F5负载均衡双机热备实施方案
F5 network 链路及服务器负载均衡解决方案
F5 network 链路及服务器负载均衡解决方案2002.11.25链路负载平衡：多归属网络智能流量管理解决方案概览随着企业采用互联网传送关键任务内容和应用，只与公共网络保持一个链路就意味着单点故障和严重的网络隐患。
因此，提供多个网络连接已成为构建可靠和容错的数据中心的关键部分。
F5 的 BIG-IP®链路控制器 (BIG-IP LINK CONTROL 2000) 为希望增加其互联网连接可用性和性能的企业提供了一个解决方案。
BIG-IP 链路控制器提供了一个综合解决方案：-提供可靠的网络连接-管理多个链路上的入站 / 出站流量-通过最佳性能链路发送流量-增加链路可扩充性和吞吐量-实现最大的企业连接投资回报率-消除带有 BGP （边缘网关漫游）的多归属的部署障碍和成本多归属和 ISP 负载平衡的挑战显而易见，高可用性是部署多个互联网链路的主要推动因素之一。
一个平常的互联网中断即可使企业在冗余系统上的所有投资变得毫无用处。
同时，从物理网络组件到互联网服务提供商（ ISP ）本身，连接的任何地方都有可能发生故障，给企业和其客户带来重大停机事件和财务损失。
互联网连接的成本和可扩充性也是大多数企业的考虑重点。
如果仅有一个连接，企业必需确保他们在一条线路上购买了足够的带宽，以满足他们的吞吐量需求。
在许多情况下，这会导致站点的过度供应（尝试提供过多的保护和可扩充性）。
由于企业的业务依赖于单一 ISP ，企业还必须确信他们选择的服务提供商拥有良好的正常运行记录。
此外，一些企业也考虑采用多站点部署来解决可用性问题。
对于许多中小企业而言，开设第二个数据中心来增强可用性保护受到资金的限制。
许多企业还面临着在多个数据中心上提供 Web 应用和服务主机服务的复杂技术问题。
他们寻求一种更简单、成本更低的方法来提高其站点的可靠性。
多归属和流量管理“多归属”这个技术术语是指通过多个连接与互联网相连的网络。
多归属的重要意义不在于拥有多个链路，而是如何优化管理在这些连接上以及常常是在不同 ISP 之间传输的流量。
F5服务器负载均衡方案
XXXX服务器负载均衡方案建议书目录一．综述 (3)二．用户需求 (3)2.1 总体目标 (3)2.2 系统功能需求 (3)2.3 系统性能需求 (4)2.4 系统安全性需求 (4)2.5 系统可管理性需求 (4)2.6 系统可扩展性需求 (5)三．需求分析 (5)3.1 Web服务器负载均衡及冗余 (5)3.2 服务器安全防护 (5)3.3 mail服务器的负载均衡及冗余 (6)3.4 FTP服务器负载均衡及冗余 (6)3.5 API接口 (6)四．方案设计 (7)4.1 网络拓扑图 (7)4.2 设计描述 (8)4.2.1 总体描述 (8)4.2.2 Web服务器负载均衡及冗余 (8)4.2.3 服务器安全防护 (8)4.2.4 Mail服务器负载均衡及冗余 (9)4.2.5 FTP服务器负载均衡及冗余 (9)4.2.6 易于管理性 (9)五．关键技术介绍 (10)5.1 本地服务器负载均衡算法 (10)5.2 本地服务器/防火墙健康检查机制 (11)5.3 会话保持技术 (13)5.4 HTTP流量压缩 (15)5.5 连接优化和长连接负载均衡 (15)5.6 带宽管理 (16)5.7 API接口iControl (17)5.8 系统安全性 (20)5.8.1 提高服务器的高可用性 (21)5.8.2 提高自身的高可用性 (22)5.8.3 网络流量镜像 (23)5.8.4 应用安全性 (24)5.8.5 动态策略保护 (26)六．产品介绍 (26)七．F5专业服务条款 (26)八．设备清单及报价 (27)一．综述随着访问用户数量的增加，给服务器带来越来越大的压力，实现访问流量在各服务器上均衡分配，充分利用各服务器资源，是网络改造的重要目标。
二．用户需求2.1 总体目标1．高性能—系统可以采用多样，灵活，适应性好的负载均衡算法实现服务器负载均衡，使流量可以合理分配，提高系统整体的性能。
2．高可用性—系统运行稳定，单一服务器故障不会影响系统有效运行。
F5LC链路负载均衡解决方案
F5LC链路负载均衡解决方案F5 LC（Link Controller）是F5 Networks公司推出的一种链路负载均衡解决方案，旨在提高网络服务的可用性、性能和安全性。
该解决方案利用Link Controller设备将流量分配到多个服务器或数据中心，以实现负载均衡和故障转移。
以下将详细介绍F5 LC链路负载均衡解决方案的原理、特点和应用场景。
一、F5LC链路负载均衡解决方案的原理1.数据链路层分析：F5LC设备在数据链路层收集和分析流量信息，包括源IP地址、目的IP地址、源端口、目的端口等。
2.流量分配策略：根据预设的流量分配策略，F5LC设备将接收到的流量分配到不同的服务器或数据中心。
3.流量转发：F5LC设备根据分配策略将流量转发到指定的服务器或数据中心，以实现负载均衡和故障转移。
4.健康检查：F5LC设备定期对服务器或数据中心进行健康检查，以确保它们正常工作。
如果发现故障，则自动将流量转发到其他正常的服务器或数据中心。
5.数据链路层回复：F5LC设备从服务器或数据中心接收响应数据，并将其返回给请求的客户端。
二、F5LC链路负载均衡解决方案的特点1.高可用性：F5LC链路负载均衡解决方案采用主备模式，当主设备发生故障时，备设备可以自动接管负载均衡功能，保证网络服务的连续性。
2.灵活的流量分配策略：F5LC链路负载均衡解决方案提供多种流量分配策略，包括轮询、加权轮询、最少连接、源IP散列等，可以根据实际需求选择合适的策略。
3. 多种链接层协议支持：F5 LC链路负载均衡解决方案支持多种链接层协议，包括Ethernet、Fast Ethernet、Gigabit Ethernet、ATM等，可以适用于不同的网络环境。
4.高性能：F5LC设备采用硬件加速技术和专用硬件芯片，可以实现高速的数据处理和转发，保证网络服务的性能。
5.强大的安全性：F5LC链路负载均衡解决方案支持SSL加密和认证技术，可以保护交换的数据安全，同时还支持DDoS攻击防护、防火墙和入侵预防系统等安全功能。
F5负载均衡双机热备实施方案要点
F5双机热备实施说明2012/12/4一、项目拓扑图及说明两台F5负载均衡设备采用旁挂的方式连接至交换机，设备地址和虚拟地址在服务器的内网地址段中划分；使用F5为认证应用服务器进行流量负载均衡。
二、设备信息及IP分配表三、实施步骤及时间3.1、F5设备加电测试3.2、配置F5及F5双机，需2.5小时3.3、测试F5双机切换，需0.5小时，这部分作为割接准备工作。
3.4、先添加认证服务器单节点到F5设备192.168.100.150的虚拟服务中，在内网测试应用，需0.5小时3.5、将应用服务器从双机模式更改为集群模式，将认证服务器两个节点添加到F5设备，这个时间取决于服务器模式更改的时间。
3.6、在防火墙上更改认证服务器的映射地址，将原来的地址更改为F5设备上的虚拟服务IP地址192.168.100.150 ，TCP 协议80端口。
四、回退方法在外部网络不能访问认证服务时，回退的方法是在防火墙上把F5设备虚拟服务器192.168.100.150地址映射，更改为原单台认证服务器IP地址，将认证服务器集群模式退回双机模式。
五、F5设备配置步骤5.1、设置负载均衡器管理网口地址F5 BIG-IP 1600 设备的面板结构:BIG-IP 1600应用交换机具备四个10/100/1000M自适应的网络接口及二个光纤接口.10/100/1000 interface — 4个10/100/1000 M 自适应的网络接口Gigabit fiber interface — 2个1000M 多模光纤接口Serial console port —一个串口命令行管理端口Failover port —一个串口冗余状态判断端口。
Mgmt interface —一个10/100M 管理端口注：互为双机的两台BIG-IP必须用随机附带的Failover线相连起来。
BIG-IP上电开机以后，首先需要通过机器前面板右边的LCD旁的按键设置管理网口(设备前面板最左边的网络接口)的IP地址。
F5负载均衡器双机切换机制及配置
F5负载均衡器双机切换触发机制及配置1 F5双机的切换触发机制1.1 F5双机的通信机制F5负载均衡器的主备机之间的心跳信息可以通过以下两种方式进行交互：●通过F5 failover 串口线交换心跳信息(电压信号不断地由一方送到另外一方)处于Standby的系统不断监控Failover上的电平，一旦发现电平降低，Standby Unit会立即变成Active，会发生切换(Failover)。
通过串口监控电平信号引起的切换可以在一秒中以内完成(大概200~300ms)。
四层交换机在系统启动的时候也会监控Failover线缆的电平以决定系统是处于Active状态还是Standby状态。
在串口Failover线缆上不传输任何数据信息。
●Failover线缆也可以不采用串口线，而直接采用网络线。
(但F5不建议这样做，因为网络层故障就可能会两台负载均衡器都处于Active状态)。
如果采用网络层监控实现Failover, Bigip将通过1027与1028端口交换心跳信息。
经验证明：两台F5之间一定要用failover cable连接起来，不连接failover cable而直接采用网络线连接在一起不可靠，而且造成了网上事故。
F5双机之间的数据信息是通过网络来完成的。
因此运行于HA方式的两台F5设备在网络层必须是相通的。
(可以用网线将两台F5设备直接相连起来，也可以通过其它的二层设备将两台F5设备相连，使F5设备在网络上可以连通对端的Failover IP地址)。
两台运行于HA方式的四层交换机之间通过网络层交互的信息主要包括：●用于配置同步的信息：通过手工执行config sync会引起Active到Standby系统的配置信息传输。
●用于在发生Failover时连接维持的信息：如果设置了Connection Mirroring,处于Active的四层交换机会将连接表每十秒中发送一次到Standby的系统。
F5负载均衡双机热备实施方案
F5双机热备实施说明2012/12/4一、项目拓扑图及说明两台F5负载均衡设备采用旁挂的方式连接至交换机，设备地址和虚拟地址在服务器的内网地址段中划分；使用F5为认证应用服务器进行流量负载均衡。
二、设备信息及IP分配表F5：型号BIG-IP LTM 1600 软件版本：V10.2.4对外地址对外端口内网地址内网端口协议设备名备注192.168.100.21 F5-1IP地址192.168.100.22 F5-2IP地址192.168.100.23 F5浮动地址10.168.100.21 F5-1数据同步10.168.100.22 F5-2数据同步192.168.100.150 80 192.168.100.4 80 TCP 认证服务器1 192.168.100.5 80 TCP 认证服务器2三、实施步骤及时间3.1、F5设备加电测试3.2、配置F5及F5双机，需2.5小时3.3、测试F5双机切换，需0.5小时，这部分作为割接准备工作。
3.4、先添加认证服务器单节点到F5设备192.168.100.150的虚拟服务中，在内网测试应用，需0.5小时3.5、将应用服务器从双机模式更改为集群模式，将认证服务器两个节点添加到F5设备，这个时间取决于服务器模式更改的时间。
3.6、在防火墙上更改认证服务器的映射地址，将原来的地址更改为F5设备上的虚拟服务IP地址192.168.100.150 ，TCP 协议80端口。
四、回退方法在外部网络不能访问认证服务时，回退的方法是在防火墙上把F5设备虚拟服务器192.168.100.150地址映射，更改为原单台认证服务器IP地址，将认证服务器集群模式退回双机模式。
五、F5设备配置步骤5.1、设置负载均衡器管理网口地址F5 BIG-IP 1600 设备的面板结构:BIG-IP 1600应用交换机具备四个10/100/1000M自适应的网络接口及二个光纤接口.10/100/1000 interface — 4个10/100/1000 M 自适应的网络接口Gigabit fiber interface — 2个1000M 多模光纤接口Serial console port —一个串口命令行管理端口Failover port —一个串口冗余状态判断端口。
F5多链路负载均衡解决方案
– ISPs 们必须合作 – many will not…
• 当故障发生时，拥有和控制成 为大问题
– 必须获得 ASN (Autonomous System Number)
• 为大 ISPs 预留 • 在很多地方无法获得 (Asia, Australia, Europe) • 需进 30 分钟整合到表中
由外到内的流量？？？
议题
• • • • 问题的提出 F5多链路解决方案 方案优点介绍 成功案例介绍
F5多ISP解决方案
ISP1 ISP1线路接入路由器 ISP2 ISP2线路接入路由器
防火墙
防火墙
核心交换机
核心交换机
Outbound 访问过程
2a
Internet Server
1、BIGIP与ISP相连的VLAN分配公网IP 地址；
DNS Result
202.99.30.209
202.99.30.209
219.142.91.11
网通
电信
网通
电信
网通
电信
网通
电信
Number of hits: Requests per Second Socket Connects Total Bytes Sent (in KB) Bytes Sent Rate (in KB/s) Total Bytes Recv (in KB)
1 2 3 3
BIG-IP application switch combo Link Controller
1 2
防火墙负载均衡
Internet
ISP A
ISP B
防火墙三明治，利用Bigip的Last Hop特性，解决了防火墙要求数据 必须同进同出，否则数据将被拒绝 的问题 •提供多台防火墙的负载均衡能
(完整版)F5服务器负载均衡解决方案要点
F5服务器负载均衡解决方案目录一. 大量数据处理所面临的问题 (3)1. 目前存在隐患 (4)2. 应用系统问题综述 (4)1)“峰值”问题 (3)2)多米诺”现象 (4)3)“N+1”方式 (4)4)“扩展”不便 (4)5)“免疫力”差 (5)6)“容灾”.................................................................................... 错误!未定义书签。
7)应用与网络脱节 (5)二. F5解决方案 (6)2.1 网络结构 (5)2.2 方案优势 (6)2.2.1避免“不平衡”现象 (6)2.2.2解决因“峰值堵塞”带来的性能调整“不平衡” (8)2.2.3避免“多米诺”现象 (8)2.2.4更好的提供系统容错, 提高系统可靠性 (8)2.2.5“扩展”灵活 (10)2.2.6“免疫力”强 (10)2.2.7“容灾” (12)2.2.8网络感知应用, 应用控制网络 (10)三. 相关技术资料 (12)BIG-IP提供支持99.999%的正常运行 (15)四. 成功案例 (13)F5为中国某税务机关提供高可用性解决方案 (17)一. 大量数据处理所面临的问题在现今的企业中, 不论是否提供关键性任务的服务, 都需要一个持续运行不断的高可用性网络计算环境以维持不间断的高品质服务。
所谓高可用性的环境, 也是信息管理人员所必须考虑的四件事：1.使数据有一个安全的存储和运作方式, 即使在设备故障时仍能保持数据的完整一致。
2.使服务器系统持续运行, 即使发生故障仍然让服务持续下去。
使整个计算环境能更好的管理, 如何容错、容灾、集群共享。
如何使投资有最好的效益, 使系统有最佳的扩充能力, 有最低的整体拥有成本, 也就是在任何情况之下均能确保数据的完整一致, 系统持续运行, 使服务不间断, 同时有最好的投资回报率。
高可用性被定义为计算系统的连续运行。
F5服务器负载均衡解决方案报告书
F5 Networks服务器均衡负载解决方案建议F5 Networks 2005-3-3目录一．解决方案 (4)1.1网络拓朴图（仅供参考） (4)1.2方案描述 (5)一．解决方案1.1 网络拓朴图（仅供参考）业界领先的全千兆负载均衡解决方案：（千兆光纤端口＋千兆以太网端口）1.2 方案描述方案中，建议采用两台F5公司的IP应用交换机BIGIP 安全流量交换机6400作为冗余，为中间件服务器和应用服务器做负载均衡，并且SSL加速功能。
所有服务器均配置冗余千兆网卡与两台BIGIP6400相连，这样无论是其中的一个服务器网卡故障还是一台BIGIP6400故障，都不影响业务的正常运行。
➢服务器负载均衡BIG/IP利用虚拟IP地址（VIP由IP地址和TCP/UDP应用的端口组成，它是一个地址和端口的组合）来为用户的一个或多个目标服务器（称为节点：目标服务器的IP地址和TCP/UDP 应用的端口组成，它可以是internet的私网保留地址）提供服务。
因此，它能够为大量的基于TCP/IP的网络应用提供服务器负载均衡服务。
BIG/IP连续地对目标服务器进行L4到L7合理性检查，当用户通过VIP请求目标服务器服务时，BIG/IP根椐目标服务器之间性能和网络健康情况，选择性能最佳的服务器响应用户的请求。
BIG/IP能够充分利用所有的服务器资源，将所有流量均衡的分配到各个服务器，从而有效地避免“不平衡”现象的发生。
BIGIP是一台对流量和内容进行管理分配的设备。
它提供12种灵活的算法将数据流有效地转发到它所连接的服务器群。
而面对用户，只是一台虚拟服务器。
用户此时只须记住一台服务器，即虚拟服务器。
但他们的数据流却被BIGIP灵活地均衡到所有的服务器。
这12种算法包括：Ø轮询（RoundRobin）：顺序循环将请求一次顺序循环地连接每个服务器。
当其中某个服务器发生第二到第7层的故障，BIG/IP就把其从顺序循环队列中拿出，不参加下一次的轮询，直到其恢复正常。
F5多出口链路负载均衡解决方案
F5 Networks多出口链路负载均衡解决方案建议目录一．多出口链路负载均衡需求分析.................................. 错误!未定义书签。
二．多出口链路负载均衡解决方案概述.............................. 错误!未定义书签。
多出口链路负载均衡网络拓朴设计 ............................... 错误!未定义书签。
方案描述 ..................................................... 错误!未定义书签。
方案优点 ..................................................... 错误!未定义书签。
拓扑结构方面................................................ 错误!未定义书签。
安全机制方面................................................. 错误!未定义书签。
三．技术实现 ................................................... 错误!未定义书签。
F5多出口链路负载均衡（产品选型：B IGIP LC）.................... 错误!未定义书签。
O UTBOUND流量负载均衡实现原理................................... 错误!未定义书签。
I NBOUND流量负载均衡实现原理 ................................... 错误!未定义书签。
在链路负载均衡环境中的DNS设计和域名解析方式................. 错误!未定义书签。
Root DNS（注册DNS）直接与F5多链路负载均衡器配合........... 错误!未定义书签。
双机热备方案 (2)
双机热备方案1. 什么是双机热备方案双机热备方案（Dual Machine Hot Standby Solution），是一种常见的高可用性解决方案，用于确保系统的持续可用性和故障切换能力。
通过将系统部署在两台物理或虚拟服务器上，并根据特定的配置和策略将请求分发到其中一台服务器，当其中一台服务器发生故障时，另一台服务器会立即接管请求处理，以确保系统的高可用性。
2. 双机热备方案的组成双机热备方案一般包含以下几个关键组件：2.1. 负载均衡器负载均衡器（Load Balancer）用于将请求分发到多台服务器，以实现负载的均衡和高可用性。
负载均衡器可以采用硬件设备，例如F5 BIG-IP等，也可以采用软件实现，例如Nginx 等。
负载均衡器需要配置健康检查机制，以在服务器发生故障时自动剔除不可用的服务器。
2.2. 双机热备服务器双机热备服务器是指两台物理或虚拟服务器，一台作为主服务器（Primary Server），另一台作为备份服务器（Backup Server）。
主服务器负责处理客户端的请求，而备份服务器处于等待状态，监控主服务器的可用性。
当主服务器发生故障时，备份服务器会立即接管请求处理，并成为新的主服务器。
2.3. 数据同步机制为了保证双机热备方案的可用性，主服务器和备份服务器之间需要建立数据同步机制，确保数据的一致性。
数据同步可以采用多种方式，例如数据库复制、文件同步等。
常见的方案包括MySQL的主从复制、文件同步工具如rsync等。
2.4. 心跳检测和故障切换为了能够及时发现主服务器的故障，并进行故障切换，双机热备方案需要使用心跳检测机制。
心跳检测可以通过网络传输心跳包或者定时发送请求的方式实现。
当备份服务器检测到主服务器故障后，会触发故障切换机制，将备份服务器切换为主服务器，以继续提供服务。
3. 双机热备方案的优势双机热备方案具有以下几个主要优势：3.1. 高可用性双机热备方案可以大大提高系统的可用性，当主服务器发生故障时，备份服务器可以立即接管请求处理，几乎不会对用户产生影响。
F5链路负载均衡方案
1．网络化应用带来的问题近年来，随着Internet的发展及普及，越来越多的企业和机构将他们的关键业务应用于互联网上。
在网络带给人们方便快捷的同时，网络访问的其他问题也相应而出：各种高带宽的应用（视频、音频、VOIP）及其他无关程序对带宽的争用，导致网络的发展永远跟不上对带宽需求的发展；链路的不稳定性导致一旦链路中断，整个企业的网络应用随之瘫痪；各个ISP之间互联互通的限制，导致南北访问速度相差达几十倍；网络攻击的发展及难以追踪的特性（尤以DDOS为甚），导致企业的网上应用随时面临巨大的风险。
这些问题的出现给网络提出了快速、安全、高可用的较高要求。
2．问题的分析2.1 单一链路的单点故障问题在一个单链路接入Internet的网络中，一个或多个DNS服务器对于同一个域名均解析为同一个地址。
在该种网络结构之中，无论主机系统、网络系统的规划有多么完美，完全的排除了应用瓶颈和单点故障，都还存在一个非常明显的单点故障，就是网络接入部分的方案不够完整，一旦网络接入部分链路出现中断就意味着所有应用的中断。
2.2 Internet用户访问快慢的差异随着国内最大的Internet接入提供商Chinanet被拆分为北方China Netcom 和南方China Telecom之后，两方资源的互访受到了很大程度的影响。
其出现的根本原因为南北网络的互通互联接点拥塞，造成用户丢包、延迟较大，从而导致访问缓慢，甚至对于一些应用根本无法访问。
以下是一张在真实环境下的实测数据表：表中可以看出，对于同一个站点，一个用户分别从两条线路进行访问，得出的访问速度差异是非常大的。
最大的差值在广东电信分别访问站点的两条线路，其速度差异接近20倍。
所以如果仅以一条链路接入的话，不管使用的是哪家ISP，都会导致其他ISP的用户访问变得非常慢，甚至影响应用的正常使用。
因此，应使用多条Internet链路接入以避免链路单点故障和解决南北互联互通问题。
F5 负载设备均衡部署方案
Agenda • • • • • • • • LTM 基础原理 单臂接入模式 双臂接入模式 远程节点模式 加入独立SSL/WA/ASM设备 防火墙负载均衡 多链路接入 灾备站点静态路由注入
LTM 基础原理
3
几个概念 • • • • • • Load Balance Member & Node Virtual Server & Pool SNAT & NAT Persistence CMP
同网段访问解决办法——SNAT
when CLIENT_ACCEPTED { if { [IP::addr [IP::remote_addr] equals "192.168.1.0/24"] } { snat automap } else { snat none } }
22
单臂接入-服务器更改网关后的直接访问服务 器问题
服务器
服务器 ③SYN-ACK
LTM
VS: 192.168.1.100：80 Floating IP: 192.168.1.200 GW:192.168.1.254
23
192.168.1.1 192.168.1.2 GW:192.168.1.200 GW:192.168.1.200
单臂接入-npath模式典型架构设计
SelfIP:192.168.0.201 GW:192.168.0.254 VS:192.168.0.100：80 POOL：192.168.0.1：80 192.168.0.2：80
Server
Active
Server
Backup
IP:192.168.0.1 IP:192.168.0.2 LO：192.168.0.100 LO：192.168.0.100 GW:192.168.0.254 GW:192.168.0.254 网络同步-独立Vlan 串口心跳
F5服务器负载均衡测试方案
负载均衡设备测试方案（第一版）2007年7月目录1、测试方案说明 (3)2、测试拓扑 (5)3、性能测试 (6)3.1TPS（每秒新建连接数）测试 (6)3.2并发连接数测试 (8)4、负载均衡功能测试 (11)4.1负载均衡方式测试 (11)4.2主机健康检查功能测试 (12)4.3主机维护功能 (12)5、HA测试（可选） (13)5.1负载均衡设备故障切换测试 (13)5.2局域网交换机故障切换测试 (14)6、安全性测试 (15)6.1HTTP访问源地址限制测试 (15)6.2SSH/HTTPS访问控制 (15)7、附加功能测试（可选） (16)7.1应用优化：连接复用O NE C ONNECTION测试 (16)7.2应用优化：内存缓存R AM C ACHE测试 (16)7.3应用优化：HTTP压缩测试 (16)7.4应用优化：SSL流量卸载和加速测试 (16)7.5应用优化：带宽管理R ATE S HAPING（QOS）测试 (16)7.6安全：DOS防护测试 (16)1、测试方案说明 项目概况：XXXX 四台服务器需要做服务器负载均衡；未来可能更多的应用需要做服务器负载均衡；测试周期：X 月X 日-X 月X 日测试设备：F5 LTM 3400 or LTM6400大致访问量：客户需求：采用负载均衡设备对四台XXXX 系统应用服务器进行负载均衡。
通过健康检查机制ECV 对web service 进行可用性检查，保证能够及时发现应用故障，快速切换用户访问到健康的应用服务器上。
采用HTTP Cookie Insert 会话保持方式，将同一用户的第二次访问请求定向到先前的应用服务器上，从而保证应用的粘连性。
采用单臂路由的系统连接方式，启用F5 SNAT 机制，从而保证原先应用系统的IP地址和网关地址变动最小。
采用负载均衡设备双机热备方式，确认整个系统的高可用性（可选）。
Why F5系统架构方面：F5系统连接方式可以串联，可以旁路，可以做端口汇聚，非常灵活，对原有系统的平滑升级影响最小。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
F5双机热备实施说明2012/12/4一、项目拓扑图及说明两台F5负载均衡设备采用旁挂的方式连接至交换机，设备地址和虚拟地址在服务器的内网地址段中划分；使用F5为认证应用服务器进行流量负载均衡。
二、设备信息及IP分配表三、实施步骤及时间3.1、F5设备加电测试3.2、配置F5及F5双机，需2.5小时3.3、测试F5双机切换，需0.5小时，这部分作为割接准备工作。
3.4、先添加认证服务器单节点到F5设备192.168.100.150的虚拟服务中，在内网测试应用，需0.5小时3.5、将应用服务器从双机模式更改为集群模式，将认证服务器两个节点添加到F5设备，这个时间取决于服务器模式更改的时间。
3.6、在防火墙上更改认证服务器的映射地址，将原来的地址更改为F5设备上的虚拟服务IP地址192.168.100.150 ，TCP 协议80端口。
四、回退方法在外部网络不能访问认证服务时，回退的方法是在防火墙上把F5设备虚拟服务器192.168.100.150地址映射，更改为原单台认证服务器IP地址，将认证服务器集群模式退回双机模式。
五、F5设备配置步骤5.1、设置负载均衡器管理网口地址F5 BIG-IP 1600 设备的面板结构:BIG-IP 1600应用交换机具备四个10/100/1000M自适应的网络接口及二个光纤接口.10/100/1000 interface — 4个10/100/1000 M 自适应的网络接口Gigabit fiber interface — 2个1000M 多模光纤接口Serial console port —一个串口命令行管理端口Failover port —一个串口冗余状态判断端口。
Mgmt interface —一个10/100M 管理端口注：互为双机的两台BIG-IP必须用随机附带的Failover线相连起来。
BIG-IP上电开机以后，首先需要通过机器前面板右边的LCD旁的按键设置管理网口(设备前面板最左边的网络接口)的IP地址。
管理网络接口有一个缺省的IP地址，一般为192.168.1.245。
注：管理网络接口的IP地址不能与业务网络在同一网段，根据业务网络的地址划分，相应的调整管理网络接口的网络地址。
如果，在SMS中负载均衡口的external vlan和internal vlan 已经采用了192.168.1.0/24的网段，必须修改管理网口缺省的IP地址到另外一个网段。
通过LCD按键修改管理网口IP地址的方法如下：1、按红色X按键进入Options选项；2、在液晶面板上通过按键按以下顺序设置管理网口的网络地址：Options->System->IP Address/Netmask->Commit如果通过LCD按键修改完IP地址以后，选择Commit，地址无法成功改变(例如出现IP地址为全零的情况)，很有可能是管理口IP地址与系统内已经配置发生冲突。
出现这种情况，关机重启以后，另选一个IP网段来设置管理网口地址。
警告：在设置好网络管理口地址以后，通过网络登陆到BIG-IP上进行其它配置更改时，都要保证网络管理口的网络连接完好。
否则有时会出现修改的配置无法被成功加载应用的情况，因为网络管理口为Down的情况会妨碍配置文件的加载。
5.2、登录BIGIP的WEB管理界面管理BIGIP有两种方式,一种是基于WEB的https管理方式，另一种是基于ssh的命令行管理方式。
除特别配置外，采用WEB的管理方式即可。
WEB登录方式如下：1．在管理员的IE地址栏内输入BIGIP设备的IP地址，https://192.168.1.2452．回车后出现系统警告信息点击Yes3．然后系统提示输入基于WEB配置的用户名和密码。
目前的admin帐号的密码为admin5.3、激活License在配置BIG-IP之前，先要激活License。
从System->License->Re-activate进入License激活界面：进入https:///license/dossier.jsp，将产生的Dossier复制进以下页面，产生License文件：输入正确后即可进入BIGIP的WEB管理界面5.4、初始化设置BIG-IP 1上的平台(Platform)通用属性设置进入System→Platform设定管理端口的ip地址192.168.1.245Hostname 根据FQDN的命名规则注：主机名用来标识BIG-IP系统自身。
主机名必须符合DNS域名标准。
主机部分必须以字母开始，并至少为2个字符。
举例：。
警告：BIG-IP双机系统的主机名必须不一样，否则配置同步会产生错误，可能导致破坏license。
设定root用户密码default设定admin用户密码admin允许SSH访问，否则不能实现双机重启机器配置网络层按照拓扑结构，对F5 BIGIP的网络层进行配置，划分vlan，定义IP地址及路由。
划分vlan点击左侧的导航条，进入Network→VLANS，在右侧可以对vlan进行配置。
创建方法如下：点击create:Name:设置这个vlan的名字。
Tag:为相应VLAN的VLAN IDInterface:定义Available中显示的端口有选择性的划分到这个vlan中。
指定端口后，单击选入Untagged栏即可。
点击完成。
根据网络规划，负载均衡器上一共要定义了以下几个VLAN：注：internal为业务流量VLAN。
VLAN ID应与网络规划中的VLAN一致。
注：sync VLAN端口为双机网络心跳接口，网络心跳信号及双机配置同步信息都是通过这一网线传输，因此要用网线将双机的2.3口对连起来。
VLAN ID 4094为BIG-IP自动生成的。
(也可以指定)。
5.5、定义IP地址在划分完Vlan后，即可对每个vlan进行IP地址的定义。
方法如下：点击左侧导航条中的Networks—>self Ips在右侧可以对Ip地址进行配置。
IP address:输入IP地址Netmask:输入子网掩码Vlan：选择将这个IP地址绑定在哪个vlan上。
选择下拉菜单将显示所有已设置的vlan名。
Port Lockdown:保持默认值Allow Default。
Floating IP:如果系统为冗余工作方式，需对每台设备的每个vlan均设置两个IP地址。
其中一个是self IP,另一个则为floating IP,即两台设备共用的IP地址。
选中此项即代表这个IP地址为Floating IP。
其中，MGMT是BIG-IP的管理网口，BIG－IP1的管理网口IP地址为192.168.1.245,BIG-IP2管理网口的IP地址192.168.1.245。
其中Unit ID不为零的为Floating IP.Floating IP设置要打上勾。
5.6、配置路由点击左侧导航条中的Networks—>Routes Add对路由进行配置Type:定义配置的是默认网关还是静态路由。
Destination:定义目标网段Netmask:定义目标网段的掩码Resource:定义网关地址点击完成。
按照用户的需求，缺省路由是三层交换机VRRP地址10.133.3.15.7、配置双机设置(High Availability)High Availability就是双机冗余（Cluster），要求两台BIGIP的版本相同。
配置方法如下：A、配置Redundant Pair的IP地址首先，确认BIG－IP已经转换为双机模式。
在WEB页面的左侧导航条选择SYSTEM→Platform把Hith Availability设置中应选择为Redundant Pair模式。
其中BIG-IP1的Unit ID为1，BIG-IP2的Unit ID为2。
然后，在WEB页面的左侧导航条选择SYSTEM→Hith Availability：BIG-IP1的设置如下：B、配置双机自动切换机制FailSafe配置Failsafe设置在满足某些条件的时候，触发BIGIP发生切换。
根据彩铃5期的要求，配置了VLANs的FailSafe配置，当处于Active状态的BIGIP的internal和external两个VALN在设定的时间内没有任何流量，自动切换到备机。
警告：在没有完成External VLAN和Internal VLAN的网络接线之前，不要启用自动切换机制。
对External VLAN和Internal VLAN启用基于VLAN监控的自动切换机制，步骤如下：在WEB 页面的左面导航界面选择:SYSTEM →High Availability→Fail-safe5.8、配置服务器负载均衡注：服务器负载均衡器的设置只需要在一台BIG-IP1上进行设置，设置好以后，可以通过双机配置同步的方式将配置更新到BIG-IP2上。
在设置好基础网络,即可对实现服务器负载均衡进行配置。
主要涉及以下几个方面：Monitor(不一定需要设，有时候可以采用系统自带Monitor)Monitor跟踪Pool成员的当前状态或者性能Profile(不一定需要设，有时候可以采用系统自带Profile)Profile包含定义Virtual Server行为的设置。
负载均衡Pool负载均衡Pool包含可以将请求发送到其中进行处理的服务器。
iRules负载均衡控制规则。
Virtual ServerVirtual Server接收客户端的访问请求，然后将请求分发给被负载均衡的服务器上。
SNAT在负载均衡器内部的服务器主动向外发起访问时，在负载均衡器上所做的地址映射。
访问时A、配置MonitorMonitor可以实现对服务器实施健康检查。
以确定服务器是否可以对外提供服务。
注：目前并不存在着故障服务器进行切换的需求，只是需要根据客户端源地址来选择服务器，因此并不需要对服务器进行监控。
以下只是用于说明服务器状态检查的配置方式。
可以直接进入到下一步骤。
如果需要对检查方法的属性进行定制，以下以定制TCP端口检查为例，方法如下：点击左侧导航条中的Local Traffic→Monitor→Create，在General Properties中选择TCP在General Properties中输入你要建立的健康检查方式的名字，可以按需要设置好Interval和Timeout的时间。
最后点击Finished。
B、配置负载均衡Pool负载均衡Pool是您组合起来接收和处理流量的一组设备，如Web服务器。
BIGIP系统将客户机发往Virtual Server的请求发送到Pool成员中的任一服务器上。
当创建负载均衡Pool时，将服务器（称作Pool成员）分配到pool中，然后将pool与BIGIP系统中的Virtual Server相关联。