Configurando o Balanceamento de Carga em Concentradores VPN
3000
Índice
Introdução
Pré-requisitos
Requisitos
Componentes Utilizados
Convenções
Principais definições
Diagrama de Rede
Endereços
Restrições
Configuração
Atribuição de endereço IP:
Configuração do filtro
Configuração de cluster
Monitoramento
Teste a característica da função de balanceamento de carga
Troubleshooting
Informações Relacionadas
Introdução
A função de balanceamento de carga é a capacidade para ter os Cisco VPN 3000 Client compartilhados através das unidades múltiplas sem a
intervenção de usuário. Assegura-se de que o endereço IP público esteja altamente disponível aos usuários. Por exemplo, se o Cisco VPN 3000
Concentrator que presta serviços de manutenção ao endereço IP público falha, um outro VPN 3000 concentrator no conjunto supõe o endereço IP
público. Igualmente permite que a Segurança não-IP (PPTP e L2TP) e os clientes de IPSec não-Cisco conectem ao VPN 3000 concentrator na
maneira existente, embora estes clientes VPN não sejam função de balanceamento de carga ou apoiado pelo failover de sessão seguro.
Nota: O Virtual Router Redundancy Protocol (VRRP) e a função de balanceamento de carga são mutuamente exclusivos de um outro. O VRRP
não pode ser permitido quando a função de balanceamento de carga for permitida e vice-versa.
Pré-requisitos
Requisitos
Este documento supõe:
Você tem endereços IP atribuídos em seus VPN 3000 concentratores (em ambas as interfaces públicas e privadas).
O IPsec é configurado nos VPN 3000 concentratores para o usuário VPN. Refira o IPsec com o cliente VPN ao exemplo de configuração
do VPN 3000 concentrator para uma configuração de exemplo se o IPsec não é configurado.
Os usuários VPN podem conectar individualmente a todos os VPN 3000 concentratores com o uso de seu endereço IP público atribuído.
Componentes Utilizados
As informações neste documento são baseadas nestas versões de software e hardware:
Versões 3.0 e mais recentes do Cliente de Software de VPN 3000
Versões de Software VPN 3000 Concentrator 3.0 e superior
As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos
utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a sua rede estiver ativa, certifique-se de que entende o
impacto potencial de qualquer comando.
Convenções
Consulte as Convenções de Dicas Técnicas da Cisco para obter mais informações sobre convenções de documentos.
Principais definições
Esta tabela define as palavras-chave associadas com os VPN 3000 concentratores e a função de balanceamento de carga.
Palavraschave
Definição
Em um cluster virtual, os Concentradores VPN 3000 funcionam
juntos como uma única entidade. O conjunto é sabido por um
endereço IP de Um ou Mais Servidores Cisco ICM NT ao espaço
exterior do cliente VPN. Este endereço IP de Um ou Mais Servidores
Cluster virtual
Cisco ICM NT virtual não é amarrado a um dispositivo específico no
conjunto VPN mas é prestado serviços de manutenção pelo virtual
cluster master. O endereço IP de Um ou Mais Servidores Cisco ICM
NT virtual tem que ser um endereço roteável.
Agente de
Cluster
Virtual
(VCA)
O VCA é adicionado ao código VPN3000 a fim controlar a função de
balanceamento de carga nos VPN 3000 concentratores. As alterações
mínimas foram feitas ao código IPSec a fim segurar o endereço IP de
Um ou Mais Servidores Cisco ICM NT do cluster virtual.
Carregar
informações
O mestre mantém a informação de carga de todos os VPN 3000
concentratores secundários no conjunto. Cada secundário envia a
informação de carga na troca da mensagem da manutenção de
atividade ao mestre. A carga é calculada como uma porcentagem das
sessões ativas atuais divididas pelo máximo permitido de conexões
configuradas.
Diagrama de Rede
Endereços
Esta tabela mostra endereços públicos e privados para VPN 3000 concentratores.
VPN 3000
Concentrator
Privado
Interface
Máscara de
sub-rede
Público
Interface
Máscara de
sub-rede
3005
10.32.1.129 255.255.128.0
172.18.124.129 255.255.255.0
3030
10.32.1.130 255.255.128.0
172.18.124.130 255.255.255.0
3060
10.32.1.131 255.255.128.0
172.18.124.131 255.255.255.0
Restrições
Estas limitações aplicam-se à função de balanceamento de carga em VPN 3000 concentratores:
A função de balanceamento de carga pode somente ocorrer com conexões do IPSec VPN Cliente-à-LAN da versão Cisco 3.x (ou mais
tarde). Uns clientes VPN mais adiantados podem ainda conectar a seu endereço IP de Um ou Mais Servidores Cisco ICM NT da porta do
alvo Ethernet2 (público) dentro do conjunto.
Nota: O Balanceamento de carga pode ainda trabalhar se ambos os concentradores VPN não têm a mesma versão de software carregada
neles.
O endereço IP do cluster virtual de VPN, a porta do Protocolo de datagrama de usuário (UDP) e o segredo compartilhado devem ser
idênticos em todos os dispositivos no cluster virtual.
Todos os dispositivos no cluster virtual devem estar nas mesmas sub-redes de IP públicas e privadas.
É necessário aplicar um filtro nas interfaces pública e privada. Os padrões são:
filtro privado na interface privada
filtro público na interface pública
Configuração
Atribuição de endereço IP:
Certifique-se de que os endereços IP foram configurados nas interfaces pública e privada e se você pode acessar a Internet a partir do seu VPN
3000 Concentrator.
Configuração do filtro
Para que a função de balanceamento de carga trabalhe corretamente, você precisa de adicionar uma regra nova em seus filtros atuais para o VCA.
Nota: O filtro privado tem à revelia uma “licença toda a” regra. Consequentemente, a adição das regras VCA-específicas a este filtro não pôde
ser necessária).
A fim adicionar isto, o configuração > gerenciamento de política > gerenciamento de tráfego seleto > atribui regras para filtrar.
Então, adicionar o VCA dentro e o VCA para fora em seu filtro.
Configuração de cluster
A fim configurar a função de balanceamento de carga, selecione o Configuration > System > o Balanceamento de carga, e configurar estes
parâmetros:
Endereço IP do cluster virtual VPN
Porta UDP do cluster virtual VPN
Criptografia
Segredo do segredo compartilhado de IPsec
Verificar segredo compartilhado
Ativação de balanceamento de carga
Prioridade
Endereço IP atribuído por NAT
Endereço IP do cluster virtual VPN
Incorpore o único endereço IP de Um ou Mais Servidores Cisco ICM NT que representa o cluster virtual inteiro. Escolha um endereço IP de Um
ou Mais Servidores Cisco ICM NT que esteja dentro da escala pública do endereço de sub-rede compartilhada por todos os VPN 3000
concentratores no cluster virtual. Neste exemplo, 172.18.124.254 é usado como o endereço virtual. Certifique-se de que você usa o mesmo
endereço virtual em todos os VPN 3000 concentratores.
Porta UDP do cluster virtual VPN
A porta do cluster virtual UDP VPN é o número de porta UDP que o VCA usa para sua comunicação entre VPN 3000 concentratores. Se um
outro aplicativo usa esta porta, entre no número de porta que do destino de UDP você quer se usar para a função de balanceamento de carga. A
porta padrão é 9023. Certifique-se de que você usa a mesma porta UDP em todos os VPN 3000 concentratores.
Criptografia
Você pode cifrar uma comunicação de VCA no ambiente da função de balanceamento de carga. Os VPN 3000 concentratores no cluster virtual
podem comunicar-se através dos túneis de LAN para LAN com o uso do IPsec. A fim assegurar-se de que toda a informação de equilíbrio de
carga comunicada entre os VPN 3000 concentratores esteja cifrada, verifique a criptografia. Note que este parâmetro é opcional. Contudo, se
permitido, melhora a função de balanceamento de carga nos VPN 3000 concentratores. Se você usa esta opção, assegure-se de que todos os VPN
3000 concentratores usem a criptografia em seu ambiente.
Segredo do segredo compartilhado de IPsec
A opção de segredo compartilhado de IPsec está disponível somente se você verifica a opção de criptografia. Incorpore o segredo do segredo
compartilhado de IPsec para o cluster virtual. O segredo compartilhado é uma senha comum que autentica os membros do cluster virtual. O IPsec
usa o segredo compartilhado enquanto uma chave pré-compartilhada a fim estabelecer túneis seguros entre o cluster virtual espreita. No exemplo
neste documento, "cisco123" é usado como a chave pré-compartilhada. Certifique-se de que você incorpora a mesma chave em todos os VPN
3000 concentratores.
Verificar segredo compartilhado
Reenter o segredo do segredo compartilhado de IPsec.
Ativação de balanceamento de carga
Verifique a função de balanceamento de carga permitem a caixa de incluir o VPN 3000 concentrator no cluster virtual. Se você desabilita este
parâmetro, a seguir a função de balanceamento de carga está desabilitada neste VPN 3000 concentrator particular.
Prioridade
Incorpore uma prioridade para o VPN 3000 concentrator dentro do cluster virtual. A prioridade é um número de 1 ao 10 que indica a
probabilidade deste dispositivo que assenta bem no virtual cluster master ou na partida ou se um mestre existente falha. Quando mais alto você
definir a prioridade (10), maior será a probabilidade desse dispositivo se tornar o mestre virtual cluster. Se seu cluster virtual inclui modelos
diferentes dos VPN 3000 concentratores, recomenda-se que você escolhe o dispositivo com a grande potencialidade de carga ser o virtual cluster
master. Por este motivo, os padrões da prioridade são dependente de hardware (veja esta tabela).
Modelo do VPN Concentrator
Prioridade
3005
1
3015
3
3030
5
3060
7
3080
9
Se os seus clusters virtuais são compostos de dispositivos idênticos (por exemplo, se todos os dispositivos no cluster virtual forem Concentrador
de VPN 3060s), configure para 10 a prioridade de cada dispositivo. Quando todos os dispositivos idênticos são ajustados à prioridade mais alta,
encurta o intervalo de tempo que você precisa a fim selecionar o virtual cluster master.
Se os dispositivos no cluster virtual são postos acima em horas diferentes, o primeiro dispositivo a ser posto acima de supõe o papel do virtual
cluster master. Porque cada cluster virtual exige um mestre, cada dispositivo no cluster virtual verifica na ligação inicial a fim assegurar-se de que
o conjunto tenha um mestre virtual. Se nenhum existe, tomadas desse dispositivo no papel. Os dispositivos puseram acima e adicionaram ao
conjunto transformam-se mais tarde dispositivos secundários.
Se todos os dispositivos do agrupamento virtual forem ativados simultaneamente, o dispositivo com a configuração de prioridade mais alta se
tornará o mestre do agrupamento virtual. Se dois ou mais dispositivos no cluster virtual forem ligados simultaneamente e ambos tiverem a
configuração de prioridade máxima, aquele com endereço IP mais baixo passará a ser o mestre de cluster virtual.
Uma vez que o cluster virtual está estabelecido e se opera, se o VPN 3000 concentrator que guarda o papel do virtual cluster master falha, o
dispositivo secundário com o ajuste o mais prioritário toma sobre. Se dois ou mais dispositivos do cluster virtual tiverem a configuração de
prioridade mais alta, o que tiver o endereço IP menor se torna o cluster virtual principal.
Endereço IP atribuído por NAT
Se os VPN 3000 concentratores são atrás de um Firewall que use o Network Address Translation (NAT), a seguir especifique o endereço IP de
Um ou Mais Servidores Cisco ICM NT NAT aqui. Neste exemplo, os VPN 3000 concentratores não são atrás de nenhum dispositivo NAT. Se
este é o caso, a seguir entre em 0.0.0.0. (configuração padrão).
Este screen shot é tomado do concentrador VPN de 172.18.124.130.
Este screen shot é tomado do concentrador VPN de 172.18.124.131.
Monitoramento
A fim monitorar a característica da função de balanceamento de carga no lado do VPN 3000 concentrator, selecione a monitoração > as
estatísticas > o Balanceamento de carga, e certifique-se de que todos os VPN 3000 concentratores de participação estão alistados como pares.
No concentrador VPN de 172.18.124.129, você vê 172.18.124.130 e 172.18.124.131 como os pares. Note que 172.18.124.131 é o concentrador
VPN mestre.
No concentrador VPN de 172.18.124.130, você vê 172.18.124.129 e 172.18.124.131 como os pares.
No concentrador VPN de 172.18.124.131, você vê 172.18.124.129 e 172.18.124.130 como os pares. O papel é alistado como o mestre para o
concentrador VPN de 172.18.124.131.
Se você Enable Encryption sob a janela de configuração do Balanceamento de carga, você vê os túneis VCA/IPsec com seu par quando você
selecionar o monitoramento > sessões.
Este screen shot é tomado do concentrador VPN de 172.18.124.129.
Teste a característica da função de balanceamento de carga
Nota: Endereços virtuais não podem ser colocados em ping.
O mestre tenta sempre ter menos carga enquanto é carregado com uma carga adicional, inerente. O mestre mantém todas as sessões de LAN a
LAN administrativas, calcula toda carga restante do membro de grânulos, e trata todo o cliente VPN reorienta.
Em um conjunto recentemente configurado, de funcionamento, o mestre tem aproximadamente uma carga de 1 por cento antes que todas as
conexões estejam estabelecidas. Consequentemente, o mestre reorienta VPN 3000 concentratores alternativos das conexões até que seu
porcentagem de carga esteja mais alto do que o porcentagem de carga no mestre. Por exemplo, se você tem dois 3030 dispositivos em um estado
“inativo”, o mestre tem uma carga de 1 por cento, e o secundário é dado 30 conexões (carga de 2 por cento dos por cento) antes que o mestre
aceite conexões.
A fim verificar que o mestre aceita conexões, você pode abaixar o número máximo de conexão (configuração > sistema > geral > sessões)
artificialmente a um número baixo a fim aumentar rapidamente a carga colocada no VPN 3000 concentrator alternativo.
A fim testar a característica da função de balanceamento de carga, configurar o cliente VPN para conectar ao endereço IP de Um ou Mais
Servidores Cisco ICM NT virtual (172.18.124.254 neste caso). O mestre desvia o túnel de IPsec a um dos VPN 3000 concentratores secundários
que conhece aproximadamente. Se você monitora a sessão no concentrador VPN de 172.18.124.129, aceitou o túnel do cliente VPN.
Este screen shot é tomado do concentrador VPN de 172.18.124.129. A carga neste VPN 3000 concentrator é 1 por cento (conexões atual/conexão
máxima = 1/100 = 1%).
Neste screen shot, a carga no concentrador VPN mestre (172.18.124.131) é 0 por cento, a carga em 172.18.124.129 é 1 por cento, e a carga para
172.18.124.130 é 0 por cento.
Troubleshooting
Problema
Solução
A criptografia é
permitida, mas
você não vê
qualquer coisa
sob o
monitoramento
> sessões para
túneis
IPsec/VCA.
Certifique-se de que a criptografia está permitida em todos os
VPN 3000 concentratores que participam na função de
balanceamento de carga. Igualmente certifique-se de que o segredo
do segredo compartilhado de IPsec está correto em todos os VPN
3000 concentratores.
Assegure-se de que você possa sibilar os outros VPN 3000
concentratores (interfaces públicas e privadas). Se você estiver
pronto para efetuar ping, verifique os filtros e se as regras VCA in
e VCA out estão habilitadas neles. A fim verificar que, se você
permite a classe LBSSF no VPN 3000 concentrator com
O
balanceamento
de carga está
habilitado, mas
você não vê
nenhum peer em
Monitoring >
Statistics >
Load-Balancing.
severidade de registrar o grupo a 1-8, você deve ver estas
mensagens em seus logs:
32198 10/19/2001 10:08:05.260 SEV=8 LBSSF/25 RPT=42577
LBSSF received KEEPALIVE request from [10.32.1.130]
32199 10/19/2001 10:08:05.260 SEV=8 LBSSF/24 RPT=42573
LBSSF sent KEEPALIVE response to [10.32.1.130]
32200 10/19/2001 10:08:05.890 SEV=8 LBSSF/25 RPT=42578
LBSSF received KEEPALIVE request from [10.32.1.129]
32201 10/19/2001 10:08:05.890 SEV=8 LBSSF/24 RPT=42574
LBSSF sent KEEPALIVE response to [10.32.1.129]
32202 10/19/2001 10:08:06.260 SEV=8 LBSSF/25 RPT=42579
LBSSF received KEEPALIVE request from [10.32.1.130]
32203 10/19/2001 10:08:06.260 SEV=8 LBSSF/24 RPT=42575
LBSSF sent KEEPALIVE response to [10.32.1.130]
Informações Relacionadas
Notas Técnicas de Troubleshooting
© 1992-2015 Cisco Systems Inc. Todos os direitos reservados.
Data da Geração do PDF: 12 Agosto 2015
http://www.cisco.com/cisco/web/support/BR/104/1042/1042422_ld_bl_vpn3000_7602.html