Mở rộng phiên VPN theo vai trò, rồi kiểm tra dự phòng khi lỗi

Bạn thêm một gateway thứ hai, bảng điều khiển hiển thị hai thành viên khỏe mạnh, và trần phiên hầu như không nhúc nhích, vì không có gì nói cho máy khách cách tiếp cận hộp mới. Mở rộng một dịch vụ VPN là hai quyết định liên tiếp: cơ chế nào phân phối máy khách cho kiểu kết nối này, và còn bao nhiêu dung lượng sau tổn thất đơn lẻ tệ nhất. Làm theo thứ tự ngược lại sẽ tạo ra thiết kế trông dư thừa và hỏng đúng lúc cần đến. Hãy bắt đầu ở bảng điều khiển, rồi làm phép tính.

Ghép cơ chế với kiểu phiên

Người dùng từ xa, các đối tác giữa site và đường hầm thiết bị luôn bật không phải là những phiên có thể hoán đổi. Một tính năng phân phối được xây cho một trong số đó thường chuyển hướng máy khách trong quá trình thương lượng, điều này không có ý nghĩa gì với một đối tác đã có địa chỉ cố định và cấu hình tĩnh.

Hướng dẫn tính sẵn sàng cao của ASA của Cisco tách ba khả năng: cân bằng tải VPN truy cập từ xa, chuyển đổi dự phòng có trạng thái và cụm giữa các site. Chỉ cái đầu tiên chuyển một máy khách đủ điều kiện từ mục nhóm sang một thành viên, và các kết nối LAN-tới-LAN nằm ngoài phân phối đó. Một bộ cân bằng TCP thông thường không thể thay thế bước chuyển hướng của chính giao thức, vì bắt tay đường hầm không phải HTTP đơn giản để proxy có thể viết lại. Kết quả thực tế là một bộ cân bằng chấp nhận kết nối và vẫn khiến máy khách không thể tạo đường hầm.

Hãy đọc danh sách tính năng đối chiếu với kiểu phiên của bạn trước khi đặt thiết bị thứ hai. Dòng giấy phép và dòng cơ chế là hai mục riêng, và cái này không bao hàm cái kia.

Tính ví dụ thay vì đoán

Giả sử ba gateway mỗi cái được xác nhận ở 800 đường hầm đồng thời dưới tải bạn đã phê duyệt, tổng cộng là 2,400. Mục tiêu 1,650 vào giờ cao điểm có vẻ thoải mái cho đến khi mất một đơn vị, và khi đó cặp còn sống phải giữ 1,650 trước mức 1,600 cứng. Thiết kế đã thất bại, và không việc tinh chỉnh chuyển đổi dự phòng nào sửa được phép tính.

Đặt mục tiêu sao cho tập còn sống vẫn đáp ứng được, nghĩa là với một nhóm ba thành viên phải ở dưới hai phần ba tổng số. Tỷ lệ đó là thuộc tính của phép tính chứ không phải của sản phẩm nào, nên hãy tính lại mỗi khi con số được xác nhận của một thành viên thay đổi. Giữ số được cấp phép, mức tối đa được ghi nhận và con số đo được của riêng bạn trong ba cột, vì chúng hiếm khi khớp nhau và cái nhỏ nhất quyết định. Cột thứ tư cho đỉnh giờ cao điểm quan sát được giữ cho kế hoạch trung thực sau tháng đầu tiên.

Lập ngân sách cho đợt bùng nổ kết nối lại, không chỉ trạng thái ổn định

Các phiên trên một thành viên hỏng không lặng lẽ xuất hiện lại ở nơi khác. Tùy cơ chế, chúng chuyển đổi kèm trạng thái, thương lượng lại từ đầu, hoặc chờ ứng dụng thử lại theo lịch riêng.

Vài nghìn máy khách thử lại trong vòng một phút là sự kiện khác với 1,650 ổn định, và các máy chủ xác thực cảm nhận trước tiên. Cũng hãy kiểm tra không gian pool, vì chuyển hướng không hỏi đến nó: một thành viên không thể cấp địa chỉ vẫn chấp nhận máy khách rồi bỏ lưu lượng của nó.

Xác minh dung lượng với pool và tuyến trong tay

Xác minh là bài tập chỉ đọc giúp bắt hầu hết lỗi thiết kế trước khi cửa sổ bảo trì mở ra. Thu thập pool theo từng thành viên, số phiên đang hoạt động và tuyến quay về subnet của máy khách, rồi so sánh từng mục với kế hoạch. Cạn pool và thiếu tuyến quay về đều xuất hiện như một máy khách xác thực rồi mất lưu lượng.

show vpn-sessiondb summary
show running-config ip local pool
show vpn load-balancing
show route 10.40.12.0 255.255.255.0

Chạy những lần đọc đó trên từng thành viên vào giờ cao điểm bình thường chứ không phải giờ yên tĩnh. Một thành viên báo có phiên nhưng không còn địa chỉ trống đã ở giới hạn thực tế, bất kể giấy phép nói gì. Ghi phiên bản firmware bên cạnh mỗi đầu ra, vì tên lệnh thay đổi giữa các bản phát hành.

Hãy diễn tập mất mát một lần có chủ đích, ngoài giờ làm việc, và ghi lại những gì các thành viên còn sống báo cáo trong lúc đó. Một thành viên chấp nhận chuyển hướng nhưng không có chỗ trong pool xuất hiện như cấp phát thất bại, điều mà băng thông thêm không bao giờ khắc phục. Lưu các con số đã xác nhận kèm ngày bên cạnh kế hoạch, để lần xem xét dung lượng tiếp theo bắt đầu từ bằng chứng chứ không phải bảng tính giấy phép. Thêm kết quả của lần diễn tập đó vào cùng trang, ngay cả khi các con số khớp với kế hoạch.