Салбарын дахин холбогдолын шуурга: strongSwan-ы хүлээн авалтын хязгаар

Холбоосын доголдлын дараа салбар буцаж ирэхийг ажиглаарай, гарц энгийн өдөр хэзээ ч харагддаггүй зүйлийг хардаг: олон арван зөөврийн компьютер нэг нийтийн хаягаас нэгэн зэрэг ирдэг. Тус бүр нь хууль ёсны төхөөрөмж бөгөөд тус бүр нь одоо хүртэл дуусаагүй IKE солилцоог эхлүүлдэг. Тэр тэсрэлт амжилттай болох эсэх нь сервер хэдэн ажилтан даах чадахаас огт хамааралгүй хязгаараас хамаарна. Тэсрэлт богино бөгөөд энэ нь яг хүлээн авалтын зам тэсвэрлэхээр бүтээгдсэн ачаалал юм.

Нэг зөөврийн компьютер сүлжээнд буцаж ирэх замыг дагаарай

Клиент эхний хүсэлт илгээж хүлээх бөгөөд солилцоо дуустал гарц тэр оролдлогын хүлээн авалтын төлөвийг хадгална. Ижил хаягийн ард байгаа бусад төхөөрөмжүүд эхнийх нь хүлээж байх үед ирж, хэрэглэгчдийг бус хаягуудыг тоолдог хязгаарын ард дараалалд ордог. Гаднаас харагдах шинж нь цөөн хэрэглэгч холбогдож, илүү том бүлэг хугацаа хэтрүүлэх явдал юм.

Тэр дарааллын дотор алдаа гэж юу ч байхгүй. Хүлээн авалтын зам өөрт тохируулсан зүйлээ хийж байна.

Хагас нээлттэй ажлыг тусдаа нөөц гэж тоол

strongSwan хоёр популяцийг ялгадаг: бүрэн тогтоосон ассоциациуд ба одоо хүртэл холбогдож эсвэл боловсруулалт хүлээж буй оролдлогууд. Блоклох босго нэг хамтрагчийн хаягт хамааруулсан хагас нээлттэй ассоциациудад үйлчилдэг бол күүки босго нь дэлхий даяар болон хаяг бүрд үйлчилнэ. Эдгээр тоолуур нь демоныг баталгаажаагүй ажлаар шатахаас хамгаалдаг бөгөөд энэ нь дахин холбогдолын шуурганы яг хэлбэр юм. Тэр төлөвөөс юу ч тогтоосон туннелийн жагсаалтад.

Тэднийг ажилчдын сессийн дээд хязгаар гэж унших нь бүгдийг нэгэн зэрэг өсгөхөд хүргэдэг алдаа юм. Дөрвөн зуун тогтоосон туннель даасан сервер автоматаар дөрвөн зуун нэгэн зэрэг ирсэн эхний пакетыг шингээж чадахгүй, учир нь хоёр зардал өөр өөр газарт унадаг.

Баталгаажуулалтын саатал нь оролдлого бүр хагас нээлттэй тоонд хэр удаан үлдэхийг тодорхойлдог. Удаан хариу үйлдэл үзүүлдэг бэкенд ирэлтийн хурд даруу байсан ч богино тэсрэлтийг урт дараалал болгоно.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Хүлээн авалтын тохиргоог өөрчлөхөөс өмнө уншаарай

Ажиллаж буй демон үнэхээр ачаалсан утгуудыг тэдний талаар дүгнэлт хийхээс өмнө олоорой. Тохиргоо нь ихэвчлэн үндсэн файл болон залгуур бүрийн хэсгүүдийн хавтасны хооронд хуваагддаг тул нэг газарт тогтоосон утга өөр газар дарж бичигдэж болно. Доорх хайлт эдгээр тохиргоог дурдсан бүх файлыг харуулна.

Дараа нь аль тоо хэт бага болохыг шийд. Хэрэв нэг хаяг хууль ёсоор бүх оффисыг төлөөлж байвал хаяг тус бүрийн блоклох босго нь тэр төвлөрлийг багтаах ёстой утга юм. Дэлхийн күүки босго нь демоныг илүү өргөн үерээс хамгаалдаг бөгөөд нэг сайт дахин холбогдсон гэж сулруулж болохгүй. Тэр хаяг тус бүрийн утгыг таны бодитоор эзэмшиж буй хамгийн том сайттай харьцуул.

Күүки механизмыг идэвхтэй үлдээ. Күүки нь демон солилцоонд бодит ажил зарцуулахаас өмнө клиент өөрийн мэдэгдсэн хаяг дээр хүлээж авах чадвараа батлахыг шаарддаг бөгөөд тэдгээрийг идэвхгүй болгох нь төвийг сахисан хүчин чадлын шинэчлэл биш юм. Босгыг зөвхөн хэмжсэн ирэлтийн хурд болон түүний ард зарласан баталгаажуулалтын төсөвтэй үед л өсгө.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Зөвхөн тогтвортой төлөвт бус, буцаж ирэхэд нь төлөвлө

Зөвхөн тогтоосон сессийг тоолдог хүртээмжийн зорилго нь тайван үдээс хойшийг дүрсэлдэг, сэргээлтийг биш. Үүний оронд нийтлэг сүлжээний үйл явдлын дараа зорьсон популяци хэрхэн буцаж ирэх, хүлээн авалтын зам тэр хэлбэрийг шингээж чадах эсэхийг асуу.

Удирддаг флот даяар дахин холбогдолыг тараах нь хязгаарыг томруулахаас ихэвчлэн хямд, учир нь энэ нь хиймэл тэсрэлтийг арилгадаг, үүний төлөө байнга төлөхийн оронд. Хагас нээлттэй төлөв болон хүлээн авалтын үйл явдлыг амжилттай тогтоолтуудын хажууд хянаж, амжилт тэгш байхад өсөж буй хагас нээлттэй тоог сонирхол биш, эрт сэрэмжлүүлэг гэж үз.

Эдгээр тохиргооны үйлдвэрлэгчийн лавлагаа нь strongswan.conf-ын баримт бичиг, үүнд тоолуурууд болон хаяг тус бүрийн күүки босгыг нэвтрүүлсэн хувилбарыг нэрлэсэн. Хамгийн шинэ хуудсыг бус, суулгасан хувилбарынхаа хэсгийг уншина уу, учир нь анхдагч утгууд хувилбаруудын хооронд өөрчлөгддөг.