Reconnect-Stuerm an der Filial: strongSwan-Aufnamegrenzen

Kuckt wéi eng Filial no engem Linkausfall zréckkënnt, an de Gateway gesäit eppes wat op engem normale Dag ni geschitt: Dose vu Laptoppen kommen gläichzäiteg vun enger eenzeger ëffentlecher Adress. Jiddereen ass e legitimen Apparat an jiddereen fänkt en IKE-Austausch un, deen nach net fäerdeg ass. Ob dee Schwall geléngt, hänkt vu Grenzen of, déi näischt domat ze dinn hunn, wéi vill Mataarbechter de Server droe kann. De Schwall ass kuerz, an et ass genee déi Aarbechtslaascht, fir déi den Aufnamewee gebaut gouf.

Verfollegt een Laptop zréck an d'Netz

De Client schéckt eng éischt Ufro a waart, an bis den Austausch fäerdeg ass, hält de Gateway den Aufnamestatus fir dee Versuch. Aner Apparater hannert der selwechter Adress kommen, während deen éischten nach waart, a si stinn an der Schlaang hannert enger Grenz, déi Adressen amplaz Benotzer zielt. Vun dobausse sinn d'Symptomer eng Handvoll Benotzer, déi sech verbannen, an eng méi grouss Grupp, déi an en Timeout leeft.

Näischt an där Reiefolleg ass e Fehler. Den Aufnamewee mécht dat, wofir hie konfiguréiert gouf.

Zielt hallefopp Aarbecht als eege Ressource

strongSwan trennt zwou Populatiounen: Associatiounen, déi vollstänneg etabléiert sinn, a Versich, déi nach verbannen oder op d'Veraarbechtung waarden. D'Blockgrenz gëllt fir hallefopp Associatiounen, déi enger Peer-Adress zougerechent ginn, an d'Cookie-Grenze gëllen global a pro Adress. Dës Zähler schützen den Daemon dovirun, vu net-authentifizéierter Aarbecht verbraucht ze ginn, wat genee d'Form vun engem Reconnect-Stuerm ass. Näischt vun dësem Zoustand erschéngt an enger Lëscht vun etabléierten Tunnelen.

Si als Uewergrenz fir Mataarbechtersessiounen ze liesen ass de Feeler, deen dozou féiert, alles op eemol ze erhéijen. E Server, deen véierhonnert etabléiert Tunnele dréit, kann net automatesch véierhonnert gläichzäiteg éischt Pakete absorbéieren, well déi zwou Käschten op verschidde Plaze falen.

D'Authentifikatiounsverzögerung entscheet, wéi laang all Versuch an der Zuel vun den hallefoppen bleift. En Hannergrond, dee lues äntwert, mécht aus engem kuerzen Schwall eng laang Schlaang, och wann d'Ankomstrate bescheiden ass.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Liest d'Aufnameastellungen ier Dir se ännert

Fannt d'Wäerter, déi den lafenden Daemon tatsächlech gelueden huet, ier Dir Iech eng Meenung dorobber maacht. D'Konfiguratioun ass dacks tëscht enger Haaptdatei an engem Verzeechnes mat Fragmenter pro Plugin opgedeelt, sou datt e Wäert, deen Dir op enger Plaz setzt, op enger anerer iwwerschriwwe ka ginn. D'Sich hei ënnen weist all Datei, déi dës Astellungen ernimmt.

Entscheet dann, wéi eng Zuel ze kleng ass. Wann eng Adress legitim e ganzt Büro representéiert, ass d'Blockgrenz pro Adress dee Wäert, deen déi Konzentratioun muss ophuelen. Eng global Cookie-Grenz schützt den Daemon virun enger méi breeder Flut a sollt net geluewert ginn, well eng Plaz sech nei verbënnt. Vergläicht dee Wäert pro Adress mat der gréisster Plaz, déi Dir tatsächlech hutt.

Loosst de Cookie-Mechanismus aktivéiert. Cookien zwéngen de Client ze beweisen, datt hien op senger behaapter Adress empfänke kann, ier den Daemon richteg Aarbecht an den Austausch stécht, an se z'deaktivéieren ass keen neutrale Kapazitéitsupgrade. Erhéicht eng Grenz nëmme mat enger gemoossener Ankomstrate an engem erkläerten Authentifikatiounsbudget hannendrun.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Plangt d'Réckkéier, net nëmmen de stabile Zoustand

En Disponibilitéitszil, deen nëmmen etabléiert Sessiounen zielt, beschreift en rouegen Nomëtteg, net eng Erhuelung. Frot amplaz, wéi déi virgesinn Populatioun no engem gedeelte Netzwierkereignis zréckkënnt, an ob den Aufnamewee déi Form ophuele kann.

D'Verdeelen vun der Reconnectioun iwwer eng verwalt Flott ass dacks méi bëlleg wéi d'Grenzen ze vergréisseren, well et de kënschtleche Schwall ewechhëlt, amplaz dofir permanent ze bezuelen. Iwwerwaacht den hallefoppen Zoustand an d'Aufnameereignisser niewent erfollegräichen Etabléierungen, a behandelt eng steigend Zuel vun hallefoppen bei flaachen Erfolleger als fréi Warnung an net als Kuriositéit.

D'Referenz vum Hiersteller fir dës Astellungen ass d'Dokumentatioun vu strongswan.conf, déi d'Zähler an d'Versioun nennt, déi d'Cookie-Grenz pro Adress agefouert huet. Liest den Abschnitt fir Är installéiert Versioun an net déi neist Säit, well d'Standardwäerter tëscht Versiounen änneren.