Бура од повторни врски во подружницата: strongSwan граници на прием

Гледајте како подружницата се враќа по прекин на врската и портата гледа нешто што никогаш не се појавува во нормален ден: десетици преносни сметачи доаѓаат истовремено од една јавна адреса. Секој е легитимен уред и секој започнува IKE размена што сè уште не е завршена. Дали тој бран ќе успее зависи од граници што немаат никаква врска со тоа колку вработени може да носи серверот. Бранот е краток и тоа е токму оптоварувањето за кое е изградена патеката на прием.

Следете еден преносен сметач како се враќа во мрежата

Клиентот праќа почетно барање и чека, и додека размената не заврши портата држи состојба на прием за тој обид. Други уреди зад истата адреса доаѓаат додека првиот сè уште чека, и се редат зад граница што брои адреси наместо корисници. Однадвор симптомот е неколку корисници што се поврзуваат и поголема група што истекува.

Ништо во таа низа не е дефект. Патеката на прием го прави тоа за што е конфигурирана.

Бројте ја полуотворената работа како посебен ресурс

strongSwan разделува две популации: асоцијации што се целосно воспоставени и обиди што сè уште се поврзуваат или чекаат обработка. Прагот за блокирање се однесува на полуотворени асоцијации припишани на една адреса на партнер, а праговите за колачиња важат глобално и по адреса. Тие бројачи го штитат демонот од трошење со неавтентифицирана работа, што е точно формата на бура од повторни врски. Ништо од таа состојба не се појавува во список на воспоставени тунели.

Да се читаат како горна граница на вработенички сесии е грешката што води до подигање на сè одеднаш. Сервер што носи четиристотини воспоставени тунели не е автоматски способен да апсорбира четиристотини истовремени први пакети, зашто двете цени паѓаат на различни места.

Латенцијата на автентикација одлучува колку долго секој обид останува во бројот на полуотворени. Бекенд што одговара бавно претвора краток бран во долг ред дури и кога стапката на пристигнување е скромна.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Прочитајте ги поставките за прием пред да ги менувате

Најдете ги вредностите што демонот што работи навистина ги вчитал пред да формирате мислење за нив. Конфигурацијата често е поделена меѓу главна датотека и директориум со фрагменти за секој приклучок, па вредност поставена на едно место може да биде прегазена на друго. Пребарувањето подолу покажува секоја датотека што ги спомнува овие поставки.

Потоа одлучете кој број е премал. Ако една адреса легитимно претставува цела канцеларија, прагот за блокирање по адреса е вредноста што мора да ја прими таа концентрација. Глобалниот праг за колачиња го штити демонот од поширока поплава и не треба да се олабавува затоа што една локација се поврзува повторно. Споредете ја таа вредност по адреса со најголемата локација што навистина ја имате.

Оставете го механизмот за колачиња вклучен. Колачињата го тераат клиентот да докаже дека може да прима на адресата што ја тврди пред демонот да потроши вистинска работа на размената, а нивното исклучување не е неутрална надградба на капацитетот. Подигнете праг само со измерена стапка на пристигнување и објавен буџет за автентикација зад него.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Планирајте за враќањето, не само за стабилната состојба

Цел за достапност што брои само воспоставени сесии опишува тивко попладне, не закрепнување. Прашајте наместо тоа како предвидената популација се враќа по заеднички мрежен настан и дали патеката на прием може да ја апсорбира таа форма.

Распоредувањето на повторните врски низ управувана флота често е поевтино од зголемување на границите, зашто ја отстранува вештачката бура наместо трајно да плаќа за неа. Следете ја полуотворената состојба и настаните на прием покрај успешните воспоставувања и третирајте растечки број полуотворени со рамни успеси како рано предупредување, а не како љубопитност.

Референцата на производителот за овие поставки е документацијата на strongswan.conf, која ги именува бројачите и изданието што го воведе прагот за колачиња по адреса. Читајте го делот за вашата инсталирана верзија, а не најновата страница, зашто стандардните вредности се менуваат меѓу изданијата.