برانچ دفتر میں دوبارہ رابطے کا طوفان: strongSwan کے داخلے کی حدیں

لنک کی ناکامی کے بعد برانچ دفتر کو واپس آتے دیکھیں، اور گیٹ وے کو کچھ ایسا نظر آتا ہے جو عام دن میں کبھی نہیں دکھائی دیتا: درجنوں لیپ ٹاپ ایک ہی عوامی پتے سے ایک ساتھ آتے ہیں۔ ہر ایک جائز آلہ ہے اور ہر ایک ایسا IKE تبادلہ شروع کرتا ہے جو ابھی مکمل نہیں ہوا۔ یہ طوفان کامیاب ہوگا یا نہیں، یہ ایسی حدوں پر منحصر ہے جن کا سرور کتنے ملازمین اٹھا سکتا ہے سے کوئی تعلق نہیں۔ طوفان مختصر ہے، اور داخلے کا راستہ اسی بوجھ کو برداشت کرنے کے لیے بنایا گیا ہے۔

ایک لیپ ٹاپ کے نیٹ ورک میں واپس آنے کا پیچھا کریں

کلائنٹ ابتدائی درخواست بھیج کر انتظار کرتا ہے، اور جب تک تبادلہ مکمل نہ ہو گیٹ وے اس کوشش کے لیے داخلے کی حالت رکھتا ہے۔ اسی پتے کے پیچھے موجود دیگر آلات اس وقت آتے ہیں جب پہلا ابھی انتظار کر رہا ہوتا ہے، اور وہ ایسی حد کے پیچھے قطار میں کھڑے ہوتے ہیں جو صارفین کی بجائے پتے گنتی ہے۔ باہر سے علامت یہ ہے کہ چند صارفین جڑتے ہیں اور بڑا گروہ وقت ختم ہونے پر باہر ہو جاتا ہے۔

اس ترتیب میں کچھ بھی خرابی نہیں۔ داخلے کا راستہ وہی کر رہا ہے جس کے لیے اسے ترتیب دیا گیا تھا۔

نیم کھلے کام کو اپنا الگ وسیلہ گنیں

strongSwan دو آبادیوں کو الگ کرتا ہے: مکمل طور پر قائم شدہ انجمنیں، اور ایسی کوششیں جو ابھی جڑ رہی ہیں یا کارروائی کا انتظار کر رہی ہیں۔ بلاک کی حد ایک ساتھی پتے سے منسوب نیم کھلی انجمنوں پر لاگو ہوتی ہے، اور کوکی کی حدیں عالمی اور ہر پتے پر لاگو ہوتی ہیں۔ یہ کاؤنٹر ڈیمن کو غیر تصدیق شدہ کام سے ختم ہونے سے بچاتے ہیں، جو دوبارہ رابطے کے طوفان کی عین شکل ہے۔ اس حالت میں سے کچھ بھی قائم شدہ ٹنل کی فہرست میں.

انہیں ملازمین کے سیشنوں کی بالائی حد کے طور پر پڑھنا وہ غلطی ہے جو سب کچھ ایک ساتھ بڑھانے کی طرف لے جاتی ہے۔ چار سو قائم شدہ ٹنل اٹھانے والا سرور خود بخود چار سو بیک وقت آنے والے پہلے پیکٹ جذب نہیں کر سکتا، کیونکہ دونوں لاگتیں الگ الگ جگہوں پر پڑتی ہیں۔

تصدیق کی تاخیر طے کرتی ہے کہ ہر کوشش نیم کھلی گنتی میں کتنی دیر رہتی ہے۔ آہستہ جواب دینے والا بیک اینڈ آمد کی رفتار معمولی ہونے پر بھی مختصر طوفان کو لمبی قطار بنا دیتا ہے۔

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

داخلے کی ترتیبات بدلنے سے پہلے پڑھیں

چل رہے ڈیمن نے واقعی کون سی قدریں لوڈ کی ہیں، ان کے بارے میں رائے بنانے سے پہلے تلاش کریں۔ ترتیب اکثر ایک مرکزی فائل اور ہر پلگ ان کے ٹکڑوں کی ڈائریکٹری میں تقسیم ہوتی ہے، اس لیے ایک جگہ مقرر کردہ قدر دوسری جگہ اوور رائیڈ ہو سکتی ہے۔ نیچے کی تلاش ان ترتیبات کا ذکر کرنے والی ہر فائل دکھاتی ہے۔

پھر طے کریں کہ کون سا عدد بہت چھوٹا ہے۔ اگر ایک پتہ جائز طور پر پورے دفتر کی نمائندگی کرتا ہے، تو فی پتہ بلاک کی حد وہ قدر ہے جسے یہ ارتکاز سمیٹنا ہوگا۔ عالمی کوکی کی حد ڈیمن کو زیادہ وسیع سیلاب سے بچاتی ہے اور کسی ایک سائٹ کے دوبارہ جڑنے پر اسے نرم نہیں کرنا چاہیے۔ اس فی پتہ قدر کا موازنہ اس سب سے بڑی سائٹ سے کریں جو واقعی آپ کے پاس ہے۔

کوکی میکانزم کو فعال رکھیں۔ کوکیاں کلائنٹ کو مجبور کرتی ہیں کہ وہ ثابت کرے کہ اپنے دعویٰ کردہ پتے پر وصول کر سکتا ہے، اس سے پہلے کہ ڈیمن تبادلے پر حقیقی کام خرچ کرے، اور انہیں بند کرنا غیر جانبدارانہ صلاحیت کی اپ گریڈ نہیں ہے۔ حد صرف اسی صورت بڑھائیں جب ناپی گئی آمد کی رفتار اور اس کے پیچھے اعلان شدہ تصدیق کا بجٹ ہو۔

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

واپسی کے لیے منصوبہ بنائیں، صرف مستحکم حالت کے لیے نہیں

ایسا دستیابی ہدف جو صرف قائم شدہ سیشن گنتا ہے وہ پرسکون دوپہر بیان کرتا ہے، بحالی نہیں۔ اس کے بجائے پوچھیں کہ مشترکہ نیٹ ورک واقعے کے بعد مطلوبہ آبادی کیسے واپس آتی ہے اور کیا داخلے کا راستہ اس شکل کو جذب کر سکتا ہے۔

منظم بیڑے میں دوبارہ رابطے کو پھیلانا حدوں کو بڑا کرنے سے اکثر سستا ہوتا ہے، کیونکہ یہ مصنوعی طوفان ہٹا دیتا ہے، اس کے لیے ہمیشہ ادائیگی کرنے کے بجائے۔ کامیاب قیام کے ساتھ ساتھ نیم کھلی حالت اور داخلے کے واقعات کی نگرانی کریں، اور ہموار کامیابیوں کے ساتھ بڑھتی نیم کھلی گنتی کو تجسس نہیں، ابتدائی انتباہ مانیں۔

ان ترتیبات کے لیے وینڈر کا حوالہ strongswan.conf کی دستاویزات ہے، جو کاؤنٹروں اور اس ورژن کا نام دیتا ہے جس نے فی پتہ کوکی حد متعارف کرائی۔ جدید ترین صفحے کی بجائے اپنے نصب شدہ ورژن کا حصہ پڑھیں، کیونکہ ڈیفالٹ ورژنوں کے درمیان بدلتے ہیں۔