Furtuna de reconectare din sucursală: limitele de admitere strongSwan

Priviți o sucursală revenind după o defecțiune a legăturii și gateway-ul vede ceva ce nu apare niciodată într-o zi obișnuită: zeci de laptopuri sosesc simultan de la o singură adresă publică. Fiecare este un dispozitiv legitim și fiecare începe un schimb IKE care nu s-a încheiat încă. Dacă acel val va reuși depinde de limite care nu au nimic de-a face cu câți angajați poate duce serverul. Valul este scurt și este exact încărcătura pentru care a fost construită calea de admitere.

Urmați un laptop care revine în rețea

Clientul trimite o cerere inițială și așteaptă, iar până când schimbul se încheie gateway-ul păstrează starea de admitere pentru acea încercare. Alte dispozitive din spatele aceleiași adrese sosesc în timp ce primul încă așteaptă, și se aliniază în spatele unei limite care numără adrese, nu utilizatori. Din exterior, simptomul este o mână de utilizatori care se conectează și un grup mai mare care expiră.

Nimic din acea succesiune nu este o defecțiune. Calea de admitere face ceea ce a fost configurată să facă.

Numărați munca semi-deschisă ca resursă separată

strongSwan separă două populații: asocieri pe deplin stabilite și încercări care încă se conectează sau așteaptă procesarea. Pragul de blocare se aplică asocierilor semi-deschise atribuite unei adrese de partener, iar pragurile cookie se aplică global și pe adresă. Acești contoare protejează daemonul de a fi consumat de muncă neautentificată, care este exact forma unei furtuni de reconectare. Nimic din acea stare nu apare în o listă de tuneluri stabilite.

A le citi ca un plafon al sesiunilor angajaților este greșeala care duce la creșterea tuturor deodată. Un server care duce patru sute de tuneluri stabilite nu este automat capabil să absoarbă patru sute de prime pachete simultane, pentru că cele două costuri cad în locuri diferite.

Latența de autentificare decide cât timp rămâne fiecare încercare în numărul celor semi-deschise. Un backend care răspunde încet transformă un val scurt într-o coadă lungă chiar și atunci când rata de sosire este modestă.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Citiți setările de admitere înainte de a le schimba

Găsiți valorile pe care daemonul aflat în execuție le-a încărcat efectiv înainte de a vă forma o opinie despre ele. Configurația este adesea împărțită între un fișier principal și un director de fragmente pentru fiecare plugin, așa că o valoare setată într-un loc poate fi suprascrisă în altul. Căutarea de mai jos arată fiecare fișier care menționează aceste setări.

Apoi decideți care număr este prea mic. Dacă o adresă reprezintă în mod legitim un întreg birou, pragul de blocare pe adresă este valoarea care trebuie să acomodeze acea concentrare. Un prag cookie global protejează daemonul de o inundație mai largă și nu ar trebui relaxat pentru că un singur sit se reconectează. Comparați acea valoare pe adresă cu cel mai mare sit pe care îl aveți efectiv.

Lăsați mecanismul cookie activat. Cookie-urile obligă un client să demonstreze că poate primi la adresa pe care o susține înainte ca daemonul să cheltuie muncă reală pe schimb, iar dezactivarea lor nu este o actualizare neutră de capacitate. Creșteți un prag doar cu o rată de sosire măsurată și un buget de autentificare declarat în spate.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Planificați revenirea, nu doar starea stabilă

O țintă de disponibilitate care numără doar sesiunile stabilite descrie o după-amiază liniștită, nu o recuperare. Întrebați în schimb cum revine populația vizată după un eveniment de rețea comun, și dacă calea de admitere poate absorbi acea formă.

Eșalonarea reconectării pe o flotă administrată este adesea mai ieftină decât mărirea limitelor, pentru că elimină valul artificial în loc să plătească permanent pentru el. Monitorizați starea semi-deschisă și evenimentele de admitere lângă stabilirile reușite, și tratați un număr semi-deschis în creștere cu succese plate ca un avertisment timpuriu, nu ca o curiozitate.

Referința producătorului pentru aceste setări este documentația strongswan.conf, care numește contoarele și versiunea care a introdus pragul cookie pe adresă. Citiți secțiunea pentru versiunea instalată, nu pagina cea mai nouă, pentru că valorile implicite se mișcă între versiuni.