Филиалдағы қайта қосылу дауылы: strongSwan қабылдау шектері

Байланыс ақауынан кейін филиалдың қайта оралғанын бақылаңыз, және шлюз қарапайым күні ешқашан көрінбейтін нәрсені көреді: ондаған ноутбук бір жария мекенжайдан бір уақытта келеді. Әрқайсысы заңды құрылғы және әрқайсысы әлі аяқталмаған IKE алмасуын бастайды. Бұл серпіліс сәтті бола ма, сервер қанша қызметкерді көтере алатынына қатысы жоқ шектерге байланысты. Серпіліс қысқа, және бұл дәл қабылдау жолы төтеп беру үшін салынған жүктеме.

Бір ноутбуктің желіге қайта оралуын бақылаңыз

Клиент бастапқы сұраныс жіберіп, күтеді, және алмасу аяқталғанша шлюз сол әрекет үшін қабылдау күйін ұстайды. Сол мекенжайдың артындағы басқа құрылғылар біріншісі әлі күтіп тұрғанда келеді және олар пайдаланушыларды емес, мекенжайларды санайтын шектің артында кезекке тұрады. Сырттан көрінетін белгі — бірнеше пайдаланушының қосылуы және үлкенірек топтың уақытының бітуі.

Бұл реттілікте ешнәрсе ақау емес. Қабылдау жолы өзі конфигурацияланған нәрсені істеп жатыр.

Жартылай ашық жұмысты жеке ресурс ретінде санаңыз

strongSwan екі популяцияны бөледі: толық орнатылған ассоциациялар және әлі қосылып жатқан немесе өңдеуді күтіп тұрған әрекеттер. Блоктау шегі бір тең дәрежелі мекенжайға жатқызылған жартылай ашық ассоциацияларға қолданылады, ал cookie шектері жаһандық және әр мекенжай бойынша қолданылады. Бұл санағыштар демонды аутентификацияланбаған жұмыспен таусылудан қорғайды, бұл дәл қайта қосылу дауылының пішіні. Бұл күйдің ешбірі орнатылған туннельдер тізімінде.

Оларды қызметкерлер сессияларының жоғарғы шегі ретінде оқу — бәрін бірден көтеруге әкелетін қате. Төрт жүз орнатылған туннельді көтеретін сервер автоматты түрде төрт жүз бір мезгілдегі бірінші пакетті сіңіре алмайды, өйткені екі шығын әртүрлі жерлерге түседі.

Аутентификация кідірісі әр әрекеттің жартылай ашықтар санында қанша тұратынын анықтайды. Баяу жауап беретін бэкенд келу қарқыны қарапайым болса да қысқа серпілісті ұзақ кезекке айналдырады.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Қабылдау параметрлерін өзгертер алдында оқыңыз

Жұмыс істеп тұрған демон нақты жүктеген мәндерді олар туралы пікір қалыптастырмас бұрын табыңыз. Конфигурация көбінесе негізгі файл мен әр плагиннің үзінділер каталогы арасында бөлінеді, сондықтан бір жерде қойған мән басқа жерде қайта жазылуы мүмкін. Төмендегі іздеу осы параметрлерді атайтын әр файлды көрсетеді.

Содан кейін қай сан тым кішкентай екенін шешіңіз. Егер бір мекенжай заңды түрде бүкіл кеңсені білдірсе, мекенжай бойынша блоктау шегі осы шоғырлануды сыйдыруға тиіс мән. Жаһандық cookie шегі демонды кеңірек су тасқынынан қорғайды және бір сайт қайта қосылады деп оны босаңсытуға болмайды. Осы мекенжай бойынша мәнді іс жүзінде бар ең үлкен сайтпен салыстырыңыз.

Cookie механизмін қосулы қалдырыңыз. Cookie клиентті демон алмасуға нақты жұмыс жұмсамас бұрын оның мәлімдеген мекенжайында қабылдай алатынын дәлелдеуге мәжбүр етеді, және оларды өшіру бейтарап сыйымдылық жаңартуы емес. Шекті тек өлшенген келу қарқынымен және оның артында мәлімделген аутентификация бюджетімен көтеріңіз.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Тек тұрақты күйге емес, қайта оралуға жоспар құрыңыз

Тек орнатылған сессияларды санайтын қолжетімділік мақсаты тыныш түстен кейінгі уақытты сипаттайды, қалпына келтіруді емес. Оның орнына жалпы желілік оқиғадан кейін көзделген популяцияның қалай оралатынын және қабылдау жолының сол пішінді сіңіре алатынын сұраңыз.

Басқарылатын флотта қайта қосылуды шашырату шектерді үлкейтуден жиі арзан, өйткені ол жасанды серпілісті жояды, ол үшін мәңгі төлеудің орнына. Жартылай ашық күй мен қабылдау оқиғаларын сәтті орнатулармен қатар бақылаңыз, және тегіс табыстар кезінде өсіп келе жатқан жартылай ашық санын қызықты жағдай емес, ерте ескерту деп қараңыз.

Бұл параметрлер үшін өндірушінің сілтемесі — strongswan.conf құжаттамасы, ол санағыштарды және мекенжай бойынша cookie шегін енгізген шығарылымды атайды. Ең жаңа бетті емес, орнатылған нұсқаңыздың бөлімін оқыңыз, өйткені әдепкі мәндер шығарылымдар арасында өзгереді.