Филиалдагы кайра туташуу бороону: strongSwan кабыл алуу чеги

Байланыш бузулгандан кийин филиалдын кайтып келүүсүн караңыз, жана шлюз кадимки күнү эч качан көрүнбөгөн нерсени көрөт: ондогон ноутбуктар бир коомдук даректен бир убакта келишет. Ар бири мыйзамдуу түзмөк жана ар бири али бүтпөгөн IKE алмашуусун баштайт. Бул жарылуу ийгиликтүү болобу, сервер канча кызматкерди көтөрө аларына эч кандай тиешеси жок чектерге байланыштуу. Жарылуу кыска, жана кабыл алуу жолу дал ушул жүктөмгө туруштук берүү үчүн курулган.

Бир ноутбуктун тармакка кайтып келишин көзөмөлдөңүз

Кардар баштапкы сурам жөнөтүп күтөт, жана алмашуу бүтмөйүнчө шлюз ошол аракет үчүн кабыл алуу абалын сактайт. Ошол эле даректин артындагы башка түзмөктөр биринчиси али күтүп турганда келишет, жана алар колдонуучуларды эмес, даректерди эсептеген чектин артында кезекке турушат. Сырттан белгиси бир аз колдонуучунун туташуусу жана чоңураак топтун убактысынын бүтүшү.

Бул ырааттуулукта эч нерсе бузулуу эмес. Кабыл алуу жолу өзү конфигурацияланган нерсени аткарып жатат.

Жарым ачык ишти өзүнчө ресурс катары эсептеңиз

strongSwan эки популяцияны бөлөт: толук орнотулган ассоциациялар жана али туташып жаткан же иштетүүнү күткөн аракеттер. Блоктоо чеги бир теңтуш дарекке таандык жарым ачык ассоциацияларга колдонулат, ал эми cookie чектери глобалдык жана ар бир дарек боюнча колдонулат. Бул эсептегичтер демонду аутентификацияланбаган иш менен күйүп кетүүдөн коргойт, бул дал кайра туташуу бороонунун формасы. Бул абалдын эч бири орнотулган туннелдердин тизмесинде.

Аларды кызматкерлердин сессияларынын жогорку чеги катары окуу бардыгын бир убакта көтөрүүгө алып келген ката. Төрт жүз орнотулган туннелди көтөргөн сервер автоматтык түрдө төрт жүз бир убактагы биринчи пакетти сиңире албайт, анткени эки чыгым ар башка жерлерге түшөт.

Аутентификация кечигүүсү ар бир аракеттин жарым ачыктардын эсебинде канча турарын аныктайт. Жай жооп берген бэкенд келүү темпи момун болсо да кыска жарылууну узун кезекке айландырат.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Кабыл алуу жөндөөлөрүн өзгөртүүдөн мурун окуңуз

Иштеп жаткан демон чындыгында жүктөгөн маанилерди алар тууралуу пикир түзүүдөн мурун табыңыз. Конфигурация көбүнчө негизги файл жана ар бир плагиндин үзүндүлөрүнүн каталогунун ортосунда бөлүнөт, ошондуктан бир жерде коюлган маани башка жерде кайра жазылышы мүмкүн. Төмөнкү издөө бул жөндөөлөрдү эске салган ар бир файлды көрсөтөт.

Андан кийин кайсы сан өтө кичине экенин чечиңиз. Эгер бир дарек мыйзамдуу түрдө бүт кеңсени билдирсе, дарек боюнча блоктоо чеги ушул топтолууну кармашы керек болгон маани. Глобалдык cookie чеги демонду кененирээк ташкындан коргойт жана бир сайт кайра туташкандыктан алсыздандырылбашы керек. Бул дарек боюнча маанини иш жүзүндө ээ болгон эң чоң сайт менен салыштырыңыз.

Cookie механизмин күйүк абалда калтырыңыз. Cookie'лер кардарды демон алмашууга чыныгы иш жумшаардан мурун анын билдирген дарегинде кабыл ала аларын далилдөөгө мажбурлайт, жана аларды өчүрүү нейтралдуу сыйымдуулук жаңыртуу эмес. Чекти өлчөнгөн келүү темпи жана анын артында жарыяланган аутентификация бюджети менен гана көтөрүңүз.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Туруктуу абалга гана эмес, кайтууга да план түзүңүз

Орнотулган сессияларды гана эсептеген жеткиликтүүлүк максаты тынч түштөн кийинки убакытты сүрөттөйт, калыбына келтирүүнү эмес. Анын ордуна жалпы тармактык окуядан кийин көздөлгөн популяция кантип кайтарын жана кабыл алуу жолу ушул форманы сиңире аларын сураңыз.

Башкарылуучу флотто кайра туташууну чачуу чектерди чоңойтуудан көбүнчө арзан, анткени ал жасалма жарылууну алып салат, ага түбөлүк төлөөнүн ордуна. Жарым ачык абалды жана кабыл алуу окуяларын ийгиликтүү орнотуулардын жанында көзөмөлдөңүз, жана тегиз ийгиликтер менен өсүп жаткан жарым ачыктардын санын кызыкчылык эмес, эрте эскертүү деп караңыз.

Бул жөндөөлөр үчүн өндүрүүчүнүн шилтемеси — strongswan.conf документтери, ал эсептегичтерди жана дарек боюнча cookie чегин киргизген чыгарылышты атайт. Эң жаңы баракты эмес, орнотулган версияңыздын бөлүмүн окуңуз, анткени демейки маанилер чыгарылыштардын ортосунда өзгөрөт.