F5+負載均衡實施方案

Internet出口鏈路優(yōu)化項目實施方案ConfidentialPagePAGE12ofNUMPAGES12Internet出口鏈路優(yōu)化項目實施方案2005-09-28

目錄TOC\o"1-5"\h\z\uChapter1 網(wǎng)絡(luò)拓撲結(jié)構(gòu) 31.1. 網(wǎng)絡(luò)拓撲圖 31.2. IP地址規(guī)劃 4Chapter2 實施過程 42.1. 實施計劃的完善 42.2. F5LinkController的離線配置 4用戶訪問dns的過程 8在dns服務(wù)器上設(shè)置的更改 92.3. 防火墻配置更改 10A) IP地址分配 10B) 路由配置 10增加規(guī)則設(shè)置 102.4. 對網(wǎng)絡(luò)結(jié)構(gòu)進行調(diào)整、接線、設(shè)備上線 112.5. 修改DNS服務(wù)器設(shè)置 112.6. 業(yè)務(wù)流程檢查 112.7. 配置回滾過程 11Chapter3 實施時間表 12

網(wǎng)絡(luò)拓撲結(jié)構(gòu)網(wǎng)絡(luò)拓撲圖Internet出口鏈路優(yōu)化方案的網(wǎng)絡(luò)拓撲圖見下圖:改造后的網(wǎng)絡(luò)拓撲圖：InternetInternetFirewallIsp1ISP2DMZRouterFirewallBIG-IPController1000HeartbeatCableL2Switch內(nèi)部網(wǎng)ServerVLANDBClusterAPPInternalDNSClientClientVLANL3SWDMZDNS1WWW/APPIP地址規(guī)劃F5鏈路控制器公網(wǎng)IP地址規(guī)劃:新增F5鏈路控制器在兩條ISP鏈路分配公網(wǎng)ip地址。原來公網(wǎng)ip終結(jié)到F5鏈路控制器上，而F5鏈路控制器的內(nèi)網(wǎng)vlan與防火墻通過私有地址相連。而新增的電信網(wǎng)與F5鏈路控制器電信網(wǎng)vlan相連。F5鏈路控制器私網(wǎng)IP地址規(guī)劃:沿有原有的內(nèi)網(wǎng)地址劃分，地址分配以盡可能少地改動內(nèi)網(wǎng)地址設(shè)置為原則。/27:LinkController內(nèi)網(wǎng)與核心交換機相連網(wǎng)段使用;實施過程項目實施步驟分為以下幾步實施計劃的完善完善本配置計劃中的不完備信息、LinkController以外設(shè)備的配置方案、上線失敗后的回滾計劃是否準備充分。F5LinkController的離線配置F5硬件自檢、license激活F5vlan劃分、ip地址分配VlanHostNameIPAddress網(wǎng)通（cnc）PortAssignment:1.11.2Lc1RealIP電信網(wǎng)（telecom）PortAssignment:1.3.14Lc1RealIPInternalPortAssignment:2.11.5-1.8,L4Switch#1RealIPL路由配置LinkController默認網(wǎng)關(guān)：cnc:93telecom:4內(nèi)網(wǎng)網(wǎng)關(guān)：/8via(防火墻與F5linkcontroller內(nèi)網(wǎng)相連的地址)內(nèi)網(wǎng)網(wǎng)關(guān)：/8via(防火墻與F5linkcontroller內(nèi)網(wǎng)相連的地址)內(nèi)網(wǎng)網(wǎng)關(guān)：172.30.30/24via(防火墻與F5linkcontroller內(nèi)網(wǎng)相連的地址)outbound訪問配置內(nèi)網(wǎng)普通用戶的訪問將按設(shè)定的鏈路選擇辦法（負載均衡算法）在兩條鏈路上進行選擇，并將訪問包的源地址轉(zhuǎn)換成相應ISP鏈路的IP地址。InternetInternetDefault_GW_PoolDefault_GW_Pool:;LoadBalancingMethod:RoundRobin;SNATAutoMapVLAN:tel_netVLAN:tel_netIP:EnableSNATAutomapVLAN:edu_netIP:EnableSNATAutomapMapstoPublicIPAddressNetworkAddressTranslationPrivateIPAddressIntranetMapstoPublicIPAddressNetworkAddressTranslationPrivateIPAddressIntranetVLAN:InternalVLAN:InternalCheckporintFwIPDefaultGW:InternetIPDefaultGW:InternetL2switchClientsIClientsInternalserver/24WildCastVirtual服務(wù)器:internal/0配置:Virtual服務(wù)器IP1:ServicePortPoolName:Default_GW_PoolLoadBalancingPolicy:RoundRobinPoolMemberAddress:;493特定用戶對internet的訪問某些用戶訪問外網(wǎng)特定的服務(wù)器時，外網(wǎng)的服務(wù)器要對訪問的源地址進行限定。因此在LinkController上要對上述用戶的地址轉(zhuǎn)換設(shè)定特定的規(guī)則：SNAT規(guī)則用途源地址要求轉(zhuǎn)換成的地址特定應用使用指定的鏈路特定應用使用指定鏈路應用、服務(wù)、端口指定的鏈路對應的GatewayPool虛擬服務(wù)器的配置AccessVirtualServerAccessVirtualServerIP16RouterFirewallTransparentFirewallTransparentVLAN:cncVLAN:cncVirtualServerIP1:16ClientClientMapstoVirtualServerAddressNetworkAddressTranslationMapstoVirtualServerAddressNetworkAddressTranslationRealServerAddressNodesVLAN:InternalVLAN:InternalPool:web0InternetVirtualServerVirtualServerSwitchSwitch00VirtualServer配置示例:Virtual服務(wù)器IP1:16ServicePoolName:Onlinebank_webLoadBalancingPolicy:RoundRobinPoolMemberAddress:0Persistence:EnableSimplePersistenceVirtualSever設(shè)置原始數(shù)據(jù)服務(wù)器功能內(nèi)網(wǎng)地址端口公網(wǎng)地址（cnc）公網(wǎng)地址（telecom）域名用戶訪問dns的過程InternetInternetEnduserDNSEnduserDNS請求解析FF5.DNSserver:VLAN:tel_netVLAN:tel_netShareIP:VirtualServer:16:53VLAN:edu_netShareIP:VirtualServer:218.18.103.___:53MapstoVirtualServerAddressNetworkAddressTranslationMapstoVirtualServerAddressNetworkAddressTranslationRealServerAddressNodesVLAN:VLAN:InternalPool:Dns_srv_pool:8:53SwitchVirtualServerSwitchVirtualServerwwwwwwCNAMEwww.lclcNSns1.lcNSns2.lcNs1.lcAedu_netshareipNs2.lcAtel_netshareip8:538:53DNSVirtualServer配置示例:DNSVirtualSever設(shè)置VIP(IP:Port)PoolNamePoolMember(IP:Port)LoadBalanceMethodPersistence附注（Domain：功能）16

:53Dns_srv_pool8

:53--N218.18.103.___

:53Dns_srv_pool8

:53--N在dns服務(wù)器上設(shè)置的更改對外提供服務(wù)的dns是托管在新浪，需要在此dns上做修改以為例wwwCNAMEwww.lclcNSns1.lcNSns2.lcNs1.lcAedu_netshareipNs2.lcAtel_netshareipwideip配置InternetInternetEnduserDNSEnduserDNS請求解析LLnameserver:25,20,VLAN:tel_netVLAN:tel_netShareIP:20VLAN:edu_netShareIP:25WideIPWideIP:VirtualServerPool:218.18.103.___:80,16:80LoadBalancingMethod:QOS->RoundRobinVirtualServer:VirtualServer:218.18.103.___:80,16:80ServerPool:web:8:80SwitchSwitch8:80Firewall8:80FirewallWideIP的配置:WideIP:VirtualServerPool:218.18.103.___:80,16:80LoadBalancingMethod:QOS->RoundRobinWideIP設(shè)置WIPPoolNamePoolMember(IP:Port)LoadBalanceMethodDomainPersistence上線條件檢查。（發(fā)通知給相關(guān)部門、所有所需設(shè)備、線纜是否準備充分、相關(guān)工程技術(shù)人員是否到位、DNS記錄修改）防火墻配置更改在配置更改前，現(xiàn)將現(xiàn)有配置進行備份，以便恢復防火墻需要將原網(wǎng)通的untrust區(qū)用私用地址的替換，（因為網(wǎng)通的vlan已經(jīng)終結(jié)在F5linkcontroller上）并更改默認的網(wǎng)關(guān)。并且去掉原來的對公網(wǎng)地址的nat規(guī)則，只做安全控制。IP地址分配Untrust區(qū)需更改地址為NameIPAddressFw1untrustipaddressFw2untrustipaddressFloatingipaddress路由配置默認網(wǎng)關(guān)：4增加規(guī)則設(shè)置SrcipDstiprules對網(wǎng)絡(luò)結(jié)構(gòu)進行調(diào)整、接線、設(shè)備上線修改DNS服務(wù)器設(shè)置參見2.2i）業(yè)務(wù)流程檢查業(yè)務(wù)流程檢查業(yè)務(wù)名稱檢查結(jié)果所需作的處理/責任人處理結(jié)果配置回滾過程如果出現(xiàn)需要回滾的情況，