Armadilhas da VPN doméstica de acesso remoto ou como torná-la estável

Situação

Os usuários de soluções VPN domésticas reclamam da estabilidade e facilidade de uso. Como engenheiro, estou procurando a raiz dos problemas do usuário.



VPN doméstica é como café. Assim como o sabor e o aroma do café dependem do talento do barista, as soluções VPN exigem o preparo correto. Usando o exemplo da VPN C-Terra, vou mostrar do que os usuários estão reclamando e como evitá-lo.

Dados iniciais

Tenho que transferir 500 funcionários para trabalho remoto. Para isso utilizo o C-Terra VPN versão 4.3. De produtos VPN, preciso do S-Terra Gateway para o centro e do software cliente S-Terra Client para os laptops dos funcionários.



Eu uso o S-Terra Gateway apenas para RA VPN. Todos os 500 usuários se conectam ao gateway ao mesmo tempo.

Decisão na testa

Na arquitetura IKE / IPsec, uma conexão de cliente é considerada um túnel separado. Isso significa que preciso de um gateway capaz de suportar 500 túneis ao mesmo tempo. Abro o site do fornecedor e vejo que três modelos são adequados para mim:





Eu quero economizar algum dinheiro, pegue o C-Terra Gateway 2000. Eu silenciosamente começo a odiar o mundo.



Stone 1. A construção de 500 túneis leva tempo. O



usuário virá com algo assim: "Este Estera nunca se conecta pela primeira vez, nunca realmente!"



O C-Terra Gateway em RA VPN atua como respondedor de conexões de clientes. De acordo com minhas observações, cerca de 10 túneis são construídos por segundo (valor médio para os

modelos de gateway considerados ). Conseqüentemente, levará 50 segundos para construir 500 túneis, arredondados para um minuto honesto.



Nosso usuário está sem sorte. Cada vez que um usuário se conecta ao gateway, o usuário é colocado na fila. Você precisa esperar até 60 segundos. O usuário ativo tentará reiniciar o cliente e, assim, reconectar, mas terminará no final da fila. Instrua o usuário que é melhor esperar em tais situações.



Stone 2. Os túneis IPsec são reconstruídos periodicamente.



Para o usuário, parece algo assim: "Este Estera cai periodicamente e não se conecta novamente na primeira vez!"



A vida útil de um túnel IPsec é limitada pela quantidade de tráfego ou pelo tempo. Quando

o túnel é reconstruído, uma nova chave de criptografia simétrica de sessão é gerada.



Agora imagine - os túneis decidiram reconstruir mais ou menos ao mesmo tempo. Novamente fila e maldições. Para evitar isso, um delta (DELTA) deve ser definido no gateway de segurança, o que alterará aleatoriamente a vida útil de cada um dos túneis.



Stone 3. Gateways de segurança são limitados no desempenho de criptografia.



Abro o site do fornecedor e vejo:



Em que desempenho você deve se concentrar?



No IMIX. O desempenho máximo de criptografia, como regra, é obtido em

pacotes grandes, dificilmente se aplica a uma rede real.



Para evitar quedas, trabalho instável e desconexões, você precisa estimar qual é o volume médio de tráfego gerado por uma conexão de cliente. Por exemplo, meus usuários usam RDP, correio e fluxo de trabalho. Eu estimo o tráfego em 2Mbps em média por conexão. Tenho um total de 1000 Mbps. Vou adicionar uma margem no caso de um pico de carga de 1 Mbit / s por conexão, no total eu recebo 1500 Mbit / s no pico para 500 conexões simultâneas.



Recuso-me ao S-Terra Gateway 2000. Busco o S-Terra Gateway 7000.



Uma solução frontal: S-Terra Gateway 7000 e 500 clientes.

Otimizando a solução

Quero uma solução tolerante a falhas, além de reduzir o tempo de espera na fila. Para isso, estou considerando opções.



Vou



desequilibrar dois clientes S-Terra Gateway 3000 pela metade, 250 conexões cada. O tempo máximo de espera na fila será 250/10, aproximadamente 25 segundos na primeira conexão. Posso resolver o problema com filas ao reconstruir túneis definindo DELTA. Em caso de falha de um dos gateways, a carga será movida para o segundo gateway (embora sem margem de desempenho).



Cinco



soluções S-Terra Gateway 2000 para desempenho máximo. 100 conexões de cliente por gateway, tempo máximo de fila de 10 segundos, mas sem espaço para desempenho.



A lista de preços da S-Terra está aberta. Vou comparar o custo das soluções fornecidas (a taxa do dólar levou 73 rublos):





Vou escolher a segunda opção. Dois S-Terra Gateway 3000 e 500 clientes. 31.000 rublos para tolerância a falhas e tempo reduzido na fila é um bom preço. O sistema de controle do fornecedor é opcional, se você quiser - pegue-o.

Resultado

A receita para um delicioso RA VPN:

• Determine o número de conexões do cliente:
• Estimar o volume médio de tráfego de uma conexão de cliente;
• Equilibre as conexões do cliente em vários gateways; 
• Considere as considerações arquitetônicas (enfileiramento e reconstrução).

Como diz o aluno, redondo!



Engenheiro anônimo

t.me/anonimous.engineer