Pakartotinio prisijungimo audra filiale: strongSwan priėmimo ribos

Stebėkite, kaip filialas grįžta po ryšio sutrikimo, ir tarpinė įranga mato tai, kas įprastą dieną niekada nepasitaiko: dešimtys nešiojamųjų kompiuterių vienu metu ateina iš vieno viešo adreso. Kiekvienas yra teisėtas įrenginys ir kiekvienas pradeda IKE mainus, kurie dar nebaigti. Ar ta pūga pavyks, priklauso nuo ribų, kurios neturi nieko bendra su tuo, kiek darbuotojų serveris gali išlaikyti. Pūga trumpa, ir būtent tokia apkrova buvo sukurta priėmimo kelias.

Sekite vieną nešiojamąjį kompiuterį grįžtant į tinklą

Klientas siunčia pradinę užklausą ir laukia, o kol mainai nebaigti, tarpinė įranga laiko priėmimo būseną tai bandymui. Kiti įrenginiai už to paties adreso ateina, kol pirmasis dar laukia, ir jie rikiuojasi už ribos, kuri skaičiuoja adresus, o ne naudotojus. Iš išorės simptomas yra keli naudotojai, kurie prisijungia, ir didesnė grupė, kuriai baigiasi laikas.

Šioje sekoje niekas nėra gedimas. Priėmimo kelias daro tai, kam buvo sukonfigūruotas.

Skaičiuokite pusiau atvirą darbą kaip atskirą išteklių

strongSwan atskiria dvi populiacijas: visiškai nustatytas asociacijas ir bandymus, kurie dar jungiasi arba laukia apdorojimo. Blokavimo slenkstis taikomas pusiau atviroms asociacijoms, priskirtoms vienam partnerio adresui, o slapukų slenksčiai taikomi globaliai ir kiekvienam adresui. Šie skaitikliai saugo demoną nuo sunaudojimo neautentifikuotu darbu, ir tai yra būtent pakartotinio prisijungimo audros forma. Niekas iš šios būsenos nerodoma nustatytų tunelių sąraše.

Skaityti juos kaip darbuotojų sesijų viršutinę ribą yra klaida, kuri veda prie visko didinimo iš karto. Serveris, laikantis keturis šimtus nustatytų tunelių, automatiškai negali sugerti keturių šimtų vienu metu atėjusių pirmųjų paketų, nes abi sąnaudos atsiranda skirtingose vietose.

Autentifikavimo delsą lemia, kiek laiko kiekvienas bandymas lieka pusiau atvirų skaičiuje. Lėtai atsakantis vidinis servisas trumpą pūgą paverčia ilga eile, net kai atėjimo dažnis kuklus.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Perskaitykite priėmimo nustatymus prieš juos keisdami

Raskite reikšmes, kurias veikiantis demonas iš tikrųjų įkėlė, prieš susidarydami apie jas nuomonę. Konfigūracija dažnai padalyta tarp pagrindinio failo ir katalogo su fragmentais kiekvienam įskiepiui, todėl vienoje vietoje nustatyta reikšmė gali būti perrašyta kitoje. Žemiau esanti paieška parodo kiekvieną failą, kuriame minimi šie nustatymai.

Tada nuspręskite, kuris skaičius per mažas. Jei vienas adresas teisėtai atstovauja visam biurui, blokavimo slenkstis pagal adresą yra reikšmė, kuri turi sutalpinti tą koncentraciją. Globalus slapukų slenkstis saugo demoną nuo platesnio potvynio ir neturėtų būti atlaisvintas dėl to, kad viena vietovė jungiasi iš naujo. Palyginkite šią reikšmę pagal adresą su didžiausia vietove, kurią iš tikrųjų turite.

Palikite slapukų mechanizmą įjungtą. Slapukai verčia klientą įrodyti, kad gali priimti nurodytu adresu, prieš demonui išleidžiant tikrą darbą mainams, ir jų išjungimas nėra neutralus pajėgumo atnaujinimas. Didinkite slenkstį tik su išmatuotu atėjimo dažniu ir už jo deklaruotu autentifikavimo biudžetu.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Planuokite sugrįžimą, ne tik pastovią būseną

Prieinamumo tikslas, kuris skaičiuoja tik nustatytas sesijas, apibūdina ramų popietę, o ne atkūrimą. Vietoj to paklauskite, kaip numatyta populiacija grįžta po bendro tinklo įvykio ir ar priėmimo kelias gali sugerti tokią formą.

Pakartotinio prisijungimo paskirstymas valdomame parke dažnai pigesnis nei ribų didinimas, nes pašalina dirbtinę pūgą, o ne moka už ją nuolat. Stebėkite pusiau atvirą būseną ir priėmimo įvykius šalia sėkmingų nustatymų, o augantį pusiau atvirų skaičių su plokščiais sėkmės rodikliais laikykite ankstyvu įspėjimu, o ne kuriozu.

Šių nustatymų tiekėjo nuoroda yra strongswan.conf dokumentacija, kurioje įvardyti skaitikliai ir versija, įvedusi slapukų slenkstį pagal adresą. Skaitykite skyrių savo įdiegtai versijai, o ne naujausią puslapį, nes numatytosios reikšmės keičiasi tarp versijų.