¿Usuarios o caudal? Dimensionar un servidor VPN para la carga real

Diez cuentas inactivas cuestan menos que una copia de seguridad nocturna que satura el túnel, y un número de usuarios no puede mostrar esa diferencia. Dimensionar un servidor VPN es una comparación entre dos números: la concurrencia que realmente soporta y el recurso que se agota primero. La mayoría de los errores de capacidad nacen de elegir el primer número y no medir nunca el segundo. Haga ambas cosas, en ese orden, y la decisión de hardware deja de ser una conjetura.

Compare el número de cuentas con la hora punta

El número de cuentas es una licencia y un límite de soporte; la hora punta es una carga. Enumere el trabajo que se solapa en esa hora: llamadas, administración remota, descargas grandes, copias de seguridad y las peticiones de aplicaciones privadas que dejan a la gente esperando. Después marque, para cada elemento, si cruza la pasarela y en qué dirección. Las llamadas son simétricas y sensibles al retardo, mientras que una copia de seguridad va en una sola dirección y tolera un inicio lento, así que presionan partes distintas del camino.

La dirección decide qué enlace importa. El enlace de subida doméstico rara vez es simétrico, y una sucursal que descarga todo el día llega a su límite de bajada mucho antes de que la pasarela sude. Escriba la dirección y el alcance del túnel junto a cada elemento, porque una pasarela que solo lleva destinos privados y otra que lleva todo el tráfico de internet son dos problemas de dimensionamiento distintos.

Añada la carga de fondo como una fila propia: actualizaciones de clientes, telemetría y todo lo que hace el anfitrión además de reenviar. Esos bytes se olvidan con facilidad y los cuenta la misma interfaz.

Encuentre el recurso que se agota antes que el enlace

El enlace es solo un candidato. El trabajo criptográfico de un solo túnel puede ocupar un núcleo mientras la interfaz queda medio vacía, y una cola saturada puede volver inutilizables las llamadas con un caudal que en un gráfico parece mediocre. Un destino a una ruta lenta de distancia también puede parecer debilidad de la pasarela desde el asiento del cliente. Tres observaciones separan estos casos, y ninguna necesita una prueba de ráfaga.

Mida con una transferencia que tenga permiso para ejecutar, y añada el trabajo concurrente por pasos en lugar de todo a la vez. Lea la tasa sostenida y la respuesta interactiva juntas, porque una prueba solo de pico oculta una sesión que se ha vuelto inutilizable. Una pasarela que supera su caudal máximo mientras las llamadas se cortan no ha superado la prueba.

Después repita la ejecución con las cargas opcionales detenidas. Un límite que se mueve cuando se detiene la copia de seguridad nunca fue el límite de la pasarela.

Convierta la comparación en un número que pueda defender

Elija el recurso que se agotó y exprese el requisito en sus unidades: núcleos a una utilización objetivo durante la hora punta, bits por segundo en cada dirección, o sesiones concurrentes bajo un límite de retardo. Deje espacio para actualizaciones, diagnóstico y recuperación, porque un servidor sentado en su techo medido no tiene nada para el trabajo que lo mantiene en marcha. Después escriba los números junto a la configuración que los produjo, incluido el número de clientes y la prueba utilizada.

La cifra de usuarios por núcleo es el número menos portátil de este ejercicio, porque presupone una mezcla de protocolos y un perfil de dispositivos que el siguiente sitio no comparte. Quédese con la medición y descarte la fórmula. Cuando alguien pida capacidad para cincuenta usuarios más, la respuesta honesta es el perfil de hora punta de esos cincuenta, no una multiplicación.

Registre el tiempo de respuesta además del caudal. Una capacidad que solo preserva la transferencia masiva no es capacidad para las personas en llamadas, y la próxima revisión preguntará por la diferencia.

Elija entre escalar hacia arriba y dividir el papel

Cuando el límite medido es un núcleo, más núcleos a la misma velocidad pueden no ayudar; un núcleo más rápido o un modelo de trabajadores distinto sí. Cuando el límite es la CPU agregada, una instancia más grande es la solución directa. Cuando el límite es el enlace de acceso, ningún cambio de servidor ayuda y la comparación termina en el proveedor. Dividir los papeles web y VPN en anfitriones separados compra aislamiento a cambio de una segunda superficie de gestión.

Compare esas opciones con el número registrado y no entre sí. Un cambio que duplica un recurso que no era la restricción es coste sin beneficio, y el registro es lo que permite decirlo sin discusión. Vuelva a medir después del cambio con la misma carga, o habrá sustituido una conjetura por otra.