értéket egy másik felülírhatja. Az alábbi keresés minden fájlt megmutat, amely említi ezeket a beállításokat.

Ezután döntse el, melyik szám túl kicsi. Ha egy cím legitim módon egy egész irodát képvisel, a címenkénti blokkolási küszöb az az érték, amelynek be kell fogadnia ezt a koncentrációt. A globális cookie-küszöb szélesebb áradat ellen védi a démont, és nem szabad lazítani rajta azért, mert egy telephely újracsatlakozik. Hasonlítsa össze ezt a címenkénti értéket a legnagyobb telephelyével, amellyel ténylegesen rendelkezik.

Hagyja bekapcsolva a cookie-mechanizmust. A cookie-k arra kényszerítik az ügyfelet, hogy bizonyítsa: képes fogadni a megadott címén, mielőtt a démon valódi munkát fordít a cserére, és kikapcsolásuk nem semleges kapacitásbővítés. Csak mért érkezési aránnyal és mögötte megadott hitelesítési kerettel emeljen küszöböt.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

A visszatérésre tervezzen, ne csak az állandósult állapotra

Egy rendelkezésre állási cél, amely csak a létrejött munkameneteket számolja, csendes délutánt ír le, nem helyreállást. Kérdezze inkább azt, hogyan tér vissza a tervezett populáció egy közös hálózati esemény után, és hogy a belépési útvonal el tudja-e nyelni ezt a formát.

Az újracsatlakozás felosztása egy felügyelt flottán gyakran olcsóbb, mint a korlátok növelése, mert megszünteti a mesterséges rohamot, ahelyett hogy állandóan fizetne érte. Figyelje a félig nyitott állapotot és a belépési eseményeket a sikeres létrejövetelek mellett, és a lapos sikerek mellett emelkedő félig nyitott számot korai figyelmeztetésnek tekintse, ne furcsaságnak.

A szállító hivatkozása ezekhez a beállításokhoz a strongswan.conf dokumentációja, amely megnevezi a számlálókat és azt a kiadást, amely bevezette a címenkénti cookie-küszöböt. A telepített verziójához tartozó szakaszt olvassa, ne a legújabb oldalt, mert az alapértelmezések kiadások között mozognak.