精品F5多出口链路负载均衡解决方案LC1127.docx

1、精品F5多出口链路负载均衡解决方案LC1127F5多出口链路负载均衡解决方案(LC)1127F5 Networks多出口链路负载均衡解决方案建议一多出口链路负载均衡需求分析 为了保证XXXX出口链路的高可用性和访问效率，计划拥有两条线路：一条中国网通链路，一条中国电信链路。F5公司的多链路负载均衡设备（Bigip）能够提供独具特色的解决方案，不但能够充分利用这两条链路（双向流量按照预设的算法分担到不同的链路上，一旦一条链路不通的情况下，能够无缝切换到另外一条可用链路上）；而且可以根据对不同链路的侦测结果，将最快速的链路提供给外部用户进行响应，从而解决目前广泛存在的多个ISP之间的互联互通问题。

2、具体解决方案特色如下：提供内网至internet流量的负载均衡（Outbound）实现从Internet对服务器访问流量的负载均衡（Inbound）支持自动检测和屏蔽故障Internet链路支持多种静态和动态算法智能均衡多个ISP链路的流量支持多出口链路动态冗余，流量比率和切换支持多种DNS解析和规划方式，适合各种用户网络环境支持Layer27交换和流量管理控制功能完全支持各种应用服务器负载均衡，防火墙负载均衡多层安全增强防护，抵挡黑客攻击业界领先的双机冗余切换机制，能够做到毫秒级切换详细的链路监控报表，提供给网络管理员直观详细的图形界面对于用户完全透明对所有应用无缝支持业界优异的硬件平台和性

3、能稳定，安全的设备运行记录二多出口链路负载均衡解决方案概述2.1 多出口链路负载均衡网络拓朴设计下面是专门为XXXX设计的多出口链路负载均衡网络拓扑图（单机版）。下面是专门为XXXX设计的多出口链路负载均衡网络拓扑图（双机冗余版）。2.2 方案描述此方案中，分别设计单台链路负载均衡和双机冗余链路负载均衡两种网络拓扑，供杭州政府信息中心选择。考虑到链路负载均衡在网络构架中的位置，以及今后的扩展性，建议采用F5公司的Bigip LC两台, 提供两条出口链路（中国网通和中国电信）的负载均衡，其中两条Internet出口链路都通过普通网线或光电转换器与Bigip LC连接（如果双机冗余，需要从每个IS

4、P引进两根进线，可以在Bigip LC前面放置一台二层交换机做端口拓展），Bigip LC与两台冗余的防火墙通过网络端口连接。两台Bigip LC互为冗余。通过这样的优化后，系统具有以下特征：结构合理：整个网络结构布局合理，层次分明，便于管理与维护。可用性高: Bigip动态检查各条出口链路的健康状态，并将下一个请求分配给最有效率的链路，任何一条链路发生故障时，BIGIP即刻将请求分配给其他的链路，从而达到99.999%系统有效性。安全性高: BIGIP支持地址翻译技术和安全地址翻译，这样一来客户不可能知道真正提供服务的服务器的IP地址与端口，BIGIP采用SSH和SSL技术，可以防止来自内部

5、或互联网上的黑客攻击。效率高: BIGIP可以智能寻找最佳的出口链路，从而保证客户得到最快的上网访问速度。可扩展性高: BIGIP可以支持动态增加或删除其负载均衡的链路群组的任何数量的链路，而不需要对客户端或后台做任何改变从而使得系统扩展轻松方便。可管理性高: BIGIP可以实时监控整个链路群组的流量状态，并分析发展趋势帮助客户及时根据流量增长增加出口带宽。保护投资： BIGIP还免费带有服务器负载均衡和防火墙负载均衡的功能。2.3 方案优点2.3.1 拓扑结构方面1)可以轻松形成全冗余连接方法, 保证网络没有单点故障的存在。2)提供多出口链路的负载均衡，今后，通过免费无缝拓展，可以对各种应用

6、服务器，防火墙/VPN/IDS等网络设备全部可以采用负载均衡方式处理网络流量,提高网络服务能力和投资回报率。3)比较少的网络层次,较少网络延迟，避免运行维护时面对大量网络设备。4)灵活的扩展空间, 用户可以根据实际的网络流量和压力增加带宽，增加链路, 添加防火墙或增加服务器来提高整体的服务水平。2.3.2安全机制方面1)HTTPS,SSH等加密的网络管理, 避免明码通讯对网络设备控制时的安全隐患。2)F5的VIP一旦配置成功,服务的TCP/UDP端口也就同时确认,除特定服务外,其他的端口就全部被封闭了,保护服务器避免被端口扫描.3)在防止DOS攻击方面,F5提供免费的防护 , 特别对于Ping

7、 of Death , F5 的VIP一旦规定成功就对Ping包做中继处理, 避免攻击对服务器的压力.4)并且，F5具备攻击回收技术，同时可以设置在资源消耗在97%（可设）时重启，切换到备份设备工作。三技术实现3.1 F5多出口链路负载均衡（产品选型：Bigip LC）Bigip LC的特色：提供内网至internet流量的负载均衡（Outbound）实现从Internet对服务器访问流量的负载均衡（Inbound）支持自动检测和屏蔽故障Internet链路支持多种静态和动态算法智能均衡多个ISP链路的流量支持多出口链路动态冗余，流量比率和切换支持多种DNS解析和规划方式，适合各种用户网络环境

8、支持Layer27交换和流量管理控制功能完全支持各种应用服务器负载均衡，防火墙负载均衡多层安全增强防护，抵挡黑客攻击业界领先的双机冗余切换机制，能够做到毫秒级切换详细的链路监控报表，提供给网络管理员直观详细的图形界面对于用户完全透明对所有应用无缝支持业界优异的硬件平台和性能稳定，安全的设备运行记录 技术实现原理：下图是一个典型的F5多出口链路负载均衡解决方案的应用案例。图中F5 多链路负载均衡设备通过ISP1和ISP2接入Internet。每个ISP都分配给该网络一个IP地址网段，假设ISP1分配的地址段为100.1.1.0/24，ISP2分配的地址段为200.1.1.0/24（此处的200.

9、1.1.0/24表示网络IP地址段为：200.1.1.0，子网掩码为24位，即255.255.255.0）。同样，Internet知道通过ISP1访问100.1.1.0/24，通过ISP2访问200.1.1.0/24。网络中的主机和服务器都属于私有网段192.168.1.0/24。多链路负载均衡设备解决方案就是在内部交换机和连接ISP的路由器之间，跨接一台多链路负载均衡设备应用交换机，所有的地址翻译和Internet链路优化全部由多链路负载均衡设备来完成。如果网络中有防火墙，也可以选择由防火墙来做地址翻译。3.2 Outbound流量负载均衡实现原理F5 多链路负载均衡设备主要采用以下几种技术

10、来处理Outbound流出流量。Default Gateway Pool在Default Gateway Pool中，定义相应的ISP对端路由器地址，作为负载均衡的对象，并且可以捆绑健康检查，负载均衡算法以及会话保持等属性。Default Gateway Pool中的Nodes定义为多个F5多链路负载均衡设备的缺省路由。IRules对于复杂的链路选择需求，可以使用F5独有的irules来定义。Wildcart Virtual ServerWildcart Virtual Server0.0.0.0:0/internal，Wildcart Virtual Server是指0.0.0.0这个特殊的

11、虚拟服务器，一般用于捆绑Default Gateway Pool。SNAT/SNAT Automap对于Outbound流量的地址翻译，F5多链路负载均衡设备使用了称为SNAT的方法。当选定一个路由器（某一个ISP）传送Outbound流量时，多链路负载均衡设备将选择该ISP提供的地址。在上图中，如果多链路负载均衡设备选择ISP1作为Outbound流量的路径，则它将把内部的主机地址192.168.1.A翻译为100.1.1.A，并作为Outbound数据包的源地址。同样，如果多链路负载均衡设备选择ISP2作为Outbound流量的路径，则它将把内部的主机地址192.168.1.A翻译为200

12、.1.1.A，并作为Outbound数据包的源地址。 当F5多链路负载均衡设备定义：将内部的主机地址翻译为Vlan Self-IP时，即100.1.1.A=100.1.1.2，200.1.1.A200.1.1.2时，称为SNAT Automap。3.3 Inbound流量负载均衡实现原理F5 多链路负载均衡设备主要采用以下几种技术来处理Inbound流入流量。DNS解析器（Wide IP）Inbound流量负载均衡的核心技术是DNS解析的问题。外部用户访问在DNS请求时，就通过F5多链路负载均衡设备获知了链路的健康状况和链路优先选择，这样多链路负载均衡设备必须承担部分DNS的功能，以便返回给用

13、户相应的访问IP地址。F5 多链路负载均衡设备支持A记录和*记录解析。Wide IP可以捆绑各种Inbound负载均衡算法：Completion Rate，Global Availability，hops，kilobytes/second，leastconnections，Packet Rate，Quality of Service，Random，Ratio，RoundRobin，Round Trip Time，Static Persist，VS Capacity。Virtual Server/Network Virtual Server/Transparent Virtual Server由

14、于所有的F5多链路负载均衡设备可以兼做服务器负载均衡，因此F5返回给用户DNS解析是Virtual Server；对于一些特殊的场合，需要配置一些特殊的Virtual Server，例如：Network Virtual Server以及Transparent Virtual Server。Forwarding Pool有的情况下，既不需要地址翻译，有不需要服务器负载均衡，但是又需要pool的一些特性时（例如：Auto Lasthop），必须配置Forwarding Pool。Lasthop pool/Auto LasthopF5的Lasthop功能，称为基于连接的路由，用在F5处理数据包回应时

15、，会根据上一跳路由设备的MAC地址，确定返回路径，以便正确返回给最初发起访问数据包的网络设备。NAT 对于直接通过IP地址进行访问的Inbound流量，并且内部主机需要Outbound访问，需要配置相应的NAT记录，来保证从多条链路都能访问内部服务器，与Virtual Server加上SNAT功能相当（细节有所不同）。对于Email而言，由于外部Email服务器需要进行地址反向解析，因此使用Virtual Server+SNAT方式。3.4 在链路负载均衡环境中的DNS设计和域名解析方式Issue： 1、多链路负载均衡设备只能做A记录和*记录解析；2、有的Root DNS Server（注册D

16、NS）不支持二级子域的NS委派，例如：新网3、用户Local DNS Server的Cache问题所以，产生出以下多种域名解析方式。3.4.1 Root DNS（注册DNS）直接与F5多链路负载均衡器配合CNAME方式. IN CNAME . IN NS 。 IN NS 。. IN A 100.1.1.2 （F5设备地址）. IN A 200.1.1.2 （F5设备地址）在Inbound负载均衡中，普遍使用的一种域名解析方法。NS委派方式. IN NS 。 IN NS 。. IN A 100.1.1.2 （F5设备地址）. IN A 200.1.1.2 （F5设备地址）这种方式因为F5 多链路

17、负载均衡器不支持全记录解析，在客户有MX记录时，一般不使用。3.4.2 Root DNS（注册DNS）通过第三方DNS Server与F5多链路负载均衡器配合（我们建议这种方式）CNAME方式Root DNS CNAME 第三方DNS. IN NS IN NS . IN A 100.1.1.2 （F5设备地址）. IN A 200.1.1.2 （F5设备地址）有的Root DNS（注册DNS）不支持二级子域的NS委派（例如：新网），需要第三方DNS Server的配合，是前面方式的变体。NS方式Root DNS. IN NS 。 IN NS 。. IN A 211.X.X.X （第三方DNS地

18、址）. IN A 61.X.X.X （第三方DNS地址）第三方DNS. IN CNAME . IN NS 。 IN NS 。. IN A 100.1.1.2 （F5设备地址）. IN A 200.1.1.2 （F5设备地址） 我们建议采用这种方式。3.5 F5设备双机冗余- 毫秒级切换原理F5 Networks 公司的BIGIP 产品是业界唯一的可以达到ms级切换的产品, 而且设计极为合理, 所有会话通过Active 的BIGIP 的同时, 会把会话信息通过同步数据线同步到Standby的BIGIP , 由设备中的watchdog芯片通过心跳线监控设备的电频, 当Active BIGIP故障时

19、, watchdog会首先发现, 并通知Standby BIGIP接管Shared IP , VIP , NAT, SNAT等, 保持访问的畅通和在线会话的数据. 在用户端的表现是在ping包上会有12个中断， 而应用上不会中断， 可以持续运行， 对于关键的应用系统是非常重要的。另外，BIGIP还可以允许手工切换Active/Standby的状态，来配合系统维护。3.6 Stateful FailOver 技术（与F5设备双机冗余有关）通过Session Mirror以及Persistence Mirror技术，保证F5设备在发生切换时，不影响在线业务的连续访问。四产品介绍4.1 F5 Big

20、ip LC关键特性与优势为拥有多条链路和多家ISP提供商的站点提供高可用性(99.999%)；全方位链路监视，提供实时的链路状况和容量信息；消除带有BGP的多归属的部署障碍；采用高级分组交换技术；对用户和ISP提供商透明；把用户导向速度最快的链路；平衡流量以最大限度地利用链路资源和吞吐量；链接成本负载平衡功能把流量导向花费最低的链路，以实现最低的带宽成本；提供无缝的链路归并，以实现灵活的带宽可扩充性和降低成本；服务质量（QoS）为满足各种业务需求提供个性化的流量控制；提供安全网络地址转换（SNAT）和智能DNS，从而实现双向流量控制；实时性能监视和数据统计以评估链路性能；可同时支持各种应用服务

21、器负载平衡；可同时支持防火墙三明治负载平衡；为所有基于TCP和UDP的流量及其它IP流量提供链路负载平衡；通过Web浏览器和CLI提供安全与远程管理增设链路控制器（Link Controller）提供完全冗余，以进行二级故障切换保护；支持iControl为F5的IP流量和内容管理产品系列提供的业界首款开放应用编程接口（API）。BIG-IP Link Controller 多归属网络的高可用性和链路控制随着企业逐渐采用互联网传送关键任务应用，只与公共网络保持一个链路就意味着单点故障和严重的网络隐患。F5 BIG-IP Link Controller：-提供可靠的网络连接-管理多个链路上的入站/

22、出站流量-通过最佳性能链路发送流量-提高链接的可扩充性和吞吐量-实现最大的企业连接投资回报率-消除带有BGP的多归属的部署障碍和成本确保可靠的网络连接高可用性BIG-IP Link Controller可检测整个链路所出现的错误，从而提供可靠的端到端连接。它负责监视每个连接的状况和可用性以及检测链路或ISP是否发生故障。如果出现故障，流量将被动态透明地导向其它可用链路，以确保可靠的数据中心连接。全方位链路监视BIG-IP 通过网关路由器提供链路工作状况和吞吐量的全景图，确保链路的可用性并提供关于任何指定链路带宽及容量的详细信息。Link Controller也可检测出由ISP配置错误或其它手工

23、操作错误引起的故障。最大限度地扩大带宽和提高投资回报链接成本负载平衡链接成本负载平衡功能可帮助您为所有的通向数据中心的流量选择最低成本的连接方式。-流量被导向花费最低的链路，从而将带宽投资降至最低限度；-消除过量供应的情况；-为不同连接和不同成本的线路提供灵活性，以扩大带宽，消除带宽瓶颈，同时减少对低效率带宽的使用和相关成本的开销。带宽的可扩充性无论对于何种链路或提供商，Link Controller都可帮助您归并花费较低且较窄的线路，以提供低成本的带宽冗余，同时减少浪费在闲置光纤或备用线路上的成本。可扩充性BIG-IP链路控制器为企业提供了一个可扩充平台：-集成防火墙负载平衡，为冗余防火墙部

24、署提供高可用性；-可通过升级增强服务器和高速缓存的本地负载平衡；-可通过升级支持全面、多站点的全局负载平衡和灾难恢复；-可随企业发展而扩展的高性能端口密集型平台；-支持数千兆位吞吐量以及任何数量的ISP。全方位流量控制区组控制BIG-IP Link Controller为用户提供了所需的最佳流量控制和灵活性，以最大限度地提高可用性、性能和降低公司连接成本。Link Controller提供透明的流量分配-循环负载平衡；对于希望扩充链路的用户，Link Controller可在规模相近的连接上均匀分配流量，从而扩大带宽。-比率负载平衡对于购买具有不同吞吐容量的链路的用户，比率负载平衡可根据不同链

25、路带宽（DSL、T1和T3）均匀分布负载。链接容量和吞吐量BIG-IP Link Controller可允许您根据实时的流量与吞吐量来确定和控制流量在链路上的分布方式。这可以提高性能和增加可用的带宽（含线路冗余），同时消除链路的拥塞情况。当某个链路的流量接近其最大容量时，流量将被转到其它不太拥塞的链路上，从而提高了整个站点的性能。最佳性能的链路：通过往返时间（RTT）和线路质量衡量方法，BIG-IP Link Controller可检测出哪条连接能提供最佳服务，接着把用户导向该链路确保用户能享受最佳服务和最高质量的连接。 QoS的负载平衡BIG-IP Link Controller提供了链路容

26、量（路由器速率、连接数量和每秒的数据包数）、链路成本（按Mbps计算）和最佳链路（基于往返时间、连接率和中继数）等个性化的流量控制。这为用户提供了衡量不同负载平衡因素的重要性的依据，从而使他们能根据具体的业务需求“最好地”管理流量。 来源、目的地和应用交换BIG-IP Link Controller可支持用户在指定链路上发送部分流量。例如，对于FTP和电子邮件等高优先级的流量可通过优先连接进行路由，而低优先级的容量通过其他链路进行路由。 出色的管理和配置轻松安装BIG-IP Link Controller含有一个直观且易于操作的基于Web的图形用户界面（GUI）。一般的配置任务都进行逻辑上的分

27、类，以降低配置和管理难度，从而减少安装和日后的维护费用。 IP链路评估器（Internet Link Evaluator）Link Evaluator可对ISP传送给用户的所有性能进行衡量，包括： -指出慢速的链路，排除ISP链路上的性能问题-评估ISP提供商为您的互联网用户快速提供服务的能力-评估从您的网络到用户之间的提供商的连接质量。BIGIP 规范：互联网/企业内联网协议支持：所有TCP服务、UDP、SIP和SSL；几乎所有基于IP的协议。管理环境支持：DNS代理、SMTP、开放式SSH、SNMP、动态/静态网络监视、预定批作业处理、系统状态报告和告警事件通知。网络管理和监视：基于安全SSL浏览器的接口、利用开放式SSH监视器进行远程加密登录和文件传输、BIGIP系统网络监视工具及附加实用软件；SNMP“get”命令与陷阱，使用CORBA和SOAP/XML的iControlAPI。BIGIP设备冗余：Watchdog芯片、硬件故障切换和网络故障切换路由协议：RIP、OSPF和BGP