F5BIGIP标准配置文档.docx

F5BIGIP标准配置文档.docx

《F5BIGIP标准配置文档.docx》由会员分享，可在线阅读，更多相关《F5BIGIP标准配置文档.docx（62页珍藏版）》请在冰豆网上搜索。

F5BIGIP标准配置文档

BIGIP标准配置文档

杨明非

F5工程师

2004-11-21

目录

1.连接BIGIP4

1.1Console方式4

1.2网络连接方式4

1.2.1基于WEB方式4

1.2.2基于SSH方式7

2.网络配置9

2.1网络配置步骤及流程9

2.1.1L2Vlan配置10

2.1.2L3selfip配置11

2.2服务器直连模式网络配置12

2.2.1网络连接拓扑图12

2.2.2VLAN划分12

2.2.3IP地址划分13

2.3服务器非直连模式网络配置14

2.3.1网络拓扑结构14

2.3.2VLAN划分14

2.3.3IP地址划分15

2.4透明模式网络配置16

2.4.1网络拓扑结构16

2.4.2VLAN划分16

2.4.3IP地址划分16

2.5静态路由的添加17

3.负载均衡配置17

3.1负载均衡的概念17

3.2Pool配置19

3.3VirtualServer配置22

3.4会话保持配置24

3.4.1会话保持的概念24

3.4.2Simple会话保持25

3.4.3Cookie会话保持26

3.5iRules配置27

3.6Monitor配置30

3.6.1Monitor的添加30

3.6.2NodeAddressMonitor配置33

3.6.3NodeAssociationMonitor配置35

3.6.4Monitor的验证36

4.SNAT配置37

4.1SNAT的概念37

4.2NAT配置38

4.3SNAT配置39

4.3.1SNATIP配置39

4.3.2SNATAutoMap配置41

5.Redundent配置42

6.系统维护部分配置42

6.1SNMP配置42

6.2Syslog配置43

6.3NTP配置43

6.4用户管理46

6.5Radius认证配置48

7.BIGIP命令行常用命令解释53

7.1系统配置相关命令53

7.2系统维护相关命令53

1.连接BIGIP

Console方式

基于Console终端配置BIG-IP的准备

安装Windows操作系统的PC一台（装有超级终端）

BIGIP设备自带的Console电缆一条

使用超级终端建立一个连接，通过Console电缆一端连接BIGIP，一端连接COM，COM的参数设置如图：

网络连接方式

基于WEB方式

在浏览器地址栏键入https:

//（BIGIP设备IP地址），如下图：

回车后，出现以下界面：

此对话框为浏览器与BIGIP通讯交换的证书提示，点击“是”继续

输入用户名和密码点击确定继续

点击ConfigureyourBIGIPUsingConfigrationUtility进入BIGIP配置主界面。

在此页面的下方可下载BIGIP的操作手册（ReferenceGuide）、SSHClient软件和BIGIP的私有MIB库等。

此界面为BIGIP的配置主界面，左侧为系统配置主菜单。

右侧为具体功能配置和显示界面，右侧顶部为菜单子项目切换按钮。

点击后即可切换配置界面。

基于SSH方式

基于SSH方式访问BIGIP有两种方式：

一种是采用专用的客户端，此处以SecureCRT为例：

在SecureCRT中新建连接，配置如下：

另外一种方式是登陆进入BIGIPWEB管理界面后启动BIGIP自带的SSHClient->MindTermSSH:

点击MintermSSH后弹出单独窗口如下：

键入root用户和对应密码后出现：

直接回车选择终端类型为Vt100即可

注意：

如果客户端使用WindowsXP系统并且没有安装JAVA虚拟机时，该功能不可用。

2.网络配置

网络配置步骤及流程

L2Vlan配置

通过单击页面左侧对象树的Network，在页面右侧显示VLAN的信息。

在这里以配置两个VLAN“external”和“internal”为例：

点击系统左侧Network菜单

通过单击这两个对象，可以进一步观察这两个网络的具体配置。

如果要删除某个网络对象，可以单击图标

这是“external”网络的窗口。

如果要修改该网络所包括的Interfece，可从Resource中左侧的InterfaceNumber中选取空闲的端口后，单击untagged>>，添加到当前的VLAN中。

在CurrentInterfaces中选中一个或几个端口，单击<<可以把端口从当前VLAN中删除。

划定端口后，单击DONE。

以下是““internal”网络的窗口。

L3selfip配置

新添加的VLAN没有IP地址，需要给所有的VLAN指定一个IP地址。

单击Network->SelfIPAddress

通过单击相应的IP地址可以对其相关配置进行浏览和修改。

下图是两台BIG-IP外网IP地址的配置窗口

通过单击VLAN框的下拉按钮，可以选择该IP地址对应的网络。

注意：

上图中的Floating复选框如果是ShareIP必须选中。

如果是实际IP不要选中。

我们可以根据需要通过单击

来添加一个IP地址，也可以通过单击

来删除一个IP地址。

服务器直连模式网络配置

在结构一下，我们需要进行以下网络配置

网络连接拓扑图

在该模式下，所有的服务器都直接连接到BIGIP上。

如果服务器单网卡运行，则通常将同组的服务器连接分散在两台BIGIP上。

如果服务器为双网卡冗余模式，则可将每台服务其的两块网卡分别连接在BIGIP上。

BIGIP通过交叉连接方式连接到上端的交换机。

注意需要在上端交换机中开启SpanningTree，而在BIGIP上则无需启动SpanningTree。

VLAN划分

在服务器直接连接模式，建议BIGIP上划分4个VLAN，分别为：

External：

用于连接上端交换机，根据上端交换机不同，我们可以将千兆光纤端口或者100M以太网端口划分在此VLAN中。

Internal：

用于连接后端的服务器，通常，我们采用100M端口连接后端服务器。

failover_vlan：

主要用于两台BIGIP之间的配置同步和Session同步。

通常情况下在端口数量足够的时候我们用一个单独的端口用于配置和Session同步。

如果在端口数量不足时，可不使用本VLAN而使用internalVLAN来进行配置和Session同步。

Admin：

该VLAN为BIGIP保留VLAN，主要用于网络管理，该VLAN只包含一个3.1端口。

建议通常情况下保留该端口不使用，在进行现场调试或配置的时候再使用该端口进行错误排查和管理配置。

默认情况下，BIGIP上已经配置了External、Internal和AdminVLAN，所以只需要添加failover_vlan即可。

IP地址划分

每个VLAN必须采用不同的IP网段。

BIGIP上必须配置的IP包括以下几个部分：

ExternalvlanselfIP

为BIGIPExternalVlan与其它设备互联的IP地址，每台设备的ExternalVlanSelfIP均是不同的

ExternalvlansharedIP

为两台BIGIP在ExternalVlan上的浮动地址，该地址会漂移在Active的BIGIP设备上，主要用于上端路由器指往下一段IP的网关地址，在Redundence结构下，两台BIGIP的ExternalVlanSharedIP的地址是相同的

InternalvlanselfIP

为BIGIPInternalVlan与其它设备互联的IP地址，每台设备的InternalVlanSelfIP均是不同的

InternalvlansharedIP

为两台BIGIP在InternalVlan上的浮动地址，该地址会漂移在Active的BIGIP设备上，主要用于后端服务器指往下一段IP的网关地址，在Redundence结构下，两台BIGIP的InternalVlanSharedIP的地址是相同的

Failover_vlanselfIP

为两台BIGIP之间相互访问的专用地址，主要用于配置同步和Session同步。

建议两台设备分别为1.1.1.1/24和1.1.1.2/24

Failover_vlansharedIP

为两台BIGIP在Failover_vlan上的浮动地址，该地址会漂移在Active的BIGIP设备上，该地址没有实际作用，建议配置该地址为：

1.1.1.254/24

AdminvlanselfIP

为BIGIPAdminvlan地址，该地址主要用于设备管理，在BIGIP出现故障或进行现场维护的时候使用，每台设备的AdminVlanSelfIP均为192.168.1.245/24，如果需要接入网管网，则可根据网管网的IP地址划分进行重新配置

AdminvlansharedIP

为两台BIGIP在AdminVlan上的浮动地址，该地址会漂移在Active的BIGIP设备上，该地址没有实际作用，建议配置该地址为192.168.1.254/24

服务器非直连模式网络配置

网络拓扑结构

在该结构下，所有服务器均连接在二层交换机上，通过二层交换机再连接到BIGIP上。

每台BIGIP通过交叉网线连接到与其相关的每台设备。

在BIGIP上关闭SpanningTree功能，在其他交换机上开启SpanningTree功能。

VLAN划分

在服务器非直接连接模式，建议BIGIP上划分4个VLAN，分别为：

External：

用于连接上端交换机，根据上端交换机不同，我们可以将千兆光纤端口或者100M以太网端口划分在此VLAN中。

Internal：

用于连接后端的服务器，通常，我们采用100M端口连接后端服务器。

failover_vlan：

主要用于两台BIGIP之间的配置同步和Session同步。

通常情况下在端口数量足够的时候我们用一个单独的端口用于配置和Session同步。

如果在端口数量不足时，可不使用本VLAN而使用internalVLAN来进行配置和Session同步。

Admin：

该VLAN为BIGIP保留VLAN，主要用于网络管理，该VLAN只包含一个3.1端口。

建议通常情况下保留该端口不使用，在进行现场调试或配置的时候再使用该端口进行错误排查和管理配置。

默认情况下，BIGIP上已经配置了External、Internal和AdminVLAN，所以只需要添加failover_vlan即可。

IP地址划分

每个VLAN必须采用不同的IP网段。

BIGIP上必须配置的IP包括以下几个部分：

ExternalvlanselfIP

为BIGIPExternalVlan与其它设备互联的IP地址，每台设备的ExternalVlanSelfIP均是不同的

ExternalvlansharedIP

为两台BIGIP在ExternalVlan上的浮动地址，该地址会漂移在Active的BIGIP设备上，主要用于上端路由器指往下一段IP的网关地址，在Redundence结构下，两台BIGIP的ExternalVlanSharedIP的地址是相同的

InternalvlanselfIP

为BIGIPInternalVlan与其它设备互联的IP地址，每台设备的InternalVlanSelfIP均是不同的

InternalvlansharedIP

为两台BIGIP在InternalVlan上的浮动地址，该地址会漂移在Active的BIGIP设备上，主要用于后端服务器指往下一段IP的网关地址，在Redundence结构下，两台BIGIP的InternalVlanSharedIP的地址是相同的

Failover_vlanselfIP

为两台BIGIP之间相互访问的专用地址，主要用于配置同步和Session同步。

建议两台设备分别为1.1.1.1/24和1.1.1.2/24

Failover_vlansharedIP

为两台BIGIP在Failover_vlan上的浮动地址，该地址会漂移在Active的BIGIP设备上，该地址没有实际作用，建议配置该地址为：

1.1.1.254/24

AdminvlanselfIP

为BIGIPAdminvlan地址，该地址主要用于设备管理，在BIGIP出现故障或进行现场维护的时候使用，每台设备的AdminVlanSelfIP均为192.168.1.245/24，如果需要接入网管网，则可根据网管网的IP地址划分进行重新配置

AdminvlansharedIP

为两台BIGIP在AdminVlan上的浮动地址，该地址会漂移在Active的BIGIP设备上，该地址没有实际作用，建议配置该地址为192.168.1.254/24

透明模式网络配置

网络拓扑结构

在透明模式下，BIGIP以单臂方式接入，服务器、BIGIP上的VirtualServer在同一网段上。

该方式有一个限制就是访问VirtualServer的客户端与服务器不能位于同一网段。

并且要求服务器的默认网关均指向BIGIP。

VLAN划分

在透明模式下，建议BIGIP上划分3个VLAN，分别为：

Internal：

用于连接后端的服务器，通常，我们采用100M端口连接后端服务器。

failover_vlan：

主要用于两台BIGIP之间的配置同步和Session同步。

通常情况下在端口数量足够的时候我们用一个单独的端口用于配置和Session同步。

如果在端口数量不足时，可不使用本VLAN而使用internalVLAN来进行配置和Session同步。

Admin：

该VLAN为BIGIP保留VLAN，主要用于网络管理，该VLAN只包含一个3.1端口。

建议通常情况下保留该端口不使用，在进行现场调试或配置的时候再使用该端口进行错误排查和管理配置。

默认情况下，BIGIP上已经配置了External、Internal和AdminVLAN，所以我们需要删除ExternalVLAN并添加failover_vlan。

IP地址划分

每个VLAN必须采用不同的IP网段。

BIGIP上必须配置的IP包括以下几个部分：

InternalvlanselfIP

为BIGIPInternalVlan与其它设备互联的IP地址，每台设备的InternalVlanSelfIP均是不同的

InternalvlansharedIP

为两台BIGIP在InternalVlan上的浮动地址，该地址会漂移在Active的BIGIP设备上，主要用于后端服务器指往下一段IP的网关地址，在Redundence结构下，两台BIGIP的InternalVlanSharedIP的地址是相同的

Failover_vlanselfIP

为两台BIGIP之间相互访问的专用地址，主要用于配置同步和Session同步。

建议两台设备分别为1.1.1.1/24和1.1.1.2/24

Failover_vlansharedIP

为两台BIGIP在Failover_vlan上的浮动地址，该地址会漂移在Active的BIGIP设备上，该地址没有实际作用，建议配置该地址为：

1.1.1.254/24

AdminvlanselfIP

为BIGIPAdminvlan地址，该地址主要用于设备管理，在BIGIP出现故障或进行现场维护的时候使用，每台设备的AdminVlanSelfIP均为192.168.1.245/24，如果需要接入网管网，则可根据网管网的IP地址划分进行重新配置

AdminvlansharedIP

为两台BIGIP在AdminVlan上的浮动地址，该地址会漂移在Active的BIGIP设备上，该地址没有实际作用，建议配置该地址为192.168.1.254/24

静态路由的添加

BIGIP上的路由添加有两种方式：

方式一：

在命令行模式下键入以下命令：

routeadd-net192.168.1.0-netmask255.255.255.0-gateway10.1.1.1

该命令表示去往网段192.168.1.0/255.255.255.0通过网关地址10.1.1.1

通过命令行方式添加的路由立即生效，但在BIGIP重起后丢失。

方式二：

编辑文件/config/routes

在命令行界面用VI创建一个文件/config/routes。

在该文件中添加命令行：

routeadd-net192.168.1.0-netmask255.255.255.0-gateway10.1.1.1

保存文件，在系统重新启动后该路由仍将保持。

3.服务器负载均衡配置

负载均衡的概念

BIGIP对负载均衡的实现，主要通过VirtualServer、iRules、Pool、Node、Monitor和Persistent（会话保持）实现。

Node为每一个服务器的IP地址加上服务端口。

每一个Node代表一个应用程序。

在配置过程中，Node不需要单独添加，而在Pool的配置中进行。

通常，在一个对外提供同样功能的Node组中，所有的Node必须保持一致。

Pool的主要作用是对一组执行相同功能的服务器应用进行捆绑，在Pool中可定义负载均衡算法，将外部的访问流量按照规则分配到不同的服务器上。

在定义一个Pool时，必须知道每台服务器的IP地址和对外提供服务的端口号，不同的服务器可以以不同的端口提供服务，BIGIP可执行端口映射将这些服务对外进行统一端口服务。

iRules是BIGIP特性中的一个重要组件，Rule是一个用户编写的script，用来在两个或者更多的pool中进行选择。

换句话说，rule用于根据一定的判断条件选择和一个VirtualServer相关联的pool。

Rules是一个可选的特性使您可以将流量不单是定义到默认的对应VirtualServer的pool。

Rules允许您直接将流量分配到您所指定的pool中去。

VirtualServer为BIGIP上对外提供服务的地址加上服务端口，每个VirtualServer后对应一个或者多个Pool。

BIGIP将从每个VirtualServer接收到的流量分配到一个或多个Pool中，然后按照Pool重的负载均衡算法分配到一个或多个Node中。

Monitor的作用是检查服务器的健康状态。

BIGIP对服务器的健康检查配置分为3个部分，NodeAddress，NodeAssociations和Service。

其中NodeAddress相关的部分主要是通过ICMP检查服务器节点状态。

对于每一个地址，如果其NodeAddress检查状态失败，则与该IP相关的所有Node（端口）均会设置为失败状态。

NodeAssociations主要是检查服务器上的端口，该健康检查的配置为每个IP:

端口组合设置。

Services则是对所有的同样服务端口的节点都进行同样的健康检查。

Services配置主要目的是简化配置，通常情况下不建议使用。

对于客户端每发起的一个Soket连接，BIGIP识别为一个Connection。

在BIGIP内部，存放有一张所有Soket连接分配的服务器对应表。

该表的单项结构大致如下：

SIP

SPort

VirtualServerIP:

Port

NodeIP:

Port

SIP：

客户端的源IP地址

Sport：

客户端发起请求的源端口，通常，该端口为一个随机值

VirtualServerIP:

Port:

用户访问的VirtualServer地址和端口

NodeIP:

Port:

该Connection被分配去往的Node节点IP和端口

Pool配置

点击左侧Pools菜单，选择ADD。

填入pool名称，并选择正确的负载均衡策略：

BIGIP支持以下负载均衡选项：

Ø轮询（RoundRobin）：

顺序循环将请求一次顺序循环地连接每个服务器。

当其中某个服务器发生第二到第7层的故障，BIG/IP就把其从顺序循环队列中拿出，不参加下一次的轮询，直到其恢复正常。

Ø最小的连接数（LeastConnection）：

传递新的连接给那些进行最少连接处理的服务器。

当其中某个服务器发生第二到第7层的故障，BIG/IP就把其从服务器队列中拿出，不参加下一次的用户请求的分配，直到其恢复正常。

Ø最快模式（Fastest）：

传递连接给那些响应最快的服务器。

当其中某个服务器发生第二到第7层的故障，BIG/IP就把其从服务器队列中拿出，不参加下一次的用户请求的分配，直到其恢复正常。

Ø观察模式（Observed）：

连接数目和响应时间以这两项的最佳平衡为依据为新的请求选择服务器。

当其中某个服务器发生第二到第7层的故障，BIG/IP就把其从服务器队列中拿出，不参加下一次的用户请求的分配，直到其恢复正常。

Ø预测模式（Predictive）：

BIG/IP利用收集到的服务器当前的性能指标，进行预测分析，选择一台服务器在下一个时间片内，其性能将达到最佳的服务器相应用户的请求。

（被BIGIP进行检测）

Ø动态比率（DynamicRatio）：

BIGIP通过Agent或者SNMP收集服务器的CPU占用率、内存占用率、磁盘占用率等系统关键参数，并按照比率来对这些参数进行计算，最终得出服务器的性能状况来进行流量分配。

在Resource部分填入真实服务器的IP地址和对应端口。

输入的方法为在左边填入之后点击向右的按钮：

其余选项均选择默认配置，然后点击最右下方Finish按钮结束。

VirtualServer配置

在Pool配置结束后，才能进行VirtualServer配置。

点击左侧菜单中的VirtualServers菜单选项

选择ADD按钮添加一个VirtualServer，输入VirtualServer的IP地址和服务端口。

如果需要开放所有的Service，则在Service部分填入0。

Netmask不需要输入。

点击Next继续

默认情况下，该页不需要任何配置。

点击Next继续

选择VirtualServer对应的Pool名称。

点击Done。

则系统返回VirtualServerList页面。

会话保持配置

会话保持的概念

会话保持主要用于将同一个客户端发出的多个连接分配到同一台服务器上。

在一些情况下，比如对应用服务器的负载均衡，从一个用户通常会发出多个连接来完成整个交易。

并且在服务器端会对每一个用户分配一个SessionID和一些其他的相关资源，这些资源通常存放在服务器的内存里。

这时，如果同一用户的多个请求被分配到不同的服务器上，则会出现服务器拒绝服务的情况