Nevihta ponovnih povezav v podružnici: strongSwanove meje sprejema

Opazujte podružnico, ki se vrača po izpadu povezave, in prehod vidi nekaj, kar se običajnega dne nikoli ne pojavi: desetine prenosnikov prispe hkrati z enega javnega naslova. Vsak je zakonita naprava in vsak začne izmenjavo IKE, ki še ni končana. Ali bo ta izbruh uspešen, je odvisno od meja, ki nimajo nič opraviti s tem, koliko zaposlenih lahko strežnik prenese. Izbruh je kratek in je natanko tista obremenitev, za katero je bila zgrajena pot sprejema.

Sledite enemu prenosniku nazaj v omrežje

Odjemalec pošlje začetno zahtevo in čaka, in dokler izmenjava ni končana, prehod hrani stanje sprejema za ta poskus. Druge naprave za istim naslovom prispejo, medtem ko prva še čaka, in postavijo se v vrsto za mejo, ki šteje naslove namesto uporabnikov. Od zunaj je simptom peščica uporabnikov, ki se povežejo, in večja skupina, ki ji poteče čas.

Nič v tem zaporedju ni napaka. Pot sprejema dela tisto, za kar je bila nastavljena.

Štejte napol odprto delo kot lasten vir

strongSwan ločuje dve populaciji: pridružitve, ki so popolnoma vzpostavljene, in poskuse, ki se še povezujejo ali čakajo na obdelavo. Prag blokiranja velja za napol odprte pridružitve, pripisane enemu naslovu partnerja, pragovi piškotkov pa veljajo globalno in za vsak naslov. Ti števci varujejo demona pred porabo zaradi neavtentificiranega dela, kar je natanko oblika nevihte ponovnih povezav. Nič od tega stanja se ne pojavi v seznamu vzpostavljenih tunelov.

Brati jih kot zgornjo mejo zaposlenih sej je napaka, ki vodi k dvigu vsega hkrati. Strežnik, ki nosi štiristo vzpostavljenih tunelov, ni samodejno sposoben vsrkati štiristo hkratnih prvih paketov, ker oba stroška padata na različna mesta.

Zakasnitev avtentikacije odloča, kako dolgo vsak poskus ostane v številu napol odprtih. Počasen zadnji del spremeni kratek izbruh v dolgo vrsto, tudi ko je hitrost prihoda skromna.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Preberite nastavitve sprejema, preden jih spremenite

Poiščite vrednosti, ki jih je tekoči demon dejansko naložil, preden si ustvarite mnenje o njih. Konfiguracija je pogosto razdeljena med glavno datoteko in mapo z odlomki za vsak vtičnik, zato je lahko vrednost, nastavljena na enem mestu, prepisana na drugem. Spodnje iskanje pokaže vsako datoteko, ki omenja te nastavitve.

Nato odločite, katera številka je premajhna. Če en naslov zakonito predstavlja celotno pisarno, je prag blokiranja za naslov vrednost, ki mora sprejeti to koncentracijo. Globalni prag piškotkov varuje demona pred širšo poplavo in ga ne bi smeli omiliti zato, ker se ena lokacija znova poveže. Primerjajte to vrednost za naslov z največjo lokacijo, ki jo dejansko imate.

Pustite mehanizem piškotkov omogočen. Piškotki prisilijo odjemalca, da dokaže, da lahko prejema na navedenem naslovu, preden demon porabi resnično delo za izmenjavo, in njihova izklopitev ni nevtralna nadgradnja zmogljivosti. Dvigujte prag le z izmerjeno hitrostjo prihoda in za njim navedenim proračunom avtentikacije.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Načrtujte vrnitev, ne le ustaljenega stanja

Cilj razpoložljivosti, ki šteje le vzpostavljene seje, opisuje mirno popoldne, ne obnovitve. Vprašajte se namesto tega, kako se predvidena populacija vrne po skupnem omrežnem dogodku in ali lahko pot sprejema vsrka to obliko.

Razporejanje ponovnih povezav po upravljani floti je pogosto cenejše od povečevanja mej, ker odstrani umetni izbruh, namesto da bi zanj trajno plačevali. Spremljajte napol odprto stanje in dogodke sprejema ob uspešnih vzpostavitvah ter naraščajoče število napol odprtih ob ravnih uspehih obravnavajte kot zgodnje opozorilo, ne kot zanimivost.

Referenca dobavitelja za te nastavitve je dokumentacija strongswan.conf, ki poimenuje števce in izdajo, ki je uvedla prag piškotkov za naslov. Berite razdelek za svojo nameščeno različico, ne najnovejše strani, ker se privzete vrednosti med izdajami premikajo.