F5負(fù)載均衡設(shè)備組網(wǎng)架構(gòu)課件

1、F5LTM組網(wǎng)架構(gòu)F5售前工程師第1頁，共35頁。單臂接入模式雙臂接入模式遠(yuǎn)程節(jié)點(diǎn)模式加入獨(dú)立SSL/WA/ASM設(shè)備防火墻負(fù)載均衡多鏈路接入災(zāi)備站點(diǎn)靜態(tài)路由注入Agenda第2頁，共35頁。LTM單臂接入模式3第3頁，共35頁。單臂接入模式下的網(wǎng)絡(luò)物理結(jié)構(gòu)4核心三層交換服務(wù)器服務(wù)器LTMLTM外部網(wǎng)絡(luò)Vlan 1串口心跳線第4頁，共35頁。LTM單臂源地址替換接入典型架構(gòu)設(shè)計(jì)5Core SwitchCore SwitchServerServer網(wǎng)絡(luò)同步-獨(dú)立Vlan串口心跳NetworkIP:GW:54IP:GW:54SelfIP:00GW:54VS:00SNAT AutomapSelfIP

2、:01GW:54VS:00SNAT AutomapHSRP 54TrunkTrunkTrunkActiveBackup第5頁，共35頁。單臂接入-源地址替換模式數(shù)據(jù)訪問流程6核心三層交換服務(wù)器服務(wù)器LTMClient0GW:541GW:54VS: :80SelfIP: 53GW:545454SIPSportDIPDport678780538888180180538888806787第6頁，共35頁。源地址替換后的處理7核心三層交換服務(wù)器服務(wù)器LTMClient0GW:541GW:54VS: ：80SelfIP: 53GW:545454HTTP Profilewhen HTTP_REQUEST

3、HTTP:header insert Client_IP= IP:client_addriRules只有HTTP協(xié)議的時(shí)候，可以通過將源地址插入到客戶端請求的HTTP Header里，然后在服務(wù)器上通過讀取這個(gè)Header，獲得客戶端的真實(shí)源IP地址第7頁，共35頁。單臂接入-npath模式數(shù)據(jù)訪問流程8核心三層交換服務(wù)器服務(wù)器LTMClient0Lo:GW:541Lo:GW:54VS: :80SelfIP: 53GW:545454SIPSportDIPDport678780678780806787npath模式的關(guān)鍵在于服務(wù)器上配置的loopback地址在上能找到各種服務(wù)器的loopback

4、地址如何配置的文檔第8頁，共35頁。單臂接入-服務(wù)器非直連模式（無源地址替換）9核心三層交換服務(wù)器服務(wù)器LTMClient0GW:541GW:54VS: :80SelfIP: 53GW:545454SIPSportDIPDport67878067871801806787806787無源地址替換的單臂接入模式使用比較少，通常用于對現(xiàn)網(wǎng)不能改造的情況這種模式下需要在核心三層交換上啟用源地址路由，將服務(wù)器的所有返回?cái)?shù)據(jù)包轉(zhuǎn)向LTM，這樣才能保證進(jìn)出的連接完整性建議在這種結(jié)構(gòu)下采用源地址替換以減小網(wǎng)絡(luò)復(fù)雜程度54第9頁，共35頁。同網(wǎng)段訪問處理-必須通過SNAT實(shí)現(xiàn)10核心三層交換客戶端服務(wù)器LTM0

5、GW:541GW:54VS: ：80IP: 53GW:5454SIPSportDIPDport0678780538888180180538888806787第10頁，共35頁。單臂接入-服務(wù)器更改網(wǎng)關(guān)數(shù)據(jù)訪問流程11核心三層交換服務(wù)器服務(wù)器LTMClient0GW:531GW:53VS: :80SelfIP: 53GW:545454SIPSportDIPDport67878067871801806787806787第11頁，共35頁。服務(wù)器更改網(wǎng)關(guān)后的直接訪問服務(wù)器問題12核心三層交換服務(wù)器服務(wù)器LTMClient0GW:531GW:53VS: ：80IP: 53GW:545454SYNSYN

6、SYN-ACKSIPSportDIPDport67871801806787FastL4 Profile第12頁，共35頁。雙臂接入模式13第13頁，共35頁。LTM雙臂接入模式典型架構(gòu)設(shè)計(jì)14VLAN EXTServerServer網(wǎng)絡(luò)同步-獨(dú)立Vlan串口心跳NetworkIP:GW:54IP:GW:54SelfIP EXT:00SelfIP INT:00GW:54VS:00HSRP 54ActiveBackupVLAN INTVLAN EXTVLAN INTSelfIP EXT:00SelfIP INT:00GW:54VS:00 FIP:54LB ServerIP:GW:50LB Serv

7、erIP:GW:50 FIP:54HSRP 54第14頁，共35頁。雙臂接入-服務(wù)器直連15核心三層交換服務(wù)器服務(wù)器LTMClient0GW:541GW:54VS: EXTIP: 53/VLAN EXTINTIP:54/VLAN INTGW:545454SIPSportDIPDport67878067871801806787806787第15頁，共35頁。雙臂接入-串聯(lián)部署-擴(kuò)展端口16核心三層交換服務(wù)器服務(wù)器LTMClient0GW:541GW:54VS: EXTIP: 53/VLAN EXTINTIP:54/VLAN INTGW:545454服務(wù)器接入交換SIPSportDIPDport6

8、7878067871801806787806787第16頁，共35頁。雙臂接入-旁掛模式17核心三層交換服務(wù)器服務(wù)器LTMClient0GW:541GW:54VS: :80EXTIP: 53/VLAN EXTINTIP:54/VLAN INTGW:545454SIPSportDIPDport67878067871801806787806787External_vlanInternal_vlan旁掛模式下LTM可以用不同的端口接入核心交換，也可以采用端口捆綁模式接入核心交換，然后在端口捆綁里通過VLAN tag方式來劃分多個(gè)VLAN第17頁，共35頁。旁掛模式下的服務(wù)器直接訪問18核心三層交換服

9、務(wù)器服務(wù)器LTMClient0GW:541GW:54VS: EXTIP: 53/VLAN EXTINTIP:54/VLAN INTGW:545454SIPSportDIPDport678718067871801806787FastL4 Profile第18頁，共35頁。雙臂接入-避免Spanning TreeF5 LTM有非?？焖俚那袚Q機(jī)制（200ms），切換完成后會發(fā)送ARP廣播Spanning Tree的重算機(jī)制在一些情況下會阻止對端設(shè)備收到ARP廣播不同設(shè)備的ARP更新機(jī)制有時(shí)會帶來很大的麻煩通常情況下，也不建議采用服務(wù)器雙網(wǎng)卡接入19核心三層交換服務(wù)器服務(wù)器LTMClient服務(wù)器接入

10、交換核心三層交換LTM服務(wù)器接入交換Client第19頁，共35頁。遠(yuǎn)程節(jié)點(diǎn)模式20第20頁，共35頁。遠(yuǎn)程節(jié)點(diǎn)模式21核心三層交換服務(wù)器服務(wù)器LTMClient0GW:541GW:54VS: :80SelfIP: 53GW:545454SIPSportDIPDport678780538888180180538888806787三層交換54遠(yuǎn)程節(jié)點(diǎn)模式通常用于服務(wù)器不在本地的情況只要路由可達(dá)，LTM就可以配置遠(yuǎn)程服務(wù)器作為節(jié)點(diǎn)必須采用源地址替換方式，保證服務(wù)器返回?cái)?shù)據(jù)包回到LTM進(jìn)行處理在同一個(gè)VS里面，可以同時(shí)存在有本地節(jié)點(diǎn)和遠(yuǎn)程節(jié)點(diǎn)，并且可以通過iRules控制在發(fā)往不同節(jié)點(diǎn)的時(shí)候是否啟用

11、源地址替換第21頁，共35頁。加入獨(dú)立SSL/WA/ASM設(shè)備22第22頁，共35頁。應(yīng)用加速和應(yīng)用安全外掛典型架構(gòu)設(shè)計(jì)23VLAN EXT網(wǎng)絡(luò)同步-獨(dú)立Vlan串口心跳NetworkHSRP 54ActiveBackupVLAN INTVLAN EXTVLAN INTSelfIP EXT:00SelfIP INT:00GW:54VS:00 FIP:54LB ServerIP:GW:50LB ServerIP:GW:50 FIP:54HSRP 54SelfIP EXT:00SelfIP INT:00GW:54VS:00IP:GW:50IP:GW:50WA/ASMWA/ASM第23頁，共35頁。

12、加入獨(dú)立SSL/WA/ASM設(shè)備設(shè)備業(yè)務(wù)邏輯流程24VS ExternalMember 1Member 20SSL/WA/ASMVS InternalMember 1Member 20ClientSIPSportDIPDport6787806787008067870080678708008067870080678700806787806787:800000:80VS External:ADDR：Pool：M1:80 P1 M2:0:80 P1 M3:00:80 P10VS Internal:Addr:00Pool:M1:80 M2:0:80第24頁，共35頁。防火墻負(fù)載均衡組網(wǎng)結(jié)構(gòu)25第25頁

13、，共35頁。防火墻負(fù)載均衡處理-物理連接結(jié)構(gòu)26LTM服務(wù)器服務(wù)器防火墻接入交換機(jī)LTMLTMLTM接入交換機(jī)服務(wù)器服務(wù)器接入交換機(jī)接入交換機(jī)防火墻防火墻防火墻建議所有的SSL/WA/ASM獨(dú)立設(shè)備自身都以單臂模式接入在獨(dú)立設(shè)備上無須開啟源地址替換，保證在服務(wù)器上接收到的請求源地址為真實(shí)的客戶端源地址F5所有的獨(dú)立應(yīng)用加速/安全設(shè)備均支持源地址透傳第26頁，共35頁。防火墻負(fù)載均衡處理-業(yè)務(wù)邏輯流程27LTMLTM防火墻防火墻Client服務(wù)器SIPSportDIPDport678700806787008067870080678700800080678700806787008067870080

14、6787EXT:54INT:EXT:00INT:00EXT:01INT:01EXT:INT:5400防火墻負(fù)載均衡模式下，數(shù)據(jù)包的信息在所有穿過整體系統(tǒng)的過程中都不會被改變3層以上的信息LTM依靠Auto LastHop記錄的源MAC地址來確定將服務(wù)器返回?cái)?shù)據(jù)發(fā)送到那個(gè)防火墻，而不是依靠路由防火墻可以工作在路由模式或者NAT模式，兩種模式下都可以正常工作第27頁，共35頁。鏈路負(fù)載均衡28第28頁，共35頁。鏈路負(fù)載均衡-Link Controller部署物理結(jié)構(gòu)29LC客戶端服務(wù)器防火墻接入交換機(jī)LC接入交換機(jī)客戶端服務(wù)器核心交換機(jī)核心交換機(jī)防火墻互聯(lián)網(wǎng)ISP1ISP2HA在每臺LC上都劃分

15、3個(gè)Vlan: ISP1, ISP2和Internal兩臺LC之間建議采用Trunk方式連接劃分在Internal Vlan里作為數(shù)據(jù)流量兩臺LC之間的同步/Failover采用另外的網(wǎng)絡(luò)連線（在端口不足的情況下可以使用數(shù)據(jù)連線）建議防火墻采用路由模式，并且放置在LC的后端接入交換機(jī)通常建議采用低端的比較可靠的二層交換機(jī)，每增加一個(gè)ISP，增加一臺接入交換機(jī)如果接入交換機(jī)支持VLAN劃分，也可以通過VLAN tag模式將LC的外網(wǎng)接入部分統(tǒng)一連接在接入交換機(jī)上第29頁，共35頁。鏈路負(fù)載均衡-GTM+LTM防火墻在外部30LTM客戶端服務(wù)器防火墻接入路由器LTM接入路由器客戶端服務(wù)器核心交換機(jī)

16、核心交換機(jī)防火墻互聯(lián)網(wǎng)ISP1ISP2GTMGTM在每臺LTM上都劃分3個(gè)Vlan: 防火墻1, 防火墻2和Internal兩臺LTM之間沒有數(shù)據(jù)流量發(fā)生兩臺LTM之間的同步/Failover采用另外的網(wǎng)絡(luò)連線（在端口不足的情況下可以使用數(shù)據(jù)連線）建議防火墻采用路由模式，并且放置在LTM的前端，針對每條鏈路上的防火墻也可以采用HA模式部署接入交換機(jī)通常建議采用低端的比較可靠的二層交換機(jī)，每增加一個(gè)ISP，增加一臺接入交換機(jī)如果接入交換機(jī)支持VLAN劃分，也可以通過VLAN tag模式將LTM的外網(wǎng)接入部分統(tǒng)一連接在接入交換機(jī)上GTM部署在防火墻的DMZ區(qū)，配置公網(wǎng)地址接入交換機(jī)接入交換機(jī)第30

17、頁，共35頁。鏈路負(fù)載均衡-GTM+LTM防火墻在內(nèi)部31LTM客戶端服務(wù)器防火墻接入交換機(jī)LTM接入交換機(jī)客戶端服務(wù)器核心交換機(jī)核心交換機(jī)防火墻互聯(lián)網(wǎng)ISP1ISP2HAGTMGTM在每臺LTM上都劃分3個(gè)Vlan: ISP1, ISP2和Internal兩臺LTM之間建議采用Trunk方式連接劃分在Internal Vlan里作為數(shù)據(jù)流量兩臺LTM之間的同步/Failover采用另外的網(wǎng)絡(luò)連線（在端口不足的情況下可以使用數(shù)據(jù)連線）建議防火墻采用路由模式，并且放置在LTM的后端接入交換機(jī)通常建議采用低端的比較可靠的二層交換機(jī)，每增加一個(gè)ISP，增加一臺接入交換機(jī)如果接入交換機(jī)支持VLAN劃分，也可以通過VLAN tag模式將LTM的外網(wǎng)接入部分統(tǒng)一連接在接入交換機(jī)上GTM直接連接在接入交