Skaal VPN-sessies volgens rol en kontroleer dan die reserwe by faling

Jy voeg 'n tweede poort by, die konsole wys twee gesonde lede, en die sessieplafon beweeg skaars, want niks het die kliënte vertel hoe om die nuwe boks te bereik nie. Om 'n VPN-diens te skaal is twee besluite in volgorde: watter meganisme versprei kliënte vir hierdie verbindingstipe, en hoeveel kapasiteit oor bly ná die ergste enkele verlies. Om dit in die ander volgorde te doen, lewer 'n ontwerp wat oorbodig lyk en presies misluk wanneer dit nodig is. Begin by die konsole en doen dan die rekenwerk.

Pas die meganisme by die sessietipe

Afstandgebruikers, werf-tot-werf-porture en altyd-aan-toesteltons is nie uitruilbare sessies nie. 'n Verspreidingsfunksie wat vir een van hulle gebou is, herlei gewoonlik 'n kliënt tydens onderhandeling, wat niks beteken vir 'n portuur wat reeds 'n vaste adres en 'n statiese konfigurasie het nie.

Cisco se ASA-gids vir hoë beskikbaarheid hou drie vermoëns apart: lasverspreiding vir afstandstoegang-VPN's, toestandvolle failover en werf-tot-werf-klustering. Slegs die eerste skuif 'n geskikte kliënt van 'n groepinskrywing na 'n lid, en LAN-tot-LAN-verbindings bly buite daardie verspreiding. 'n Generiese TCP-lasbalanseerder kan nie die protokol se eie herleidingstap vervang nie, want die tonnel-handdruk is nie gewone HTTP wat 'n proxy kan herskryf nie. Die praktiese gevolg is 'n balanseerder wat die verbinding aanvaar en die kliënt steeds nie kan tonnel nie.

Lees die funksielys teen jou sessietipe voordat jy 'n tweede toestel bestel. Die lisensie-reël en die meganisme-reël is aparte inskrywings, en die een impliseer nie die ander nie.

Werk die voorbeeld uit in plaas van om te raai

Veronderstel drie poorte word elk op 800 gelyktydige tonnels gevalideer onder die werklading wat jy goedgekeur het, wat altesaam 2,400 is. 'n Spitsuur-teiken van 1,650 lyk gerieflik totdat een eenheid verloor word, en dan moet die oorblywende paar 1,650 hou teen 'n harde 1,600. Die ontwerp het reeds gefaal, en geen hoeveelheid failover-afstelling herstel die rekenkunde nie.

Stel die teiken so dat die oorblywende stel dit steeds haal, wat vir 'n groep van drie lede beteken om onder twee derdes van die totaal te bly. Daardie verhouding is 'n eienskap van die rekenkunde, nie van enige produk nie, so herbereken dit wanneer 'n lid se gevalideerde syfer verander. Hou die gelisensieerde getal, die gedokumenteerde maksimum en jou eie gemete syfer in drie kolomme, want hulle stem selde ooreen en die kleinste een geld. 'n Vierde kolom vir die waargenome spitsuurpiek hou die plan eerlik ná die eerste maand.

Begroot die herverbindingsuitbarsting, nie net die bestendige toestand nie

Sessies op 'n mislukte lid verskyn nie stilweg elders weer nie. Afhangend van die meganisme misluk hulle oor met toestand, onderhandel van nuuts af, of wag vir die toepassing om op sy eie skedule weer te probeer.

'n Paar duisend kliënte wat binne 'n minuut weer probeer, is 'n ander gebeurtenis as 'n bestendige 1,650, en die verifikasieservers voel dit eerste. Kontroleer ook poelruimte, want herleiding raadpleeg dit nie: 'n lid wat nie 'n adres kan toeken nie, aanvaar steeds die kliënt en laat dan sy verkeer val.

Verifieer kapasiteit met die poel en roete byderhand

Verifikasie is 'n lees-alleen-oefening wat die meeste ontwerpfoute vasvang voordat 'n onderhoudsvenster oopgaan. Versamel die poel per lid, die lewende sessietelling en die roete terug na die kliëntsubnet, en vergelyk elkeen met die plan. Poeluitputting en 'n ontbrekende terugroete verskyn albei as 'n kliënt wat verifieer en dan verkeer verloor.

show vpn-sessiondb summary
show running-config ip local pool
show vpn load-balancing
show route 10.40.12.0 255.255.255.0

Voer daardie leesopdragte teen elke lid uit tydens 'n normale spitssuur eerder as 'n stil een. 'n Lid wat sessies rapporteer maar geen vry adresse het nie, is reeds op sy praktiese limiet, wat die lisensie ook al sê. Let op die fermware-weergawe langs elke uitset, want opdragname verskuif tussen weergawes.

Oefen die verlies een keer doelbewus, buite kantoorure, en teken op wat die oorblywende lede rapporteer terwyl dit gebeur. 'n Lid wat die herleiding aanvaar maar geen poelruimte het nie, verskyn as mislukte toekenning, wat ekstra bandwydte nooit regmaak nie. Berg die gevalideerde syfers met die datum langs die plan, sodat die volgende kapasiteitshersiening van bewyse begin eerder as van 'n lisensiesigblad. Voeg die uitkoms van daardie oefening by dieselfde bladsy, selfs wanneer die syfers met die plan ooreenstem.