พายุการเชื่อมต่อใหม่ในสาขา: ขีดจำกัดการรับของ strongSwan

ดูสาขากลับมาหลังลิงก์ล้มเหลว และเกตเวย์เห็นสิ่งที่ไม่เคยปรากฏในวันปกติ: แล็ปท็อปหลายสิบเครื่องมาพร้อมกันจากที่อยู่สาธารณะเดียว แต่ละเครื่องเป็นอุปกรณ์ที่ชอบด้วยกฎหมาย และแต่ละเครื่องเริ่มการแลกเปลี่ยน IKE ที่ยังไม่เสร็จ การที่พายุนั้นจะสำเร็จหรือไม่ขึ้นอยู่กับขีดจำกัดที่ไม่เกี่ยวข้องกับจำนวนพนักงานที่เซิร์ฟเวอร์รับได้ พายุสั้น และเป็นภาระงานที่เส้นทางการรับถูกสร้างมาเพื่อรองรับ

ติดตามแล็ปท็อปหนึ่งเครื่องที่กลับเข้าสู่เครือข่าย

ไคลเอนต์ส่งคำขอเริ่มต้นและรอ และจนกว่าการแลกเปลี่ยนจะเสร็จ เกตเวย์เก็บสถานะการรับไว้สำหรับความพยายามนั้น อุปกรณ์อื่นหลังที่อยู่เดียวกันมาถึงขณะที่เครื่องแรกยังรอ และเข้าคิวหลังขีดจำกัดที่นับที่อยู่แทนผู้ใช้ จากภายนอก อาการคือผู้ใช้จำนวนหนึ่งเชื่อมต่อได้และกลุ่มที่ใหญ่กว่าหมดเวลา

ไม่มีสิ่งใดในลำดับนั้นเป็นข้อบกพร่อง เส้นทางการรับทำสิ่งที่ถูกกำหนดค่าไว้

นับงานครึ่งเปิดเป็นทรัพยากรของตัวเอง

strongSwan แยกประชากรสองกลุ่ม: สมาคมที่สร้างเสร็จสมบูรณ์ และความพยายามที่ยังเชื่อมต่อหรือรอการประมวลผล ขีดจำกัดการบล็อกใช้กับสมาคมครึ่งเปิดที่กำหนดให้ที่อยู่เพียร์เดียว และขีดจำกัดคุกกี้ใช้ทั่วโลกและต่อที่อยู่ ตัวนับเหล่านั้นปกป้องดีมอนจากการถูกใช้จนหมดด้วยงานที่ไม่ผ่านการรับรอง ซึ่งเป็นรูปร่างของการเชื่อมต่อใหม่พอดี ไม่มีสถานะนั้นปรากฏใน รายการอุโมงค์ที่สร้างเสร็จ.

การอ่านว่าเป็นเพดานของเซสชันพนักงานคือข้อผิดพลาดที่นำไปสู่การเพิ่มทุกอย่างพร้อมกัน เซิร์ฟเวอร์ที่รองรับอุโมงค์ที่สร้างเสร็จสี่ร้อยอุโมงค์ไม่ได้สามารถดูดซับแพ็กเก็ตแรกสี่ร้อยแพ็กเก็ตพร้อมกันได้โดยอัตโนมัติ เพราะต้นทุนสองอย่างตกอยู่คนละที่

ความหน่วงในการรับรองเป็นตัวกำหนดว่าแต่ละความพยายามอยู่ในจำนวนครึ่งเปิดนานเท่าใด แบ็กเอนด์ที่ตอบช้าจะเปลี่ยนพายุสั้นให้เป็นคิวยาว แม้อัตราการมาถึงจะพอประมาณ

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

อ่านการตั้งค่าการรับก่อนจะเปลี่ยน

หาค่าที่ดีมอนที่กำลังทำงานโหลดจริงก่อนจะสร้างความเห็นเกี่ยวกับค่าเหล่านั้น การกำหนดค่ามักแบ่งระหว่างไฟล์หลักและไดเรกทอรีของชิ้นส่วนต่อปลั๊กอิน ดังนั้นค่าที่ตั้งไว้ที่หนึ่งอาจถูกเขียนทับที่อื่น การค้นหาด้านล่างแสดงทุกไฟล์ที่กล่าวถึงการตั้งค่าเหล่านี้

จากนั้นตัดสินว่าตัวเลขใดเล็กเกินไป หากที่อยู่หนึ่งแทนสำนักงานทั้งแห่งโดยชอบ ขีดจำกัดการบล็อกต่อที่อยู่คือค่าที่ต้องรองรับความเข้มข้นนั้น ขีดจำกัดคุกกี้ทั่วโลกปกป้องดีมอนจากน้ำท่วมที่กว้างกว่า และไม่ควรผ่อนเพราะไซต์หนึ่งเชื่อมต่อใหม่ เปรียบเทียบค่าต่อที่อยู่นั้นกับไซต์ที่ใหญ่ที่สุดที่คุณมีจริง

เปิดกลไกคุกกี้ไว้ คุกกี้บังคับให้ไคลเอนต์พิสูจน์ว่าสามารถรับได้ที่ที่อยู่ที่อ้างก่อนดีมอนจะใช้ทำงานจริงกับการแลกเปลี่ยน และการปิดไม่ใช่การอัปเกรดความจุที่เป็นกลาง เพิ่มขีดจำกัดเฉพาะเมื่อมีอัตราการมาถึงที่วัดได้และงบประมาณการรับรองที่ประกาศไว้ข้างหลัง

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

วางแผนสำหรับการกลับมา ไม่ใช่แค่สภาวะคงที่

เป้าหมายความพร้อมใช้งานที่นับเฉพาะเซสชันที่สร้างเสร็จอธิบายบ่ายที่เงียบสงบ ไม่ใช่การกู้คืน ถามแทนว่าประชากรที่ตั้งใจไว้กลับมาอย่างไรหลังเหตุการณ์เครือข่ายที่ใช้ร่วมกัน และเส้นทางการรับสามารถดูดซับรูปร่างนั้นได้หรือไม่

การกระจายการเชื่อมต่อใหม่ทั่วทั้งฟลีตที่จัดการมักถูกกว่าการขยายขีดจำกัด เพราะมันลบพายุเทียมออกแทนที่จะจ่ายเพื่อมันตลอดไป ติดตามสถานะครึ่งเปิดและเหตุการณ์การรับข้างๆ การสร้างที่สำเร็จ และถือจำนวนครึ่งเปิดที่เพิ่มขึ้นพร้อมความสำเร็จที่ราบเรียบเป็นสัญญาณเตือนล่วงหน้า ไม่ใช่ความแปลก

เอกสารอ้างอิงของผู้ขายสำหรับการตั้งค่าเหล่านี้คือ เอกสาร strongswan.conf ซึ่งระบุชื่อตัวนับและรุ่นที่แนะนำขีดจำกัดคุกกี้ต่อที่อยู่ อ่านส่วนสำหรับเวอร์ชันที่คุณติดตั้งแทนหน้าล่าสุด เพราะค่าเริ่มต้นเคลื่อนที่ระหว่างรุ่น