LinkProof ―實(shí)現(xiàn)多鏈路負(fù)載均衡和防火墻負(fù)載均衡(raw)

1.1LinkProof―實(shí)現(xiàn)多鏈路負(fù)載均衡和防火墻負(fù)載均衡1.1.1多鏈路解決方案實(shí)現(xiàn)基本原理圖中多鏈路網(wǎng)絡(luò)通過(guò)ISP1和ISP2接入Internet。每個(gè)ISP都分配給該網(wǎng)絡(luò)一個(gè)IP地址網(wǎng)段，假設(shè)ISP1分配的地址段為/24,ISP2分配的地址段為/24（此處的/24表示網(wǎng)絡(luò)IP地址式，子網(wǎng)掩碼為24位，即）。同樣，Internet知道通過(guò)ISP1訪問(wèn)/24,通過(guò)ISP2訪問(wèn)/24。網(wǎng)絡(luò)中的主機(jī)和服務(wù)器都屬于私有網(wǎng)段/24。LinkProof解決方案就是在內(nèi)部交換機(jī)和連接ISP的路由器之間，跨接一臺(tái)LinkProof智慧交換機(jī)，所有的地址處理和Internet鏈路優(yōu)化全部由LinkProof智慧交換機(jī)來(lái)完成。如圖所示，LinkProof智慧交換機(jī)的埠1上綁定IP地址/24,端口2上綁定IP地址/24,端口3上綁定IP地址/24。解決方案實(shí)現(xiàn)方式如下。1?1?1?1Linkproof對(duì)流出（Outbound）流量的處理過(guò)程LinkProof主要采用以下集中方式來(lái)處理流出流量。SmartNAT對(duì)于流出流量的智能地址管理，LinkProof使用了稱為SmartNAT的算法。當(dāng)選定一個(gè)路由器（某一個(gè)ISP）傳送流出流量時(shí)，LinkProof將選擇該ISP提供的地址。在圖二中，如果LinkProof選擇ISP1作為流出流量的路徑，則它將把內(nèi)部的主機(jī)地址192.168.1.A/24翻譯為100.1.1.A/24，并作為流出數(shù)據(jù)包的源地址。同樣，如果LinkProof選擇ISP2作為流出流量的路徑，則它將把內(nèi)部的主機(jī)地址192.168.1.A/24翻譯為200.1.1.A/24，并作為流出數(shù)據(jù)包的源地址。ContentRouting為了優(yōu)化流出的流量，LinkProof還為流出的流量實(shí)施就近性運(yùn)算。如果內(nèi)部主機(jī)要訪問(wèn)某一Internet站點(diǎn)，可能通過(guò)一個(gè)ISP的路徑比通過(guò)其它ISP的路徑有效。因此，LinkProof可以提供就近性算法，為流出到某一個(gè)站點(diǎn)的流量選擇最佳的ISP路徑，保證所需內(nèi)容最快到達(dá)目的地，提高服務(wù)的品質(zhì)。LinkProof考慮路由的跳數(shù)、路徑的延遲和負(fù)載狀況來(lái)進(jìn)行對(duì)每個(gè)目的地的就近性運(yùn)算，選擇最佳的流出流量傳輸路徑。1?1?1?2Linkproof對(duì)流入（Inbound）流量的處理過(guò)程LinkProof不僅需要管理流出的流量，還必須管理來(lái)自Internet的訪問(wèn)，即流入（InBound）流量。假設(shè)圖二中的Server1是Web服務(wù)器，Internet主機(jī)名為，地址為私有IP：00/24。SmartNATSmartNAT功能和LinkProof上集成的DNS代理結(jié)合在一起，即能夠完成流入流量的負(fù)載均衡。

BDNSISP2100.2QBfUserl00ISP1ftiu+eru—匚~一iInternetSP2ftniterNSww?radware?com100?1?1?2NSww?radware?com200?1?1?2Link?roof0000■"ww?radware?com192?168?1?1D0Server.20:BDNSISP2100.2QBfUserl00ISP1ftiu+eru—匚~一iInternetSP2ftniterNSww?radware?com100?1?1?2NSww?radware?com200?1?1?2Link?roof0000■"ww?radware?com192?168?1?1D0Server.20:_J/Server.30StaticNAT200.1.1.x0—1DD.1.LnUser3Serverl.User2圖三如圖三所示，在DNS服務(wù)器上主則兩筆NS記錄，指向LinkProof：NSwww.RNSwww.R而在LinkProof上設(shè)置URL與內(nèi)部主機(jī)地址的對(duì)應(yīng)關(guān)系：00而在LinkProof上設(shè)置靜態(tài)的地址翻譯：0000當(dāng)有Internet用戶訪問(wèn)是時(shí)，DNS服務(wù)器響應(yīng)給用戶由LinkProof來(lái)完成最終地址解析丄inkProof根據(jù)具體設(shè)置來(lái)選定適當(dāng)?shù)腎SP線路,如果選擇ISP1，則將地址解析為0同樣，如果選擇ISP2，則將地址解析為。從而完成流入流量的負(fù)載均衡。

過(guò)程示意圖如下：LinkProofSmartNATInbound2-1-3-GoAskNS1orNS2AuthoritativeDNS(LinkPExternalFUser-www.ISP1LinkProofSmartNATsfor:forISP12-1-3-GoAskNS1orNS2AuthoritativeDNS(LinkPExternalFUser-www.ISP1LinkProofSmartNATsfor:forISP1Radware

LinkProoUser'DNSSeIP=2WebServer用戶會(huì)話表的操作通常對(duì)于出向流量，當(dāng)本地用戶發(fā)起請(qǐng)求訪問(wèn)遠(yuǎn)程服務(wù)器，LinkProof會(huì)創(chuàng)建一條會(huì)話記錄，記錄了用戶通過(guò)哪一個(gè)ISP鏈路(LinkProof稱為NHR)連接Internet服務(wù)器，當(dāng)服務(wù)器響應(yīng)時(shí)，LinkProof根據(jù)剛才記錄的會(huì)話記錄，將地址正確轉(zhuǎn)換后響應(yīng)給用戶。對(duì)于入向流量，遠(yuǎn)程用戶先發(fā)起連接請(qǐng)求，訪問(wèn)本地的服務(wù)器，LinkProof如何保證進(jìn)和出的流量通過(guò)同一條鏈路呢？與出向流量類似，LinkProof會(huì)創(chuàng)建一條“反向”的會(huì)話記錄。記錄了遠(yuǎn)程用戶通過(guò)哪一個(gè)NHR進(jìn)來(lái)訪問(wèn)的。從而保證的會(huì)話的一致性。以下是LinkProof的會(huì)話表?xiàng)l目，Dir是會(huì)話的方向，TO和FR(From)正好相反，即出向和入向。ClientAddrDstAddrNHRAddrSrcPDstPAttchTimeTDir30674442804566013DNTO0543426214562192DNTO301078018814564984FRRadware多鏈路解決方案的優(yōu)勢(shì)Radware多鏈路解決方案可以提高Internet網(wǎng)絡(luò)鏈路的可用性?全路徑健康檢查L(zhǎng)inkProof在多鏈路網(wǎng)絡(luò)中的一個(gè)主要作用是檢測(cè)ISP鏈路的可用性，即健康狀況。而一條訪問(wèn)鏈路的健康狀況不僅僅是由ISP的路由器的狀況決定的。因此,LinkProof提供了全路徑健康檢查的功能，最多能夠完成10跳路由健康的檢測(cè),從而保證整條數(shù)據(jù)鏈路的通常，提高服務(wù)質(zhì)量。故障恢復(fù)和預(yù)熱定時(shí)器如果ISP連接狀況不穩(wěn)定，則最好不要通過(guò)它發(fā)送任何流量，知道它在預(yù)定時(shí)間內(nèi)能夠維持穩(wěn)定。LinkProof提供故障恢復(fù)和預(yù)熱定時(shí)器，用戶可以自定義定時(shí)器的延遲時(shí)間，從而確保將會(huì)話定向到穩(wěn)定的ISP鏈路。一旦ISP恢復(fù)正常,LinkProof能逐漸增加發(fā)送到該ISP的流量。冗余配置LinkProof采用相同的冗余配置機(jī)制，在后續(xù)內(nèi)容中以LinkProof為例說(shuō)明。由于服務(wù)的可靠性越來(lái)越成為因特網(wǎng)上的一個(gè)主要問(wèn)題，所以用戶越來(lái)越多地安裝像應(yīng)用交換機(jī)這樣的因特網(wǎng)通信量控制設(shè)備時(shí)考慮到冗余配置。在多鏈路網(wǎng)絡(luò)中配置的LinkProof可以為網(wǎng)絡(luò)與Internet的連接提供冗余，同樣，LinkProof的功能即也把包括兩臺(tái)LinkProof的并行安裝，其中一臺(tái)時(shí)備用的。LinKProof使用Radware已被證明的冗余機(jī)制，其中設(shè)備的狀態(tài)監(jiān)視通過(guò)網(wǎng)絡(luò)來(lái)實(shí)現(xiàn)，從而禰補(bǔ)了設(shè)備故障和網(wǎng)絡(luò)故障。如果主LinkProof或其網(wǎng)絡(luò)連接之一發(fā)生故障，則備用LinkProof能夠非常容易的接管主LinkProof的工作。Radware的雙機(jī)熱備冗余配置采用VRRP方式。VRRP方式通過(guò)標(biāo)準(zhǔn)的VRRP協(xié)議來(lái)維持冗余的操作。當(dāng)LinkProof啟動(dòng)時(shí)，會(huì)進(jìn)行VRRP的初使化操作：即VR(虛擬路由器)的選舉。兩臺(tái)LP都發(fā)送VRRP的組播包，通告自己的VR信息。VR優(yōu)先級(jí)高的LinkProof被選舉為主用設(shè)備，VR優(yōu)先級(jí)低的LinkProof選舉為備用設(shè)備。當(dāng)選舉完成后，主用設(shè)備每隔一定的時(shí)間間隔發(fā)送一個(gè)VRRP組播包，宣告VR的信息；這時(shí)備用設(shè)備處于Standby狀態(tài)，不再發(fā)送VR組播包，它只通過(guò)接收VRRP包來(lái)監(jiān)控主設(shè)備的狀態(tài)，當(dāng)網(wǎng)絡(luò)故障或主用設(shè)備故障，備用設(shè)備不能收到主設(shè)備的VRRP組播包，并且持續(xù)多次時(shí)，備用設(shè)備會(huì)主動(dòng)發(fā)送VR(虛擬路由器)的相應(yīng)ARP信息，并且接管主設(shè)備的工作。在兩條鏈路正常的情況下,無(wú)論是InBound還是OutBound的流量，ActiveLinkProof都可以采用Radware獨(dú)特的智能地址翻譯(SmartNAT)來(lái)實(shí)現(xiàn)負(fù)載的均衡，并且還可以使用Radware獨(dú)有Proximity算法為其選擇最“近”的路徑。在其中一條鏈路中斷的情況下，LinkProof同樣可以保證Inbound和OutBound流量的暢通。BackupLinkProof利用VRRP組播包監(jiān)視ActivelinkProof的狀態(tài)，隨時(shí)準(zhǔn)備接管它的一切功能。在BackupLinkProof上啟動(dòng)SessionMirror功能，實(shí)時(shí)的復(fù)制ActiveLinkProof上的連接信息，當(dāng)檢查到ActiveLinkProof上的連接出現(xiàn)問(wèn)題時(shí)及時(shí)接管，保證所有的網(wǎng)絡(luò)連接，并且不會(huì)造成鏈路負(fù)載均衡失效。在ActiveLinkProof上啟動(dòng)埠連接綁定(PortGrouping),當(dāng)ActiveLinkProof上的網(wǎng)絡(luò)連接失效時(shí)主動(dòng)切斷所有連接，保證BackupLinkProof在接管時(shí)的順利進(jìn)行。在BackupLinkProof上啟動(dòng)virtualDNS功能，當(dāng)ActiveLinkProof在失效時(shí)保證Inbound的用戶的DNS詢問(wèn)的正常工作。Radware多鏈路解決方案可以提高Internet網(wǎng)絡(luò)鏈路的性能就近性(Proximity)就近性檢測(cè)方法對(duì)于流入的流量，LinkProof使用與流出流量相同的就近性判斷機(jī)制。LinkProof考慮路由的跳數(shù)、路徑的延遲和負(fù)載狀況來(lái)進(jìn)行對(duì)每個(gè)訪問(wèn)發(fā)起點(diǎn)的就近性運(yùn)算，選擇最佳的流入流量傳輸路徑，進(jìn)行最終的解析地址。Radware的就近性檢測(cè)方法利用了就近性檢測(cè)試探、由就近性標(biāo)準(zhǔn)構(gòu)成的動(dòng)態(tài)表以及由管理員配置的參數(shù)構(gòu)成的靜態(tài)表。當(dāng)WSD-NP或LinkProof提供前往某個(gè)網(wǎng)絡(luò)的服務(wù)時(shí)，如果該網(wǎng)絡(luò)不在任何一個(gè)表中，這些設(shè)備將權(quán)衡前往該網(wǎng)絡(luò)的就近性。就近性表中的所有網(wǎng)絡(luò)記錄都使用了C類網(wǎng)絡(luò)的形式。進(jìn)行測(cè)量時(shí)，Radware啟動(dòng)就近性檢測(cè)試探過(guò)程，它會(huì)向目標(biāo)網(wǎng)絡(luò)發(fā)送幾個(gè)數(shù)據(jù)包（最多4個(gè)），然后通過(guò)就近性檢測(cè)試探的結(jié)果了解中繼段數(shù)和延時(shí)情況。為了實(shí)現(xiàn)最準(zhǔn)確的測(cè)量結(jié)果，就近性檢測(cè)包括了IP、TCP和應(yīng)用層的試探（比如TCP確認(rèn)測(cè)試和ICMP回顯請(qǐng)求測(cè)試）?；貜?fù)不外乎兩種情況，一是對(duì)ICMP回顯（PING）請(qǐng)求的響應(yīng)，二是由遠(yuǎn)程網(wǎng)絡(luò)作為對(duì)其他就近性檢測(cè)試探數(shù)據(jù)包的響應(yīng)而生成的錯(cuò)誤消息。一旦設(shè)備了解了它所在的網(wǎng)絡(luò)同客戶端網(wǎng)絡(luò)之間的中繼段數(shù)和延時(shí)情況，就會(huì)將最佳的3個(gè)內(nèi)容傳輸路徑記錄到動(dòng)態(tài)表中。這些數(shù)據(jù)在動(dòng)態(tài)表中的存儲(chǔ)時(shí)間由管理員定義。掌握了就近性信息后，Radware設(shè)備就可以基于該信息復(fù)位向來(lái)自已知網(wǎng)絡(luò)的客戶端。借此，管理員可使用延時(shí)問(wèn)題最輕、中繼段數(shù)最少的路徑為最終用戶傳遞內(nèi)容。管理員甚至還可以通過(guò)設(shè)置靜態(tài)就近性表來(lái)配置復(fù)位向決定。Radware設(shè)備在檢查動(dòng)態(tài)表中的客戶端C類網(wǎng)絡(luò)之前會(huì)首先檢查靜態(tài)表。以這種方式，Radware設(shè)備可將某些客戶端自動(dòng)復(fù)位向到所配置的最佳路徑，另外還可以在靜態(tài)表中定義第二和第三最佳路徑。優(yōu)化就近性檢測(cè)方法使用Radware提供的多種參數(shù)，可根據(jù)各個(gè)環(huán)境的獨(dú)特需要方便地自定義就近性檢測(cè)方法。這種自定義包括多種操作，比如增加分配給動(dòng)態(tài)就近性表的內(nèi)存、更改動(dòng)態(tài)就近性表的內(nèi)容有效期、為Radware就近性設(shè)備提供DNS名稱以及僅使用靜態(tài)就近性表等。調(diào)整動(dòng)態(tài)表的超時(shí)和內(nèi)存分配等參數(shù)，可以調(diào)整網(wǎng)絡(luò)就近性探測(cè)的頻度。通過(guò)調(diào)整并且考慮每個(gè)環(huán)境的獨(dú)特需求，可以在探測(cè)頻度和數(shù)據(jù)時(shí)效性之間尋求適當(dāng)平衡。這在某些環(huán)境中可能非常重要，因?yàn)镽adware的網(wǎng)絡(luò)就近性試探過(guò)程利用了ICMP回顯請(qǐng)求（作為探測(cè)方法之一），而客戶端很少會(huì)注意到這種就近性檢查。為了盡量減少任何客戶端問(wèn)題的一個(gè)方法是，為Radware設(shè)備提供諸如“”、“”或“”等的DNS名稱。一旦客戶端檢測(cè)到就近性檢測(cè)資料包，它們可以進(jìn)行反向DNS查詢，從而了解探測(cè)數(shù)據(jù)包的本意和來(lái)源。另外，還可以為客戶提供一封簡(jiǎn)信，以說(shuō)明這些探測(cè)數(shù)據(jù)包的目的。附錄A顯示了一個(gè)樣本。如果能有效利用靜態(tài)就近性表，已知網(wǎng)絡(luò)中的客戶端將可以被直接復(fù)位向到適當(dāng)資源，同時(shí)盡量減少網(wǎng)絡(luò)就近性探測(cè)數(shù)據(jù)包的數(shù)量。借助靜態(tài)表，可以基于多種條件來(lái)復(fù)位向客戶端，比如IANA（Internet指定編號(hào)機(jī)構(gòu)）分配的IP地址。對(duì)全球分布性站點(diǎn)而言，這可能是一個(gè)解決方法，因?yàn)镮P地址分配是由三個(gè)主要機(jī)構(gòu)負(fù)責(zé)的，每個(gè)機(jī)構(gòu)都有自己的管轄區(qū)域。有關(guān)IP地址和組織區(qū)域劃分的詳細(xì)信息，請(qǐng)?jiān)L問(wèn)“InternetProtocolAddressSpace”（lnternet協(xié)議地址空間）表，相應(yīng)網(wǎng)址為：/assignments/ipv4-address-space另外還可以使用已知的客戶端位址范圍配置靜態(tài)表，并且設(shè)置三個(gè)最佳的內(nèi)容訪問(wèn)路由。這種方法極其適用于大型的Extranet和Intranet。要適當(dāng)調(diào)整Radware就近性檢測(cè)方法，其過(guò)程相當(dāng)簡(jiǎn)單，但對(duì)于不同的環(huán)境會(huì)有不同的要求。Radware的項(xiàng)目團(tuán)隊(duì)具有豐富的Internet、Intranet和Extranet環(huán)境經(jīng)驗(yàn)，可幫助客戶獲得理想的結(jié)果，從而確保能通過(guò)最優(yōu)化的路徑傳輸內(nèi)容，并且符合技術(shù)和業(yè)務(wù)上的目標(biāo)。有時(shí)候，IDS（入侵檢測(cè)系統(tǒng)）可能將就近性檢查數(shù)據(jù)包誤認(rèn)為是對(duì)IDS之后的設(shè)備進(jìn)行攻擊的數(shù)據(jù)包。為了盡量減少這些誤報(bào)，LinkProof和WebServerDirector均允許用戶配置每種檢查，以確定是用于入站就近性、出站就近性，還是同時(shí)用于二者，或者二者都不是。就近性檢測(cè)示意圖：ProximityProximity流量分組在許多情況下，用戶需要特定流量分配到相應(yīng)的ISP鏈路，并且在這些鏈路中實(shí)現(xiàn)負(fù)載均衡。例如：公司希望將VPN流量通過(guò)特定的鏈路，因?yàn)樗麄儾幌胫匦屡渲梅阑饓Φ牟呗詠?lái)允許新ISP地址通過(guò)它；管理員喜歡將郵件流量分配到指定的幾個(gè)ISP鏈路連接到Internet。流量分組使得LinkProof可以根據(jù)不同類型的流量而選擇不同的鏈路。網(wǎng)絡(luò)管理員可以根據(jù)目標(biāo)地址、源地址和應(yīng)用類型定義流量組。這使得流量分配更加靈活和方便。下圖是根據(jù)應(yīng)用流量分組的示意圖。Gro^pingApplication當(dāng)用戶訪問(wèn)Web應(yīng)用時(shí)，通過(guò)Routerl去往ISP1鏈路。當(dāng)用戶訪問(wèn)CRM應(yīng)用時(shí)，LP將用戶請(qǐng)求轉(zhuǎn)向ISP2和ISP3，在它們當(dāng)中實(shí)現(xiàn)負(fù)載均衡。Radware多鏈路解決方案可以提高抵抗攻擊的能力RadwareLinkproof在加載了SYNAPP11/山后，可以有效地防御黑客入侵及抵抗DDOS攻擊。應(yīng)用安全模塊可以保護(hù)web服務(wù)器免受1400多個(gè)攻擊信號(hào)的攻擊。此模塊的設(shè)計(jì)使它可以作為Radware設(shè)備管理的各種資源前面的另一道防線，這些資源包括服務(wù)器、防火墻、cache服務(wù)器或者路由器。此模塊使用網(wǎng)絡(luò)信息和基于信息的應(yīng)用。通過(guò)終止所跟蹤的可疑會(huì)話來(lái)實(shí)時(shí)檢測(cè)和阻止攻擊。在任何管理設(shè)備上都不需要使用軟件代理。?基于IP地址、應(yīng)用程序類型和內(nèi)容的數(shù)據(jù)包過(guò)濾?先進(jìn)的過(guò)濾功能，如內(nèi)容篩選、URL阻塞、URL過(guò)濾?服務(wù)器可以擁有專用的IP地址和不能識(shí)別的應(yīng)用程序端口，因此能夠保證其安全。?對(duì)每個(gè)服務(wù)器和應(yīng)用程序可以定義連接限制，以確保點(diǎn)擊服務(wù)器的會(huì)話數(shù)量不超過(guò)其容量。下面列出的是可以防止的已知的安全危害：基于Web的拒絕服務(wù)(DOS)攻擊?分布式拒絕服務(wù)(DDOS)攻擊基于Web的緩沖溢出一般的web環(huán)境漏洞利用錯(cuò)誤配置和默認(rèn)的安裝問(wèn)題來(lái)進(jìn)行攻擊探測(cè)網(wǎng)絡(luò)流量未認(rèn)可的網(wǎng)絡(luò)流量后門(mén)攻擊防火墻負(fù)載均衡Linkproof在完成Internet鏈路負(fù)載均衡的同時(shí)，如果與Radware的安全應(yīng)用交換機(jī)FireProof結(jié)合使用，即可同時(shí)完成防火墻的負(fù)載均衡。

如圖五所示，如圖五所示，LinkProof完成對(duì)兩條ISP鏈路的負(fù)載均衡，而FireProof對(duì)流出流量完成防火墻的負(fù)載均衡。兩臺(tái)設(shè)備結(jié)合，即可保證對(duì)話的保持，實(shí)現(xiàn)真正的Internet接入和防火墻的負(fù)載均衡。LinkProof產(chǎn)品硬件規(guī)范CPU針對(duì)不同類型的用戶，LinkProof提供不同的硬件平臺(tái)。詳見(jiàn)下表:LinkProofASIIILinkProofASIILinkProofASI|一1廠71li無(wú)LinkProofBranchNetworkProcessoMotorolaPowerPC7410有MotorolaPowerCPU針對(duì)不同類型的用戶，LinkProof提供不同的硬件平臺(tái)。詳見(jiàn)下表:LinkProofASIIILinkProofASIILinkProo