Skaal VPN-sesjes neffens rol en kontrolearje dan de reserve by falen

Jo foegje in twadde gateway ta, de konsole toant twa sûne leden, en it sesjeplafond beweecht amper, om't neat de kliïnten ferteld hat hoe't se de nije doaze berikke moatte. It skaaljen fan in VPN-tsjinst binne twa besluten op folchoarder: hokker meganisme kliïnten ferdielt foar dit ferbiningstype, en hoefolle kapasiteit oerbliuwt nei it slimste inkelde ferlies. Nimst se yn 'e oare folchoarder, dan krigest in ûntwerp dat oerstallich liket en krekt misbeteart as it nedich is. Begjin by de konsole en doch dan de rekken.

Koppelje it meganisme oan it sesjetype

Ofstânbrûkers, site-tot-site-peers en altyd-oan-apparaattunnels binne gjin útwikselbere sesjes. In ferdielingsfunksje boud foar ien fan harren ferwiist normaal in kliïnt by de ûnderhanneling, wat neat betsjut foar in peer dy't al in fêst adres en in statyske konfiguraasje hat.

Cisco syn hângids foar hege beskikberens fan ASA hâldt trije mooglikheden apart: belestingsferdieling foar VPN fan ôfstânstagon, steatfol failover en site-tot-site-klustering. Allinnich de earste ferpleatst in geskikte kliïnt fan in groepsynskriuwing nei in lid, en LAN-nei-LAN-ferbiningen bliuwe bûten dy ferdieling. In generike TCP-belestingsferdieler kin de eigen ferwizingstap fan it protokol net ferfange, om't de tunnelhandshake gjin gewoane HTTP is dy't in proxy oerskriuwe kin. It praktykresultaat is in ferdieler dy't de ferbining akseptearret en de kliïnt dochs net tunnelje lit.

Lês de funksjelist tsjin jo sesjetype oan foardat jo in twadde apparaat bestelle. De lisinsjerige en de meganismerige binne aparte ynskriuwings, en de iene betsjut net de oare.

Wurkje it foarbyld út ynstee fan te rieden

Stel dat trije gateways elk falidearre binne op 800 tagelyk tunnels ûnder de wurklêst dy't jo goedkard hawwe, wat yn totaal 2,400 is. In spitsueroanpak fan 1,650 liket noflik oant ien ienheid ferlern giet, en dan moat it oerlibjende pear 1,650 hâlde tsjin in hurde 1,600. It ûntwerp is al mislearre, en gjin failover-ôfstelling reparearret de rekken.

Set it doel sa dat de oerlibjende set it noch hellet, wat foar in groep fan trije leden betsjut ûnder twa tredde fan it totaal te bliuwen. Dy ferhâlding is in eigenskip fan 'e rekken en net fan in produkt, dus berekkenje it opnij as de falidearre sifer fan in lid feroaret. Hâld it lisinsjearre oantal, it dokumintearre maksimum en jo eigen metten sifer yn trije kolommen, om't se selden oerienkomme en de lytste hearsket. In fjirde kolom foar de waarnommen spitsuerpyk hâldt it plan earlik nei de earste moanne.

Begroatje de werferbiningsbarst, net allinnich de stive steat

Sesjes op in mislearre lid ferskine net stil earne oars wer. Ofhinklik fan it meganisme geane se oer mei steat, ûnderhannelje se fan nul ôf, of wachtsje se oant de applikaasje neffens syn eigen skema wer probearret.

In pear tûzen kliïnten dy't binnen in minút wer probearje is in oar barren as in stabile 1,650, en de autentikaasjetsjinners fieldat earst. Kontrolearje ek de poolromte, om't ferwizing dy net rieplachtet: in lid dat gjin adres tawize kin, akseptearret de kliïnt noch altyd en smyt dan syn ferkear fuort.

Ferifiearje kapasiteit mei de pool en rûte by de hân

Ferifikaasje is in lês-allinnich-gesprek dat de measte ûntwerpfouten fangt foardat in ûnderhâldsfenster iepenet. Sammelje de pool per lid, it oantal libbene sesjes en de rûte werom nei it kliïntsubnet, en fergelykje elk mei it plan. Poolútputting en in ûntbrekkende weromrûte ferskine beide as in kliïnt dy't autentisearret en dan ferkear ferliest.

show vpn-sessiondb summary
show running-config ip local pool
show vpn load-balancing
show route 10.40.12.0 255.255.255.0

Rin dy lêzingen tsjin elk lid út yn in normale spitsuer ynstee fan in stille. In lid dat sesjes rapportearret mar gjin frije adressen hat, is al op syn praktyske limyt, wat de lisinsje ek seit. Notearje de firmwareferzje njonken elke útfier, om't kommandonammen tusken ferzjes ferskowe.

Oefenje it ferlies ien kear mei opsetsin, bûten kantoaruren, en registrearje wat de oerlibjende leden rapportearje wylst it bart. In lid dat de ferwizing akseptearret mar gjin poolromte hat, ferskynt as mislearre tawizing, wat ekstra bânbreedte nea reparearret. Bewarje de falidearre sifers mei de datum njonken it plan, sadat de folgjende kapasiteitsresinsje fan bewiis begjint ynstee fan fan in lisinsjesheet. Foegje de útkomst fan dy oefening ta oan deselde side, sels as de sifers by it plan passe.