F5負(fù)載均衡方案手冊(cè)

1、目前，許多廠商推出了專用于平衡服務(wù)器負(fù)載的負(fù)載均衡器，如f5 network公司的big-ip，citrix公司的netscaler。f5 big-ip ltm 的官方名稱叫做本地流量管理器，可以做4-7層負(fù)載均衡，具有負(fù)載均衡、應(yīng)用交換、會(huì)話交換、狀態(tài)監(jiān)控、智能網(wǎng)絡(luò)地址轉(zhuǎn)換、通用持續(xù)性、響應(yīng)錯(cuò)誤處理、ipv6網(wǎng)關(guān)、高級(jí)路由、智能端口鏡像、ssl加速、智能http壓縮、tcp優(yōu)化、第7層速率整形、內(nèi)容緩沖、內(nèi)容轉(zhuǎn)換、連接加速、高速緩存、cookie加密、選擇性內(nèi)容加密、應(yīng)用攻擊過濾、拒絕服務(wù)(dos)攻擊和syn flood保護(hù)、防火墻包過濾、包消毒等功能。以下是f5 big-ip用作http

2、負(fù)載均衡器的主要功能：、f5 big-ip提供12種靈活的算法將所有流量均衡的分配到各個(gè)服務(wù)器，而面對(duì)用戶，只是一臺(tái)虛擬服務(wù)器。、f5 big-ip可以確認(rèn)應(yīng)用程序能否對(duì)請(qǐng)求返回對(duì)應(yīng)的數(shù)據(jù)。假如f5 big-ip后面的某一臺(tái)服務(wù)器發(fā)生服務(wù)停止、死機(jī)等故障，f5會(huì)檢查出來并將該服務(wù)器標(biāo)識(shí)為宕機(jī)，從而不將用戶的訪問請(qǐng)求傳送到該臺(tái)發(fā)生故障的服務(wù)器上。這樣，只要其它的服務(wù)器正常，用戶的訪問就不會(huì)受到影響。宕機(jī)一旦修復(fù)，f5 big-ip就會(huì)自動(dòng)查證應(yīng)用已能對(duì)客戶請(qǐng)求作出正確響應(yīng)并恢復(fù)向該服務(wù)器傳送。、f5 big-ip具有動(dòng)態(tài)session的會(huì)話保持功能。、f5 big-ip的irules功能可以做h

3、ttp內(nèi)容過濾，根據(jù)不同的域名、url，將訪問請(qǐng)求傳送到不同的服務(wù)器。下面，結(jié)合實(shí)例，配置f5 big-ip ltm v9.x： 、如圖，假設(shè)域名被解析到f5的外網(wǎng)/公網(wǎng)虛擬ip：（vs_squid），該虛擬ip下有一個(gè)服務(wù)器池（pool_squid），該服務(wù)器池下包含兩臺(tái)真實(shí)的squid服務(wù)器（1和2）。、如果squid緩存未命中，則會(huì)請(qǐng)求f5的內(nèi)網(wǎng)虛擬ip：（vs_apache），該虛擬ip下有一個(gè)默認(rèn)服務(wù)器池（pool_apache_default），該服務(wù)器池下包含兩臺(tái)真實(shí)的apache服務(wù)器（192.1

4、68.1.21和2），當(dāng)該虛擬ip匹配irules規(guī)則時(shí)，則會(huì)訪問另外一個(gè)服務(wù)器池（pool_apache_irules），該服務(wù)器池下同樣包含兩臺(tái)真實(shí)的apache服務(wù)器（3和4）。、另外，所有真實(shí)服務(wù)器的默認(rèn)網(wǎng)關(guān)指向f5的自身內(nèi)網(wǎng)ip，即。、所有的真實(shí)服務(wù)器通過snat ip地址訪問互聯(lián)網(wǎng)。詳細(xì)配置步驟：一、登錄到f5 big-ip管理界面：1、初次使用：、打開f5 big-ip電源，用一根網(wǎng)線（直連線和交叉線均可）連接f5 big-ip的3.1管理網(wǎng)口和筆記本電腦的網(wǎng)口，將筆記本電腦的

5、ip地址配置為“192.168.1.*”，子網(wǎng)掩碼配置為“”。、用瀏覽器訪問f5 big-ip的出廠默認(rèn)管理ip地址45或45、輸入出廠默認(rèn)用戶名：admin，密碼：admin、點(diǎn)擊activate進(jìn)入f5 big-ip license申請(qǐng)與激活頁面，激活license。、修改默認(rèn)管理密碼。2、以后登錄：通過f5 big-ip的自身外網(wǎng)ip登錄。、假設(shè)設(shè)置的f5自身外網(wǎng)ip為，就可以通過/登錄。、還可以通過ssh登錄，用戶名為root，密碼跟web

6、管理的密碼相同。二、創(chuàng)建兩個(gè)vlan：internal和external，分別表示內(nèi)網(wǎng)和外網(wǎng)。創(chuàng)建vlan演示頁面：vlan列表演示頁面：1、創(chuàng)建vlan：internal（內(nèi)網(wǎng)）在“networkvlans”頁面點(diǎn)擊“create”按鈕：、name欄填寫：internal（填一個(gè)英文名稱）、tag欄填寫：4093（填一個(gè)數(shù)字）、interfaces欄：將available列的“1.1”拉到untagged列。1.1表示f5 big-ip的第一塊網(wǎng)卡。2、創(chuàng)建vlan：external（外網(wǎng)）在“networkvlans”頁面點(diǎn)擊“create”按鈕創(chuàng)建vlan：、name欄填寫：intern

7、al（填一個(gè)英文名稱）、tag欄填寫：4094（填一個(gè)數(shù)字）、interfaces欄：將available列的“1.2”拉到untagged列。1.2表示f5 big-ip的第二塊網(wǎng)卡。三、創(chuàng)建f5 big-ip的自身ip：分別對(duì)應(yīng)internal（內(nèi)網(wǎng)）和external（外網(wǎng)）。創(chuàng)建自身ip演示頁面：1、創(chuàng)建自身內(nèi)網(wǎng)ip：在“networkself ips”頁面點(diǎn)擊“create”按鈕：、ip address欄填寫：（填內(nèi)網(wǎng)ip地址）、netmask欄填寫：（填內(nèi)網(wǎng)子網(wǎng)掩碼）、vlan欄選擇：internal、port

8、lockdown欄選擇：allow default（默認(rèn)值）2、創(chuàng)建自身外網(wǎng)ip：在“networkself ips”頁面點(diǎn)擊“create”按鈕：、ip address欄填寫：（填外網(wǎng)ip地址）、netmask欄填寫：（填外網(wǎng)子網(wǎng)掩碼）、vlan欄選擇：external、port lockdown欄選擇：allow default（默認(rèn)值）四、創(chuàng)建默認(rèn)網(wǎng)關(guān)路由創(chuàng)建默認(rèn)網(wǎng)關(guān)路由演示頁面：1、創(chuàng)建默認(rèn)網(wǎng)關(guān)路由在“networkroutes”頁面點(diǎn)擊“create”按鈕：、type欄選擇：default gateway（默認(rèn)值）、resou

9、rce欄選擇：use gateeay.，在其后的輸入框填寫網(wǎng)關(guān)ip地址：（這里假設(shè)此ip為外網(wǎng)網(wǎng)關(guān)地址）五、創(chuàng)建服務(wù)器自定義健康檢查創(chuàng)建服務(wù)器自定義健康檢查演示頁面：1、創(chuàng)建自定義http健康檢查：monitor_http在“l(fā)ocal trafficmonitors”頁面點(diǎn)擊“create”按鈕：、name欄填寫：monitor_http（填一個(gè)英文名稱）、type欄選擇：http、import settings欄選擇：http、interval欄填寫：5（表示每5秒鐘進(jìn)行一次健康檢查）、timeout欄填寫：16（表示健康檢查的連接超時(shí)時(shí)間為16秒）、send string

10、欄填寫：get /（也可以根據(jù)自己的需求發(fā)送其他方法的請(qǐng)求，例如head /或者get /index.htm）、receive string欄填寫：（填寫對(duì)應(yīng)的返回字符串，默認(rèn)不填寫）六、創(chuàng)建服務(wù)器池（pool）創(chuàng)建服務(wù)器池演示頁面：1、創(chuàng)建squid服務(wù)器池：pool_squid在“l(fā)ocal trafficpools”頁面點(diǎn)擊“create”按鈕：、name欄填寫：pool_squid（填一個(gè)英文名稱）、health monitors欄：將第四步創(chuàng)建的自定義http健康檢查“monitor_http”由available列拉到active列、load balancing method欄選擇

11、：round robin（這里選擇的負(fù)載均衡方式是輪詢，也可以選擇其他方式）、new members欄：先選擇new address，再添加兩臺(tái)squid服務(wù)器的ip地址1、2以及它們的端口802、創(chuàng)建第一組apache服務(wù)器池：pool_apache_default在“l(fā)ocal trafficpools”頁面點(diǎn)擊“create”按鈕：、name欄填寫：pool_apache_default（填一個(gè)英文名稱）、health monitors欄：將第四步創(chuàng)建的自定義http健康檢查“monitor_http”由available列拉到active列、

12、load balancing method欄選擇：round robin（這里選擇的負(fù)載均衡方式是輪詢，也可以選擇其他方式）、new members欄：先選擇new address，再添加第一組兩臺(tái)apache服務(wù)器的ip地址1、2以及它們的端口803、創(chuàng)建第二組apache服務(wù)器池：pool_apache_irules在“l(fā)ocal trafficpools”頁面點(diǎn)擊“create”按鈕：、name欄填寫：pool_apache_irules（填一個(gè)英文名稱）、health monitors欄：將第四步創(chuàng)建的自定義http健康檢查“monitor_

13、http”由available列拉到active列、load balancing method欄選擇：round robin（這里選擇的負(fù)載均衡方式是輪詢，也可以選擇其他方式）、new members欄：先選擇new address，再添加第二組兩臺(tái)apache服務(wù)器的ip地址3、4以及它們的端口80七、創(chuàng)建供七層負(fù)載均衡使用的profiles配置創(chuàng)建profiles演示頁面：1、創(chuàng)建profiles配置：profile_http在“l(fā)ocal trafficprofiles”頁面點(diǎn)擊“create”按鈕：、name欄填寫：profile_http（

14、填一個(gè)英文名稱）、parent profile欄選擇：http、insert xforwarded for欄：如果需要，可以選中方框，選擇enable（在header頭中插入x-forwarded-for標(biāo)記，以便做七層負(fù)載均衡時(shí)能夠獲取用戶真實(shí)ip，本文中squid服務(wù)器開啟了follow_x_forwarded_for allow all，因此f5無需設(shè)置此項(xiàng)）注：在此設(shè)置頁面中，還有壓縮等優(yōu)化功能，可以根據(jù)需要進(jìn)行設(shè)置。八、創(chuàng)建irules規(guī)則創(chuàng)建irules規(guī)則演示頁面：1、創(chuàng)建irules規(guī)則：irules_apache在“l(fā)ocal trafficprofiles”頁面點(diǎn)擊“cre

15、ate”按鈕：、name欄填寫：irules_apache（填一個(gè)英文名稱）、definition欄填寫以下腳本，將訪問的域名為“”，訪問的網(wǎng)址以“.htm”結(jié)尾，或者以“/read.php”開頭的請(qǐng)求全部轉(zhuǎn)到服務(wù)器池“pool_apache_irules”： view plaincopy to clipboardprint?1. when http_request 2. if http:host equals and http:uri ends_with .htm 3. pool pool_apache_irules 4. 5. elseif http:host equals and htt

16、p:uri starts_with /read.php 6. pool pool_apache_irules 7. 8. when http_request if http:host equals and http:uri ends_with .htm pool pool_apache_irules elseif http:host equals and http:uri starts_with /read.php pool pool_apache_irules 九、創(chuàng)建虛擬服務(wù)器（virtual servers）創(chuàng)建虛擬服務(wù)器演示頁面：1、以“四層”負(fù)載均衡模式創(chuàng)建squid虛擬服務(wù)器：vs

17、_squid在“l(fā)ocal trafficvirtual servers”頁面點(diǎn)擊“create”按鈕：、general properties大類下：、name欄填寫：vs_squid（填一個(gè)英文名稱）、destination欄：選擇host，填寫squid服務(wù)器的外網(wǎng)虛擬ip（virtual ip，簡(jiǎn)稱vip）：、service port欄填寫：80、configuration大類下：、configuration欄選擇: advanced（選擇高級(jí)模式，這一步很重要）、type欄選擇：performance (layer 4)、snat pool欄選擇：none（注意：這一步

18、很重要，四層模式下，請(qǐng)確保此項(xiàng)選擇為none）、resources大類下：、default pool欄選擇：pool_squid注意：f5的四層負(fù)載均衡由硬件芯片處理，不消耗cpu資源，能夠處理更大的訪問量。在四層負(fù)載均衡模式下，真實(shí)服務(wù)器的默認(rèn)網(wǎng)關(guān)必須指向f5的自身內(nèi)網(wǎng)ip，即2、以“七層”負(fù)載均衡模式創(chuàng)建apache虛擬服務(wù)器：vs_apache在“l(fā)ocal trafficvirtual servers”頁面點(diǎn)擊“create”按鈕：、general properties大類下：、name欄填寫：vs_apache（填一個(gè)英文名稱）、destination欄：選擇h

19、ost，填寫apache服務(wù)器的內(nèi)網(wǎng)虛擬ip（virtual ip，簡(jiǎn)稱vip）：、service port欄填寫：80、configuration大類下：configuration欄選擇: advanced（選擇高級(jí)模式，這一步很重要）、type欄選擇：standard（標(biāo)準(zhǔn)模式，即七層負(fù)載均衡模式）、http profile欄選擇：profile_http（注意：此項(xiàng)為none時(shí)，不能使用irules規(guī)則，因此必須選一個(gè)。在此選擇第六步創(chuàng)建的profile_http）、snat pool欄選擇：auto map（注意：在本文的架構(gòu)中必須選擇，原因如下）說明：當(dāng)其中的一

20、臺(tái)squid服務(wù)器“1”緩存未命中時(shí)，會(huì)去訪問虛擬ip“”。如果snat pool選擇默認(rèn)值none，虛擬ip“”后端的apache服務(wù)器，看到的將是squid服務(wù)器的真實(shí)ip“1”。由于squid和apache服務(wù)器的ip地址屬于在同一網(wǎng)段，apache服務(wù)器將無需經(jīng)過f5網(wǎng)關(guān)“”，直接通過交換機(jī)回包給squid服務(wù)器“1”，這樣虛擬ip“”就會(huì)收不到回包信息，http請(qǐng)求無法完成。因此，需要選擇auto map，進(jìn)行地址轉(zhuǎn)換，讓后端apa

21、che服務(wù)器看到的是f5的自身內(nèi)網(wǎng)ip，回包給f5。、resources大類下：、irules欄：將available列的“irules_apache”拉到enabled列。、default pool欄選擇：pool_apache_default、apache虛擬服務(wù)器vs_apache創(chuàng)建完成后，如需進(jìn)行修改，在以下兩個(gè)配置頁完成：修改虛擬服務(wù)器演示頁面1：修改虛擬服務(wù)器演示頁面2：十、創(chuàng)建snat安全網(wǎng)絡(luò)地址轉(zhuǎn)換，讓真實(shí)服務(wù)器能夠訪問互聯(lián)網(wǎng)、對(duì)外發(fā)郵件創(chuàng)建snat演示頁面：1、創(chuàng)建snat：snat_all_server在“l(fā)ocal trafficsnats”頁面點(diǎn)擊“create”按鈕

22、：、name欄填寫：snat_all_server（填一個(gè)英文名稱）、translation欄選擇：ip address，并填寫snat ip地址：（此項(xiàng)也可以選擇automap，使用f5的自身外網(wǎng)ip作為snat ip）、origin欄選擇：address list、address list欄：type欄選擇host，填寫要訪問互聯(lián)網(wǎng)、對(duì)外發(fā)郵件的內(nèi)網(wǎng)ip地址?；蛘遲ype欄選擇network，填寫要訪問互聯(lián)網(wǎng)、對(duì)外發(fā)郵件的網(wǎng)段和子網(wǎng)掩碼。、vlan traffic欄選擇：enabled on.、vlan list欄：將available列的“internal”拉到se

23、lected列。注意：真實(shí)服務(wù)器的默認(rèn)網(wǎng)關(guān)需要指向f5的自身內(nèi)網(wǎng)ip，即，才能通過snat訪問互聯(lián)網(wǎng)、對(duì)外發(fā)郵件。f5 bigip 服務(wù)器負(fù)載均衡介紹簡(jiǎn)介：1 服務(wù)器負(fù)載均衡市場(chǎng)需求 隨著internet的普及以及電子商務(wù)、電子政務(wù)的發(fā)展，越來越多的應(yīng)用系統(tǒng)需要面對(duì)更高的訪問量和數(shù)據(jù)量。同時(shí)，企業(yè)對(duì)在線系統(tǒng)的依賴也越來越高，大量的關(guān)鍵應(yīng)用需要系統(tǒng)有足夠的在線率及高 .關(guān)鍵字：f5 bigip 服務(wù)器負(fù)載均衡1 服務(wù)器負(fù)載均衡市場(chǎng)需求隨著internet的普及以及電子商務(wù)、電子政務(wù)的發(fā)展，越來越多的應(yīng)用系統(tǒng)需要面對(duì)更高的訪問量和數(shù)據(jù)量。同時(shí)，企業(yè)對(duì)在線系統(tǒng)的依賴也越來越高，

24、大量的關(guān)鍵應(yīng)用需要系統(tǒng)有足夠的在線率及高效率。這些要求使得單一的網(wǎng)絡(luò)服務(wù)設(shè)備已經(jīng)不能滿足這些需要，由此需要引入服務(wù)器的負(fù)載均衡，實(shí)現(xiàn)客戶端同時(shí)訪問多臺(tái)同時(shí)工作的服務(wù)器，一則避免服務(wù)器的單點(diǎn)故障，再則提高在線系統(tǒng)的服務(wù)處理能力。從業(yè)界環(huán)境來說，如下的應(yīng)用需求更是負(fù)載均衡發(fā)展的推動(dòng)力： 業(yè)務(wù)系統(tǒng)從client-server轉(zhuǎn)向采用browser-server 系統(tǒng)結(jié)構(gòu)，關(guān)鍵系統(tǒng)需要高可用性 電子商務(wù)系統(tǒng)的高可用性和高可靠性需要 it應(yīng)用系統(tǒng)大集中的需要 （稅務(wù)大集中,證券大集中,銀行大集中） 數(shù)據(jù)中心降低成本,提高效率 負(fù)載均衡技術(shù)在現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)之上提供了一種廉價(jià)、有效、透明的方法，來擴(kuò)展網(wǎng)絡(luò)設(shè)備

25、和服務(wù)器的帶寬、增加吞吐量、加強(qiáng)網(wǎng)絡(luò)數(shù)據(jù)處理能力、提高網(wǎng)絡(luò)的靈活性和可用性。它有兩方面的含義：首先，大量的并發(fā)訪問或數(shù)據(jù)流量分擔(dān)到多臺(tái)節(jié)點(diǎn)設(shè)備上分別處理，減少用戶等待響應(yīng)的時(shí)間；其次，單個(gè)重負(fù)載的運(yùn)算分擔(dān)到多臺(tái)節(jié)點(diǎn)設(shè)備上做并行處理，每個(gè)節(jié)點(diǎn)設(shè)備處理結(jié)束后，將結(jié)果匯總，返回給用戶，系統(tǒng)處理能力得到大幅度提高。big/ip利用定義在其上面的虛擬ip地址來為用戶的一個(gè)或多個(gè)應(yīng)用服務(wù)器提供服務(wù)。因此，它能夠?yàn)榇罅康幕趖cp/ip的網(wǎng)絡(luò)應(yīng)用提供服務(wù)器負(fù)載均衡服務(wù)。big/ip連續(xù)地對(duì)目標(biāo)服務(wù)器進(jìn)行l(wèi)4到l7合理性檢查，當(dāng)用戶通過vip請(qǐng)求目標(biāo)服務(wù)器服務(wù)時(shí)，big/ip根椐目標(biāo)服務(wù)器之間性能和網(wǎng)絡(luò)健康情

26、況，選擇性能最佳的服務(wù)器響應(yīng)用戶的請(qǐng)求。下圖描述了一個(gè)負(fù)載均衡發(fā)生的流程：1. 客戶發(fā)出服務(wù)請(qǐng)求到vip2. bigip接收到請(qǐng)求，將數(shù)據(jù)包中目的ip地址改為選中的后臺(tái)服務(wù)器ip地址，然后將數(shù)據(jù)包發(fā)出到后臺(tái)選定的服務(wù)器3. 后臺(tái)服務(wù)器收到后，將應(yīng)答包按照其路由發(fā)回到bigip4. bigip收到應(yīng)答包后將其中的源地址改回成vip的地址，發(fā)回客戶端，由此就完成了一個(gè)標(biāo)準(zhǔn)的服務(wù)器負(fù)載均衡的流程。2.負(fù)載均衡典型流程 通過vip來截獲合適的需要負(fù)載均衡的流量 服務(wù)器監(jiān)控和健康檢查,隨時(shí)了解服務(wù)器群的可用性狀態(tài) 負(fù)載均衡和應(yīng)用交換功能,通過各種策略導(dǎo)向到合適的服務(wù)器 2.1 通過vip來截獲合適的需要

27、負(fù)載均衡的流量 在bigip上通過設(shè)置vip來截獲需要進(jìn)行負(fù)載均衡的流量，這個(gè)vip地址可以是一個(gè)獨(dú)立的主機(jī)地址和端口的組合（例如：15:80）也可以是一個(gè)網(wǎng)絡(luò)地址和端口的組合（例如：:80），當(dāng)流量經(jīng)過bigip的時(shí)候，凡是命中vip的流量都將被截獲并按照規(guī)則進(jìn)行負(fù)載均衡。2.2 服務(wù)器的健康監(jiān)控和檢查 服務(wù)器 (node) - ping (icmp) bigip可以定期的通過icmp包對(duì)后臺(tái)服務(wù)器的ip地址進(jìn)行檢測(cè)，如果在設(shè)定的時(shí)間內(nèi)能收到該地址的icmp的回應(yīng)，則認(rèn)為該服務(wù)器能提供服務(wù) 服務(wù) (port) connect bigip可以

28、定期的通過tcp包對(duì)后臺(tái)服務(wù)器的服務(wù)端口進(jìn)行檢測(cè)，如果在設(shè)定的時(shí)間內(nèi)能收到該服務(wù)器端口的回應(yīng)，則認(rèn)為該服務(wù)器能提供服務(wù) 擴(kuò)展內(nèi)容查證(ecv: extended content verification)ecv ecv是一種非常復(fù)雜的服務(wù)檢查，主要用于確認(rèn)應(yīng)用程序能否對(duì)請(qǐng)求返回對(duì)應(yīng)的數(shù)據(jù)。如果一個(gè)應(yīng)用對(duì)該服務(wù)檢查作出響應(yīng)并返回對(duì)應(yīng)的數(shù)據(jù)，則big/ip控制器將該服務(wù)器標(biāo)識(shí)為工作良好。如果服務(wù)器不能返回相應(yīng)的數(shù)據(jù)，則將該服務(wù)器標(biāo)識(shí)為宕機(jī)。宕機(jī)一旦修復(fù)，big/ip就會(huì)自動(dòng)查證應(yīng)用已能對(duì)客戶請(qǐng)求作出正確響應(yīng)并恢復(fù)向該服務(wù)器傳送。該功能使big/ip可以將保護(hù)延伸到后端應(yīng)用如web內(nèi)容及數(shù)據(jù)庫。bi

29、g/ip的ecv功能允許您向web服務(wù)器、防火墻、緩存服務(wù)器、代理服務(wù)器和其它透明設(shè)備發(fā)送查詢，然后檢查返回的響應(yīng)。這將有助于確認(rèn)您為客戶提供的內(nèi)容正是其所需要的。 擴(kuò)展應(yīng)用查證(eav: extended application verification) eav是另一種服務(wù)檢查，用于確認(rèn)運(yùn)行在某個(gè)服務(wù)器上的應(yīng)用能否對(duì)客戶請(qǐng)求作出響應(yīng)。為完成這種檢查，big/ip控制器使用一個(gè)被稱作外部服務(wù)檢查者的客戶程序，該程序?yàn)閎ig/ip提供完全客戶化的服務(wù)檢查功能，但它位于big/ip控制器的外部。例如，該外部服務(wù)檢查者可以查證一個(gè)internet或intranet上的從后臺(tái)數(shù)據(jù)庫中取出數(shù)據(jù)并在ht

30、ml網(wǎng)頁上顯示的應(yīng)用能否正常工作。eav是big/ip提供的非常獨(dú)特的功能，它提供管理者將big/ip客戶化后訪問各種各樣應(yīng)用的能力，該功能使big/ip在提供標(biāo)準(zhǔn)的可用性查證之外能獲得服務(wù)器、應(yīng)用及內(nèi)容可用性等最重要的反饋。 該功能對(duì)于電子商務(wù)和其它應(yīng)用至關(guān)重要，它用于從客戶的角度測(cè)試您的站點(diǎn)。例如，您可以模擬客戶完成交易所需的所有步驟連接到站點(diǎn)、從目錄中選擇項(xiàng)目以及驗(yàn)證交易使用的信用卡。一旦big/ip掌握了該“可用性”信息，即可利用負(fù)載均衡使資源達(dá)到最高的可用性。big/ip已經(jīng)為測(cè)試internet服務(wù)的健康情況和狀態(tài)，預(yù)定義的擴(kuò)展應(yīng)用驗(yàn)證(eav)，它有二種用戶界面：瀏覽器和cli配

31、置。big/ip預(yù)定義的應(yīng)用檢查：ftp、nntp、smtp、pop3和mssql。2.3 負(fù)載均衡和應(yīng)用交換功能,通過各種策略導(dǎo)向到合適的服務(wù)器bigip是一臺(tái)對(duì)流量和內(nèi)容進(jìn)行管理分配的設(shè)備。它提供12種靈活的算法將數(shù)據(jù)流有效地轉(zhuǎn)發(fā)到它所連接的服務(wù)器群。而面對(duì)用戶，只是一臺(tái)虛擬服務(wù)器。用戶此時(shí)只須記住一臺(tái)服務(wù)器，即虛擬服務(wù)器。但他們的數(shù)據(jù)流卻被bigip靈活地均衡到所有的服務(wù)器。這12種算法包括：l輪詢（round robin）：順序循環(huán)將請(qǐng)求一次順序循環(huán)地連接每個(gè)服務(wù)器。當(dāng)其中某個(gè)服務(wù)器發(fā)生第二到第7層的故障，big/ip就把其從順序循環(huán)隊(duì)列中拿出，不參加下一次的輪詢，直到其恢復(fù)正常。l比

32、率（ratio）：給每個(gè)服務(wù)器分配一個(gè)加權(quán)值為比例，根椐這個(gè)比例，把用戶的請(qǐng)求分配到每個(gè)服務(wù)器。當(dāng)其中某個(gè)服務(wù)器發(fā)生第二到第7層的故障，big/ip就把其從服務(wù)器隊(duì)列中拿出，不參加下一次的用戶請(qǐng)求的分配，直到其恢復(fù)正常。l優(yōu)先權(quán)（priority）：給所有服務(wù)器分組，給每個(gè)組定義優(yōu)先權(quán)，big/ip用戶的請(qǐng)求，分配給優(yōu)先級(jí)最高的服務(wù)器組（在同一組內(nèi)，采用輪詢或比率算法，分配用戶的請(qǐng)求）；當(dāng)最高優(yōu)先級(jí)中所有服務(wù)器出現(xiàn)故障，big/ip才將請(qǐng)求送給次優(yōu)先級(jí)的服務(wù)器組。這種方式，實(shí)際為用戶提供一種熱備份的方式。l最少的連接方式（least connection）：傳遞新的連接給那些進(jìn)行最少連接處理的

33、服務(wù)器。當(dāng)其中某個(gè)服務(wù)器發(fā)生第二到第7層的故障，big/ip就把其從服務(wù)器隊(duì)列中拿出，不參加下一次的用戶請(qǐng)求的分配，直到其恢復(fù)正常。l最快模式（fastest）：傳遞連接給那些響應(yīng)最快的服務(wù)器。當(dāng)其中某個(gè)服務(wù)器發(fā)生第二到第7層的故障，big/ip就把其從服務(wù)器隊(duì)列中拿出，不參加下一次的用戶請(qǐng)求的分配，直到其恢復(fù)正常。l觀察模式（observed）：連接數(shù)目和響應(yīng)時(shí)間以這兩項(xiàng)的最佳均衡為依據(jù)為新的請(qǐng)求選擇服務(wù)器。當(dāng)其中某個(gè)服務(wù)器發(fā)生第二到第7層的故障，big/ip就把其從服務(wù)器隊(duì)列中拿出，不參加下一次的用戶請(qǐng)求的分配，直到其恢復(fù)正常。l預(yù)測(cè)模式（predictive）：big/ip利用收集到的服

34、務(wù)器當(dāng)前的性能指標(biāo)，進(jìn)行預(yù)測(cè)分析，選擇一臺(tái)服務(wù)器在下一個(gè)時(shí)間片內(nèi)，其性能將達(dá)到最佳的服務(wù)器相應(yīng)用戶的請(qǐng)求。(被bigip進(jìn)行檢測(cè))l動(dòng)態(tài)性能分配（dynamic ratio-apm):big/ip收集到的應(yīng)用程序和應(yīng)用服務(wù)器的各項(xiàng)性能參數(shù)，動(dòng)態(tài)調(diào)整流量分配。l動(dòng)態(tài)服務(wù)器補(bǔ)充（dynamic server act.):當(dāng)主服務(wù)器群中因故障導(dǎo)致數(shù)量減少時(shí)，動(dòng)態(tài)地將備份服務(wù)器補(bǔ)充至主服務(wù)器群。l服務(wù)質(zhì)量(qos)：按不同的優(yōu)先級(jí)對(duì)數(shù)據(jù)流進(jìn)行分配。l服務(wù)類型(tos)：按不同的服務(wù)類型（在type of field中標(biāo)識(shí)）對(duì)數(shù)據(jù)流進(jìn)行分配。l規(guī)則模式：針對(duì)不同的數(shù)據(jù)流設(shè)置導(dǎo)向規(guī)則，用戶可自行編輯流量分

35、配規(guī)則，big/ip利用這些規(guī)則對(duì)通過的數(shù)據(jù)流實(shí)施導(dǎo)向控制。f5負(fù)載均衡會(huì)話保持技術(shù)及原理技術(shù)白皮書 (2006-12-20 12:51:27)分類：基礎(chǔ)知識(shí)1什么是會(huì)話保持？在大多數(shù)電子商務(wù)的應(yīng)用系統(tǒng)或者需要進(jìn)行用戶身份認(rèn)證的在線系統(tǒng)中，一個(gè)客戶與服務(wù)器經(jīng)常經(jīng)過好幾次的交互過程才能完成一筆交易或者是一個(gè)請(qǐng)求的完成。由于這幾次交互過程是密切相關(guān)的，服務(wù)器在進(jìn)行這些交互過程的某一個(gè)交互步驟時(shí)，往往需要了解上一次交互過程的處理結(jié)果，或者上幾步的交互過程結(jié)果，服務(wù)器進(jìn)行下一步操作時(shí)需要這就要求所有這些相關(guān)的交互過程都由一臺(tái)服務(wù)器完成，而不能被負(fù)載均衡器分散到不同的服務(wù)器上。而這一系列的相關(guān)的交互過程

36、可能是由客戶到服務(wù)器的一個(gè)連接的多次會(huì)話完成，也可能是在客戶與服務(wù)器之間的多個(gè)不同連接里的多次會(huì)話完成。不同連接的多次會(huì)話，最典型的例子就是基于http的訪問，一個(gè)客戶完成一筆交易可能需多次點(diǎn)擊，而一個(gè)新的點(diǎn)擊產(chǎn)生的請(qǐng)求，可能會(huì)重用上一次點(diǎn)擊建立起來的連接，也可能是一個(gè)新建的連接。會(huì)話保持就是指在負(fù)載均衡器上有這么一種機(jī)制，可以識(shí)別做客戶與服務(wù)器之間交互過程的關(guān)連性，在作負(fù)載均衡的同時(shí)，還保證一系列相關(guān)連的訪問請(qǐng)求會(huì)保持分配到一臺(tái)服務(wù)器上。2 f5支持什么樣的會(huì)話保持方法？f5 bigip支持多種的會(huì)話保持方法，其中包括：簡(jiǎn)單會(huì)話保持（源地址會(huì)話保持）、http header的會(huì)話保持，基于s

37、sl session id的會(huì)話保持，i-rules會(huì)話保持以及基于 http cookie的會(huì)話保持，此外還有基于sip id以及cache設(shè)備的會(huì)話保持等，但常用的是簡(jiǎn)單會(huì)話保持，http header的會(huì)話保持以及 http cookie會(huì)話保持以及基于i-rules的會(huì)話保持。2.1 簡(jiǎn)單會(huì)話保持簡(jiǎn)單會(huì)話保持也被稱為基于源地址的會(huì)話保持，是指負(fù)載均衡器在作負(fù)載均衡時(shí)是根據(jù)訪問請(qǐng)求的源地址作為判斷關(guān)連會(huì)話的依據(jù)。對(duì)來自同一ip地址的所有訪問請(qǐng)求在作負(fù)載均時(shí)都會(huì)被保持到一臺(tái)服務(wù)器上去。在bigip設(shè)備上可以為“同一ip地址”通過網(wǎng)絡(luò)掩碼進(jìn)行區(qū)分，比如可以通過對(duì)ip地址

38、進(jìn)行的網(wǎng)絡(luò)掩碼，這樣只要是來自于/24這個(gè)網(wǎng)段的流量bigip都可以認(rèn)為他們是來自于同一個(gè)用戶，這樣就將把來自于/24網(wǎng)段的流量會(huì)話保持到特定的一臺(tái)服務(wù)器上。 簡(jiǎn)單會(huì)話保持里另外一個(gè)很重要的參數(shù)就是連接超時(shí)值，bigip會(huì)為每一個(gè)進(jìn)行會(huì)話保持的會(huì)話設(shè)定一個(gè)時(shí)間值，當(dāng)一個(gè)會(huì)話上一次完成到這個(gè)會(huì)話下次再來之前的間隔如果小于這個(gè)超時(shí)值，bigip將會(huì)將新的連接進(jìn)行會(huì)話保持，但如果這個(gè)間隔大于該超時(shí)值，bigip將會(huì)將新來的連接認(rèn)為是新的會(huì)話然后進(jìn)行負(fù)載平衡。基于原地址的會(huì)話保持實(shí)現(xiàn)起來簡(jiǎn)單，只需要根據(jù)數(shù)據(jù)包三、四層的信息就可以實(shí)現(xiàn)

39、，效率也比較高。存在的問題就在于當(dāng)多個(gè)客戶是通過代理或地址轉(zhuǎn)換的方式來訪問服務(wù)器時(shí)，由于都分配到同一臺(tái)服務(wù)器上，會(huì)導(dǎo)致服務(wù)器之間的負(fù)載嚴(yán)重失衡。另外一種情況上客戶機(jī)數(shù)量很少，但每個(gè)客戶機(jī)都會(huì)產(chǎn)生多個(gè)并發(fā)訪問，對(duì)這些必發(fā)訪問也要求通過負(fù)均均衡器分配到多個(gè)服器上，這時(shí)基于客戶端源地址的會(huì)話保持方法也會(huì)導(dǎo)致負(fù)載均衡失效。2.2 基于cookie的會(huì)話保持2.2.1 cookie插入模式：在cookie插入模式下，bigip將負(fù)責(zé)插入cookie，后端服務(wù)器無需作出任何修改.當(dāng)客戶進(jìn)行第一次請(qǐng)求時(shí)，客戶http請(qǐng)求（不帶cookie）進(jìn)入bigip， bigip根據(jù)負(fù)載平衡算法策略選擇后端一臺(tái)服務(wù)器，

40、并將請(qǐng)求發(fā)送至該服務(wù)器，后端服務(wù)器進(jìn)行http回復(fù)（不帶cookie）被發(fā)回bigip，然后bigip插入cookie，將http回復(fù)返回到客戶端。當(dāng)客戶請(qǐng)求再次發(fā)生時(shí)，客戶http請(qǐng)求（帶有上次bigip插入的cookie）進(jìn)入bigip，然后bigip讀出cookie里的會(huì)話保持?jǐn)?shù)值，將http請(qǐng)求（帶有與上面同樣的cookie）發(fā)到指定的服務(wù)器，然后后端服務(wù)器進(jìn)行請(qǐng)求回復(fù)，由于服務(wù)器并不寫入cookie，http回復(fù)將不帶有cookie，恢復(fù)流量再次經(jīng)過進(jìn)入bigip時(shí)，bigip再次寫入更新后的會(huì)話保持cookie。2.2.2 cookie 重寫模式當(dāng)客戶進(jìn)行第一次請(qǐng)求時(shí)，客戶http

41、請(qǐng)求（不帶cookie）進(jìn)入bigip， bigip根據(jù)負(fù)載平衡算法策略選擇后端一臺(tái)服務(wù)器，并將請(qǐng)求發(fā)送至該服務(wù)器，后端服務(wù)器進(jìn)行http回復(fù)一個(gè)空白的cookie并發(fā)回bigip，然后bigip重新在cookie里寫入會(huì)話保持?jǐn)?shù)值，將http回復(fù)返回到客戶端。當(dāng)客戶請(qǐng)求再次發(fā)生時(shí)，客戶http請(qǐng)求（帶有上次bigip重寫的cookie）進(jìn)入bigip，然后bigip讀出cookie里的會(huì)話保持?jǐn)?shù)值，將http請(qǐng)求（帶有與上面同樣的cookie）發(fā)到指定的服務(wù)器，然后后端服務(wù)器進(jìn)行請(qǐng)求回復(fù)，http回復(fù)里又將帶有空的cookie，恢復(fù)流量再次經(jīng)過進(jìn)入bigip時(shí)，bigip再次寫入更新后會(huì)話保

42、持?jǐn)?shù)值到該cookie。2.2.3 passive cookie 模式，服務(wù)器使用特定信息來設(shè)置cookie。當(dāng)客戶進(jìn)行第一次請(qǐng)求時(shí)，客戶http請(qǐng)求（不帶cookie）進(jìn)入bigip， bigip根據(jù)負(fù)載平衡算法策略選擇后端一臺(tái)服務(wù)器，并將請(qǐng)求發(fā)送至該服務(wù)器，后端服務(wù)器進(jìn)行http回復(fù)一個(gè)cookie并發(fā)回bigip，然后bigip將帶有服務(wù)器寫的cookie值的http回復(fù)返回到客戶端。當(dāng)客戶請(qǐng)求再次發(fā)生時(shí)，客戶http請(qǐng)求（帶有上次服務(wù)器寫的cookie）進(jìn)入bigip，然后bigip根據(jù)cookie里的會(huì)話保持?jǐn)?shù)值，將http請(qǐng)求（帶有與上面同樣的cookie）發(fā)到指定的服務(wù)器，然后后

43、端服務(wù)器進(jìn)行請(qǐng)求回復(fù)，http回復(fù)里又將帶有更新的會(huì)話保持cookie，恢復(fù)流量再次經(jīng)過進(jìn)入bigip時(shí)，bigip將帶有該cookie的請(qǐng)求回復(fù)給客戶端。2.2.4 cookie hash模式：當(dāng)客戶進(jìn)行第一次請(qǐng)求時(shí)，客戶http請(qǐng)求（不帶cookie）進(jìn)入bigip， bigip根據(jù)負(fù)載平衡算法策略選擇后端一臺(tái)服務(wù)器，并將請(qǐng)求發(fā)送至該服務(wù)器，后端服務(wù)器進(jìn)行http回復(fù)一個(gè)cookie并發(fā)回bigip，然后bigip將帶有服務(wù)器寫的cookie值的http回復(fù)返回到客戶端。當(dāng)客戶請(qǐng)求再次發(fā)生時(shí)，客戶http請(qǐng)求（帶有上次服務(wù)器寫的cookie）進(jìn)入bigip，然后bigip根據(jù)cookie里

44、的一定的某個(gè)字節(jié)的字節(jié)數(shù)來決定后臺(tái)服務(wù)器接受請(qǐng)求，將http請(qǐng)求（帶有與上面同樣的cookie）發(fā)到指定的服務(wù)器，然后后端服務(wù)器進(jìn)行請(qǐng)求回復(fù)，http回復(fù)里又將帶有更新后的cookie，恢復(fù)流量再次經(jīng)過進(jìn)入bigip時(shí)，bigip將帶有該cookie的請(qǐng)求回復(fù)給客戶端。 2.3 ssl session id會(huì)話保持在用戶的ssl訪問系統(tǒng)的環(huán)境里，當(dāng)ssl對(duì)話首次建立時(shí)，用戶與服務(wù)器進(jìn)行首次信息交換以：1交換安全證書，2）商議加密和壓縮方法，3）為每條對(duì)話建立session id。由于該session id在系統(tǒng)中是一個(gè)唯一數(shù)值，由此，bigip可以應(yīng)用該數(shù)值來進(jìn)行會(huì)話保持。當(dāng)用戶想與該服務(wù)器再

45、次建立連接時(shí)，bigip可以通過會(huì)話中的 ssl session id識(shí)別該用戶并進(jìn)行會(huì)話保持。基于ssl session id的會(huì)話保持就需要客戶瀏覽器在進(jìn)行會(huì)話的過程中始終保持其sslsession id不變，但實(shí)際上，微軟internet explorer被發(fā)現(xiàn)在經(jīng)過特定一段時(shí)間后將主動(dòng)改變ssl session id，這就使基于ssl session id的會(huì)話保持實(shí)際應(yīng)用范圍大大縮小。f5負(fù)載均衡器簡(jiǎn)明配置手冊(cè) 2008-05-15 13:05:08 來源：互聯(lián)網(wǎng)負(fù)載均衡器通常稱為四層交換機(jī)或七層交換機(jī)。四層交換機(jī)主要分析ip層及tcp/udp層，實(shí)現(xiàn)四層流量負(fù)載均衡。七層交換機(jī)除了

46、支持四層負(fù)載均衡以外，還有分析應(yīng)用層的信息，如http協(xié)議uri或cookie信息。一、f5 . 負(fù)載均衡器通常稱為四層交換機(jī)或七層交換機(jī)。四層交換機(jī)主要分析ip層及tcp/udp層，實(shí)現(xiàn)四層流量負(fù)載均衡。七層交換機(jī)除了支持四層負(fù)載均衡以外，還有分析應(yīng)用層的信息，如http協(xié)議uri或cookie信息。一、f5配置步驟：1、f5組網(wǎng)規(guī)劃(1)組網(wǎng)拓樸圖（具體到網(wǎng)絡(luò)設(shè)備物理端口的分配和連接，服務(wù)器網(wǎng)卡的分配與連接）(2)ip地址的分配（具體到網(wǎng)絡(luò)設(shè)備和服務(wù)器網(wǎng)卡的ip地址的分配）(3)f5上業(yè)務(wù)的vip、成員池、節(jié)點(diǎn)、負(fù)載均衡算法、策略保持方法的確定2、f5配置前的準(zhǔn)備工作(1)版本檢查f5-p

47、ortal-1:# b version kernel:big-ip kernel 4.5ptf-07 build18 (2)時(shí)間檢查如不正確，請(qǐng)到單用戶模式下進(jìn)行修改f5-portal-1:# datethu may 20 15:05:10 cst 2004 (3)申請(qǐng)license現(xiàn)場(chǎng)用的f5都需要自己到f5網(wǎng)站上申請(qǐng)license3、f5的通用配置(1)在安全要求允許的情況下，在setup菜單中可以打開telnet及ftp功能，便于以后方便維護(hù)(2)配置vlan unique_mac選項(xiàng)，此選項(xiàng)是保證f5上不同的vlan 的mac地址不一樣。在缺省情況下，f5的各個(gè)vlan的mac地址是一

48、樣的，建議在配置時(shí)，把此項(xiàng)統(tǒng)一選擇上?？捎妹頸fconfig a來較驗(yàn) 具體是system/advanced properties/vlan unique_mac(3)配置snat any_ip選項(xiàng)選項(xiàng)，此選項(xiàng)為了保證內(nèi)網(wǎng)的機(jī)器做了snat后，可以對(duì)ping的數(shù)據(jù)流作轉(zhuǎn)換。ping是第三層的數(shù)據(jù)包，缺省情況下f5是不對(duì)ping的數(shù)據(jù)包作轉(zhuǎn)換，也就是internal vlan的主機(jī)無法ping external vlan的機(jī)器。（注意：還可以采用telnet來驗(yàn)證。） 具體是system/advanced properties/snat any_ip4、f5 的初始化配置建議在對(duì)f5進(jìn)行初始時(shí)

49、都用命令行方式來進(jìn)行初始化（用web頁面初始化的方式有時(shí)會(huì)有問題）。登錄到命令行上，運(yùn)行config或setup命令可以進(jìn)行初始化配置。初次運(yùn)行時(shí)會(huì)提示一些license的信息。default:# config 5、f5雙機(jī)切換監(jiān)控配置（有f5雙機(jī)時(shí)需要）(1)在web頁面中選擇相應(yīng)的vlan，在arm failsafe選擇則可。timeout為從f5收不到包的時(shí)間起，經(jīng)過多長(zhǎng)時(shí)間就發(fā)生切換。此配置不能同步，需要在f5的主備機(jī)上同時(shí)配置。每個(gè)vlan都可以配置vlan arm failsafe。具體在network下(2)在web頁面中選擇system，在redundant propertie

50、s中把gateway failsafe選擇則可。router是需要監(jiān)控的地址。此配置不能同步，需要在f5的主備機(jī)上同時(shí)配置。一套f5上只能配置一個(gè)gateway failsafe具體在system/redundant properties/gateway failsafe6、f5macmasquerade配置mac masquerading是f5的shared ip address (floating)的mac地址，f5如果不配置此項(xiàng)，則shared ip address的mac地址與每臺(tái)f5的vlan self ip address的mac地址是一樣的。一般服務(wù)器是以shared ip ad

51、dress為網(wǎng)關(guān)，在兩臺(tái)f5上都配置了mac masquerade（相同的mac地址），這樣當(dāng)f5發(fā)生切換后，服務(wù)器上shared ip address的mac不變，保證了業(yè)務(wù)的不中斷具體在network下7、f5的pool配置(1)在配置工具web頁面的導(dǎo)航面板中選擇“pools”中的“pools”標(biāo)簽，點(diǎn)擊“add”按鈕添加服務(wù)器池(pool)。(2)在池屬性（pool properties）中的“l(fā)oad balancing method”表格中選擇負(fù)載均衡策略，通常采用默認(rèn)策略：“round robin” (3)在“resouces”表格中的“member address”文本框輸入成

52、員ip地址，在“service”文本框中輸入服務(wù)端口，點(diǎn)擊“”添加到“current members”當(dāng)前成員列表中。(4)添加所有組成員，點(diǎn)擊“done”完成配置。 (5)在“pools”中的“pool name”列選中特定池，然后池屬性頁面中選擇“persistence”標(biāo)簽。 (6)在“persistence type”表格中選定會(huì)話保持類型。點(diǎn)擊“apply”應(yīng)用配置。 8、f5的virtual server配置(1)在配置工具web頁面的導(dǎo)航面板中選擇“virtual servers”中的“virtual servers”標(biāo)簽，點(diǎn)擊“add”按鈕添加虛擬服務(wù)器。 (2)在“add v

53、irtual server”窗口的“address”文本框中輸入虛擬服務(wù)器ip地址，并在“service”文本框中輸入服務(wù)端口號(hào)或在下拉框中選擇現(xiàn)有的服務(wù)名稱，點(diǎn)擊“next”執(zhí)行下一步。 (3)在“add virtual server”窗口的“configure basic properties”頁面中點(diǎn)擊“next”執(zhí)行下一步。 在“add virtual server”窗口的“select physical resources”頁面中點(diǎn)擊單選按鈕“pool”，并在下拉框中選擇虛擬服務(wù)器對(duì)應(yīng)的負(fù)載均衡池。 (4)按“done”完成創(chuàng)建虛擬服務(wù)器。 9、f5的monitor的配置(1)在配置工具web頁面的導(dǎo)航面板中選擇“monitor”中的“monitors”標(biāo)簽，點(diǎn)擊“add”按鈕添加監(jiān)控(2)根據(jù)需要選擇相關(guān)關(guān)聯(lián)類型：“node associations”標(biāo)簽、node address associations”標(biāo)簽、service associations”標(biāo)簽。(3)被選關(guān)聯(lián)標(biāo)簽中，在“choose