Maltemp ta' qbil mill-ġdid fil-fergħa: limiti tad-dħul ta' strongSwan

Ara fergħa terġa' lura wara ħsara fil-konnessjoni u l-gateway jara xi ħaġa li qatt ma tidher fi ġurnata normali: għexieren ta' laptops jaslu fl-istess ħin minn indirizz pubbliku wieħed. Kull wieħed huwa apparat leġittimu u kull wieħed jibda skambju IKE li għadu mhux lest. Jekk dan il-fqigħ jirnexxix jiddependi minn limiti li m'għandhom x'jaqsmu xejn ma' kemm impjegati jista' jġorr is-server. Il-fqigħ huwa qasir, u huwa eżattament ix-xogħol li għalih inbena l-passaġġ tad-dħul.

Segwi laptop wieħed lura fin-netwerk

Il-klijent jibgħat talba inizjali u jistenna, u sakemm l-iskambju jkun lest il-gateway iżomm l-istat tad-dħul għal dik il-prova. Apparati oħra wara l-istess indirizz jaslu waqt li l-ewwel għadu jistenna, u huma jieqfu fil-kju wara limitu li jgħodd l-indirizzi minflok l-utenti. Min barra, is-sintomu huwa numru żgħir ta' utenti li jikkonnettjaw u grupp akbar li jispiċċa ħinu.

Xejn f'dik is-sekwenza mhu ħsara. Il-passaġġ tad-dħul qed jagħmel dak li ġie konfigurat għalih.

Għodd ix-xogħol nofsu miftuħ bħala riżors għalih

strongSwan jifred żewġ popolazzjonijiet: assoċjazzjonijiet li huma stabbiliti għal kollox, u provi li għadhom jikkonnettjaw jew jistennew l-ipproċessar. Il-limitu tal-imblukkar japplika għall-assoċjazzjonijiet nofshom miftuħa attribwiti lil indirizz wieħed tal-pari, u l-limiti tal-cookies japplikaw globalment u għal kull indirizz. Dawk il-kontaturi jipproteġu d-daemon milli jiġi kkunsmat minn xogħol mhux awtentikat, li huwa eżattament il-forma ta' maltemp ta' qbil mill-ġdid. Xejn minn dak l-istat ma jidher fi lista ta' tunnels stabbiliti.

Li taqrahom bħala limitu massimu tas-sessjonijiet tal-impjegati huwa l-iżball li jwassal biex tgħolli kollox f'daqqa. Server li jġorr erba' mitt tunnel stabbilit mhuwiex awtomatikament kapaċi jassorbi erba' mitt ewwel pakkett simultanji, għax iż-żewġ spejjeż jaqgħu f'postijiet differenti.

Il-latenza tal-awtentikazzjoni tiddetermina kemm idum kull prova fil-għadd ta' nofshom miftuħa. Backend li jwieġeb bil-mod ibiddel fqigħ qasir fi kju twil anke meta r-rata tal-wasla tkun moderata.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Aqra s-settings tad-dħul qabel ma tbiddilhom

Sib il-valuri li d-daemon li qed jaħdem effettivament għabba qabel ma tifforma opinjoni dwarhom. Il-konfigurazzjoni spiss tinqasam bejn fajl prinċipali u direttorju ta' frammenti għal kull plugin, għalhekk valur li tistabbilixxi f'post wieħed jista' jiġi sostitwit f'post ieħor. It-tfittxija hawn taħt turi kull fajl li jsemmi dawn is-settings.

Imbagħad iddeċiedi liema numru huwa żgħir wisq. Jekk indirizz wieħed leġittimament jirrappreżenta uffiċċju sħiħ, il-limitu tal-imblukkar għal kull indirizz huwa l-valur li għandu jilqa' dik il-konċentrazzjoni. Limitu globali tal-cookies jipproteġi d-daemon minn għargħar usa' u m'għandux jiġi mrattab għax sit wieħed jerġa' jikkonnettja. Qabbel dak il-valur għal kull indirizz mal-akbar sit li tassew għandek.

Ħalli l-mekkaniżmu tal-cookies attivat. Il-cookies iġiegħlu lill-klijent jipprova li jista' jirċievi fl-indirizz li jallega qabel ma d-daemon jonfoq xogħol reali fl-iskambju, u li tiddiżattivahom mhuwiex titjib tal-kapaċità newtrali. Għolli limitu biss b'rata tal-wasla mkejla u baġit tal-awtentikazzjoni ddikjarat warajh.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Ippjana għar-ritorn, mhux biss għall-istat stabbli

Mira ta' disponibbiltà li tgħodd biss sessjonijiet stabbiliti tiddeskrivi wara nofsinhar kwiet, mhux irkupru. Staqsi minflok kif il-popolazzjoni maħsuba terġa' lura wara avveniment tan-netwerk maqsum, u jekk il-passaġġ tad-dħul jistax jassorbi dik il-forma.

It-tixrid tal-qbil mill-ġdid fuq flotta ġestita spiss jiswa inqas milli tkabbar il-limiti, għax ineħħi l-fqigħ artifiċjali minflok ma tħallas għalih b'mod permanenti. Immonitorja l-istat nofsu miftuħ u l-avvenimenti tad-dħul ħdejn stabbilimenti ta' suċċess, u ttratta għadd nofsu miftuħ li qed jogħla bi suċċessi ċatti bħala twissija bikrija u mhux bħala kurżità.

Ir-referenza tal-fornitur għal dawn is-settings hija d-dokumentazzjoni ta' strongswan.conf, li ssemmi l-kontaturi u l-ħarġa li introduċiet il-limitu tal-cookies għal kull indirizz. Aqra t-taqsima għall-verżjoni installata tiegħek u mhux l-iktar paġna ġdida, għax il-valuri prestabbiliti jiċċaqilqu bejn il-ħarġiet.