###问题描述
客户外网接入SSLVPN设备,时而出现以下告警,导致用户无法接入。
###客户环境
客户环境如下图所示,AD路由模式部署出口,SSLVPN部署于DMZ区域,AD进行SSLVPN的端口映射,并且配置全局负载进行域名解析。
###影响范围 影响用户进行接入,无法远程办公
###排查思路 l 异常客户端上远程进行排查
l 检查负载均衡的VS和全局负载配置
【AD负载配置】
l 因为设备负责域名解析,我们先到设备上进行全局负载检查,确认当前联通虚拟IP池确实为正常状态。
l 确认虚拟IP池健康检测方式,确认为网关检测,即确认当前线路可用时,返回该虚拟IP池地址 l 当前虚拟IP池即可正常确认VS配置,发现VS未发布联通地址,导致外网用户解析联通IP时,无法进行接入
###处理结果 l 在VS发布上面新增20.20.20.1ip后,客户可正常接入,观察一段时间后问题无复现。
l 全局负载由于该业务只有单数据中心存在,所以配置为检测网关,后续可进行优化,将SSLVPN发布的策略分为两条VS,将虚拟IP池与对应的VS进行绑定,这样可以避免VS后续被人误删除导致不通的情况下,域名还会解析到不可用线路上。 |