Большой пул VPN не означает больший лимит сессий

Сеть /22 содержит 1,024 адреса IPv4, и это число легко принять за ёмкость. Оно описывает, сколько назначений может поддержать диапазон, а не сколько сессий примет шлюз или сколько трафика он способен переслать. За любым ответом стоят три отдельных подсчёта, и отказывают они по-разному. Именно их сравнение позволяет отнести отказ к правильному.

Пул, право и нагрузка считаются в разных единицах и разными владельцами.

Что пул на самом деле предлагает

Начните с реальных границ, а не с маски. Топология подсети определяет, сколько адресов сервер может выдать, фиксированные назначения и резервирования забирают часть, а адреса сети и широковещательный недоступны. /22 даёт 1,024 в принципе и меньше на практике, и этого уже достаточно, чтобы сломать ожидаемую арифметику. Пересечение с сетями, до которых должны дотянуться клиенты, может исключить диапазон, казавшийся щедрым. Убедитесь, что механизм назначений поддерживает предложенный диапазон, прежде чем объявлять его.

Больший пул снимает ровно одно ограничение. Он не затрагивает лимиты допуска, лицензирование и пропускную способность, а расширение подсети без изменения маршрутов и политики доступа создаёт диапазон, до которого никто не доберётся.

Что лицензия на самом деле разрешает

Поддерживаемая платформой одновременность и право на продукт — ещё два числа, и они часто не совпадают. Права могут считать пользователей, устройства или одновременные сессии, и эти меры не взаимозаменяемы. Руководства по заказу у поставщиков показывают, насколько разными могут быть модели, поэтому число партнёров из старого описания не стоит переносить в новое развёртывание. Читайте соглашение, которое относится к сервису, который вы действительно обслуживаете.

Лицензия, считающая именованных пользователей, не допустит больше устройств только потому, что в пуле есть место.

Что шлюз на самом деле выдержит

Третий подсчёт — нагрузка. Оцените трафик, который эти сессии создают вместе: частоту пакетов, всплески аутентификации, стоимость шифрования и включённые функции политики. Интерактивные сессии и массовые передачи ложатся на одну и ту же машину очень по-разному. У шлюза могут быть свободные адреса и доступный лицензионный допуск, пока предполагаемая нагрузка превышает то, что он способен переслать. Планирование ёмкости без учёта набора функций даёт число, которое верно только в лаборатории, где всё выключено.

Отказ — это момент посмотреть, что шлюз записал для этой попытки: событие выделения, решение о допуске или зависший вызов аутентификации. Эти три требуют разных исправлений, и догадки со стороны клиента редко выбирают верное.

Отнесите отказ, прежде чем что-то менять

Полезное сравнение — между тремя подсчётами и наблюдавшимся сбоем. Если пул заполнен, расширьте его и обновите маршруты и политику, которые его описывают. Если в допуске отказывают, пока адреса ещё есть, ограничение в другом месте. Если сессии допускаются, а производительность рушится, проблема в ёмкости, а не в одном из двух лимитов.

Запишите, какой подсчёт исчерпался, когда это произошло и что изменилось потом. Такая запись не даёт следующему расследованию снова начать с маски подсети.

Расширение пула — изменение в одну строку с тройным продолжением: маршруты, политика и повторная проверка.