Մասնաճյուղի վերամիացման փոթորիկ. strongSwan-ի ընդունելության սահմանները

Դիտեք, թե ինչպես է մասնաճյուղը վերադառնում կապի խափանումից հետո, և դարպասը տեսնում է մի բան, որ սովորական օրը երբեք չի երևում. տասնյակ նոթբուքեր միաժամանակ գալիս են մեկ հանրային հասցեից: Յուրաքանչյուրը օրինական սարք է, և յուրաքանչյուրը սկսում է IKE փոխանակում, որը դեռ չի ավարտվել: Այդ պոռթկումը հաջող կլինի, թե ոչ, կախված է սահմաններից, որոնք ոչ մի կապ չունեն այն բանի հետ, թե քանի աշխատակից կարող է կրել սերվերը: Պոռթկումը կարճ է, և դա հենց այն ծանրաբեռնվածությունն է, որի համար կառուցվել է ընդունելության ուղին:

Հետևեք մեկ նոթբուքի վերադարձին դեպի ցանց

Հաճախորդը ուղարկում է նախնական հարցում և սպասում, և քանի դեռ փոխանակումը չի ավարտվել, դարպասը պահում է ընդունելության վիճակը այդ փորձի համար: Նույն հասցեի հետևում գտնվող այլ սարքեր գալիս են, երբ առաջինը դեռ սպասում է, և նրանք հերթ են կանգնում սահմանի հետևում, որը հաշվում է հասցեներ, ոչ թե օգտատերեր: Դրսից ախտանիշը մի բուռ օգտատերերի միացումն է և ավելի մեծ խմբի ժամանակի սպառումը:

Այդ հաջորդականության մեջ ոչինչ խափանում չէ: Ընդունելության ուղին անում է այն, ինչի համար կարգավորվել է:

Կիսաբաց աշխատանքը հաշվեք որպես առանձին ռեսուրս

strongSwan-ը բաժանում է երկու պոպուլյացիա. ամբողջությամբ հաստատված ասոցիացիաներ և փորձեր, որոնք դեռ միանում են կամ սպասում են մշակման: Բլոկման շեմը կիրառվում է մեկ զուգընկերոջ հասցեին վերագրված կիսաբաց ասոցիացիաների վրա, իսկ cookie-ի շեմերը գործում են գլոբալ և յուրաքանչյուր հասցեի համար: Այդ հաշվիչները պաշտպանում են դեմոնը չհաստատված աշխատանքով սպառվելուց, ինչը հենց վերամիացման փոթորկի ձևն է: Այդ վիճակից ոչինչ չի երևում հաստատված թունելների ցանկում.

Դրանք աշխատակիցների սեսիաների վերին սահման կարդալը սխալ է, որը տանում է ամեն ինչ միանգամից բարձրացնելուն: Չորս հարյուր հաստատված թունել կրող սերվերը ինքնաբերաբար ի վիճակի չէ կլանել չորս հարյուր միաժամանակյա առաջին փաթեթ, որովհետև երկու ծախսերը ընկնում են տարբեր տեղեր:

Նույնականացման ուշացումը որոշում է, թե որքան երկար է յուրաքանչյուր փորձ մնում կիսաբացների հաշվում: Դանդաղ պատասխանող բեքենդը կարճ պոռթկումը դարձնում է երկար հերթ, նույնիսկ երբ ժամանման արագությունը համեստ է:

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Կարդացեք ընդունելության կարգավորումները նախքան դրանք փոխելը

Գտեք այն արժեքները, որոնք աշխատող դեմոնը իրականում բեռնել է, նախքան դրանց մասին կարծիք կազմելը: Կոնֆիգուրացիան հաճախ բաժանված է հիմնական ֆայլի և յուրաքանչյուր պլագինի հատվածների գրացուցակի միջև, ուստի մի տեղում սահմանված արժեքը կարող է վերագրվել մեկ այլ տեղում: Ստորև որոնումը ցույց է տալիս յուրաքանչյուր ֆայլ, որը հիշատակում է այդ կարգավորումները:

Այնուհետև որոշեք, թե որ թիվն է չափազանց փոքր: Եթե մեկ հասցեն օրինականորեն ներկայացնում է ամբողջ գրասենյակ, ապա հասցեով բլոկման շեմը այն արժեքն է, որը պետք է տեղավորի այդ կենտրոնացումը: Գլոբալ cookie-ի շեմը պաշտպանում է դեմոնը ավելի լայն հեղեղից և չպետք է թուլացվի այն պատճառով, որ մի կայք վերամիանում է: Համեմատեք այդ հասցեով արժեքը ձեր իրականում ունեցած ամենամեծ կայքի հետ:

Թողեք cookie-ի մեխանիզմը միացված: Cookie-ները ստիպում են հաճախորդին ապացուցել, որ կարող է ընդունել իր հայտարարած հասցեում, նախքան դեմոնը իրական աշխատանք կծախսի փոխանակման վրա, և դրանք անջատելը չեզոք հզորության արդիականացում չէ: Բարձրացրեք շեմը միայն չափված ժամանման արագությամբ և դրա հետևում հայտարարված նույնականացման բյուջեով:

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Պլանավորեք վերադարձը, ոչ միայն կայուն վիճակը

Հասանելիության նպատակը, որը հաշվում է միայն հաստատված սեսիաները, նկարագրում է հանգիստ կեսօր, ոչ թե վերականգնում: Փոխարենը հարցրեք, թե ինչպես է նախատեսված պոպուլյացիան վերադառնում ընդհանուր ցանցային իրադարձությունից հետո, և արդյոք ընդունելության ուղին կարող է կլանել այդ ձևը:

Կառավարվող պարկում վերամիացումը ցրելը հաճախ ավելի էժան է, քան սահմանների մեծացումը, որովհետև այն վերացնում է արհեստական պոռթկումը՝ դրա համար մշտապես վճարելու փոխարեն: Հետևեք կիսաբաց վիճակին և ընդունելության իրադարձություններին հաջող հաստատումների կողքին, և հաջողությունների հարթ ֆոնի վրա աճող կիսաբաց թիվը համարեք վաղ նախազգուշացում, ոչ թե հետաքրքրություն:

Այս կարգավորումների մատակարարի հղումը strongswan.conf-ի փաստաթղթերն են, որոնք նշում են հաշվիչները և այն թողարկումը, որը ներմուծել է հասցեով cookie-ի շեմը: Կարդացեք ձեր տեղադրված տարբերակի բաժինը, ոչ թե ամենանոր էջը, որովհետև լռելյայն արժեքները փոխվում են թողարկումների միջև: