הרחיבו את הפעלות ה-VPN לפי תפקיד, ואז בדקו את מרווח הכשל

אתם מוסיפים שער שני, הקונסולה מציגה שני חברים בריאים, ותקרת ההפעלות בקושי זזה, כי דבר לא אמר ללקוחות איך להגיע לתיבה החדשה. הרחבת שירות VPN היא שתי החלטות ברצף: איזה מנגנון מפיץ לקוחות לסוג החיבור הזה, וכמה קיבולת נשארת אחרי האובדן הבודד הגרוע ביותר. אם תקחו אותן בסדר ההפוך, תקבלו עיצוב שנראה מיותר ונכשל בדיוק כשצריך אותו. התחילו בקונסולה, ואז עשו את החשבון.

התאימו את המנגנון לסוג ההפעלה

משתמשים מרחוק, עמיתים בין אתרים ומנהרות מכשיר שדולקות תמיד אינן הפעלות הניתנות להחלפה. תכונת הפצה שנבנתה לאחד מהם מפנה בדרך כלל לקוח במהלך המשא ומתן, מה שלא אומר דבר לעמית שכבר מחזיק בכתובת קבועה ובתצורה סטטית.

מדריך הזמינות הגבוהה של ASA מבית Cisco מחזיק שלוש יכולות בנפרד: איזון עומס VPN לגישה מרחוק, מעבר עם מצב וקיבוץ בין אתרים. רק הראשונה מעבירה לקוח מתאים מרשומת קבוצה לחבר, וחיבורי LAN ל-LAN נשארים מחוץ לאותה הפצה. מאזן TCP כללי אינו יכול להחליף את שלב ההפניה של הפרוטוקול עצמו, מפני שלחיצת היד של המנהרה אינה HTTP פשוט שפרוקסי יכול לכתוב מחדש. התוצאה המעשית היא מאזן שמקבל את החיבור ובכל זאת מותיר את הלקוח בלי יכולת ליצור מנהרה.

קראו את רשימת התכונות מול סוג ההפעלה שלכם לפני הזמנת מכשיר נוסף. שורת הרישיון ושורת המנגנון הן רשומות נפרדות, ואחת אינה מרמזת על השנייה.

חשבו את הדוגמה במקום לנחש

נניח ששלושה שערים אומתו כל אחד ל-800 מנהרות בו-זמניות תחת העומס שאישרתם, שהם 2,400 בסך הכול. יעד של 1,650 בשעת השיא נראה נוח עד שאובדת יחידה אחת, ואז הזוג שנותר חייב להחזיק 1,650 מול 1,600 קשיחים. התכנון כבר נכשל, ושום כוונון מעבר לא מתקן את החשבון.

קבעו את היעד כך שהקבוצה שנותרה עדיין עומדת בו, מה שלקבוצה של שלושה חברים פירושו להישאר מתחת לשני שלישים מהסכום הכולל. היחס הזה הוא תכונה של החשבון ולא של מוצר כלשהו, לכן חשבו אותו מחדש בכל שינוי של המספר המאומת של חבר. החזיקו את המספר ברישיון, את המקסימום המתועד ואת המספר שלכם שנמדד בשלוש עמודות, מפני שהם נדירים בהסכמה והקטן הוא שקובע. עמודה רביעית לשיא שעת השיא שנצפה שומרת על התוכנית ישרה אחרי החודש הראשון.

הקצו מקום לגל החיבורים מחדש, ולא רק למצב היציב

הפעלות על חבר שנכשל אינן מופיעות מחדש בשקט במקום אחר. בהתאם למנגנון, הן עוברות עם מצב, מנהלות משא ומתן מחדש מאפס, או ממתינות ליישום שינסה שוב לפי לוח הזמנים שלו.

כמה אלפי לקוחות שמנסים שוב בתוך דקה הם אירוע שונה מ-1,650 יציבים, ושרתי האימות חשים בכך ראשונים. בדקו גם את המקום במאגר, מפני שההפניה אינה מתייעצת איתו: חבר שאינו יכול להקצות כתובת עדיין מקבל את הלקוח ואז מפיל את התעבורה שלו.

אמתו את הקיבולת כשהמאגר והמסלול בידכם

האימות הוא תרגיל קריאה בלבד שתופס את רוב שגיאות התכנון לפני פתיחת חלון תחזוקה. אספו את המאגר לכל חבר, את מספר ההפעלות הפעילות ואת המסלול חזרה לתת-הרשת של הלקוח, ואז השוו כל אחד מהם לתוכנית. התרוקנות המאגר ומסלול חזרה חסר נראים שניהם כלקוח שמאמת ואז מאבד תעבורה.

show vpn-sessiondb summary
show running-config ip local pool
show vpn load-balancing
show route 10.40.12.0 255.255.255.0

הריצו את הקריאות האלה על כל חבר בשעת שיא רגילה ולא בשעה שקטה. חבר שמדווח על הפעלות אך אין לו כתובות פנויות כבר נמצא בגבול המעשי שלו, יהא אשר יאמר הרישיון. רשמו את גרסת הקושחה לצד כל פלט, מפני שמות הפקודות משתנים בין מהדורות.

תרגלו את האובדן פעם אחת בכוונה, מחוץ לשעות העבודה, ורשמו מה החברים שנותרו מדווחים בזמן שהוא מתרחש. חבר שמקבל את ההפניה אך אין לו מקום במאגר מופיע כהקצאה שנכשלה, מה שרוחב פס נוסף לעולם אינו מתקן. שמרו את המספרים המאומתים עם התאריך לצד התוכנית, כדי שהסקירה הבאה של הקיבולת תתחיל מראיות ולא מגיליון רישיונות. הוסיפו את תוצאת התרגול הזה לאותו עמוד, גם כשהמספרים תואמים לתוכנית.