Мащабирайте VPN сесиите по роля, след което проверете резерва при отказ

Добавяте втори шлюз, конзолата показва два здрави члена, а таванът на сесиите почти не се мести, защото нищо не каза на клиентите как да стигнат до новата кутия. Мащабирането на VPN услуга са две решения поред: кой механизъм разпределя клиентите за този тип връзка и колко капацитет остава след най-лошата единична загуба. Ако ги вземете в обратния ред, получавате проект, който изглежда излишен и се проваля точно когато е нужен. Започнете от конзолата и след това направете аритметиката.

Съобразете механизма с типа сесия

Отдалечените потребители, партньорите между обекти и постоянно включените тунели на устройства не са взаимозаменяеми сесии. Функция за разпределение, изградена за един от тях, обикновено пренасочва клиент по време на преговорите, което не означава нищо за партньор, който вече има фиксиран адрес и статична конфигурация.

Ръководството на Cisco за висока достъпност на ASA държи три възможности отделно: балансиране на натоварването на VPN за отдалечен достъп, превключване със запазване на състоянието и клъстериране между обекти. Само първата премества подходящ клиент от групов запис към член, а връзките LAN към LAN остават извън това разпределение. Общ TCP балансьор не може да замени собствената стъпка за пренасочване на протокола, защото ръкостискането на тунела не е обикновен HTTP, който прокси може да пренапише. Практическият резултат е балансьор, който приема връзката и въпреки това не позволява на клиента да създаде тунел.

Прочетете списъка с функции спрямо вашия тип сесия, преди да поръчате второ устройство. Редът за лиценз и редът за механизъм са отделни записи, и едното не предполага другото.

Изчислете примера вместо да гадаете

Да предположим, че три шлюза са валидирани всеки на 800 едновременни тунела при натоварването, което сте одобрили, което прави общо 2,400. Цел от 1,650 в пиковия час изглежда удобна, докато не се загуби една единица, и тогава оцелялата двойка трябва да удържи 1,650 срещу твърди 1,600. Проектът вече се е провалил и никакво настройване на превключването не поправя аритметиката.

Задайте целта така, че оцелялото множество да я изпълнява и занапред, което за група от три члена означава да остане под две трети от общия брой. Това съотношение е свойство на аритметиката, а не на който и да е продукт, затова го преизчислявайте при промяна на валидираната цифра на член. Дръжте лицензирания брой, документирания максимум и вашата собствена измерена цифра в три колони, защото те рядко съвпадат и най-малката е решаваща. Четвърта колона за наблюдавания пик в пиковия час поддържа плана честен след първия месец.

Планирайте вълната от повторни връзки, не само устойчивото състояние

Сесиите на отказал член не се появяват тихо другаде. В зависимост от механизма те се прехвърлят със състояние, договарят се наново от нула или чакат приложението да опита отново по свой график.

Няколко хиляди клиента, които опитват отново в рамките на минута, са различно събитие от стабилни 1,650, и сървърите за удостоверяване го усещат първи. Проверете и мястото в пула, защото пренасочването не се допитва до него: член, който не може да отпусне адрес, все пак приема клиента и после изхвърля трафика му.

Проверете капацитета с пула и маршрута под ръка

Проверката е упражнение само за четене, което улавя повечето грешки в проекта преди отваряне на сервизен прозорец. Съберете пула по член, броя на активните сесии и маршрута обратно към подмрежата на клиента, след което сравнете всяко с плана. Изчерпването на пула и липсващият обратен маршрут се проявяват и двете като клиент, който се удостоверява и после губи трафик.

show vpn-sessiondb summary
show running-config ip local pool
show vpn load-balancing
show route 10.40.12.0 255.255.255.0

Изпълнете тези четения на всеки член в нормален пиков час, а не в тих. Член, който отчита сесии, но няма свободни адреси, вече е на практичната си граница, каквото и да казва лицензът. Запишете версията на фърмуера до всеки изход, защото имената на командите се променят между изданията.

Упражнете загубата веднъж умишлено, извън работно време, и запишете какво отчитат оцелелите членове, докато тя тече. Член, който приема пренасочването, но няма място в пула, се появява като неуспешно отпускане, което допълнителната честотна лента никога не поправя. Съхранете валидираните цифри с датата до плана, за да започне следващият преглед на капацитета с доказателства, а не с таблица с лицензи. Добавете резултата от това упражнение на същата страница, дори когато числата съвпадат с плана.