கிளை அலுவலகத்தில் மறு இணைப்பு புயல்: strongSwan அனுமதி வரம்புகள்

இணைப்பு தோல்விக்குப் பிறகு ஒரு கிளை அலுவலகம் திரும்பி வருவதைப் பாருங்கள், சாதாரண நாளில் ஒருபோதும் தெரியாத ஒன்றை நுழைவாயில் காண்கிறது: டஜன் கணக்கான மடிக்கணினிகள் ஒரே பொது முகவரியிலிருந்து ஒரே நேரத்தில் வருகின்றன. ஒவ்வொன்றும் சட்டபூர்வமான சாதனம், ஒவ்வொன்றும் இன்னும் முடியாத IKE பரிமாற்றத்தைத் தொடங்குகிறது. அந்த வெடிப்பு வெற்றிபெறுமா என்பது சேவையகம் எத்தனை ஊழியர்களைத் தாங்க முடியும் என்பதற்கு எந்தத் தொடர்பும் இல்லாத வரம்புகளைப் பொறுத்தது. வெடிப்பு குறுகியது, அந்த பணிச்சுமையைத் தாங்கவே அனுமதிப் பாதை கட்டப்பட்டது.

ஒரு மடிக்கணினி வலையமைப்புக்குத் திரும்பி வருவதைப் பின்தொடருங்கள்

வாடிக்கையாளர் ஆரம்பக் கோரிக்கையை அனுப்பிக் காத்திருக்கிறார், பரிமாற்றம் முடியும் வரை நுழைவாயில் அந்த முயற்சிக்கான அனுமதி நிலையை வைத்திருக்கிறது. அதே முகவரிக்குப் பின்னால் உள்ள மற்ற சாதனங்கள் முதல் சாதனம் இன்னும் காத்திருக்கும்போது வருகின்றன, அவை பயனர்களை அல்ல, முகவரிகளை எண்ணும் வரம்புக்குப் பின்னால் வரிசையில் நிற்கின்றன. வெளியிலிருந்து அறிகுறி என்னவென்றால், சில பயனர்கள் இணைகிறார்கள், பெரிய குழு நேரம் முடிந்து வெளியேறுகிறது.

அந்த வரிசையில் எதுவும் குறையில்லை. அனுமதிப் பாதை தனக்கு அமைக்கப்பட்டதைச் செய்கிறது.

அரை-திறந்த வேலையை தனி வளமாக எண்ணுங்கள்

strongSwan இரண்டு மக்கள்தொகைகளைப் பிரிக்கிறது: முழுமையாக நிறுவப்பட்ட சங்கங்கள், மற்றும் இன்னும் இணைக்கும் அல்லது செயலாக்கத்திற்காகக் காத்திருக்கும் முயற்சிகள். தடுப்பு வரம்பு ஒரு சக முகவரிக்குக் கூறப்படும் அரை-திறந்த சங்கங்களுக்குப் பொருந்தும், குக்கீ வரம்புகள் உலகளாவிய மற்றும் ஒவ்வொரு முகவரிக்கும் பொருந்தும். அந்த எண்ணிகள் டீமனை அங்கீகரிக்கப்படாத வேலையால் தீர்ந்துபோகாமல் பாதுகாக்கின்றன, அது மறு இணைப்பு புயலின் சரியான வடிவம். அந்த நிலையில் எதுவும் நிறுவப்பட்ட சுரங்கப்பாதைகளின் பட்டியலில்.

அவற்றை ஊழியர் அமர்வுகளின் உச்ச வரம்பாகப் படிப்பது எல்லாவற்றையும் ஒரே நேரத்தில் உயர்த்த வழிவகுக்கும் தவறு. நானூறு நிறுவப்பட்ட சுரங்கப்பாதைகளைச் சுமக்கும் சேவையகம் நானூறு ஒரே நேரத்தில் வரும் முதல் பாக்கெட்டுகளைத் தானாக உறிஞ்ச முடியாது, ஏனெனில் இரண்டு செலவுகளும் வெவ்வேறு இடங்களில் விழுகின்றன.

அங்கீகார தாமதம் ஒவ்வொரு முயற்சியும் அரை-திறந்த எண்ணிக்கையில் எவ்வளவு காலம் இருக்கும் என்பதைத் தீர்மானிக்கிறது. மெதுவாக பதிலளிக்கும் பின்தளம் வருகை விகிதம் மிதமாக இருந்தாலும் குறுகிய வெடிப்பை நீண்ட வரிசையாக மாற்றுகிறது.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

மாற்றுவதற்கு முன் அனுமதி அமைப்புகளைப் படியுங்கள்

இயங்கும் டீமன் உண்மையில் ஏற்றிய மதிப்புகளை அவற்றைப் பற்றி கருத்து உருவாக்கும் முன் கண்டறியுங்கள். கட்டமைப்பு பெரும்பாலும் பிரதான கோப்பு மற்றும் ஒவ்வொரு செருகுநிரலுக்கான துண்டுகளின் அடைவுக்கு இடையே பிரிக்கப்படுகிறது, எனவே ஒரு இடத்தில் அமைக்கப்பட்ட மதிப்பு மற்றொரு இடத்தில் மேலெழுதப்படலாம். கீழேயுள்ள தேடல் இந்த அமைப்புகளைக் குறிப்பிடும் ஒவ்வொரு கோப்பையும் காட்டுகிறது.

பின்னர் எந்த எண் மிகச் சிறியது என்பதைத் தீர்மானியுங்கள். ஒரு முகவரி சட்டபூர்வமாக முழு அலுவலகத்தையும் பிரதிநிதித்துவப்படுத்தினால், ஒவ்வொரு முகவரிக்கான தடுப்பு வரம்பே அந்த செறிவை ஏற்க வேண்டிய மதிப்பு. உலகளாவிய குக்கீ வரம்பு டீமனை பரந்த வெள்ளத்திலிருந்து பாதுகாக்கிறது, ஒரு தளம் மீண்டும் இணைவதால் அது தளர்த்தப்படக்கூடாது. அந்த முகவரி வாரியான மதிப்பை உங்களிடம் உண்மையில் உள்ள மிகப்பெரிய தளத்துடன் ஒப்பிடுங்கள்.

குக்கீ பொறிமுறையை இயக்கத்தில் வைத்திருங்கள். குக்கீகள் வாடிக்கையாளர் தான் கூறும் முகவரியில் பெற முடியும் என்பதை நிரூபிக்க வைக்கின்றன, டீமன் பரிமாற்றத்தில் உண்மையான வேலையைச் செலவழிக்கும் முன், அவற்றை முடக்குவது நடுநிலையான திறன் மேம்பாடு அல்ல. அளவிடப்பட்ட வருகை விகிதம் மற்றும் அதற்குப் பின்னால் அறிவிக்கப்பட்ட அங்கீகார பட்ஜெட் இருந்தால் மட்டுமே வரம்பை உயர்த்துங்கள்.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

நிலையான நிலைக்கு மட்டுமல்ல, திரும்புதலுக்கும் திட்டமிடுங்கள்

நிறுவப்பட்ட அமர்வுகளை மட்டும் எண்ணும் கிடைக்கும் தன்மை இலக்கு அமைதியான பிற்பகலை விவரிக்கிறது, மீட்பை அல்ல. அதற்குப் பதிலாக, பகிரப்பட்ட வலையமைப்பு நிகழ்வுக்குப் பிறகு எதிர்பார்க்கப்பட்ட மக்கள்தொகை எப்படித் திரும்புகிறது, அனுமதிப் பாதை அந்த வடிவத்தை உறிஞ்ச முடியுமா என்று கேளுங்கள்.

நிர்வகிக்கப்பட்ட கடற்படை முழுவதும் மறு இணைப்பைப் பரப்புவது வரம்புகளை விரிவுபடுத்துவதை விட அடிக்கடி மலிவானது, ஏனெனில் அது செயற்கை வெடிப்பை நீக்குகிறது, அதற்காக நிரந்தரமாகச் செலுத்துவதற்குப் பதிலாக. வெற்றிகரமான நிறுவல்களுக்கு அருகில் அரை-திறந்த நிலை மற்றும் அனுமதி நிகழ்வுகளைக் கண்காணியுங்கள், சமதள வெற்றிகளுடன் உயரும் அரை-திறந்த எண்ணிக்கையை ஆர்வம் அல்ல, முன்னெச்சரிக்கையாகக் கருதுங்கள்.

இந்த அமைப்புகளுக்கான விற்பனையாளர் குறிப்பு strongswan.conf ஆவணங்கள் ஆகும், இது எண்ணிகள் மற்றும் ஒவ்வொரு முகவரிக்கான குக்கீ வரம்பை அறிமுகப்படுத்திய வெளியீட்டைப் பெயரிடுகிறது. புதிய பக்கத்தை அல்ல, உங்கள் நிறுவப்பட்ட பதிப்பின் பகுதியைப் படியுங்கள், ஏனெனில் இயல்புநிலைகள் வெளியீடுகளுக்கு இடையே நகர்கின்றன.