शाखा कार्यालयातील पुनर्जोडणीचे वादळ: strongSwan च्या प्रवेश मर्यादा

दुवा बिघाडानंतर शाखा कार्यालय परत येताना पहा, आणि गेटवेला असे काही दिसते जे सामान्य दिवशी कधीच दिसत नाही: डझनभर लॅपटॉप एकाच सार्वजनिक पत्त्यावरून एकाच वेळी येतात. प्रत्येक कायदेशीर उपकरण आहे आणि प्रत्येक अजून पूर्ण न झालेली IKE देवघेव सुरू करते. तो उसळ सफल होईल की नाही हे सर्व्हर किती कर्मचारी सांभाळू शकतो याच्याशी काहीही संबंध नसलेल्या मर्यादांवर अवलंबून आहे. उसळ छोटी आहे, आणि प्रवेश मार्ग तीच कामाची भार सहन करण्यासाठी बांधला गेला आहे.

एक लॅपटॉप नेटवर्कवर परत येताना अनुसरा

क्लायंट सुरुवातीची विनंती पाठवतो आणि थांबतो, आणि देवघेव पूर्ण होईपर्यंत गेटवे त्या प्रयत्नासाठी प्रवेश स्थिती ठेवतो. त्याच पत्त्यामागील इतर उपकरणे पहिले अजून थांबत असताना येतात, आणि ती वापरकर्त्यांऐवजी पत्ते मोजणाऱ्या मर्यादेमागे रांगेत उभी राहतात. बाहेरून लक्षण म्हणजे काही वापरकर्ते जोडले जातात आणि मोठा गट वेळ संपल्यामुळे बाहेर पडतो.

त्या क्रमात काहीही दोष नाही. प्रवेश मार्ग ज्यासाठी संरचित केला गेला तेच करत आहे.

अर्ध-उघडे काम स्वतंत्र संसाधन म्हणून मोजा

strongSwan दोन लोकसंख्यांना वेगळे करते: पूर्णपणे स्थापित संबंध आणि अजून जोडले जात असलेले किंवा प्रक्रियेच्या प्रतीक्षेत असलेले प्रयत्न. ब्लॉक थ्रेशोल्ड एका पीअर पत्त्याला दिलेल्या अर्ध-उघड्या संबंधांना लागू होतो, आणि कुकी थ्रेशोल्ड जागतिक आणि प्रत्येक पत्त्यासाठी लागू होतात. ते काउंटर डेमनला अप्रमाणित कामाने संपण्यापासून वाचवतात, जे नेमके पुनर्जोडणीच्या वादळाचे स्वरूप आहे. त्या स्थितीतले काहीही स्थापित बोगद्यांच्या यादीत.

त्यांना कर्मचारी सत्रांची वरची मर्यादा म्हणून वाचणे ही सर्व काही एकाच वेळी वाढवण्याकडे नेणारी चूक आहे. चारशे स्थापित बोगदे वाहणारा सर्व्हर स्वयंचलितपणे चारशे एकाच वेळी येणारे पहिले पॅकेट शोषू शकत नाही, कारण दोन खर्च वेगवेगळ्या ठिकाणी पडतात.

प्रमाणीकरण विलंब प्रत्येक प्रयत्न अर्ध-उघड्या मोजणीत किती काळ राहतो हे ठरवतो. हळू उत्तर देणारा बॅकएंड आगमन दर माफक असतानाही छोट्या उसळीची लांब रांग करतो.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

प्रवेश सेटिंग्ज बदलण्यापूर्वी वाचा

चालू डेमनने प्रत्यक्षात कोणती मूल्ये लोड केली ती त्यांच्याबद्दल मत बनवण्यापूर्वी शोधा. संरचना बहुतेक वेळा मुख्य फाइल आणि प्रत्येक प्लगइनसाठी तुकड्यांच्या डिरेक्टरीमध्ये विभागलेली असते, म्हणून एका ठिकाणी ठरवलेले मूल्य दुसऱ्या ठिकाणी ओव्हरराइड होऊ शकते. खालील शोध या सेटिंग्जचा उल्लेख करणारी प्रत्येक फाइल दाखवतो.

मग कोणती संख्या खूप लहान आहे ते ठरवा. जर एक पत्ता कायदेशीरपणे संपूर्ण कार्यालयाचे प्रतिनिधित्व करत असेल, तर प्रति-पत्ता ब्लॉक थ्रेशोल्ड हेच ते मूल्य आहे ज्याने हे एकाग्रता सामावून घेतले पाहिजे. जागतिक कुकी थ्रेशोल्ड डेमनला अधिक व्यापक पुरापासून वाचवते आणि एक साइट पुन्हा जोडली जाते म्हणून ते सैल करू नये. त्या प्रति-पत्ता मूल्याची तुमच्याकडे प्रत्यक्षात असलेल्या सर्वात मोठ्या साइटशी तुलना करा.

कुकी यंत्रणा सक्षम ठेवा. कुकी क्लायंटला हे सिद्ध करण्यास भाग पाडतात की तो आपल्या दावा केलेल्या पत्त्यावर प्राप्त करू शकतो, डेमन देवघेवीवर खरे काम खर्च करण्यापूर्वी, आणि त्या बंद करणे तटस्थ क्षमता सुधारणा नाही. मोजलेला आगमन दर आणि त्यामागे घोषित प्रमाणीकरण बजेट असेल तरच थ्रेशोल्ड वाढवा.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

स्थिर स्थितीसाठीच नाही, परताव्यासाठीही योजना करा

केवळ स्थापित सत्रे मोजणारे उपलब्धता लक्ष्य शांत दुपारचे वर्णन करते, पुनर्प्राप्तीचे नाही. त्याऐवजी विचारा की सामायिक नेटवर्क घटनेनंतर इच्छित लोकसंख्या कशी परत येते आणि प्रवेश मार्ग ते स्वरूप शोषू शकतो का.

व्यवस्थापित ताफ्यात पुनर्जोडणी पसरवणे मर्यादा मोठ्या करण्यापेक्षा बहुतेक वेळा स्वस्त असते, कारण ते कृत्रिम उसळ काढून टाकते, तिच्यासाठी कायम भरण्याऐवजी. यशस्वी स्थापनांच्या शेजारी अर्ध-उघडी स्थिती आणि प्रवेश घटनांचे निरीक्षण करा, आणि सपाट यशांसह वाढणारी अर्ध-उघडी मोजणी कुतूहल नाही, पूर्वसूचना माना.

या सेटिंग्जसाठी विक्रेत्याचा संदर्भ strongswan.conf दस्तऐवजीकरण आहे, जे काउंटर आणि प्रति-पत्ता कुकी थ्रेशोल्ड आणलेली आवृत्ती नावे देतो. नवीनतम पृष्ठ नाही, तुमच्या स्थापित आवृत्तीचा विभाग वाचा, कारण डीफॉल्ट आवृत्त्यांमध्ये बदलतात.