Şube ofisinde yeniden bağlanma fırtınası: strongSwan kabul sınırları

Bağlantı arızasından sonra bir şubenin geri dönüşünü izleyin ve ağ geçidi normal bir günde hiç görünmeyen bir şey görür: düzinelerce dizüstü bilgisayar tek bir genel adresten aynı anda gelir. Her biri meşru bir cihazdır ve her biri henüz tamamlanmamış bir IKE değişimi başlatır. Bu patlamanın başarılı olup olmayacağı, sunucunun kaç çalışanı taşıyabileceğiyle hiçbir ilgisi olmayan sınırlara bağlıdır. Patlama kısadır ve kabul yolunun hayatta kalmak için inşa edildiği iş yükü tam olarak budur.

Bir dizüstü bilgisayarın ağa geri dönüşünü izleyin

İstemci bir başlangıç isteği gönderir ve bekler, ve değişim tamamlanana kadar ağ geçidi o deneme için kabul durumunu tutar. Aynı adresin arkasındaki diğer cihazlar ilki hâlâ beklerken gelir ve kullanıcıları değil adresleri sayan bir sınırın arkasında sıraya girerler. Dışarıdan belirti, birkaç kullanıcının bağlanması ve daha büyük bir grubun zaman aşımına uğramasıdır.

Bu dizide hiçbir şey arıza değildir. Kabul yolu yapılandırıldığı şeyi yapıyor.

Yarı açık işi kendi kaynağı olarak sayın

strongSwan iki popülasyonu ayırır: tamamen kurulmuş ilişkilendirmeler ve hâlâ bağlanan ya da işlenmeyi bekleyen denemeler. Blok eşiği tek bir eş adresine atfedilen yarı açık ilişkilendirmelere uygulanır ve çerez eşikleri küresel olarak ve her adres için geçerlidir. Bu sayaçlar daemonu kimliği doğrulanmamış iş tarafından tüketilmekten korur, ki bu tam olarak yeniden bağlanma fırtınasının biçimidir. Bu durumun hiçbiri kurulmuş tünellerin listesinde.

Bunları çalışan oturumlarının tavanı olarak okumak, her şeyi birden yükseltmeye yol açan hatadır. Dört yüz kurulmuş tünel taşıyan bir sunucu, otomatik olarak dört yüz eşzamanlı ilk paketi emebilir değildir, çünkü iki maliyet farklı yerlere düşer.

Kimlik doğrulama gecikmesi, her denemenin yarı açık sayısında ne kadar kaldığını belirler. Yavaş yanıt veren bir arka uç, geliş hızı ölçülü olsa bile kısa bir patlamayı uzun bir kuyruğa çevirir.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Kabul ayarlarını değiştirmeden önce okuyun

Çalışan daemonun gerçekte hangi değerleri yüklediğini, onlar hakkında bir görüş oluşturmadan önce bulun. Yapılandırma genellikle bir ana dosya ile her eklenti için parçalar dizini arasında bölünür, bu yüzden bir yerde ayarladığınız değer başka bir yerde geçersiz kılınabilir. Aşağıdaki arama bu ayarlardan söz eden her dosyayı gösterir.

Sonra hangi sayının çok küçük olduğuna karar verin. Bir adres meşru olarak bütün bir ofisi temsil ediyorsa, adres başına blok eşiği bu yoğunluğu barındırması gereken değerdir. Küresel çerez eşiği daemonu daha geniş bir selden korur ve bir site yeniden bağlandı diye gevşetilmemelidir. Bu adres başına değeri gerçekten sahip olduğunuz en büyük siteyle karşılaştırın.

Çerez mekanizmasını etkin tutun. Çerezler bir istemciyi, daemon değişime gerçek iş harcamadan önce iddia ettiği adreste alabileceğini kanıtlamaya zorlar ve bunları devre dışı bırakmak nötr bir kapasite yükseltmesi değildir. Bir eşiği yalnızca ölçülmüş bir geliş hızı ve arkasında beyan edilmiş bir kimlik doğrulama bütçesiyle yükseltin.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Yalnızca kararlı durum için değil, geri dönüş için plan yapın

Yalnızca kurulmuş oturumları sayan bir kullanılabilirlik hedefi sakin bir öğleden sonrayı tanımlar, bir kurtarmayı değil. Bunun yerine, paylaşılan bir ağ olayından sonra amaçlanan popülasyonun nasıl geri döndüğünü ve kabul yolunun bu biçimi emip ememeyeceğini sorun.

Yeniden bağlanmayı yönetilen bir filo genelinde dağıtmak, sınırları büyütmekten genellikle daha ucuzdur, çünkü yapay patlamayı kaldırır, onun için kalıcı olarak ödeme yapmak yerine. Yarı açık durumu ve kabul olaylarını başarılı kurulumların yanında izleyin ve düz başarılarla artan yarı açık sayısını merak değil, erken uyarı olarak görün.

Bu ayarlar için üretici başvurusu strongswan.conf belgeleridir, sayaçları ve adres başına çerez eşiğini getiren sürümü adlandırır. En yeni sayfa yerine kurulu sürümünüzün bölümünü okuyun, çünkü varsayılanlar sürümler arasında hareket eder.