Масштабуйце VPN-сесіі паводле ролі, а потым праверце рэзерв пры адмове

Вы дадаяце другі шлюз, кансоль паказвае двух здаровых удзельнікаў, а столь сесій амаль не рухаецца, бо нішто не сказала кліентам, як дабрацца да новага блока. Маштабаванне паслугі VPN — гэта два рашэнні па чарзе: які механізм размеркавання кліентаў для гэтага тыпу злучэння і колькі ёмістасці застанецца пасля найгоршай адзінай страты. Калі ўзяць іх у адваротным парадку, атрымаецца праект, які выглядае лішнім і адмаўляе менавіта тады, калі ён патрэбны. Пачніце з кансолі, а затым зрабіце арыфметыку.

Узгадніце механізм з тыпам сесіі

Аддаленыя карыстальнікі, партнёры паміж сайтамі і пастаянна ўключаныя тунэлі прылад не з'яўляюцца ўзаемазаменнымі сесіямі. Функцыя размеркавання, створаная для аднаго з іх, звычайна перанакіроўвае кліента падчас перамоў, што нічога не значыць для партнёра, які ўжо мае фіксаваны адрас і статычную канфігурацыю.

Кіраўніцтва Cisco па высокай даступнасці ASA трымае тры магчымасці асобна: балансаванне нагрузкі VPN для аддаленага доступу, пераключэнне з захаваннем стану і кластарызацыю паміж сайтамі. Толькі першая перамяшчае прыдатнага кліента з запісу групы на ўдзельніка, а злучэнні LAN-у-LAN застаюцца па-за гэтым размеркаваннем. Агульны TCP-балансіроўшчык не можа замяніць уласны крок перанакіравання пратакола, бо рукапоціск тунэля — не звычайны HTTP, які проксі мог бы перапісаць. Практычны вынік — балансіроўшчык, які прымае злучэнне і ўсё ж не дазваляе кліенту стварыць тунэль.

Прачытайце спіс функцый адносна вашага тыпу сесіі, перш чым замаўляць другі прыбор. Радок ліцэнзіі і радок механізму — асобныя запісы, і адзін не азначае другі.

Разлічыце прыклад замест здагадак

Выкажам здагадку, што тры шлюзы кожны правераны на 800 адначасовых тунэляў пры нагрузцы, якую вы ўхвалілі, што разам складае 2,400. Мэта 1,650 у пікавую гадзіну выглядае камфортна, пакуль не будзе страчана адна адзінка, і тады пара, якая засталася, павінна ўтрымаць 1,650 супраць жорсткіх 1,600. Праект ужо праваліўся, і ніякая наладка пераключэння не выправіць арыфметыку.

Пастаўце мэту так, каб ацалелы набор усё яшчэ яе выконваў, што для групы з трох удзельнікаў азначае заставацца ніжэй за дзве траціны агульнай колькасці. Гэтая прапорцыя — уласцівасць арыфметыкі, а не якога-небудзь прадукту, таму пералічвайце яе кожны раз, калі змяняецца правераная лічба ўдзельніка. Трымайце ліцэнзаваную колькасць, дакументаваны максімум і ўласную вымераную лічбу ў трох слупках, бо яны рэдка супадаюць, і вырашае найменшая. Чацвёрты слупок для назіранага піка пікавай гадзіны трымае план сумленным пасля першага месяца.

Заплануйце ўсплёск перападлучэння, а не толькі ўстойлівы стан

Сесіі на ўдзельніку, які адмовіў, не з'яўляюцца ціха ў іншым месцы. У залежнасці ад механізму яны пераносяцца са станам, зноў дамаўляюцца з нуля або чакаюць, пакуль праграма паспрабуе зноў паводле свайго раскладу.

Некалькі тысяч кліентаў, якія паўтараюць спробу на працягу хвіліны, — гэта падзея, іншая за стабільныя 1,650, і серверы аўтэнтыфікацыі адчуваюць гэта першымі. Праверце таксама месца ў пуле, бо перанакіраванне не звяртаецца да яго: удзельнік, які не можа выдзеліць адрас, усё роўна прымае кліента, а затым скідае яго трафік.

Праверце ёмістасць з пулам і маршрутам пад рукой

Праверка — гэта практыкаванне толькі для чытання, якое ловіць большасць памылак праектавання перад адкрыццём акна абслугоўвання. Сабярыце пул па кожным удзельніку, колькасць актыўных сесій і маршрут назад да падсеткі кліента, а затым параўнайце кожны з планам. Знясіленне пула і адсутны зваротны маршрут абодва выглядаюць як кліент, які аўтэнтыфікуецца, а затым губляе трафік.

show vpn-sessiondb summary
show running-config ip local pool
show vpn load-balancing
show route 10.40.12.0 255.255.255.0

Запусціце гэтыя чытанні на кожным удзельніку ў звычайную пікавую гадзіну, а не ў ціхую. Удзельнік, які паведамляе пра сесіі, але не мае свабодных адрасоў, ужо на сваёй практычнай мяжы, што б ні казала ліцэнзія. Запішыце версію прашыўкі побач з кожным выхадам, бо назвы каманд змяняюцца паміж выпускамі.

Адпрацуйце страту адзін раз наўмысна, па-за працоўным часам, і запішыце, што паведамляюць удзельнікі, якія засталіся, падчас гэтага. Удзельнік, які прымае перанакіраванне, але не мае месца ў пуле, выглядае як няўдалае выдзяленне, чаго дадатковая прапускная здольнасць ніколі не выправіць. Захавайце правераныя лічбы з датай побач з планам, каб наступны перагляд ёмістасці пачаўся з доказаў, а не з табліцы ліцэнзій. Дадайце вынік гэтага практыкавання на тую ж старонку, нават калі лічбы супадаюць з планам.