Bagyong muling pagkonekta sa sangay: mga limitasyon sa pagtanggap ng strongSwan

Panoorin ang isang sangay na bumabalik pagkatapos ng pagkabigo ng link at ang gateway ay nakakakita ng isang bagay na hindi kailanman lumilitaw sa ordinaryong araw: dose-dosenang laptop ang sabay na dumarating mula sa isang pampublikong address. Bawat isa ay lehitimong device at bawat isa ay nagsisimula ng palitan ng IKE na hindi pa tapos. Kung magtatagumpay ang pagsabog na iyon ay nakasalalay sa mga limitasyong walang kinalaman sa kung ilang empleyado ang kayang dalhin ng server. Ang pagsabog ay maikli, at iyon mismo ang kargada kung saan itinayo ang daan ng pagtanggap.

Sundan ang isang laptop na bumabalik sa network

Nagpapadala ang kliyente ng paunang kahilingan at naghihintay, at hanggang matapos ang palitan ay hinahawakan ng gateway ang kalagayan ng pagtanggap para sa pagtatangkang iyon. Dumarating ang ibang device sa likod ng parehong address habang naghihintay pa ang una, at pumipila sila sa likod ng limitasyong nagbibilang ng address kaysa sa gumagamit. Mula sa labas, ang sintomas ay kaunting gumagamit na kumokonekta at mas malaking grupo na nauubusan ng oras.

Wala sa pagkakasunod-sunod na iyon ang sira. Ginagawa ng daan ng pagtanggap ang itinakda para gawin nito.

Bilangin ang kalahating-bukas na gawain bilang sariling yaman

Hinihiwalay ng strongSwan ang dalawang populasyon: mga asosasyong ganap na naitatag, at mga pagtatangkang kumokonekta pa o naghihintay ng pagproseso. Nalalapat ang limitasyon sa pagharang sa mga kalahating-bukas na asosasyong itinakda sa isang address ng kapares, at ang mga limitasyon sa cookie ay nalalapat sa buong mundo at sa bawat address. Pinoprotektahan ng mga counter na iyon ang daemon mula sa maubos ng hindi na-awtentikang gawain, na siyang eksaktong hugis ng bagyong muling pagkonekta. Wala sa kalagayang iyon ang lumilitaw sa listahan ng mga naitatag na tunnel.

Ang basahin ang mga ito bilang kisame ng mga sesyon ng empleyado ay ang pagkakamaling humahantong sa pagtaas ng lahat nang sabay. Ang server na may dalang apat na raang naitatag na tunnel ay hindi awtomatikong kayang sumipsip ng apat na raang magkasabay na unang packet, dahil ang dalawang gastos ay bumabagsak sa magkaibang lugar.

Ang latensya ng awtentikasyon ang nagtatakda kung gaano katagal nananatili ang bawat pagtatangka sa bilang ng kalahating-bukas. Ang backend na mabagal sumagot ay ginagawang mahabang pila ang maikling pagsabog kahit katamtaman ang bilis ng pagdating.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Basahin ang mga setting ng pagtanggap bago baguhin ang mga ito

Hanapin ang mga halagang aktwal na na-load ng tumatakbong daemon bago bumuo ng opinyon tungkol sa mga ito. Ang konfigurasyon ay madalas na nahahati sa isang pangunahing file at isang direktoryo ng mga piraso sa bawat plugin, kaya ang halagang itinakda mo sa isang lugar ay maaaring ma-override sa iba. Ipinapakita ng paghahanap sa ibaba ang bawat file na nagbabanggit ng mga setting na ito.

Pagkatapos ay magpasya kung aling numero ang masyadong maliit. Kung ang isang address ay lehitimong kumakatawan sa buong opisina, ang limitasyon sa pagharang sa bawat address ang halagang dapat maglaman ng konsentrasyong iyon. Pinoprotektahan ng pandaigdigang limitasyon sa cookie ang daemon mula sa mas malawak na baha at hindi dapat luwagan dahil isang site ang muling kumokonekta. Ihambing ang halagang iyon sa bawat address sa pinakamalaking site na talagang mayroon ka.

Iwanang naka-enable ang mekanismo ng cookie. Pinipilit ng cookie ang kliyente na patunayan na makakatanggap ito sa address na inaangkin bago gumastos ng tunay na gawain ang daemon sa palitan, at ang hindi pagpapagana sa mga ito ay hindi neutral na pag-upgrade ng kapasidad. Taasan lamang ang isang limitasyon kapag may sinusukat na bilis ng pagdating at may nakasaad na badyet ng awtentikasyon sa likod nito.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Planuhin ang pagbabalik, hindi lamang ang matatag na kalagayan

Ang target ng pagkakaroon na nagbibilang lamang ng mga naitatag na sesyon ay naglalarawan ng tahimik na hapon, hindi ng pagbawi. Itanong sa halip kung paano bumabalik ang inaasahang populasyon pagkatapos ng pinagsamang kaganapan sa network, at kung kayang sumipsip ng daan ng pagtanggap ang hugis na iyon.

Ang pagkalat ng muling pagkonekta sa isang pinamamahalaang fleet ay madalas na mas mura kaysa sa pagpapalaki ng mga limitasyon, dahil inaalis nito ang artipisyal na pagsabog sa halip na permanenteng magbayad para dito. Subaybayan ang kalahating-bukas na kalagayan at mga kaganapan sa pagtanggap sa tabi ng matagumpay na pagtatatag, at ituring ang tumataas na bilang ng kalahating-bukas na may patag na tagumpay bilang maagang babala at hindi kakaiba.

Ang sanggunian ng vendor para sa mga setting na ito ay ang dokumentasyon ng strongswan.conf, na nagpangalan sa mga counter at sa release na nagpakilala ng limitasyon sa cookie sa bawat address. Basahin ang seksyon para sa iyong naka-install na bersyon kaysa sa pinakabagong pahina, dahil gumagalaw ang mga default sa pagitan ng mga release.