موازنة حمل عميل VPN البعيد على مثال تكوين ASA 5500

المقدمة

موازنة الأحمال هي القدرة على مشاركة عملاء Cisco VPN عبر وحدات متعددة لأجهزة الأمان المعدلة (ASA) دون تدخل المستخدم. تضمن موازنة الأحمال أن عنوان IP العام متوفر بدرجة كبيرة للمستخدمين. على سبيل المثال، إذا فشل Cisco ASA الذي يقدم خدمات عنوان IP العام، فسيفترض ASA آخر في المجموعة عنوان IP العام.

المتطلبات الأساسية

المتطلبات

تأكد من استيفاء المتطلبات التالية قبل أن تحاول إجراء هذا التكوين:

• لقد قمت بتعيين عناوين IP على وحدات ASA الخاصة بك وشكلت البوابة الافتراضية.

• تم تكوين IPsec على ASAs لمستخدمي عميل VPN.

• يمكن لمستخدمي شبكة VPN الاتصال بجميع ASAs باستخدام عنوان IP العام الذي تم تعيينه بشكل فردي.

العملاء المؤهلون

يكون موازنة الأحمال فعالا فقط على جلسات العمل البعيدة التي تم بدؤها مع هؤلاء العملاء:

• عميل شبكة VPN من Cisco (الإصدار 3.0 أو إصدار أحدث)

• عميل جهاز VPN 3002 من Cisco (الإصدار 3.5 أو إصدار أحدث)

• Cisco ASA 5505 عند العمل كعميل VPN سهل

يمكن لجميع العملاء الآخرين، بما في ذلك الاتصالات من شبكة LAN إلى شبكة LAN، الاتصال بجهاز أمان يتم فيه تمكين موازنة الأحمال، ولكن لا يمكنهم المشاركة في موازنة الأحمال.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

• برنامج عميل شبكة VPN الإصدارات 4.6 والإصدارات الأحدث

• برنامج ASA الإصدارات 7.0.1 والإصدارات الأحدث من Cisco

  ملاحظة: يعمل على توسيع دعم موازنة الأحمال لطرز ASA 5510 و ASA بعد عام 5520 التي تحتوي على ترخيص Security Plus مع الإصدار 8.0(2).

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك مباشرة، فتأكد من فهمك للتأثير المحتمل لأي أمر.

الرسم التخطيطي للشبكة

يستخدم هذا المستند إعداد الشبكة التالي:

الاصطلاحات

راجع اصطلاحات تلميحات Cisco التقنية للحصول على مزيد من المعلومات حول اصطلاحات المستندات.

القيود

• يجب أن يكون عنوان IP لنظام المجموعة الظاهري الخاص بشبكة VPN ومنفذ بروتوكول مخطط بيانات المستخدم (UDP) والسر المشترك متطابقين على كل جهاز في نظام المجموعة الظاهرية.

• يجب أن تكون جميع الأجهزة الموجودة في نظام المجموعة الظاهرية على نفس شبكات IP الفرعية الخارجية والداخلية.

التكوين

تعيين عنوان IP

تأكد من تكوين عناوين IP على الواجهات الخارجية والداخلية ويمكنك الوصول إلى الإنترنت من ASA الخاص بك.

ملاحظة: تأكد من تمكين ISAKMP على كل من الواجهة الداخلية والخارجية. حدد تكوين > ميزات > VPN > IKE > معلمات عمومية للتحقق من ذلك.

تكوين نظام المجموعة

يوضح هذا الإجراء كيفية إستخدام مدير أجهزة الأمان المعدلة (ASDM) من Cisco لتكوين موازنة الأحمال.

ملاحظة: تحتوي العديد من المعلمات في هذا المثال على قيم افتراضية.

1. حدد Configuration (التكوين) > Feature (ميزات) > VPN (الشبكة الخاصة الظاهرية (VPN) > Load Balancing (موازنة الأحمال)، ثم تحقق من المشاركة في مجموعة موازنة الأحمال لتمكين موازنة أحمال الشبكة الخاصة الظاهرية (VPN).

   

2. أكمل هذه الخطوات لتكوين المعلمات لجميع ASAs المشاركة في نظام المجموعة في مربع مجموعة تكوين نظام مجموعة شبكات VPN:

   1. اكتب عنوان IP الخاص بنظام المجموعة في مربع نص عنوان IP لنظام المجموعة.

   2. انقر فوق تمكين تشفير IPSec.

   3. اكتب مفتاح التشفير في مربع النص "سر IPSec المشترك" ثم اكتبه مرة أخرى في مربع النص "التحقق من سر".

3. شكلت الخيار في ال VPN نادل تشكيل صندوق مجموعة:

   1. حدد واجهة تقبل إتصالات VPN الواردة في القائمة العامة.

   2. حدد واجهة تكون الواجهة الخاصة في القائمة الخاصة.

   3. (إختياري) قم بتغيير الأولوية التي يتمتع بها ASA في المجموعة في مربع نص الأولوية.

   4. اكتب عنوان IP لعنوان IP المعين لترجمة عنوان الشبكة (NAT) إذا كان هذا الجهاز خلف جدار حماية يستخدم NAT.

4. كرر الخطوات على كافة وحدات ASA المشاركة في المجموعة.

يستعمل المثالفي هذا قسم هذا CLI أمر أن يشكل تحميل موازنة:

VPN-ASA2(config)#vpn load-balancing
VPN-ASA2(config-load-balancing)#priority 10
VPN-ASA2(config-load-balancing)#cluster key cisco123
VPN-ASA2(config-load-balancing)#cluster ip address 172.16.172.54
VPN-ASA2(config-load-balancing)#cluster encryption
VPN-ASA2(config-load-balancing)#participate

مراقبة

حدد مراقبة > ميزات > VPN > إحصائيات VPN > حمولات المجموعة لمراقبة ميزة موازنة الأحمال على ASA.

التحقق من الصحة

استخدم هذا القسم لتأكيد عمل التكوين بشكل صحيح.

تدعم أداة مترجم الإخراج (للعملاءالمسجلين فقط) بعض أوامر show. استخدم أداة مترجم الإخراج (OIT) لعرض تحليل مُخرَج الأمر show .

• show vpn موازنة حمل الشبكة الخاصة الظاهرية (VPN)—للتحقق من ميزة موازنة حمل الشبكة الخاصة الظاهرية (VPN).

  Status: enabled
  Role: Backup
  Failover: n/a
  Encryption: enabled
  Cluster IP: 172.16.172.54
  Peers: 1
  
  Public IP Role Pri Model Load (%) Sessions
  --------------------------------------------------------------
  * 172.16.172.53 Backup 5 ASA-5520 0 1
  172.16.172.52 Master 4 ASA-5520 n/a n/a

استكشاف الأخطاء وإصلاحها

أستخدم هذا القسم لاستكشاف أخطاء التكوين وإصلاحها.

أوامر استكشاف الأخطاء وإصلاحها

تدعم أداة مترجم الإخراج (للعملاءالمسجلين فقط) بعض أوامر show. استخدم أداة مترجم الإخراج (OIT) لعرض تحليل مُخرَج الأمر show .

ملاحظة: ارجع إلى معلومات مهمة حول أوامر التصحيح قبل إستخدام أوامر debug.

• debug vpnlb 250— يستخدم لاستكشاف أخطاء ميزة موازنة حمل VPN وإصلاحها.

  VPN-ASA2#
  VPN-ASA2# 5718045: Created peer[172.16.172.54]
  5718012: Sent HELLO request to [172.16.172.54]
  5718016: Received HELLO response from [172.16.172.54]
  7718046: Create group policy [vpnlb-grp-pol]
  7718049: Created secure tunnel to peer[192.168.0.11]
  5718073: Becoming slave of Load Balancing in context 0.
  5718018: Send KEEPALIVE request failure to [192.168.0.11]
  5718018: Send KEEPALIVE request failure to [192.168.0.11]
  5718018: Send KEEPALIVE request failure to [192.168.0.11]
  7718019: Sent KEEPALIVE request to [192.168.0.11]
  7718023: Received KEEPALIVE response from [192.168.0.11]
  7718035: Received TOPOLOGY indicator from [192.168.0.11]
  7718019: Sent KEEPALIVE request to [192.168.0.11]
  7718023: Received KEEPALIVE response from [192.168.0.11]
  7718019: Sent KEEPALIVE request to [192.168.0.11]
  7718023: Received KEEPALIVE response from [192.168.0.11]
  7718019: Sent KEEPALIVE request to [192.168.0.11]
  7718023: Received KEEPALIVE response from [192.168.0.11]
  7718019: Sent KEEPALIVE request to [192.168.0.11]
  7718023: Received KEEPALIVE response from [192.168.0.11]
  7718019: Sent KEEPALIVE request to [192.168.0.11]

معلومات ذات صلة

• أجهزة الأمان المعدلة Cisco ASA 5500 Series Adaptive Security Appliances
• برنامج جدار حماية Cisco PIX
• مراجع أوامر جدار حماية PIX الآمن من Cisco
• الإعلامات الميدانية لمنتج الأمان (بما في ذلك PIX)
• طلبات التعليقات (RFCs)
• الدعم التقني والمستندات - Cisco Systems