Schaal VPN-sessies op rol en controleer daarna de faalreserve

Je voegt een tweede gateway toe, de console toont twee gezonde leden, en het sessieplafond beweegt nauwelijks, omdat niets de clients heeft verteld hoe ze de nieuwe box bereiken. Een VPN-dienst schalen zijn twee beslissingen op rij: welk mechanisme clients verdeelt voor dit verbindingstype, en hoeveel capaciteit overblijft na het ergste enkele verlies. Neem je ze in de andere volgorde, dan krijg je een ontwerp dat redundant lijkt en precies faalt wanneer het nodig is. Begin bij de console en doe daarna de rekensom.

Koppel het mechanisme aan het sessietype

Externe gebruikers, site-to-site-peers en altijd aanwezige apparaattunnels zijn geen uitwisselbare sessies. Een distributiefunctie die voor een van hen is gebouwd, verwijst een client normaal tijdens de onderhandeling door, wat niets betekent voor een peer die al een vast adres en een statische configuratie heeft.

Cisco's handleiding voor hoge beschikbaarheid van ASA houdt drie capaciteiten apart: loadbalancing voor remote-access-VPN, stateful failover en site-to-site-clustering. Alleen de eerste verplaatst een geschikte client van een groepsinvoer naar een lid, en LAN-naar-LAN-verbindingen blijven buiten die distributie. Een generieke TCP-loadbalancer kan de eigen omleidingsstap van het protocol niet vervangen, omdat de tunnelhandshake geen gewone HTTP is die een proxy kan herschrijven. Het praktische resultaat is een loadbalancer die de verbinding accepteert en de client toch niet laat tunnelen.

Lees de functielijst tegen je sessietype voordat je een tweede apparaat bestelt. De licentieregel en de mechanismeregel zijn aparte invoeren, en de ene impliceert de andere niet.

Werk het voorbeeld uit in plaats van te gissen

Stel dat drie gateways elk zijn gevalideerd op 800 gelijktijdige tunnels onder de werkbelasting die je hebt goedgekeurd, wat samen 2,400 is. Een drukte-uurdoel van 1,650 lijkt comfortabel tot één eenheid verloren gaat, en dan moet het overlevende paar 1,650 vasthouden tegen een harde 1,600. Het ontwerp is al mislukt, en geen failover-afstelling repareert de rekensom.

Stel het doel zo dat de overlevende set het nog haalt, wat voor een groep van drie leden betekent onder twee derde van het totaal blijven. Die verhouding is een eigenschap van de rekensom en niet van een product, dus herbereken haar wanneer de gevalideerde waarde van een lid verandert. Houd het gelicentieerde aantal, het gedocumenteerde maximum en je eigen gemeten waarde in drie kolommen, omdat ze zelden overeenkomen en de kleinste geldt. Een vierde kolom voor de waargenomen drukte-uurpiek houdt het plan eerlijk na de eerste maand.

Begroot de herverbindingsgolf, niet alleen de stabiele toestand

Sessies op een uitgevallen lid verschijnen niet rustig ergens anders opnieuw. Afhankelijk van het mechanisme vallen ze over met status, onderhandelen ze opnieuw vanaf nul, of wachten ze tot de toepassing volgens zijn eigen schema opnieuw probeert.

Een paar duizend clients die binnen een minuut opnieuw proberen is een andere gebeurtenis dan een stabiele 1,650, en de authenticatieservers voelen het eerst. Controleer ook de poolruimte, want de omleiding raadpleegt die niet: een lid dat geen adres kan toewijzen accepteert de client alsnog en laat daarna zijn verkeer vallen.

Verifieer de capaciteit met de pool en de route bij de hand

Verificatie is een leesoefening die de meeste ontwerpfouten opvangt voordat een onderhoudsvenster opengaat. Verzamel de pool per lid, het aantal actieve sessies en de route terug naar het clientsubnet, en vergelijk elk met het plan. Pooluitputting en een ontbrekende retourroute verschijnen beide als een client die zich authenticeert en daarna verkeer verliest.

show vpn-sessiondb summary
show running-config ip local pool
show vpn load-balancing
show route 10.40.12.0 255.255.255.0

Voer die leesopdrachten uit tegen elk lid tijdens een normaal drukte-uur en niet een rustig uur. Een lid dat sessies rapporteert maar geen vrije adressen heeft, zit al op zijn praktische grens, wat de licentie ook zegt. Noteer de firmwareversie naast elke uitvoer, omdat opdrachtnamen tussen releases verschuiven.

Oefen het verlies één keer bewust, buiten kantooruren, en registreer wat de overlevende leden rapporteren terwijl het gebeurt. Een lid dat de omleiding accepteert maar geen poolruimte heeft, verschijnt als mislukte toewijzing, wat extra bandbreedte nooit verhelpt. Bewaar de gevalideerde cijfers met de datum naast het plan, zodat de volgende capaciteitsbeoordeling met bewijs begint in plaats van met een licentiespreadsheet. Voeg de uitkomst van die oefening aan dezelfde pagina toe, ook wanneer de cijfers overeenkomen met het plan.