Skalu VPN-seancajn laŭ rolo, poste kontrolu la malsukcesan rezervon

Vi aldonas duan pordegon, la konzolo montras du sanajn membrojn, kaj la seanca plafono apenaŭ moviĝas, ĉar nenio diris al la klientoj kiel atingi la novan skatolon. Skali VPN-servon estas du decidoj sinsekve: kiu mekanismo disdonas klientojn por ĉi tiu konektotipo, kaj kiom da kapablo restas post la plej malbona unuopa perdo. Se vi prenas ilin en la mala ordo, vi ricevas dezajnon kiu ŝajnas superflua kaj malsukcesas ĝuste kiam ĝi necesas. Komencu ĉe la konzolo, poste faru la aritmetikon.

Kongruigu la mekanismon al la seancotipo

Foraj uzantoj, interejaj partneroj kaj ĉiam-ŝaltitaj aparataj tuneloj ne estas interŝanĝeblaj seancoj. Disdona funkcio konstruita por unu el ili kutime alidirektas klienton dum la intertraktado, kio signifas nenion por partnero kiu jam havas fiksan adreson kaj statikan agordon.

La gvidilo de Cisco pri alta havebleco de ASA tenas tri kapablojn aparte: ŝarĝobalancado de fora-aliro-VPN, stata malsukcesa transiro kaj grupigo inter ejoj. Nur la unua movas taŭgan klienton de grupa enskribo al membro, kaj LAN-al-LAN-konektoj restas ekster tiu disdono. Ĝenerala TCP-balancilo ne povas anstataŭi la propran alidirektan paŝon de la protokolo, ĉar la tunela manpremo ne estas ordinara HTTP, kiun prokurilo povus reskribi. La praktika rezulto estas balancilo kiu akceptas la konekton kaj tamen lasas la klienton ne povi tuneli.

Legu la funkcidokumenton rilate al via seancotipo antaŭ ol mendi duan aparaton. La licenca linio kaj la mekanisma linio estas apartaj enskriboj, kaj unu ne implicas la alian.

Ellaboru la ekzemplon anstataŭ diveni

Supozu ke tri pordegoj estas ĉiu validigitaj je 800 samtempaj tuneloj sub la ŝarĝo kiun vi aprobis, kio sumas 2,400. Celo de 1,650 en la pinta horo ŝajnas komforta ĝis unu unuo perdiĝas, kaj tiam la postviva paro devas teni 1,650 kontraŭ malmola 1,600. La dezajno jam malsukcesis, kaj neniu agordo de malsukcesa transiro riparas la aritmetikon.

Agordu la celon tiel ke la postviva aro ankoraŭ plenumu ĝin, kio por grupo de tri membroj signifas resti sub du trionoj de la tuto. Tiu proporcio estas eco de la aritmetiko kaj ne de iu ajn produkto, do rekalkulu ĝin kiam la validigita nombro de membro ŝanĝiĝas. Tenu la licencitan nombron, la dokumentitan maksimumon kaj vian propran mezuritan nombron en tri kolumnoj, ĉar ili malofte kongruas kaj la plej malgranda regas. Kvara kolumno por la observita pinta horo tenas la planon honesta post la unua monato.

Buĝetu la rekunligan eksplodon, ne nur la stabilan staton

Seancoj sur malsukcesinta membro ne silente reaperas aliloke. Depende de la mekanismo, ili transiras kun stato, denove intertraktas de nulo, aŭ atendas ke la aplikaĵo reprovu laŭ sia propra horaro.

Kelkmil klientoj reprovantaj ene de minuto estas alia okazaĵo ol stabila 1,650, kaj la aŭtentigaj serviloj sentas ĝin unue. Kontrolu ankaŭ la spacon de la naĝejo, ĉar la alidirektado ne konsultas ĝin: membro kiu ne povas atribui adreson tamen akceptas la klienton kaj poste ĵetas ĝian trafikon.

Kontrolu kapablon kun la naĝejo kaj la vojo enmane

La kontrolado estas nurlega ekzerco kiu kaptas la plej multajn dezajnajn erarojn antaŭ ol malfermiĝas bontenhava fenestro. Kolektu la naĝejon laŭ membro, la nombron de vivaj seancoj kaj la vojon reen al la klienta subreto, poste komparu ĉiun kun la plano. Elĉerpiĝo de la naĝejo kaj mankanta revena vojo ambaŭ montriĝas kiel kliento kiu aŭtentiĝas kaj poste perdas trafikon.

show vpn-sessiondb summary
show running-config ip local pool
show vpn load-balancing
show route 10.40.12.0 255.255.255.0

Rulu tiujn legadojn kontraŭ ĉiu membro dum normala pinta horo kaj ne trankvila. Membro kiu raportas seancojn sed ne havas liberajn adresojn jam estas ĉe sia praktika limo, kion ajn diras la licenco. Notu la firmvaran version apud ĉiu eligo, ĉar la komandnomoj ŝanĝiĝas inter eldonoj.

Ekzercu la perdon unufoje intence, ekster labortempo, kaj registru kion la postvivantaj membroj raportas dum ĝi okazas. Membro kiu akceptas la alidirektadon sed ne havas naĝejan spacon montriĝas kiel malsukcesinta atribuo, kion kroma bendlarĝo neniam riparas. Konservu la validigitajn nombrojn kun la dato apud la plano, por ke la sekva kapacitokontrolo komenciĝu per pruvoj anstataŭ per licenca kalkultabelo. Aldonu la rezulton de tiu ekzerco al la sama paĝo, eĉ kiam la nombroj kongruas kun la plano.