F5 BIGIP负载均衡器配置指导书V15doc.docx

1、F5 BIGIP负载均衡器配置指导书V15doc资料编码产品名称F5 BIG-IP LBS使用对象华为工程师，合作工程师产品版本4.5编写部门业务与软件技术服务部资料版本1.5F5 BIG-IP负载均衡器配置指导书拟 制：林浩泓日 期：2006-5-30审 核：林浩泓日 期：2006-5-30审 核：日 期：批 准：林浩泓日 期：2006-5-30华 为 技 术 有 限 公 司版权所有 XX修订记录日期修订版本描述作者2004-01-111.0创建文档林浩泓2004-2-161.1初稿完成林浩泓2004-2-171.2添加vlan tag、pools、virtual servers、node、

2、session persistent、monitor概念解释，勘误林浩泓2004-12-281.3对创建虚拟服务器添加注意事项林浩泓2006-3-231.4勘误，添加目前常用的F5部署物理连接图。林浩泓2006-5-301.5更新文档模板林浩泓目 录第1章 F5负载均衡器简介 11.1 负载均衡技术简介 11.2 F5负载均衡产品介绍 11.3 几个常用术语说明 3第2章 BIG-IP配置步骤与规划准备工作 52.1 BIG-IP配置步骤 52.2 准备要点 52.3 组网和IP地址规划 62.4 BIG-IP接口编号说明 9第3章 命令行进行Setup配置 113.1 配置终端 113.2

3、启动F5 113.3 输入用户名口令 133.4 设置终端类型 133.5 Setup初始化配置 133.5.1 提示系统License不存在 133.5.2 设置键盘类型 153.5.3 设置root密码 153.5.4 设置主机名 163.5.5 双机系统设置 173.5.6 设置接口速率和双工类型 193.5.7 配置VLAN和IP地址 203.5.8 添加接口到VLAN中 233.5.9 选择VLAN IP地址与主机名关联 233.5.10 配置默认网关 253.5.11 配置WEB访问 263.5.12 配置SSH访问 293.5.13 配置F5支持访问 303.5.14 设置时区

4、313.5.15 配置NTP支持 323.5.16 配置DNS代理转发 333.5.17 用户认证配置 333.5.18 Setup配置完成 34第4章 激活License 354.1 通过Web访问BIG-IP 354.2 激活License步骤 35第5章 系统时钟更改 39第6章 Web Configuration Utility进行配置 406.1 进入配置工具 406.2 配置VLAN和端口 416.3 配置VLAN IP地址 426.4 配置负载均衡池 426.4.1 配置池名、成员IP地址和负载均衡策略 436.4.2 会话保持配置 436.5 配置节点状态监控 456.5.1

5、自定义节点状态监控 466.5.2 监控与节点相关联 476.6 配置虚拟服务器 486.6.1 创建虚拟服务器 486.6.2 虚拟服务器属性修改配置 496.6.3 检查系统状态 516.7 配置SNAT 526.7.1 配置步骤 536.7.2 验证SNAT配置 54第7章 双机配置 587.1 注意事项 587.2 初始化后配置步骤 597.3 上行连接的监控设置 59第8章 附录A 常见问题说明 618.1 BIG-IP单机或两台双机系统处于Standby状态，为什么 618.2 BIG-IP系统root密码忘记了，如何恢复 618.3 默认的用户名和口令不安全，如何添加新用户或修改

6、现有用户 628.4 BIG-IP系统如何进行配置备份和恢复 638.5 SSH访问具有密码加密传输的优点，请问从哪里获取SSH客户端 638.6 网络设备通常有收集系统信息的宏命令，F5有没有相应命令 648.7 如何使用TCPDUMP进行Troubleshooting 648.8 如何实时监视BIG-IP的连接状态 66关键词：负载均衡池、虚拟服务器，节点、会话保持、监控、ECV、EAV、SNAT摘 要：按照常见的配置步骤，本文对F5 BIG-IP负载均衡器设备配置进行说明，并对负载均衡器的基本概念和F5 BIG-IP设备使用过程中遇到的常见问题进行解答。本指导书适用于F5 BIG-IP

7、1000/2400负载均衡器（版本4.5）。缩略语清单：ECV Extended Content Verification 可扩展的内容验证EAV Extended Application Verification 可扩展的应用验证SNAT secure network address translation 安全网络地址转换参考资料清单：第1章 F5负载均衡器简介1.1 负载均衡技术简介随着业务与软件产品与IP网络关系愈加密切，业务平台提供的性能以及可靠性是电信级应用的关键因素。业务与软件产品中Portal、WAP网关、彩铃和MMS等业务直接通过Internet提供网络服务。由于Intern

8、et对业务服务访问具有不可预知性，传统的服务器提供大量并发服务已经面临处理能力和I/O性能的瓶颈，当业务超过已经界限将会出现“Server Too Busy”乃至服务器宕机等问题。针对单台服务器有限的性能存在瓶颈的情况，负载均衡器通过负载均衡机制将所有请求平均分配到多台节点服务器，使得系统业务处理能力大大提升。此外，负载均衡器还能监控服务器节点的可用性，其中某一台服务器故障时，能将访问请求转移到其它可以正常工作的服务器。负载均衡器通常称为四层交换机或七层交换机。四层交换机主要分析IP层及TCP/UDP层，实现四层流量负载均衡。七层交换机除了支持四层负载均衡以外，还有分析应用层的信息，如HTTP

9、协议URI或Cookie信息。1.2 F5负载均衡产品介绍目前F5负载均衡器有BIG-IP 1000、 BIG-IP 2400、BIG-IP 5000三个型号。三个型号的配置如下：BigIP 1000BigIP 2400BigIP 5000（5100/5110）最大连接数4,000,0004,000,0004,000,000空间占用2U2U2U冗余电源支持支持支持网络接口1x1000 BASE-SX8x10/100 BASE-TX2x1000 BASE-SX16x10/100 BASE-TX4x1000 BASE-SX24x10/100 BASE-TXCPUPIII 1.0 GHz x 1PI

10、II 1.26 GHz x 1PIII 1.26 GHz x 2MEM (STD/MAX)512 M/2G512 M/2G1G/2GStorage 512 MB Compact Flash512 MB Compact Flash512 MB Compact FlashSSL 芯片1x SSL chip1x SSL chip2x SSL chip免费SSL hand-shakes per second100 TPS100 TPS100TPS软件模块升级支持支持支持1.3 几个常用术语说明在使用F5 BIG-IP负载均衡器时，大家经常对设备配置和维护觉得无从下手干着急。为了让大家对BIG-IP负载

11、均衡器有更深入的了解，本文对BIG-IP负载均衡器常用术语进行介绍。 负载均衡池（Pool） 负载均衡池是根据负载均衡策略接收数据流量的一组设备。池与特定虚拟服务器相关联，流向虚拟服务器的流量通常会转给相关联的负载均衡池中的成员节点。池可以执行负载均衡操作，比如发送流量到池中的指定节点或定义会话保持方式。 虚拟服务器（Virtual Server） 虚拟服务器是一个可PING的虚拟IP地址和服务端口的组合（比如192.168.200.30:http），虚拟服务器与负载均衡池（Pool）相对应，负载均衡池由一或多个节点（Node）组成。 节点状态监控（Monitor） 节点状态监控用于检验负载均

12、衡池中成员节点的连接和服务信息，包括节点健康监控和性能监控，当池中成员节点性能下降时BIG-IP系统将会把流量重定向到其它节点。 节点（Node） 节点是处理负载均衡器发送流量的设备，通常是业务服务器。当服务器加入负载均衡池成为池成员时，服务器就称为节点。 会话保持(Persistence) 会话保持就是指在负载均衡器可以识别做客户与服务器之间交互过程的关联性的机制。在对会话实现负载均衡的同时，负载均衡器还确保一系列相关联的访问请求会保持分配到一台服务器上。 SNAT（安全网络地址转换，secure network address translation） SNAT与跟Cisco/NetScr

13、een PAT（端口地址转换）方式类似，多个节点共享同一IP地址实现对外部网络的访问。 ECV（可扩展的内容验证，Extended Content Verification） ECV用于节点状态监控。ECV监控通过发送和接收协议指令来获取节点服务内容信息，从而实现对节点的监控。ECV监控服务包括HTTP、HTTPS和TCP，比如，ECV通过“GET /”操作来获取HTTP服务的主页面信息来验证节点服务的状态。 EAV（可扩展的应用验证，Extended Application Verification ） EAV用于节点状态监控。EAV监控通过运行服务检查程序来验证应用的状态。EAV监控服务包

14、括FTP、POP3、SMTP、SQL、NNTP、IMAP、LDAP和RADIUS，比如，EAV通过指定用户名、口令和获取文件路径实现FTP监控。 VLAN Tag 在讲述VLAN Tag之前必须要了解IEEE 802.1Q。IEEE 802.1Q在以太网帧头部插入4个字节，其中12位表示VLAN ID。接口配置为Untagged，接口发送帧时将802.1Q头部去掉，还原为标准以太网帧，这样帧就可以被不支持802.1Q的主机或交换机接收。Untagged接口只能支持一个VLAN。接口配置为Tagged，接口收发帧时包含802.1Q头部。Tagged接口支持多个VLAN，帧中Tag标识所属VLAN

15、。第2章 BIG-IP配置步骤与规划准备工作2.1 BIG-IP配置步骤BIG-IP主要配置步骤如下：1. 组网和IP地址/命名规划2. 命令行进行Setup初始化配置3. 激活License4. 更改系统时钟（可选）5. 配置网络VLAN和IP地址6. 配置负载均衡池7. 配置节点状态监控8. 配置虚拟服务器9. 配置SNAT10. 配置双机 注意：本配置步骤为常见配置顺序，并非为唯一配置方式，比如Setup初始化配置也可以通过Web界面进行配置。本文没有包括过滤和SSL Proxy等配置。主用BIG-IP系统要完成以上所有配置步骤，备用BIG-IP系统可以跳过5-9步，而通过主用BIG-I

16、P系统将配置同步到备用BIG-IP系统中去。2.2 准备要点在安装BIG-IP系统之前，请检查如下准备工作是否做好： 设备物理连接规划。 IP地址规划，根据实际需要划分网段和分配IP地址，通常网络设备IP地址为网络中最大IP地址（默认网关使用最大IP地址），往下递推；主机设备从网络中最小IP地址往上递推进行分配。 BIG-IP外部VLAN需要3个IP用于冗余BIG-IP配置。 每一个VIP（虚拟IP地址）或NAT需要一个外部VLAN IP。 BIG-IP内部VLAN需要3个IP用于冗余BIG-IP配置。 BIG-IP内部每个节点需要一个内部VLAN IP。 确定BIG-IP主机域名，并且确保B

17、IG-IP双机主机名不一样。2.3 组网和IP地址规划本文主要给出BIG-IP系统配置使用的指南，具体配置说明不一定跟本实例有关，本例目的主要对实际组网归档交付提供参考。组网和IP地址规划举例如下图所示：图2-1 组网示意图IP地址和物理端口分配如下表所示：表2-1 IP地址和物理端口分配表单元号主机名VLAN端口端口对端描述IP地址浮动IP地址1f5-external1.1外部vlan交换机172.16.96.26/27172.16.96.28internal1.3, 1.4服务器主网卡172.16.96.92/27172.16.96.94tagged1.8级联备用F5-2f5-extern

18、al1.1外部vlan交换机172.16.96.27/27172.16.96.28internal1.3, 1.4服务器备网卡172.16.96.93/27172.16.96.94tagged1.8级联主用F5-VIP与成员信息表如下：表2-2 VIP 与成员信息表VIP号VIP IP地址VIP端口成员池名成员节点IP地址成员节点端口映射方式1172.16.96.180web_pool172.16.96.6580SNAT172.16.96.66以上实例是BIG-IP负载均衡器早期部署的组网模式，目前业软应用BIG-IP 负载均衡器的推荐物理连接如下图所示。更新的旁挂方式的组网模式，server

19、 node数目不再局限于BIG-IP的端口数目，并且可以更方便的应用三层交换机的路由功能。图2-2 BIG-IP负载均衡器推荐组网模式-旁挂模式2.4 BIG-IP接口编号说明F5接口槽位号编号遵循由上到下，然后由左到右规则。BIG-IP第一槽位为8端口快速以太网接口，2槽位为1端口千兆网接口，3槽位为管理接口。具体编码如下图：图2-1 BIG-IP接口编号示意图 注意：因为BIG-IP的接口与VLAN分配相关，网线连接接口位置不能随意更改，否则可能导致网络无法连接。第3章 命令行进行Setup配置本文以BIG-IP 1000为例讲解整个配置过程，基本上讲解了BIG-IP整个过程。3.1 配置

20、终端使用超级终端建立一个连接，通过Console电缆一端连接BIGIP，一端连接COM，COM的参数设置：串口设置：19200，8-N-1设置串口的终端仿真为 VT100，如图：3.2 启动F5启动F5，超级终端显示如下：System is booting, Please wait .loading /bootpress ESC to boot now, any other key to interrupt boot sequence 4 3 2 1 0basemem = 636K, extmem = 523264K, total 524288KChecking for ACPI PM SUP

21、PORT. Not presentChecking for APM BIOS. APM V1.2 found.Copyright (c) 1996-2003 F5 Networks, Inc. All rights reserved.BIG-IP Kernel 4.5PTF-07 Build18Hardware Configuration: .CPU: Pentium III (Coppermine) (996 MHz)Memory: 512 MBCrypto Processors: 1 x BCM5822Network Interfaces: 3.1 00:01:d7:21:c1:80 (e

22、xp0) ether 100BaseTX 10BaseT 2.1 00:01:d7:21:c1:ba (bsg2) ether 1000Mbps 1.1 - 1.8 (bs) ether 100BaseTX 10BaseTOther Devices:.Setup default configuration.Default configuration complete.IP 192.168.1.245 configured on vlan admin port 3.1default.* PRODUCT IS UNLICENSED *sod bigstpd big3d bigd sfd slapd

23、 ipfw rateclass ratefilt ntpdate 3.3 输入用户名口令BIG-IP 4.5PTF-07 (default) (console)login:输入用户“root”和默认密码“default”，回车。 注意：基于CLI访问F5的默认用户名为“root”，口令为“default”。基于HTTPS访问的默认用户名为“admin”，口令为“admin”。在业务系统中务必更改默认用户名和口令。3.4 设置终端类型Copyright 1992, 1993, 1994, 1995, 1996, 1997 Berkeley Software Design, Inc.Copyrig

24、ht (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994 The Regents of the University of California. All rights reserved. 省略输出信息Terminal type? vt100缺省的终端类型为vt100，回车3.5 Setup初始化配置缺省的主机名字是：default,在提示符下面输入命令：config，回车：说明：第一次运行config或setup命令将进入setup命令界面。Setup工具可以实现逐步配置root密码、BIG-IP主机名、接口和远程管理等。default:#

25、config3.5.1 提示系统License不存在第一次运行，提示系统License不存在信息B I G - I P L I C E N S E P R O B L E MThere is no active license on this system.To activate your license, run the setup command again after thisconfiguration and choose the License Activation menu item, or exitfrom this program now and run the license

26、 command.Exit now? (Y/N): n按“n”键进入License Agreement窗口，按回车键继续，并选择Yes, I Agree To This License。根据系统提示，继续执行配置步骤直至正式进入Setup Utility。C O N F I G U R A T I O NSetup UtilityWelcome to BIG-IP. Before using your BIG-IP, you will have to configuremany services and values including: the root password, BIG-IP h

27、ostname,interface cards, shared interfaces (if any), and remote administrationtools. This utility will take you through the process step-by-step. Press ctrl-E to exit and configure manually press any other key to continue 注意：进入BIG-IP Setup工具模式后，无法退出和配置回滚，必须一步一步配完。3.5.2 设置键盘类型进入Setup界面后，第一步工作是设置键盘类型，

28、默认使用US - Standard 101 key，回车。S E T K E Y B O A R D T Y P E Choose your keyboard type from the list below. Belgian Bulgarian MIK French German Japanese - 106 key Norwegian Spanish Swedish US + Cyrillic US - Standard 101 key United Kingdom 3.5.3 设置root密码设置root密码。输入root密码后，BIG-IP重新提示输入密码。如果前后输入密码匹配，系统立

29、即保存密码。如果密码不一致，Setup工具提供错误消息并提示重新输入密码。S E T R O O T P A S S W O R D New Root Password: You need to set the root password on your BIG-IP. If you have purchased a redundant BIG-IP system, the root password on both boxes must be the same. Your input will not echo on this page. 注意：root密码允许用户通过命令行访问BIG-IP系统。建议root密码长度大于6位，但不要超过32位字节。密码与大小写敏感，建议密码中包含大写/小写字母和特殊字节（比如，!#$%&*）。如果BIG-IP系统为冗余系统，两台主备机的root密码必须保持一致。3.5.4 设置主机名S E T B I G - I P H O S T N A M EEnter BIG-IP FQDN : f5-1.col