ფილიალის ხელახალი დაკავშირების ქარიშხალი: strongSwan-ის მიღების ლიმიტები

უყურეთ, როგორ ბრუნდება ფილიალი კავშირის გაუმართაობის შემდეგ, და კარიბჭე ხედავს რაღაცას, რაც ჩვეულებრივ დღეს არასოდეს ჩნდება: ათობით ლეპტოპი ერთდროულად მოდის ერთი საჯარო მისამართიდან. თითოეული ლეგიტიმური მოწყობილობაა და თითოეული იწყებს IKE გაცვლას, რომელიც ჯერ არ დასრულებულა. ეს აფეთქება წარმატებული იქნება თუ არა, დამოკიდებულია ლიმიტებზე, რომლებსაც არაფერი აქვთ საერთო იმასთან, რამდენ თანამშრომელს შეიძლება ატაროს სერვერმა. აფეთქება მოკლეა და სწორედ ის დატვირთვაა, რისთვისაც მიღების გზა აშენდა.

თვალი ადევნეთ ერთ ლეპტოპს ქსელში დაბრუნებისას

კლიენტი აგზავნის საწყის მოთხოვნას და ელოდება, და სანამ გაცვლა დასრულდება, კარიბჭე ინახავს მიღების მდგომარეობას ამ მცდელობისთვის. იმავე მისამართის უკან მყოფი სხვა მოწყობილობები მოდიან, სანამ პირველი ჯერ კიდევ ელოდება, და ისინი დგებიან რიგში იმ ლიმიტის უკან, რომელიც მისამართებს ითვლის და არა მომხმარებლებს. გარედან სიმპტომია რამდენიმე მომხმარებლის დაკავშირება და უფრო დიდი ჯგუფის დროის ამოწურვა.

ამ თანმიმდევრობაში არაფერია ხარვეზი. მიღების გზა აკეთებს იმას, რისთვისაც იყო კონფიგურირებული.

დათვალეთ ნახევრად ღია სამუშაო როგორც ცალკე რესურსი

strongSwan ყოფს ორ პოპულაციას: სრულად დამკვიდრებულ ასოციაციებს და მცდელობებს, რომლებიც ჯერ კიდევ უკავშირდება ან ელოდება დამუშავებას. ბლოკირების ზღვარი ვრცელდება ერთ პირთან მიმართებულ ნახევრად ღია ასოციაციებზე, ხოლო cookie-ს ზღვრები მოქმედებს გლობალურად და თითოეულ მისამართზე. ეს მთვლელები იცავენ დემონს აუთენტიფიცირებელი სამუშაოთი გამოფიტვისგან, რაც ზუსტად ხელახალი დაკავშირების ქარიშხლის ფორმაა. ამ მდგომარეობიდან არაფერი ჩანს დამკვიდრებული გვირაბების სიაში.

მათი წაკითხვა თანამშრომლების სესიების ზედა ზღვრად არის შეცდომა, რომელიც ყველაფრის ერთდროულად აწევამდე მიგვიყვანს. ოთხასი დამკვიდრებული გვირაბის მქონე სერვერს ავტომატურად არ შეუძლია ოთხასი ერთდროული პირველი პაკეტის შთანთქმა, რადგან ორი ხარჯი სხვადასხვა ადგილას ეცემა.

აუთენტიფიკაციის დაყოვნება განსაზღვრავს, რამდენ ხანს რჩება თითოეული მცდელობა ნახევრად ღიათა რიცხვში. ნელა პასუხისმგებელი ბექენდი მოკლე აფეთქებას გრძელ რიგად აქცევს, მაშინაც კი, როცა ჩამოსვლის სიხშირე მოკრძალებულია.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

წაიკითხეთ მიღების პარამეტრები სანამ შეცვლით

იპოვეთ მნიშვნელობები, რომლებიც მომუშავე დემონმა რეალურად ჩატვირთა, სანამ მათზე აზრს შეიქმნით. კონფიგურაცია ხშირად იყოფა მთავარ ფაილსა და თითოეული დანამატის ფრაგმენტების დირექტორიას შორის, ამიტომ ერთ ადგილას დაყენებული მნიშვნელობა შეიძლება სხვაგან გადაიწეროს. ქვემოთ მოცემული ძიება აჩვენებს ყველა ფაილს, რომელიც ამ პარამეტრებს ახსენებს.

შემდეგ გადაწყვიტეთ, რომელი რიცხვია ძალიან პატარა. თუ ერთი მისამართი ლეგიტიმურად წარმოადგენს მთელ ოფისს, მისამართის ბლოკირების ზღვარი არის ის მნიშვნელობა, რომელმაც ეს კონცენტრაცია უნდა დაიტიოს. გლობალური cookie-ს ზღვარი იცავს დემონს უფრო ფართო წყალდიდობისგან და არ უნდა შესუსტდეს იმის გამო, რომ ერთი ობიექტი ხელახლა უკავშირდება. შეადარეთ ეს მისამართის მნიშვნელობა ყველაზე დიდ ობიექტს, რომელიც რეალურად გაქვთ.

დატოვეთ cookie-ს მექანიზმი ჩართული. Cookie-ები აიძულებენ კლიენტს დაამტკიცოს, რომ შეუძლია მიღება მის მიერ გამოცხადებულ მისამართზე, სანამ დემონი რეალურ სამუშაოს დახარჯავს გაცვლაზე, და მათი გამორთვა ნეიტრალური სიმძლავრის განახლება არ არის. აწიეთ ზღვარი მხოლოდ გაზომილი ჩამოსვლის სიხშირით და მის უკან გამოცხადებული აუთენტიფიკაციის ბიუჯეტით.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

დაგეგმეთ დაბრუნება, და არა მხოლოდ სტაბილური მდგომარეობა

ხელმისაწვდომობის სამიზნე, რომელიც მხოლოდ დამკვიდრებულ სესიებს ითვლის, აღწერს მშვიდ შუადღეს და არა აღდგენას. სამაგიეროდ იკითხეთ, როგორ ბრუნდება განკუთვნილი პოპულაცია საერთო ქსელური მოვლენის შემდეგ და შეუძლია თუ არა მიღების გზას ამ ფორმის შთანთქმა.

ხელახალი დაკავშირების განაწილება მართულ ფლოტში ხშირად იაფია, ვიდრე ლიმიტების გაზრდა, რადგან ის აშორებს ხელოვნურ აფეთქებას, ნაცვლად იმისა, რომ სამუდამოდ გადაიხადოს მისთვის. აკონტროლეთ ნახევრად ღია მდგომარეობა და მიღების მოვლენები წარმატებული დამკვიდრებების გვერდით, და ბრტყელი წარმატებების ფონზე მზარდი ნახევრად ღიათა რაოდენობა განიხილეთ როგორც ადრეული გაფრთხილება და არა ცნობისმოყვარეობა.

ამ პარამეტრების მწარმოებლის ცნობარია strongswan.conf-ის დოკუმენტაცია, რომელიც ასახელებს მთვლელებს და იმ გამოცემას, რომელმაც შემოიღო მისამართის cookie-ს ზღვარი. წაიკითხეთ თქვენი დაყენებული ვერსიის განყოფილება და არა უახლესი გვერდი, რადგან ნაგულისხმევი მნიშვნელობები გამოცემებს შორის იცვლება.