शाखा कार्यालयमा पुनः जडान आँधी: strongSwan का प्रवेश सीमाहरू

लिङ्क विफलतापछि शाखा कार्यालय फर्केर आउँदा हेर्नुहोस्, र गेटवेले सामान्य दिनमा कहिल्यै नदेखिने कुरा देख्छ: दर्जनौं ल्यापटप एउटै सार्वजनिक ठेगानाबाट एकैचोटि आउँछन्। प्रत्येक वैध उपकरण हो र प्रत्येकले अझै नसकिएको IKE आदानप्रदान सुरु गर्छ। त्यो आँधी सफल हुन्छ कि हुँदैन भन्ने सर्भरले कति कर्मचारी बोक्न सक्छ भन्नेसँग कुनै सम्बन्ध नभएका सीमाहरूमा निर्भर गर्छ। आँधी छोटो छ, र प्रवेश मार्ग त्यही कार्यभार सहन निर्माण गरिएको हो।

एउटा ल्यापटप नेटवर्कमा फर्केर आउने क्रम पछ्याउनुहोस्

ग्राहकले सुरुको अनुरोध पठाउँछ र पर्खन्छ, र आदानप्रदान पूरा नहुँदासम्म गेटवेले त्यो प्रयासका लागि प्रवेश अवस्था राख्छ। एउटै ठेगाना पछाडिका अन्य उपकरणहरू पहिलो अझै पर्खिरहेको बेला आउँछन्, र तिनीहरू प्रयोगकर्ताको सट्टा ठेगाना गन्ने सीमापछाडि लाइनमा उभिन्छन्। बाहिरबाट लक्षण केही प्रयोगकर्ता जोडिनु र ठूलो समूहको समय सकिनु हो।

त्यो क्रममा केही पनि खराबी होइन। प्रवेश मार्ग आफूलाई कन्फिगर गरिएको काम गर्दै छ।

अर्ध-खुला कामलाई छुट्टै स्रोतका रूपमा गन्नुहोस्

strongSwan ले दुई जनसंख्यालाई छुट्याउँछ: पूर्ण रूपमा स्थापित संघहरू, र अझै जोडिइरहेका वा प्रशोधनको प्रतीक्षामा रहेका प्रयासहरू। ब्लक थ्रेसहोल्ड एउटा पियर ठेगानालाई तोकिएका अर्ध-खुला संघहरूमा लागू हुन्छ, र कुकी थ्रेसहोल्डहरू विश्वव्यापी र प्रत्येक ठेगानामा लागू हुन्छन्। ती काउन्टरहरूले डेमनलाई अप्रमाणित कामले सकिनबाट जोगाउँछन्, जुन ठ्याक्कै पुनः जडान आँधीको आकार हो। त्यो अवस्थामध्ये केही पनि स्थापित सुरुङहरूको सूचीमा.

तिनलाई कर्मचारी सत्रको माथिल्लो सीमाका रूपमा पढ्नु नै सबै कुरा एकैचोटि बढाउन डोर्याउने गल्ती हो। चार सय स्थापित सुरुङ बोक्ने सर्भर स्वतः चार सय एकैचोटि आउने पहिलो प्याकेट सोस्न सक्दैन, किनकि दुई लागत फरक ठाउँमा पर्छन्।

प्रमाणीकरण ढिलाइले प्रत्येक प्रयास अर्ध-खुला गणनामा कति बस्छ भन्ने निर्धारण गर्छ। ढिलो जवाफ दिने ब्याकएन्डले आगमन दर सामान्य हुँदा पनि छोटो आँधीलाई लामो लाइनमा बदल्छ।

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

प्रवेश सेटिङहरू परिवर्तन गर्नु अघि पढ्नुहोस्

चलिरहेको डेमनले वास्तवमै कुन मानहरू लोड गर्‍यो भनी तिनका बारेमा धारणा बनाउनु अघि पत्ता लगाउनुहोस्। कन्फिगरेसन प्रायः मुख्य फाइल र प्रत्येक प्लगइनका टुक्राहरूको डाइरेक्टरीबीच विभाजित हुन्छ, त्यसैले एक ठाउँमा सेट गरिएको मान अर्को ठाउँमा ओभरराइड हुन सक्छ। तलको खोजीले यी सेटिङ उल्लेख गर्ने हरेक फाइल देखाउँछ।

त्यसपछि कुन संख्या धेरै सानो छ निर्णय गर्नुहोस्। यदि एउटा ठेगानाले वैध रूपमा पूरै कार्यालय प्रतिनिधित्व गर्छ भने, प्रति-ठेगाना ब्लक थ्रेसहोल्ड नै त्यो एकाग्रता समेट्नुपर्ने मान हो। विश्वव्यापी कुकी थ्रेसहोल्डले डेमनलाई फराकिलो बाढीबाट जोगाउँछ र एउटा साइट पुनः जोडिन्छ भनेर यसलाई खुकुलो गर्नु हुँदैन। त्यो प्रति-ठेगाना मानलाई तपाईंसँग वास्तवमै भएको सबैभन्दा ठूलो साइटसँग तुलना गर्नुहोस्।

कुकी संयन्त्र सक्षम राख्नुहोस्। कुकीहरूले ग्राहकलाई डेमनले आदानप्रदानमा वास्तविक काम खर्च गर्नु अघि आफ्नो दाबी गरिएको ठेगानामा प्राप्त गर्न सक्ने प्रमाण दिन बाध्य पार्छ, र तिनलाई बन्द गर्नु तटस्थ क्षमता सुधार होइन। मापन गरिएको आगमन दर र त्यसपछि घोषित प्रमाणीकरण बजेट भएमा मात्र थ्रेसहोल्ड बढाउनुहोस्।

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

स्थिर अवस्थाका लागि मात्र होइन, फिर्तीका लागि पनि योजना बनाउनुहोस्

केवल स्थापित सत्र गन्ने उपलब्धता लक्ष्यले शान्त दिउँसोको वर्णन गर्छ, पुनःप्राप्तिको होइन। बरु, साझा नेटवर्क घटनापछि इच्छित जनसंख्या कसरी फर्कन्छ र प्रवेश मार्गले त्यो आकार सोस्न सक्छ कि भनी सोध्नुहोस्।

व्यवस्थित फ्लीटभरि पुनः जडान छर्नु सीमा ठूलो बनाउनुभन्दा प्रायः सस्तो हुन्छ, किनकि यसले कृत्रिम आँधी हटाउँछ, त्यसका लागि सधैं तिर्नुको सट्टा। सफल स्थापनाका साथै अर्ध-खुला अवस्था र प्रवेश घटनाहरू निगरानी गर्नुहोस्, र समतल सफलतासँग बढ्दो अर्ध-खुला गणनालाई जिज्ञासा होइन, प्रारम्भिक चेतावनी मान्नुहोस्।

यी सेटिङका लागि विक्रेताको सन्दर्भ strongswan.conf कागजात हो, जसले काउन्टरहरू र प्रति-ठेगाना कुकी थ्रेसहोल्ड ल्याउने संस्करणको नाम दिन्छ। नयाँ पृष्ठ होइन, तपाईंको स्थापित संस्करणको खण्ड पढ्नुहोस्, किनकि पूर्वनिर्धारित मान संस्करणहरूबीच सर्छन्।