Олуја поновног повезивања у филијали: strongSwan границе пријема

Гледајте како се филијала враћа после прекида везе и гејтвеј види нешто што се никада не појављује током нормалног дана: десетине лаптопова долазе са једне јавне адресе истовремено. Сваки је легитиман уређај и сваки започиње IKE размену која још није завршена. Да ли ће тај удар успети зависи од ограничења која немају никакве везе са тим колико запослених сервер може носити. Удар је кратак и управо је то радно оптерећење за које је пут пријема направљен.

Пратите један лаптоп назад на мрежу

Клијент шаље почетни захтев и чека, а док се размена не заврши гејтвеј држи стање пријема за тај покушај. Други уређаји иза исте адресе долазе док први још чека и редају се иза ограничења које броји адресе, а не кориснике. Споља, симптом је шачица корисника који се повезују и већа група којој истекне време.

Ништа у том следу није квар. Пут пријема ради оно за шта је конфигурисан.

Бројте полуотворени рад као сопствени ресурс

strongSwan раздваја две популације: асоцијације које су потпуно успостављене и покушаје који се још повезују или чекају обраду. Праг блокирања примењује се на полуотворене асоцијације приписане једној peer адреси, а прагови колачића примењују се глобално и по адреси. Ти бројачи штите демон од трошења неаутентификованим радом, што је управо облик олује поновног повезивања. Ништа од тог стања не појављује се у списку успостављених тунела.

Читати их као горњу границу запосленичких сесија је грешка која води ка подизању свега одједном. Сервер који носи четири стотине успостављених тунела није аутоматски у стању да апсорбује четири стотине истовремених првих пакета, јер два трошка падају на различита места.

Латенција аутентификације одлучује колико дуго сваки покушај остаје у броју полуотворених. Бекенд који одговара споро претвара кратак удар у дуг ред чак и када је стопа доласка скромна.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Прочитајте поставке пријема пре него што их промените

Пронађите вредности које је покренути демон заиста учитао пре него што створите мишљење о њима. Конфигурација је често подељена између главне датотеке и директоријума исечака за сваки plugin, па вредност коју поставите на једном месту може бити надјачана на другом. Претрага испод приказује сваку датотеку која помиње те поставке.

Затим одлучите који је број премали. Ако једна адреса легитимно представља целу канцеларију, праг блокирања по адреси је вредност која мора примити ту концентрацију. Глобални праг колачића штити демон од ширег пљуска и не треба га попуштати зато што се једно место поново повезује. Упоредите ту вредност по адреси са највећим местом које заиста имате.

Оставите механизам колачића укључен. Колачићи терају клијента да докаже да може примати на адреси коју тврди пре него да демон потроши стварни рад на размену, а њихово искључивање није неутрална надоградња капацитета. Подигните праг само са измереном стопом доласка и наведеним буџетом аутентификације иза њега.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Планирајте повратак, а не само стабилно стање

Циљ доступности који броји само успостављене сесије описује мирно поподне, а не опоравак. Питајте уместо тога како се намењена популација враћа после заједничког мрежног догађаја и може ли пут пријема да апсорбује тај облик.

Распоређивање поновног повезивања по управљаној флоти често је јефтиније од повећања ограничења, јер уклања вештачки удар уместо да за њега трајно плаћа. Пратите полуотворено стање и догађаје пријема уз успешна успостављања и третирајте растући број полуотворених уз равне успехе као рано упозорење, а не као занимљивост.

Референца произвођача за те поставке је документација strongswan.conf, која именује бројаче и издање које је увело праг колачића по адреси. Читајте одељак за своју инсталирану верзију, а не најновију страницу, јер се подразумеване вредности мењају између издања.