Filial ofisida qayta ulanish bo'roni: strongSwan qabul chegaralari

Aloqa uzilishidan keyin filialning qaytishini kuzating, va shlyuz oddiy kunda hech qachon ko'rinmaydigan narsani ko'radi: o'nlab noutbuklar bir vaqtning o'zida bitta ommaviy manzildan keladi. Har biri qonuniy qurilma va har biri hali tugamagan IKE almashinuvini boshlaydi. Bu portlash muvaffaqiyatli bo'ladimi, server qancha xodimni ko'tara olishiga hech qanday aloqasi yo'q chegaralarga bog'liq. Portlash qisqa, va qabul yo'li aynan shu yuklamaga bardosh berish uchun qurilgan.

Bitta noutbukning tarmoqqa qaytishini kuzatib boring

Mijoz boshlang'ich so'rov yuboradi va kutadi, va almashinuv tugamaguncha shlyuz o'sha urinish uchun qabul holatini saqlaydi. Xuddi shu manzil ortidagi boshqa qurilmalar birinchisi hali kutayotganda keladi va ular foydalanuvchilarni emas, manzillarni sanaydigan chegara ortida navbatga turadi. Tashqaridan alomat shundan iborat: bir necha foydalanuvchi ulanadi, kattaroq guruh esa vaqti tugab chiqib ketadi.

Bu ketma-ketlikda hech narsa nosozlik emas. Qabul yo'li o'zi sozlangan ishni qilmoqda.

Yarim ochiq ishni alohida resurs sifatida hisoblang

strongSwan ikki populyatsiyani ajratadi: to'liq o'rnatilgan assotsiatsiyalar va hali ulanayotgan yoki ishlovni kutayotgan urinishlar. Bloklash chegarasi bitta tengdosh manziliga tegishli yarim ochiq assotsiatsiyalarga qo'llaniladi, cookie chegaralari esa global va har bir manzil bo'yicha qo'llaniladi. Bu hisoblagichlar daemonni autentifikatsiya qilinmagan ish bilan tugab qolishdan himoya qiladi, va bu aynan qayta ulanish bo'ronining shakli. Bu holatdan hech narsa o'rnatilgan tunnellar ro'yxatida.

Ularni xodimlar sessiyalarining yuqori chegarasi deb o'qish hamma narsani bir vaqtda oshirishga olib keladigan xatodir. To'rt yuz o'rnatilgan tunnelni ko'tarayotgan server to'rt yuz bir vaqtda kelgan birinchi paketni avtomatik ravishda singdira olmaydi, chunki ikki xarajat turli joylarga tushadi.

Autentifikatsiya kechikishi har bir urinishning yarim ochiqlar sonida qancha qolishini belgilaydi. Sekin javob beradigan backend kelish tezligi kamtar bo'lsa ham qisqa portlashni uzoq navbatga aylantiradi.

swanctl --stats
swanctl --list-sas | grep -c ESTABLISHED

Qabul sozlamalarini o'zgartirishdan oldin o'qing

Ishlayotgan daemon haqiqatda qanday qiymatlarni yuklaganini ular haqida fikr shakllantirishdan oldin toping. Konfiguratsiya ko'pincha asosiy fayl va har bir plagin uchun bo'laklar katalogi o'rtasida bo'linadi, shuning uchun bir joyda o'rnatilgan qiymat boshqa joyda bekor qilinishi mumkin. Quyidagi qidiruv bu sozlamalarni eslatadigan har bir faylni ko'rsatadi.

Keyin qaysi raqam juda kichik ekanini hal qiling. Agar bitta manzil qonuniy ravishda butun ofisni ifodalasa, manzil bo'yicha bloklash chegarasi shu konsentratsiyani sig'dirishi kerak bo'lgan qiymatdir. Global cookie chegarasi daemonni kengroq toshqindan himoya qiladi va bitta sayt qayta ulangani uchun uni yumshatmaslik kerak. Bu manzil bo'yicha qiymatni sizda haqiqatan mavjud eng katta sayt bilan solishtiring.

Cookie mexanizmini yoqilgan holda qoldiring. Cookie'lar mijozni daemon almashinuvga haqiqiy ish sarflashdan oldin o'zi da'vo qilgan manzilda qabul qila olishini isbotlashga majbur qiladi, va ularni o'chirish neytral sig'im yangilanishi emas. Chegarani faqat o'lchangan kelish tezligi va uning ortida e'lon qilingan autentifikatsiya byudjeti bilan oshiring.

grep -rn -E 'block_threshold|cookie_threshold' /etc/strongswan.conf /etc/strongswan.d/
swanctl --stats | grep -i half

Qaytish uchun rejalashtiring, faqat barqaror holat uchun emas

Faqat o'rnatilgan sessiyalarni sanaydigan mavjudlik maqsadi tinch tushdan keyinni tasvirlaydi, tiklanishni emas. Buning o'rniga umumiy tarmoq hodisasidan keyin mo'ljallangan populyatsiya qanday qaytishini va qabul yo'li bu shaklni singdira olishini so'rang.

Qayta ulanishni boshqariladigan flot bo'ylab taqsimlash chegaralarni kattalashtirishdan ko'pincha arzonroq, chunki u sun'iy portlashni olib tashlaydi, uning uchun doimiy to'lash o'rniga. Yarim ochiq holat va qabul hodisalarini muvaffaqiyatli o'rnatishlar yonida kuzatib boring, va tekis muvaffaqiyatlar bilan o'sib borayotgan yarim ochiqlar sonini qiziqish emas, erta ogohlantirish deb biling.

Bu sozlamalar uchun ishlab chiqaruvchi havolasi strongswan.conf hujjatlari bo'lib, unda hisoblagichlar va manzil bo'yicha cookie chegarasini joriy qilgan versiya nomlanadi. Eng yangi sahifani emas, o'rnatilgan versiyangiz bo'limini o'qing, chunki standart qiymatlar versiyalar orasida o'zgaradi.