Endurtengingarstormur í útibúi: inngöngumörk strongSwan

Fylgist með útibúi koma til baka eftir tengslabrest og hliðið sér eitthvað sem birtist aldrei á venjulegum degi: tugir fartölva koma frá einu opinberu vistfangi í einu. Hver þeirra er lögmælt tæki og hver þeirra hefur IKE-skipti sem ekki er lokið. Hvort þessi bylgja tekst fer eftir mörkum sem hafa ekkert að gera með hversu marga starfsmenn netþjónninn getur borið. Bylgjan er stutt og hún er einmitt vinnuálagið sem inngönguleiðin var byggð fyrir.

Fylgið einni fartölvu til baka inn í netið

Biðlarinn sendir fyrstu beiðni og bíður, og þangað til skiptunum er lokið heldur hliðið inngönguástandi fyrir þá tilraun. Önnur tæki á bak við sama vistfang koma á meðan hið fyrra bíður enn, og þau raða sér á bak við mörk sem telja vistföng frekar en notendur. Að utan er einkennið handfylli notenda sem tengjast og stærri hópur sem rennur út á tíma.

Ekkert í þessari röð er bilun. Inngönguleiðin gerir það sem hún var stillt til að gera.

Teljið hálfopið verk sem eigin auðlind

strongSwan aðgreinir tvo hópa: samtök sem eru að fullu komin á og tilraunir sem enn tengjast eða bíða vinnslu. Blokkunarmörkin gilda um hálfopnu samtökin sem eru rakin til eins jafningjavistfangs, og karlægismörkin gilda á heimsvísu og fyrir hvert vistfang. Þessir teljarar verja dímoninn fyrir því að eyðast í óstaðfestu verki, sem er einmitt lögun endurtengingarstorms. Ekkert af þessu ástandi birtist í lista yfir komin göng.

Að lesa þau sem hámark á lotum starfsmanna er mistökin sem leiða til að hækka allt í einu. Netþjónn sem ber fjögur hundruð komin göng getur ekki sjálfkrafa melt fjögur hundruð samtímis fyrstu pakka, því báðir kostnaðirnir lenda á mismunandi stöðum.

Biðtími auðkenningar ræður því hve lengi hver tilraun helst í talningunni yfir hálfopnar. Bakendi sem svarar hægt breytir stuttri bylgju í langa röð, jafnvel þótt komutíðnin sé hófleg.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Lesið inngöngustillingarnar áður en þið breytið þeim

Finndu gildin sem keyrandi dímoninn hlaði í raun áður en þú myndar þér skoðun á þeim. Stillingar eru oft skipt á milli aðalskrár og möppu með brotum fyrir hverja viðbót, svo gildi sem þú setur á einum stað getur verið hnekkt annars staðar. Leitin hér fyrir neðan sýnir hverja skrá sem nefnir þessar stillingar.

Ákveðið svo hvaða tala er of lítil. Ef eitt vistfang táknar lögmætt heila skrifstofu, eru blokkunarmörkin fyrir hvert vistfang gildið sem verður að rúma þá þéttni. Alheims karlægismörk verja dímoninn fyrir víðtækari flóð og ætti ekki að slaka á þeim af því að einn staður tengist aftur. Berið þetta gildi fyrir hvert vistfang saman við stærsta staðinn sem þið hafið í raun.

Haldið karlægiskerfinu virku. Karlægi neyða biðlarann til að sanna að hann geti tekið við á því vistfangi sem hann segir, áður en dímoninn eyðir raunverulegu verki í skiptin, og að slökkva á þeim er ekki hlutlaus afkastauppfærsla. Hækkið mörk aðeins með mældri komutíðni og tilgreindri auðkenningaráætlun á bak við.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Skipuleggið endurkomuna, ekki bara stöðugt ástand

Aðgengimarkmið sem telur aðeins komin lotur lýsir rólegum síðdegis, ekki endurheimt. Spyrjið í staðinn hvernig fyrirhugaður hópur kemur aftur eftir sameiginlegan netatburð, og hvort inngönguleiðin geti melt þá lögun.

Að dreifa endurtengingu yfir stýrðan flota er oft ódýrara en að stækka mörkin, því það fjarlægir tilbúnu bylgjuna í stað þess að borga fyrir hana varanlega. Fylgist með hálfopnu ástandi og inngönguatburðum við hlið árangursríkra komninga, og meðhöndlið hækkandi talningu hálfopna með flötum árangri sem snemma viðvörun frekar en fyrirbæri.

Tilvísun framleiðandans fyrir þessar stillingar er skjöl strongswan.conf, sem nefnir teljarana og útgáfuna sem innleiddi karlægismörk fyrir hvert vistfang. Lesið kaflann fyrir uppsetta útgáfu ykkar frekar en nýjustu síðuna, því sjálfgefin gildi færast á milli útgáfa.