Dhoruba ya kuunganisha tena katika ofisi ya tawi: mipaka ya udahili ya strongSwan

Tazama tawi linaporejea baada ya hitilafu ya kiungo na lango huona kitu ambacho hakionekani kamwe siku ya kawaida: makumi ya kompyuta mpakato hufika kwa wakati mmoja kutoka anwani moja ya umma. Kila moja ni kifaa halali na kila moja huanzisha mabadilishano ya IKE ambayo hayajakamilika bado. Ikiwa mlipuko huo utafanikiwa inategemea mipaka ambayo haina uhusiano wowote na wafanyakazi wangapi seva inaweza kubeba. Mlipuko ni mfupi, na ni mzigo huo hasa ambao njia ya udahili ilijengwa kuuvumilia.

Fuatilia kompyuta mpakato moja inaporejea kwenye mtandao

Mteja hutuma ombi la awali na kusubiri, na hadi mabadilishano yakamilike lango hushikilia hali ya udahili kwa jaribio hilo. Vifaa vingine nyuma ya anwani hiyo hiyo hufika wakati kile cha kwanza bado kinasubiri, na wao hupanga foleni nyuma ya kikomo kinachohesabu anwani badala ya watumiaji. Kutoka nje, dalili ni watumiaji wachache wanaoungana na kundi kubwa zaidi ambalo muda wake unaisha.

Hakuna kitu katika mfuatano huo ni hitilafu. Njia ya udahili inafanya kile ilichosanidiwa kufanya.

Hesabu kazi nusu-wazi kama rasilimali yake yenyewe

strongSwan hutenganisha makundi mawili: vyama vilivyoanzishwa kikamilifu, na majaribio ambayo bado yanaunganisha au yanasubiri kuchakatwa. Kizingiti cha kuzuia kinatumika kwa vyama nusu-wazi vinavyohusishwa na anwani moja ya mwenzake, na vizingiti vya vidakuzi vinatumika kimataifa na kwa kila anwani. Vihesabu hivyo hulinda daemon dhidi ya kutumiwa na kazi isiyothibitishwa, ambayo ni umbo hasa la dhoruba ya kuunganisha tena. Hakuna kitu cha hali hiyo kinachoonekana katika orodha ya vichuguu vilivyoanzishwa.

Kuzisoma kama kikomo cha juu cha vikao vya wafanyakazi ni kosa linaloongoza kwa kuongeza kila kitu kwa wakati mmoja. Seva inayobeba vichuguu mia nne vilivyoanzishwa haiwezi moja kwa moja kunyonya pakiti mia nne za kwanza kwa wakati mmoja, kwa sababu gharama hizo mbili huangukia mahali tofauti.

Ucheleweshaji wa uthibitishaji huamua kila jaribio linabaki kwa muda gani katika hesabu ya nusu-wazi. Backend inayojibu polepole hubadilisha mlipuko mfupi kuwa foleni ndefu hata wakati kasi ya kuwasili ni ya wastani.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Soma mipangilio ya udahili kabla ya kuibadilisha

Pata thamani ambazo daemon inayoendesha imepakia kweli kabla ya kuunda maoni kuzihusu. Usanidi mara nyingi hugawanywa kati ya faili kuu na saraka ya vipande kwa kila programu-jalizi, kwa hivyo thamani unayoweka mahali pamoja inaweza kubatilishwa mahali pengine. Utafutaji hapa chini unaonyesha kila faili linalotaja mipangilio hii.

Kisha amua ni nambari ipi ni ndogo mno. Ikiwa anwani moja inawakilisha ofisi nzima kwa halali, kizingiti cha kuzuia kwa kila anwani ndicho thamani ambayo lazima ibebe mkusanyiko huo. Kizingiti cha vidakuzi cha kimataifa hulinda daemon dhidi ya mafuriko mapana na hakipaswi kulegezwa kwa sababu tovuti moja inaunganisha tena. Linganisha thamani hiyo kwa kila anwani na tovuti kubwa zaidi unayo kweli.

Acha utaratibu wa vidakuzi ukiwa umewezeshwa. Vidakuzi hulazimisha mteja kuthibitisha kwamba anaweza kupokea katika anwani anayodai kabla daemon kutumia kazi halisi kwenye mabadilishano, na kuzizima si uboreshaji wa uwezo usio na upande. Ongeza kizingiti tu kwa kasi ya kuwasili iliyopimwa na bajeti ya uthibitishaji iliyotangazwa nyuma yake.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Panga kwa ajili ya kurudi, si hali tulivu tu

Lengo la upatikanaji linalohesabu vikao vilivyoanzishwa tu linaelezea mchana tulivu, si urejeshaji. Badala yake uliza jinsi idadi iliyokusudiwa inavyorudi baada ya tukio la mtandao lililoshirikiwa, na ikiwa njia ya udahili inaweza kunyonya umbo hilo.

Kusambaza kuunganisha tena kwenye meli inayosimamiwa mara nyingi ni rahisi zaidi kuliko kupanua mipaka, kwa sababu huondoa mlipuko wa bandia badala ya kuulipia daima. Fuatilia hali nusu-wazi na matukio ya udahili kando na uanzishaji uliofanikiwa, na chukua hesabu inayoongezeka ya nusu-wazi pamoja na mafanikio tulivu kama tahadhari ya mapema badala ya ajabu.

Rejeleo la muuzaji kwa mipangilio hii ni nyaraka za strongswan.conf, ambazo hutaja vihesabu na toleo lililoanzisha kizingiti cha vidakuzi kwa kila anwani. Soma sehemu ya toleo lako lililosakinishwa badala ya ukurasa mpya zaidi, kwa sababu chaguo-msingi huhamia kati ya matoleo.