Ribut sambung semula di pejabat cawangan: had kemasukan strongSwan

Lihat pejabat cawangan kembali selepas kegagalan pautan dan gateway melihat sesuatu yang tidak pernah muncul pada hari biasa: berpuluh-puluh komputer riba tiba serentak dari satu alamat awam. Setiap satu peranti sah dan setiap satu memulakan pertukaran IKE yang belum selesai. Sama ada lonjakan itu berjaya bergantung pada had yang tiada kaitan dengan berapa ramai pekerja pelayan boleh menampung. Lonjakan itu singkat, dan itulah tepatnya beban kerja yang menjadi sebab laluan kemasukan dibina.

Ikuti satu komputer riba kembali ke rangkaian

Klien menghantar permintaan awal dan menunggu, dan sehingga pertukaran selesai gateway menyimpan keadaan kemasukan untuk percubaan itu. Peranti lain di belakang alamat yang sama tiba semasa yang pertama masih menunggu, dan mereka beratur di belakang had yang mengira alamat bukan pengguna. Dari luar gejalanya ialah segelintir pengguna yang bersambung dan kumpulan lebih besar yang kehabisan masa.

Tiada apa-apa dalam urutan itu yang menjadi kerosakan. Laluan kemasukan melakukan apa yang dikonfigurasikan untuknya.

Kira kerja separa terbuka sebagai sumber tersendiri

strongSwan memisahkan dua populasi: persatuan yang telah mantap sepenuhnya, dan percubaan yang masih bersambung atau menunggu diproses. Ambang sekatan terpakai kepada persatuan separa terbuka yang dikaitkan dengan satu alamat rakan, dan ambang kuki terpakai secara global dan bagi setiap alamat. Pembilang itu melindungi daemon daripada dihabiskan oleh kerja tidak disahkan, iaitu tepat bentuk ribut sambung semula. Tiada apa-apa daripada keadaan itu muncul dalam senarai terowong yang mantap.

Membacanya sebagai had atas sesi pekerja ialah kesilapan yang membawa kepada menaikkan semuanya sekali gus. Pelayan yang membawa empat ratus terowong mantap tidak secara automatik mampu menyerap empat ratus paket pertama serentak, kerana kedua-dua kos itu jatuh di tempat berbeza.

Kependaman pengesahan menentukan berapa lama setiap percubaan kekal dalam kiraan separa terbuka. Backend yang menjawab perlahan menukar lonjakan singkat menjadi barisan panjang walaupun kadar ketibaan sederhana.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Baca tetapan kemasukan sebelum mengubahnya

Cari nilai yang benar-benar dimuatkan oleh daemon yang berjalan sebelum membentuk pendapat tentangnya. Konfigurasi selalunya terbahagi antara fail utama dan direktori cebisan bagi setiap plugin, jadi nilai yang anda tetapkan di satu tempat boleh ditimpa di tempat lain. Carian di bawah menunjukkan setiap fail yang menyebut tetapan ini.

Kemudian tentukan nombor mana yang terlalu kecil. Jika satu alamat sah mewakili seluruh pejabat, ambang sekatan bagi setiap alamat ialah nilai yang mesti menampung tumpuan itu. Ambang kuki global melindungi daemon daripada banjir yang lebih luas dan tidak sepatutnya dilonggarkan kerana satu tapak bersambung semula. Bandingkan nilai bagi setiap alamat itu dengan tapak terbesar yang benar-benar anda miliki.

Biarkan mekanisme kuki diaktifkan. Kuki memaksa klien membuktikan bahawa ia boleh menerima di alamat yang didakwanya sebelum daemon membelanjakan kerja sebenar untuk pertukaran, dan menyahaktifkannya bukanlah peningkatan kapasiti yang neutral. Naikkan ambang hanya dengan kadar ketibaan yang diukur dan belanjawan pengesahan yang dinyatakan di belakangnya.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Rancang untuk kepulangan, bukan hanya keadaan mantap

Sasaran ketersediaan yang hanya mengira sesi mantap menggambarkan petang yang tenang, bukan pemulihan. Sebaliknya tanyakan bagaimana populasi yang dimaksudkan kembali selepas peristiwa rangkaian dikongsi, dan sama ada laluan kemasukan boleh menyerap bentuk itu.

Menyebarkan sambung semula merentas armada terurus selalunya lebih murah daripada membesarkan had, kerana ia menghapuskan lonjakan buatan dan bukannya membayarnya secara kekal. Pantau keadaan separa terbuka dan peristiwa kemasukan di samping penubuhan yang berjaya, dan anggap kiraan separa terbuka yang meningkat dengan kejayaan yang mendatar sebagai amaran awal dan bukan keanehan.

Rujukan vendor untuk tetapan ini ialah dokumentasi strongswan.conf, yang menamakan pembilang dan keluaran yang memperkenalkan ambang kuki bagi setiap alamat. Baca bahagian untuk versi yang anda pasang dan bukan halaman terbaharu, kerana nilai lalai bergerak antara keluaran.