Stuhia e rilidhjes në degën e zyrës: kufijtë e pranimit të strongSwan

Shikoni një degë që kthehet pas një dështimi lidhjeje dhe porta sheh diçka që nuk shfaqet kurrë në një ditë normale: dhjetëra laptopë vijnë njëherësh nga një adresë publike e vetme. Secili është pajisje legjitime dhe secili nis një shkëmbim IKE që nuk ka përfunduar ende. Nëse ai shpërthim do të ketë sukses varet nga kufij që nuk kanë asnjë lidhje me atë se sa punonjës mund të mbajë serveri. Shpërthimi është i shkurtër, dhe është pikërisht ngarkesa për të cilën u ndërtua rruga e pranimit.

Ndiqni një laptop që kthehet në rrjet

Klienti dërgon një kërkesë fillestare dhe pret, dhe derisa shkëmbimi të përfundojë porta mban gjendjen e pranimit për atë përpjekje. Pajisjet e tjera pas të njëjtës adresë vijnë ndërsa e para ende pret, dhe ato rreshtohen pas një kufiri që numëron adresa dhe jo përdorues. Nga jashtë, simptomi është një grusht përdoruesish që lidhen dhe një grup më i madh që i skadon koha.

Asgjë në atë sekuencë nuk është defekt. Rruga e pranimit bën atë për të cilën është konfiguruar.

Numëroni punën gjysmë të hapur si burim më vete

strongSwan ndan dy popullata: shoqatat plotësisht të vendosura dhe përpjekjet që ende lidhen ose presin përpunim. Pragu i bllokimit zbatohet për shoqatat gjysmë të hapura që i atribuohen një adrese partneri, dhe pragjet e cookie zbatohen globalisht dhe për çdo adresë. Këta numërues mbrojnë daemonin nga konsumimi nga puna e paautentikuar, që është pikërisht forma e një stuhie rilidhjeje. Asgjë nga kjo gjendje nuk shfaqet në një listë të tuneleve të vendosura.

T'i lexosh si një tavan i sesioneve të punonjësve është gabimi që të çon në ngritjen e gjithçkaje njëherësh. Një server që mban katërqind tunele të vendosura nuk është automatikisht në gjendje të thithë katërqind paketa të para të njëkohshme, sepse dy kostot bien në vende të ndryshme.

Vonesa e autentikimit përcakton sa kohë mbetet çdo përpjekje në numrin e gjysmë të hapura. Një backend që përgjigjet ngadalë e kthen një shpërthim të shkurtër në një radhë të gjatë edhe kur shkalla e mbërritjes është e moderuar.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Lexoni cilësimet e pranimit përpara se t'i ndryshoni

Gjeni vlerat që daemoni në punë ka ngarkuar vërtet përpara se të formoni një mendim për to. Konfigurimi shpesh ndahet midis një skedari kryesor dhe një drejtorie fragmentesh për çdo plugin, kështu që një vlerë e vendosur në një vend mund të mbivendoset në një tjetër. Kërkimi më poshtë tregon çdo skedar që përmend këto cilësime.

Pastaj vendosni cili numër është shumë i vogël. Nëse një adresë përfaqëson ligjërisht një zyrë të tërë, pragu i bllokimit për adresë është vlera që duhet të përshtatë atë përqendrim. Një prag global cookie mbron daemonin nga një përmbytje më e gjerë dhe nuk duhet të lehtësohet sepse një faqe rilidhet. Krahasoni atë vlerë për adresë me faqen më të madhe që keni vërtet.

Lëreni mekanizmin e cookie të aktivizuar. Cookie-t e detyrojnë klientin të provojë se mund të pranojë në adresën që pretendon përpara se daemoni të shpenzojë punë të vërtetë në shkëmbim, dhe çaktivizimi i tyre nuk është një përmirësim neutral i kapacitetit. Ngrini një prag vetëm me një shkallë mbërritjeje të matur dhe një buxhet autentikimi të deklaruar pas tij.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Planifikoni kthimin, jo vetëm gjendjen e qëndrueshme

Një objektiv disponueshmërie që numëron vetëm sesionet e vendosura përshkruan një pasdite të qetë, jo një rikuperim. Pyesni në vend të kësaj se si popullata e synuar kthehet pas një ngjarjeje të përbashkët rrjeti, dhe nëse rruga e pranimit mund ta thithë atë formë.

Shpërndarja e rilidhjes në një flotë të menaxhuar është shpesh më e lirë sesa zgjerimi i kufijve, sepse heq shpërthimin artificial në vend që të paguajë për të përgjithmonë. Monitoroni gjendjen gjysmë të hapur dhe ngjarjet e pranimit pranë vendosjeve të suksesshme, dhe trajtoni një numërim gjysmë të hapur në rritje me suksese të sheshta si një paralajmërim të hershëm dhe jo si një kuriozitet.

Referenca e shitësit për këto cilësime është dokumentacioni i strongswan.conf, i cili emërton numëruesit dhe versionin që prezantoi pragun e cookie për adresë. Lexoni seksionin për versionin tuaj të instaluar dhe jo faqen më të re, sepse vlerat e parazgjedhura lëvizin midis versioneve.