ASAVPN负载均衡重要选择进程.PDF

ASA VPN负载均衡重要的选择进程 目录 简介 先决条件 要求 使用的组件 背景信息  负载均衡算法 重要的选择进程 重新启动方案的警告 重要的改选进程 从团星删除的重要的设备 重要的设备不回应对集群成员Hello消息 故障排除 相关信息 简介 本文描述在一个VPN负载平衡方案的重要的选择进程用Cisco 5500-X系列可适应安全工具(ASA)。 先决条件 要求 本文档没有任何特定的要求。 使用的组件 运行软件版本9.2的本文档中的信息根据Cisco ASA 5500-X。 注意 ：因为功能在版本7.0(1)，首先介绍本文也适用于所有软件版本。 本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原 始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。 背景信息  VPN负载均衡是使用为了公平地分发在设备中的网络流量在虚拟群集的机制。负载均衡根据简单分 配;它不采取认为吞吐量利用率或其他要素。负载平衡集群包括两个或多个设备、主控和一个或更多 辅助设备，并且这些设备不必须相等地配置。 负载均衡算法 这是负载均衡算法的概述： 重要的设备维护附属集群成员排序的列表升序按内部的IP地址的顺序。 负载被计算作为每个附属集群成员供应的整数百分比(活动/最大会话编号)。 重要的设备首先重定向IPSec/安全套接字协议层(SSL) VPN通道到有最低的负载的一个设备 ，直到它高于其它设备是一百分比。 对本身的重要的设备重定向，只有当所有附属集群成员高于重要的设备是一百分比。 这是一示例用一主控和两个附属集群成员： 所有节点开始与零百分比负载，并且所有百分比被舍入对最近的半百分比。 重要的设备采取连接，如果所有成员有高于重要的设备是一的百分比的一负载。 如果重要的设备不采取连接，会话由当前有最小的负载百分比的备份设备采取。 如果所有成员有同一负载百分比，则有最少量的会话的备份设备采取会话。 如果所有成员有同一负载百分比和会话同一数量，则备份设备用最少量的IP地址采取会话。 重要的选择进程 VPN负载均衡重要的选择进程在集群外部网络进行。 有在外部网络交换的数据的两种类型： 使用重要的发现集群IP地址的地址解析服务(ARP)数据包被交换。为集群IP地址被发送为了发现 主控ARP数据包的最大是： (10 -优先级) + 1 这里，优先级配置正如在CLI命令VPN的负载平衡的优先级 子命令。 在外部的UDP数据包Hello请求/响应消息的被交换。端口号在集群端口负载平衡子命令指定并且 是默认对9023。 为例，如果优先级是五负载均衡设备的，它尝试发送六ARP数据包为了发现任何重要的设备是否拥 有集群IP地址。如果一个重要的设备检测， ASA不发送ARP消息和等待15秒，在发送UDP Hello请 求前。重要的设备然后回应UDP Hello答复。 重新启动方案的警告 在与两ASA的一个重新启动情况下在负载平衡集群： ASA-1或ASA-2是主控在重新启动前。 ASA-1重新启动。 如果它以前，不是主控ASA-2变为主控。 ASA-1参加集群作为从在重新启动以后。 负载均衡算法也许受集群设备外部接口也连接交换机的配置的影响。例如，生成树算法也许导致连 通性延迟，当连接到交换机时的设备重新启动。 提示 ：生成树端口快速命令帮助加速进程。 有时，最近重新启动的ASA有启用的负载均衡也许尝试变为重要的设备(即使一个重要的设备已经存 在)，因为不能到达当前重要的设备由于在交换机的连通性延迟。当有由于ARP冲突时检测的精通冲 突，与低MAC控制(MAC)地址的ASA赢取，而与更高的MAC地址的ASA放弃重要的设备角色。 重要的改选进程 有导致重要的设备的改选的两个情况。 从团星删除的重要的设备 当您禁用在ASA时的功能，广播消息传送对所有集群成员为了通知更改，并且以前描述的选择进程 进行。 重要的设备不回应对集群成员Hello消息 如果重要的设备不回应对集群成员Hello消息，需要ASA集群成员大约20秒检测主控不再存在。 Hello消息被发送每五秒(不可配置)。如果集群成员不在四个Hello消息以后收到从重要的设备的答复 ，则选择进程被触发。 故障排除 注意 ：在您使用调试指令前，参考关于调试Cisco命令条款的重要信息。 这些调试指令可以是有用的与尝试排除故障