ASA 5540は3000の同時IPsec接続をサポートしますか？

新しいプロジェクトの一環として、Cisco ASA 5540ファイアウォールで約3000のIPsec接続を終了する必要があります。仕様によると、このプラットフォームがサポートするIPsecピアの最大数は5000であるため、問題はありません。

問題は、3000のリモートサイトすべてが一度にIPsec接続を確立しようとするとどうなるかです。たとえば、アップストリームスイッチが停止した場合です。一度にすべてではないかもしれませんが、タイマーによっては、10秒程度の非常に小さなウィンドウ内にある可能性があります。ASAは、リソースの観点から、すべての着信接続に対応しますか？起こりうる最悪の事態は何ですか？

脅威検出のしきい値を調整する必要があることを理解しています。ASAは、IPsec接続を終了する以外には何もしません。NATも検査もありません。LAN側のOSPFに参加しますが、すべてのリモートサイトネットワークが要約されます。

私たちの本社のDCには、デュアル100 Mbpsインターネットゲートウェイルーターがあります（これがWANのボトルネックです）。500〜700のサイトが停止後すぐに問題なく接続され、2800の場所をフルタイムで簡単に維持できました。スペックは、それが合計5000をサポートできると言います、ちょうどあなたが他の何よりも多くのメモリよりも適切なメモリ+ CPUスペックも注文することを確認してください。

私の経験では、ボトルネックはWAN接続になります。

ASAはすべての着信接続を問題なくサポートできることがわかりました。すべてを同時に処理することはできないため、しばらく時間がかかりますが、最終的にはすべてのリモートが接続されます。