Skaluj sesje VPN według ról, a następnie sprawdź zapas na wypadek awarii

Dodajesz drugą bramę, konsola pokazuje dwóch zdrowych członków, a limit sesji ledwo się zmienia, bo nic nie powiedziało klientom, jak dotrzeć do nowego urządzenia. Skalowanie usługi VPN to dwie decyzje po kolei: który mechanizm rozdziela klientów dla tego typu połączenia i ile pojemności zostaje po najgorszej pojedynczej stracie. Podjęte w odwrotnej kolejności dają projekt, który wygląda na nadmiarowy i zawodzi dokładnie wtedy, gdy jest potrzebny. Zacznij od konsoli, a potem wykonaj obliczenia.

Dopasuj mechanizm do typu sesji

Użytkownicy zdalni, partnerzy między lokalizacjami i stale włączone tunele urządzeń nie są wymiennymi sesjami. Funkcja dystrybucji zbudowana dla jednego z nich zwykle przekierowuje klienta podczas negocjacji, co nic nie znaczy dla partnera, który ma już stały adres i statyczną konfigurację.

Przewodnik wysokiej dostępności ASA firmy Cisco rozdziela trzy możliwości: równoważenie obciążenia VPN dostępu zdalnego, przełączanie awaryjne z zachowaniem stanu i klastrowanie między lokalizacjami. Tylko pierwsza przenosi kwalifikującego się klienta z wpisu grupy na członka, a połączenia LAN-LAN pozostają poza tą dystrybucją. Ogólny balanser TCP nie może zastąpić własnego kroku przekierowania protokołu, ponieważ uścisk dłoni tunelu to nie zwykły HTTP, który proxy mogłoby przepisać. Praktyczny wynik to balanser, który przyjmuje połączenie i nadal nie pozwala klientowi utworzyć tunelu.

Przeczytaj listę funkcji w kontekście swojego typu sesji, zanim zamówisz drugie urządzenie. Linia licencji i linia mechanizmu to osobne wpisy, a jedna nie implikuje drugiej.

Przelicz przykład zamiast zgadywać

Załóżmy, że trzy bramy są po kolei zweryfikowane na 800 jednoczesnych tuneli przy obciążeniu, które zatwierdziłeś, co daje łącznie 2,400. Cel 1,650 w godzinach szczytu wygląda wygodnie, dopóki nie zostanie utracona jedna jednostka, a wtedy pozostała para musi utrzymać 1,650 wobec twardego 1,600. Projekt już zawiódł, a żadne dostrajanie przełączania awaryjnego nie naprawi arytmetyki.

Ustaw cel tak, aby pozostały zbiór nadal go spełniał, co dla grupy trzech członków oznacza pozostanie poniżej dwóch trzecich całości. Ten stosunek jest właściwością arytmetyki, a nie jakiegokolwiek produktu, więc przeliczaj go, gdy zmieni się zweryfikowana wartość członka. Trzymaj licencjonowaną liczbę, udokumentowane maksimum i własną zmierzoną wartość w trzech kolumnach, ponieważ rzadko się zgadzają, a decyduje najmniejsza. Czwarta kolumna dla zaobserwowanego szczytu godzin szczytu utrzymuje plan uczciwym po pierwszym miesiącu.

Zaplanuj falę ponownych połączeń, nie tylko stan ustalony

Sesje na uszkodzonym członku nie pojawiają się po cichu gdzie indziej. W zależności od mechanizmu przełączają się ze stanem, negocjują od nowa lub czekają, aż aplikacja ponowi próbę według własnego harmonogramu.

Kilka tysięcy klientów ponawiających próbę w ciągu minuty to inne zdarzenie niż stabilne 1,650, a serwery uwierzytelniania odczuwają to pierwsze. Sprawdź także miejsce w puli, ponieważ przekierowanie go nie konsultuje: członek, który nie może przydzielić adresu, nadal przyjmuje klienta, a potem odrzuca jego ruch.

Zweryfikuj pojemność z pulą i trasą pod ręką

Weryfikacja to ćwiczenie tylko do odczytu, które wyłapuje większość błędów projektowych, zanim otworzy się okno konserwacji. Zbierz pulę na członka, liczbę aktywnych sesji i trasę powrotną do podsieci klienta, a następnie porównaj każdą z planem. Wyczerpanie puli i brakująca trasa powrotna objawiają się tak samo: klient uwierzytelnia się, a potem traci ruch.

show vpn-sessiondb summary
show running-config ip local pool
show vpn load-balancing
show route 10.40.12.0 255.255.255.0

Wykonuj te odczyty na każdym członku w normalnej godzinie szczytu, a nie w spokojnej. Członek, który zgłasza sesje, ale nie ma wolnych adresów, jest już na swojej praktycznej granicy, cokolwiek mówi licencja. Zanotuj wersję oprogramowania sprzętowego obok każdego wyniku, ponieważ nazwy poleceń zmieniają się między wydaniami.

Przećwicz utratę raz celowo, poza godzinami pracy, i zapisz, co zgłaszają ocalali członkowie, gdy to się dzieje. Członek, który akceptuje przekierowanie, ale nie ma miejsca w puli, pojawia się jako nieudane przydzielenie, czego dodatkowa przepustowość nigdy nie naprawi. Przechowuj zweryfikowane liczby z datą obok planu, aby następny przegląd pojemności zaczynał się od dowodów, a nie od arkusza licencji. Dodaj wynik tego ćwiczenia na tę samą stronę, nawet gdy liczby zgadzają się z planem.