F5多出口链路负载均衡解决方案LC1127.docx

F5多出口链路负载均衡解决方案LC1127.docx

《F5多出口链路负载均衡解决方案LC1127.docx》由会员分享，可在线阅读，更多相关《F5多出口链路负载均衡解决方案LC1127.docx（11页珍藏版）》请在冰豆网上搜索。

F5多出口链路负载均衡解决方案LC1127

F5Networks

多出口链路负载均衡

解决方案建议

一．多出口链路负载均衡需求分析

为了保证XXXX出口链路的高可用性和访问效率，计划拥有两条线路：

一条中国网通链路，一条中国电信链路。

F5公司的多链路负载均衡设备（Bigip）能够提供独具特色的解决方案，不但能够充分利用这两条链路（双向流量按照预设的算法分担到不同的链路上，一旦一条链路不通的情况下，能够无缝切换到另外一条可用链路上）；而且可以根据对不同链路的侦测结果，将最快速的链路提供给外部用户进行响应，从而解决目前广泛存在的多个ISP之间的互联互通问题。

具体解决方案特色如下：

Ø提供内网至internet流量的负载均衡（Outbound）

Ø实现从Internet对服务器访问流量的负载均衡（Inbound）

Ø支持自动检测和屏蔽故障Internet链路

Ø支持多种静态和动态算法智能均衡多个ISP链路的流量

Ø支持多出口链路动态冗余，流量比率和切换

Ø支持多种DNS解析和规划方式，适合各种用户网络环境

Ø支持Layer2－7交换和流量管理控制功能

Ø完全支持各种应用服务器负载均衡，防火墙负载均衡

Ø多层安全增强防护，抵挡黑客攻击

Ø业界领先的双机冗余切换机制，能够做到毫秒级切换

Ø详细的链路监控报表，提供给网络管理员直观详细的图形界面

Ø对于用户完全透明

Ø对所有应用无缝支持

Ø业界优异的硬件平台和性能

Ø稳定，安全的设备运行记录

二．多出口链路负载均衡解决方案概述

2.1多出口链路负载均衡网络拓朴设计

下面是专门为XXXX设计的多出口链路负载均衡网络拓扑图（单机版）。

下面是专门为XXXX设计的多出口链路负载均衡网络拓扑图（双机冗余版）。

2.2方案描述

此方案中，分别设计单台链路负载均衡和双机冗余链路负载均衡两种网络拓扑，供杭州政府信息中心选择。

考虑到链路负载均衡在网络构架中的位置，以及今后的扩展性，建议采用F5公司的BigipLC两台,提供两条出口链路（中国网通和中国电信）的负载均衡，其中两条Internet出口链路都通过普通网线或光电转换器与BigipLC连接（如果双机冗余，需要从每个ISP引进两根进线，可以在BigipLC前面放置一台二层交换机做端口拓展），BigipLC与两台冗余的防火墙通过网络端口连接。

两台BigipLC互为冗余。

通过这样的优化后，系统具有以下特征：

结构合理：

整个网络结构布局合理，层次分明，便于管理与维护。

可用性高:

Bigip动态检查各条出口链路的健康状态，并将下一个请求分配给最有效率的链路，任何一条链路发生故障时，BIGIP即刻将请求分配给其他的链路，从而达到99.999%系统有效性。

安全性高:

BIGIP支持地址翻译技术和安全地址翻译，这样一来客户不可能知道真正提供服务的服务器的IP地址与端口，BIGIP采用SSH和SSL技术，可以防止来自内部或互联网上的黑客攻击。

效率高:

BIGIP可以智能寻找最佳的出口链路，从而保证客户得到最快的上网访问速度。

可扩展性高:

BIGIP可以支持动态增加或删除其负载均衡的链路群组的任何数量的链路，而不需要对客户端或后台做任何改变从而使得系统扩展轻松方便。

可管理性高:

BIGIP可以实时监控整个链路群组的流量状态，并分析发展趋势帮助客户及时根据流量增长增加出口带宽。

保护投资：

BIGIP还免费带有服务器负载均衡和防火墙负载均衡的功能。

2.3方案优点

2.3.1拓扑结构方面

1）可以轻松形成全冗余连接方法,保证网络没有单点故障的存在。

2）提供多出口链路的负载均衡，今后，通过免费无缝拓展，可以对各种应用服务器，防火墙/VPN/IDS等网络设备全部可以采用负载均衡方式处理网络流量,提高网络服务能力和投资回报率。

3）比较少的网络层次,较少网络延迟，避免运行维护时面对大量网络设备。

4）灵活的扩展空间,用户可以根据实际的网络流量和压力增加带宽，增加链路,添加防火墙或增加服务器来提高整体的服务水平。

2.3.2安全机制方面

1）HTTPS,SSH等加密的网络管理,避免明码通讯对网络设备控制时的安全隐患。

2）F5的VIP一旦配置成功,服务的TCP/UDP端口也就同时确认,除特定服务外,其他的端口就全部被封闭了,保护服务器避免被端口扫描.

3）在防止DOS攻击方面,F5提供免费的防护,特别对于PingofDeath,F5的VIP一旦规定成功就对Ping包做中继处理,避免攻击对服务器的压力.

4）并且，F5具备攻击回收技术，同时可以设置在资源消耗在97%（可设）时重启，切换到备份设备工作。

三．技术实现

3.1F5多出口链路负载均衡（产品选型：

BigipLC）

BigipLC的特色：

Ø提供内网至internet流量的负载均衡（Outbound）

Ø实现从Internet对服务器访问流量的负载均衡（Inbound）

Ø支持自动检测和屏蔽故障Internet链路

Ø支持多种静态和动态算法智能均衡多个ISP链路的流量

Ø支持多出口链路动态冗余，流量比率和切换

Ø支持多种DNS解析和规划方式，适合各种用户网络环境

Ø支持Layer2－7交换和流量管理控制功能

Ø完全支持各种应用服务器负载均衡，防火墙负载均衡

Ø多层安全增强防护，抵挡黑客攻击

Ø业界领先的双机冗余切换机制，能够做到毫秒级切换

Ø详细的链路监控报表，提供给网络管理员直观详细的图形界面

Ø对于用户完全透明

Ø对所有应用无缝支持

Ø业界优异的硬件平台和性能

Ø稳定，安全的设备运行记录

[技术实现原理]：

下图是一个典型的F5多出口链路负载均衡解决方案的应用案例。

图中F5多链路负载均衡设备通过ISP1和ISP2接入Internet。

每个ISP都分配给该网络一个IP地址网段，假设ISP1分配的地址段为100.1.1.0/24，ISP2分配的地址段为200.1.1.0/24（此处的200.1.1.0/24表示网络IP地址段为：

200.1.1.0，子网掩码为24位，即255.255.255.0）。

同样，Internet知道通过ISP1访问100.1.1.0/24，通过ISP2访问200.1.1.0/24。

网络中的主机和服务器都属于私有网段192.168.1.0/24。

多链路负载均衡设备解决方案就是在内部交换机和连接ISP的路由器之间，跨接一台多链路负载均衡设备应用交换机，所有的地址翻译和Internet链路优化全部由多链路负载均衡设备来完成。

如果网络中有防火墙，也可以选择由防火墙来做地址翻译。

3.2Outbound流量负载均衡实现原理

F5多链路负载均衡设备主要采用以下几种技术来处理Outbound流出流量。

DefaultGatewayPool

在DefaultGatewayPool中，定义相应的ISP对端路由器地址，作为负载均衡的对象，并且可以捆绑健康检查，负载均衡算法以及会话保持等属性。

DefaultGatewayPool中的Nodes定义为多个F5多链路负载均衡设备的缺省路由。

IRules

对于复杂的链路选择需求，可以使用F5独有的irules来定义。

WildcartVirtualServer

WildcartVirtualServer－0.0.0.0:

0/internal，WildcartVirtualServer是指0.0.0.0这个特殊的虚拟服务器，一般用于捆绑DefaultGatewayPool。

SNAT/SNATAutomap

对于Outbound流量的地址翻译，F5多链路负载均衡设备使用了称为SNAT的方法。

当选定一个路由器（某一个ISP）传送Outbound流量时，多链路负载均衡设备将选择该ISP提供的地址。

在上图中，如果多链路负载均衡设备选择ISP1作为Outbound流量的路径，则它将把内部的主机地址192.168.1.A翻译为100.1.1.A，并作为Outbound数据包的源地址。

同样，如果多链路负载均衡设备选择ISP2作为Outbound流量的路径，则它将把内部的主机地址192.168.1.A翻译为200.1.1.A，并作为Outbound数据包的源地址。

当F5多链路负载均衡设备定义：

将内部的主机地址翻译为VlanSelf-IP时，即100.1.1.A=100.1.1.2，200.1.1.A＝200.1.1.2时，称为SNATAutomap。

3.3Inbound流量负载均衡实现原理

F5多链路负载均衡设备主要采用以下几种技术来处理Inbound流入流量。

DNS解析器（WideIP）

Inbound流量负载均衡的核心技术是DNS解析的问题。

外部用户访问在DNS请求时，就通过F5多链路负载均衡设备获知了链路的健康状况和链路优先选择，这样多链路负载均衡设备必须承担部分DNS的功能，以便返回给用户相应的访问IP地址。

F5多链路负载均衡设备支持A记录和*记录解析。

WideIP可以捆绑各种Inbound负载均衡算法：

CompletionRate，GlobalAvailability，hops，kilobytes/second，leastconnections，PacketRate，QualityofService，Random，Ratio，RoundRobin，RoundTripTime，StaticPersist，VSCapacity。

VirtualServer/NetworkVirtualServer/TransparentVirtualServer

由于所有的F5多链路负载均衡设备可以兼做服务器负载均衡，因此F5返回给用户DNS解析是VirtualServer；对于一些特殊的场合，需要配置一些特殊的VirtualServer，例如：

NetworkVirtualServer以及TransparentVirtualServer。

ForwardingPool

有的情况下，既不需要地址翻译，有不需要服务器负载均衡，但是又需要pool的一些特性时（例如：

AutoLasthop），必须配置ForwardingPool。

Lasthoppool/AutoLasthop

F5的Lasthop功能，称为基于连接的路由，用在F5处理数据包回应时，会根据上一跳路由设备的MAC地址，确定返回路径，以便正确返回给最初发起访问数据包的网络设备。

NAT

对于直接通过IP地址进行访问的Inbound流量，并且内部主机需要Outbound访问，需要配置相应的NAT记录，来保证从多条链路都能访问内部服务器，与VirtualServer加上SNAT功能相当（细节有所不同）。

对于Email而言，由于外部Email服务器需要进行地址反向解析，因此使用VirtualServer+SNAT方式。

·þÎñÆ÷ÕóÁÐ

WebÖ÷¹Ü

3.4在链路负载均衡环境中的DNS设计和域名解析方式

Issue：

1、多链路负载均衡设备只能做A记录和*记录解析；

2、有的RootDNSServer（注册DNS）不支持二级子域的NS委派，例如：

新网

3、用户LocalDNSServer的Cache问题

所以，产生出以下多种域名解析方式。

3.4.1RootDNS（注册DNS）直接与F5多链路负载均衡器配合

✧CNAME方式

.INCNAME

.INNS。

INNS。

l