Skalirajte VPN sesije prema ulozi, pa provjerite rezervu za kvar

Dodate drugi gateway, konzola prikaže dva zdrava člana, a gornja granica sesija se jedva pomjeri, jer ništa nije reklo klijentima kako da dođu do novog uređaja. Skaliranje VPN usluge su dvije odluke po redu: koji mehanizam raspoređuje klijente za ovaj tip veze i koliko kapaciteta ostaje nakon najgoreg pojedinačnog gubitka. Ako ih uzmete obrnutim redom, dobijate dizajn koji izgleda redundantno i pada tačno kada je potreban. Počnite od konzole, pa uradite računicu.

Uskladite mehanizam sa tipom sesije

Udaljeni korisnici, lokacijski partneri i stalno uključeni tuneli uređaja nisu zamjenjive sesije. Funkcija raspodjele napravljena za jednu od njih obično preusmjerava klijenta tokom pregovaranja, što ništa ne znači partneru koji već ima fiksnu adresu i statičku konfiguraciju.

Ciscov vodič za visoku dostupnost ASA drži tri mogućnosti odvojeno: balansiranje opterećenja VPN-a za udaljeni pristup, prebacivanje sa stanjem i klasterisanje lokacija. Samo prva premješta podobnog klijenta sa stavke grupe na člana, a LAN-na-LAN veze ostaju izvan te raspodjele. Generički TCP balanser ne može zamijeniti vlastiti korak preusmjeravanja protokola, jer rukovanje tunelom nije običan HTTP koji proxy može prepisati. Praktični rezultat je balanser koji prihvati vezu, a klijent ipak ne može uspostaviti tunel.

Pročitajte listu funkcija uz svoj tip sesije prije naručivanja drugog uređaja. Linija licence i linija mehanizma su odvojene stavke, i jedna ne podrazumijeva drugu.

Preračunajte primjer umjesto nagađanja

Pretpostavite da su tri gatewaya svaki validiran na 800 istovremenih tunela pod opterećenjem koje ste odobrili, što ukupno iznosi 2,400. Cilj od 1,650 u vršnom satu izgleda udobno dok se jedna jedinica ne izgubi, a tada preostali par mora držati 1,650 naspram tvrdih 1,600. Dizajn je već propao, i nikakvo podešavanje prebacivanja ne popravlja aritmetiku.

Postavite cilj tako da ga preostali skup još ispunjava, što za grupu od tri člana znači ostati ispod dvije trećine ukupnog broja. Taj odnos je svojstvo aritmetike, a ne bilo kojeg proizvoda, pa ga preračunajte kad se promijeni validirana brojka nekog člana. Držite licencirani broj, dokumentovani maksimum i vlastitu izmjerenu brojku u tri kolone, jer se rijetko slažu i najmanja odlučuje. Četvrta kolona za zabilježeni vrh vršnog sata održava plan iskrenim nakon prvog mjeseca.

Planirajte nalet ponovnog povezivanja, ne samo stabilno stanje

Sesije na neuspjelom članu ne vraćaju se tiho negdje drugdje. Ovisno od mehanizma, prebacuju se sa stanjem, ponovo pregovaraju od nule ili čekaju da aplikacija sama pokuša po svom rasporedu.

Nekoliko hiljada klijenata koji pokušavaju ponovo u roku minute drugačiji je događaj od stabilnih 1,650, a autentifikacijski serveri to osjete prvi. Provjerite i prostor u bazenu, jer ga preusmjeravanje ne konsultuje: član koji ne može dodijeliti adresu ipak prihvata klijenta i zatim odbacuje njegov saobraćaj.

Provjerite kapacitet uz bazen i rutu pri ruci

Provjera je vježba samo za čitanje koja hvata većinu grešaka u dizajnu prije nego se otvori prozor za održavanje. Prikupite bazen po članu, broj aktivnih sesija i rutu nazad do podmreže klijenata, pa svaku uporedite s planom. Iscrpljenost bazena i nedostajuća povratna ruta obje se pojavljuju kao klijent koji se autentificira i zatim gubi saobraćaj.

show vpn-sessiondb summary
show running-config ip local pool
show vpn load-balancing
show route 10.40.12.0 255.255.255.0

Pokrenite ta čitanja na svakom članu tokom normalnog vršnog sata, a ne tihog. Član koji prijavljuje sesije ali nema slobodnih adresa već je na praktičnoj granici, šta god licenca kaže. Zabilježite verziju firmvera uz svaki izlaz, jer se nazivi komandi mijenjaju između izdanja.

Vježbajte gubitak jednom namjerno, van radnog vremena, i zabilježite šta preostali članovi prijavljuju dok se to događa. Član koji prihvati preusmjerenje ali nema prostora u bazenu pojavljuje se kao neuspjela dodjela, što dodatni propusni opseg nikada ne ispravlja. Pohranite validirane brojke s datumom pored plana, da sljedeći pregled kapaciteta počne od dokaza umjesto od licencne tabele. Dodajte ishod te vježbe na istu stranicu, čak i kada se brojke slažu s planom.