Atkārtotas savienošanas vētra filiālē: strongSwan uzņemšanas ierobežojumi

Vērojiet, kā filiāle atgriežas pēc saites kļūmes, un vārteja redz kaut ko tādu, kas parastā dienā nekad neparādās: desmitiem portatīvo datoru vienlaikus ierodas no vienas publiskas adreses. Katrs ir likumīga ierīce, un katrs sāk IKE apmaiņu, kas vēl nav pabeigta. Vai šis uzplūdums izdosies, ir atkarīgs no ierobežojumiem, kuriem nav nekāda sakara ar to, cik darbinieku serveris var izturēt. Uzplūdums ir īss, un tieši šī slodze ir tā, kurai uzņemšanas ceļš tika būvēts.

Izsekojiet vienam portatīvajam datoram atgriežoties tīklā

Klients nosūta sākotnējo pieprasījumu un gaida, un līdz apmaiņa ir pabeigta, vārteja tur uzņemšanas stāvokli šim mēģinājumam. Citas ierīces aiz tās pašas adreses ierodas, kamēr pirmā vēl gaida, un tās ierindojas aiz ierobežojuma, kas skaita adreses, nevis lietotājus. No ārpuses simptoms ir daži lietotāji, kas pievienojas, un lielāka grupa, kurai beidzas laiks.

Nekas šajā secībā nav kļūme. Uzņemšanas ceļš dara to, kam tas tika konfigurēts.

Skaitiet pusatvērto darbu kā atsevišķu resursu

strongSwan atdala divas populācijas: pilnībā izveidotas asociācijas un mēģinājumus, kas vēl savienojas vai gaida apstrādi. Bloķēšanas slieksnis attiecas uz pusatvērtām asociācijām, kas attiecinātas uz vienu vienaudža adresi, un sīkfailu sliekšņi attiecas globāli un uz katru adresi. Šie skaitītāji aizsargā dēmonu no iztērēšanas ar neautentificētu darbu, un tas ir tieši atkārtotas savienošanas vētras forma. Nekas no šī stāvokļa neparādās izveidoto tuneļu sarakstā.

Lasīt tos kā darbinieku sesiju augšējo robežu ir kļūda, kas noved pie visa palielināšanas uzreiz. Serveris, kas nes četrus simtus izveidotu tuneļu, nav automātiski spējīgs absorbēt četrus simtus vienlaicīgu pirmo paketi, jo abas izmaksas nonāk dažādās vietās.

Autentifikācijas aizkave nosaka, cik ilgi katrs mēģinājums paliek pusatvērto skaitā. Lēni atbildošs aizmugursistēma pārvērš īsu uzplūdumu garā rindā pat tad, ja ierašanās temps ir pieticīgs.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Izlasiet uzņemšanas iestatījumus pirms to maiņas

Atrodiet vērtības, ko darbojošais dēmons faktiski ielādēja, pirms veidojat par tām viedokli. Konfigurācija bieži ir sadalīta starp galveno failu un direktoriju ar fragmentiem katram spraudnim, tāpēc vienā vietā iestatīta vērtība var tikt pārrakstīta citur. Zemāk esošā meklēšana parāda katru failu, kas piemin šos iestatījumus.

Pēc tam izlemiet, kurš skaitlis ir pārāk mazs. Ja viena adrese likumīgi pārstāv visu biroju, bloķēšanas slieksnis uz adresi ir vērtība, kurai jāuzņem šī koncentrācija. Globālais sīkfailu slieksnis aizsargā dēmonu no plašākiem plūdiem, un to nevajadzētu mīkstināt tāpēc, ka viena vieta atkārtoti savienojas. Salīdziniet šo vērtību uz adresi ar lielāko vietu, kas jums faktiski ir.

Atstājiet sīkfailu mehānismu ieslēgtu. Sīkfaili liek klientam pierādīt, ka tas var saņemt norādītajā adresē, pirms dēmons tērē reālu darbu apmaiņai, un to izslēgšana nav neitrāls jaudas uzlabojums. Palieliniet slieksni tikai ar izmērītu ierašanās tempu un aiz tā deklarētu autentifikācijas budžetu.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Plānojiet atgriešanos, ne tikai stabilo stāvokli

Pieejamības mērķis, kas skaita tikai izveidotās sesijas, raksturo mierīgu pēcpusdienu, nevis atjaunošanos. Tā vietā jautājiet, kā paredzētā populācija atgriežas pēc kopīga tīkla notikuma un vai uzņemšanas ceļš var uzņemt šo formu.

Atkārtotas savienošanas izkliedēšana pārvaldītā parkā bieži ir lētāka nekā ierobežojumu palielināšana, jo tā novērš mākslīgo uzplūdumu, nevis maksā par to pastāvīgi. Uzraugiet pusatvērto stāvokli un uzņemšanas notikumus līdzās veiksmīgām izveidēm, un pieaugošu pusatvērto skaitu ar līdzeniem panākumiem uzskatiet par agrīnu brīdinājumu, nevis kuriozu.

Šo iestatījumu ražotāja atsauce ir strongswan.conf dokumentācija, kurā nosaukti skaitītāji un izlaidums, kas ieviesa sīkfailu slieksni uz adresi. Lasiet sadaļu par savu instalēto versiju, nevis jaunāko lapu, jo noklusējuma vērtības mainās starp izlaidumiem.