LoadBalance: také známý jako F5, a reálný popis případu

Téměř žádné slovo - bilance nákladu - nelze použít k přepravě bezpečnosti míru. A když přijde na rovnováhu, první zařízení, které přichází z mnoha myslí, je "F5." Zajímavé je, že F5 je ve skutečnosti název firmy, ale protože je její produkt příliš slavný, pomalu se stává proxy pro balancer zatížení, jako "100 stupňů" se stává proxy vyhledávání.

A to je místo, kde F5 je, kde čtyři a sedm vrstev jsou odlišné, kde skutečné scény sedí.

I. Co přesně řeší bilance zátěže?

Load Balance, což je v podstatě úkol přidělený několika operačním jednotkám - jako je Web server, FTP server, podnikový kritický aplikační server - vykonávat práci společně.

Z technického hlediska to ukazuje jednu venku.Virtuální adresa serveruNevím. Když se uživatel připojí, přenáší připojení na nejvhodnější skutečný server přes dvousměrnou síťovou adresu (NAT). Uživatelé vždy vidí stejný vchod, za nimi spoustu strojů.

Řeší tři věci:Strach ze ztráty příležitosti.(selhání jediného bodu)Obávám se, že to nezvládnu.(omezení výkonu),Obávám se, že se to nerozšiřuje.(Nelze rozšířit horizontálně).

2., 4. patro, vs. 7. patro: nejjednodušší míchání

Jádrem rozdílu je jedna věta:@ info: whatsthisNevím. Tento rozdíl přímo určuje hranice kapacity a výkonnost.

Balance zatížení čtyř vrstev (přenášející vrstev)

• Pracovní úroveň: OSI Level 4, TCP / UDP protokol
• Ostatní organizátorZdroj IP, cílový IP, číslo portu - nedotýkejte se použitých dat
• Hlavní kompetencePřenos portů, opakované TCP připojení, čtyřvrstvá kontrola zdraví (TCP handshake), základní ochrana DDoS
• Výkonnost: velmi efektivní relé, blížící se limit hardwaru, mikrosekundové zpoždění
• Typická scéna: Databáze (MySQL / Redis), TCP služba (playserver, Netty služba), cross- house link load
• Zastupování produktůLVS, F5 (čtyřvrstvý režim), HAProxy (čtyřvrstvý režim), Nginx (proudový modul)

7 Layer Balance (Application Layer)

• Pracovní úroveň: OSI 7th Floor, HTTP / HTTPS, DNS, FTP atd.
• Ostatní organizátorURL, Cookie, HTTP hlavička, parametry požadavku, JSON obsah
• Hlavní kompetenceNa základě směrování obsahu, odmontování SSL, cache, omezené tavení průtoku, integrace WAF, údržba relace, uvolnění šedi
• Výkonnost: funkční, ale s mírně vyšším zpožděním (ms), které kompenzuje rozšíření clusteru
• Typická scénaWebové aplikace, Mikroslužby API, HTTPS služby, Greyscale Diseminace, API Gateway
• Zastupování produktůNginx, HAProxy (Seven Layer Mode), F5 (Seven Layer Module), Kong, Spring Cloud Gateway

Jedno slovo.: Čtyři patra pro čtení značky (IP a port) a sedm podlaží pro otevření balíčku (viz obsah) a rozhodnout, kam jej poslat. Abychom si mohli vybrat čtyři patra, bude vás to stát sedm.

Tři, F5 BIG- IP, kde je?

BIG-IP LTM, oficiální názevSprávce místního toku, dělá 4-7 vrstvu bilance zatížení. Není to jen transpondér, ale má dlouhý seznam funkcí: výměna aplikací, výměna relace, sledování stavu, inteligence NAT, univerzální kontinuita, zpracování chyb odezvy, IPv6 brána, pokročilá cesta, SSL zrychlení, inteligentní HTTP komprese, TCP optimalizace, obsah buffer, Cookie šifrování, aplikace útočného filtru, DoS a SYN Flood ochrana, filtrace firewall...

Vyberte si některá z nejpraktičtějších slov:

Multiřetězová bilance zátěže a redundance

Klíčové operace často zahrnují více linek ISP pro zajištění kvality a odstranění selhání jednotlivých bodů. Existují dva směry:

• OUTBOUND provoz(Inline access): BIG-IP LC přiřazuje dopravní informace k různým internetovým rozhraním a vytváří zdrojovou adresu NAT
• Inbound provoz(Extranet access: binding two ISP public adres, decombing two ISP DNS requirements, responding to server health and RTT time intelligence

2. Záložní bilance serveru

Prostřednictvím VIP (Virtual IP, sestávající z IP adres a TCP / UDP portů) externích služeb je cílový server nepřetržitě vybaven L4 až L7. Jakmile je nalezen chybný server, je odstraněn ze skupiny bilance zatížení. Umožňuje také iRules otevřít balíček TCP / UDP a přizpůsobit jej funkcemi obsahu - například pomocí URL přesměrovat provoz na různé servery.

3. Vysoká dostupnost systému

Tohle je nejlepší místo pro F5. Režim dvojité redundancepřechod na milisekundu(Nejvíce než 200 ms), tzv. 99,99% dostupnost. Principem je, že když všechna sezení projdou zařízením Active, informace o relaci jsou synchronizovány do zařízení Backup synchronizovanými datovými řadami - takže přístup uživatele není při přepínání přerušen. Čip hlídacího psa v zařízení sleduje frekvence navzájem přes tlukot srdce, a Active zavěsil a informoval okamžitě Backup převzít sdílené IP a VIP.

4. Bezpečnost

BIG-IP používá principy firewallu.Výchozí odmítnutíNevím. SYN ochrana před útoky SYN bez ACK. Jeho Dynamic Reaping funkce efektivně odstraňuje neaktivní spojení v DoS útoku, aUrychlí to odpojení, jak se zvýší počet útoků.To je těžké. Zpoždění Vazba technologie poskytuje back- end servery komplexní SYN Flood ochrana.

Zrychlení SSL

Každý BIG- IP má hardwarový akcelerační čip SSL a licenci se 100 TPS bez jediného poplatku. Bude se muset rozšířit a vylepšit.

Čtyři, F5 nebo Nginx? Vybrat kontrast

To je nejčastější otázka v praxi. Obě nejsou konkurenceschopné; jsou vzájemně se doplňující.

F5 BIG-IP (hardware)

• Vložení: Speciální hardwarové vybavení (včetně vlastních čipů)
• Výkon: Připojení TCP v milionářském stupni, mikrosekundové zpoždění vpřed
• Funkce: Full Power - 4th + 7th Layer, SSL Unmount, DDoS Protection, WAF, VPN, Chain Load
• Spolehlivost: Hardware redundancy (double heat), 99,99% dostupnost
• Cena: vysoká (ve statisících až milionech) a požadovaná údržba profesionálními inženýry
• Rozšíření: spoléhání se na upgrady hardwaru, nízká flexibilita
• Doprava: Komplexní, známý s proprietárními konfiguračními rozhraními a CLI

Nginx (Software)

• Vložení: software, běží na společném serveru nebo cloud hostitele
• Výkon: Úroveň 100 000 TCP připojení, milisekundové zpoždění, rozšíření clusteru
• Funkce: Light Efficiency - 7 Vrstvy jsou jádro, nosnost 4 Vrstvy, odmontáž SSL, cache, omezený průtok, reverzní činidlo
• Spolehlivost: potřeba ručního dvojího tepla (Keepalived) spoléhání na stabilitu hardwaru serveru
• Cena: Otevřený zdroj je zdarma a Nginx Plus poplatky jsou nižší
• Rozšíření: podpora pro nasazení clusteru, flexibilní rozšíření prostředí oblačnosti
• Portrét: jednoduché, snadno čitelné konfigurační soubory, rychle koncové inženýry

Vyber si cestu, prostě ji následuj:

• Vysoce sudá TCP služba (hra, cenné papíry) + extrémní dostupnost F5, čtyři.
• Hlavní obchodní portál + bezpečnostní požadavky (WAF / DOS) F5, sedm.
• Mikroservis API brána + cloud prostředí nasazení Nginx 7. patro
• Databáze / Redis Load + vysoká hodnota Nginx, čtvrté patro.
• Malé a střední operace + rychlé iterativní Nginx (4 / 7 patro)
• Enterprise Data Centre + Multilink F5 pro portál, Nginx pro vnitřní servisní zatížení

Poslední kombinace je běžná u velkých a středně velkých rostlin - F5 Nation Watch, Nginx intervals.

V. Pole případy: kolik F5 konfigurace je kolem

Mnoho lidí dostane F5 první reakci:Je to úplně jiné než myšlenka ústředny. Ruce.Nevím. Jeho konfigurační logika je jiný systém.

scéna: Dva Web Servers Externí služby, IP 192,168,192,10-20 / 24, vyžadují vyvažování zatížení přes 80 port extranet adresu 192,168.27.100.

Nejjednodušší bilance zátěže vyžaduje tři parametry a vztahy jsou vrstvené:

• Uzel (uzel): Minimální definice, každý server je uzel
• Tabulka: skupina uzlů, které přijímají a zpracovávají provoz, jako je Web server set Group
• Virtuální server (virtuální server): Vnější vstup, spojený s bazénem

Datové toky: Client Server → Pool → Uzel.

Rozhraní pro správu BIG-IP:

• Krok 1: Aktivujte zařízeníNevím. Aktivujte F5. Průvodce je jednoduchý, ale pamatujte.Ujisti se, že je to propojené. Radši to udělej, než půjdeš nahoru.- Je to zkušenost.
• Krok 2: PřihlášeníNevím. Name
• Krok 3: Řádek VLANNevím. Síť & VLAN, vytvořit LAN a přidat rozhraní (zaškrtnuto)
• Krok 4: Shoda IPNevím. Sítě → Self IPs, definovat každou adresu LAN
• Krok pět: SilniceNevím. Sítě → Trasy s výchozími branami nebo statickými routery
• Krok 6: Odpovídající skupinaNevím. Local Trade → Virgin Servers → Bazény, s názvem, zdravotní kontrolou (např. TCP), algoritmem zatížení (např. pozorování pozorovatele), reálným serverem IP a portem
• Krok 7: Odpovídající virtuální serverNevím. Místní doprava → Virtuální servery, spojené s above- uvedené Pool, na rotační bázi (společný RundRobin)
• Krok 8: Zápas s monitoremNevím. Místní provoz → Monitory, kontrola zdraví serveru a spojení s bazénem
• Krok devět: Zápas zčervenáníDvojitá redundance.

VI. Klíčové parametry pro virtuální server

Srdcem F5 je virtuální server a několik parametrů je problematické bez pozornosti.

Typ VS, tři běžné typy:

• Výkon L4: Čisté čtyři vrstvy přesměrování, TMM je zodpovědný pouze za distribuci připojení bez změny TCP parametrů, a klient je připojen k serveru v 1: 1. Relay sazby jsou vysoké a jsou společné v podnicích. ke snížení dopadu na aplikace,Jestli můžeš, můžeš si vzít tohle.
• Standardní VS: Klient je zcela nezávislý na připojení serveru TCP. Požaduje se sedm vrstev funkčnosti (údržba Cookie session, údržba ID session, údržba hlavičky, transakční dlouhý interval připojení, ochrana proti napadení SYN). Poznámka:Jeho přístavy jsou vždy otevřené veřejnosti.- I když je backend Node dole, 80 port VIP lze stále dosáhnout Telnet, ale webové stránky nelze otevřít. Použijte to ke kontrole selhání.
• Přesměrování IP: Pro vnitřní a vnější síťové připojení, žádný člen Pool, a přesměrování v závislosti na místní trase. Ve výchozím nastavení nemá F5 žádnou traťovou funkci a k otevření traťové funkce je zapotřebí plné 0 VS.

Timeout, seřadit.Tohle je skutečná jáma. Připojení UDP nebude přijato na VS, pokud bude odpovídat TCP profilu. Více pozornosti k hodnotě Idle Timeout v tcp...Musí pracovat se serverem.Nevím. Pokud je F5 nastaveno na 150 sekund a server IIS je 300 sekund, dojde k mnoha chybám. Promluvme si o čase.

Adresa / Port Transport: Výchozí hodnoty jsou k dispozici. VS IP a real machine IP open Port Transport, když 8080 port VS odpovídá skutečné adrese.

Automatická mapa SNAT: Požadavek jít od toho, ze kterého je VLAN zdrojová adresa SNAT Self IP na VLAN. Má-li LAN více Self IP, používá se rotujícím způsobem.

VII. Proč musíš pochopit "Držení řečí"

To je koncept, který je nejsnadněji přehlédnutelný a nejsnadněji vystavený v zátěžové bilanci.

V systémech, jako jsou elektrikáři a on-line certifikace, má zákazník více interakcí k dokončení transakce. Tyto interakce.Blízko.- Když server zvládne druhý krok, je často nutné znát výsledek prvního kroku. To vyžaduje všechny tyto interakce.Musí to udělat stejný server., nelze šířit přes různé stroje pomocí balancerů zatížení.

To znamená udržovat konverzaci. F5 Prostřednictvím konektivity, možnosti zahrnují:

• NameOstatní organizátor
• Cookie, počkej.: F5 Automatické vložení Session Cookie, nejčastěji v 7. patře
• SSL Session ID udržuje: Znovu použít SSL sezení
• Organizace: Podpora vícenásobných přesčasů a shodných pravidel

Co je na tom špatného? Uživatel přidal zboží do nákupního košíku a doplnil ho - protože žádost byla přidělena jinému serveru. Tento druh selhání je velmi těžké vystopovat.

VIII. Několik nepohodlných provozních detailů

Nakonec si vyberte pár dalších lidí, kteří vstoupili do jámy a přišli rovnou k závěru:

• Musíte si vybrat úroveň zdravotní prohlídky.: sledovat pouze TCP handshake, server port je naživu, ale aplikace je zavěšena a předána; pro kontrolu aplikační vrstvy, použijte HTTP typ Monitor / aktuátor / Health rozhraní
• Firewall na sendvič.: Jeden firewall má tendenci dosáhnout pouze 30% rychlosti linky. Firewall však vyžaduje, aby data šla dovnitř a ven, jinak je spojení odepřeno - Firewall Firewall Balance řešení řeší tento problém a dosahuje kontinuity transparentního zařízení
• Odmontování SSL je hlavou provinční CPUUmožňuje F5 ovládat HTTPS handshake a dešifrování. Backend Java aplikace pouze zpracovává HTTP, výkon je jasně vylepšen
• Uděláme vyřazovací test, než to stihneme.: Čtyři patra jsou rychlá, ale pokud máte schůzku ve čtyřech patrech VS, je to zavedení stavu a výkon se očekává pokračovat. Fajn.
• Kontrolní indikátory na tři.: stav bazénu, virtuální server propustnost, stav uzlu
• Příkaz k odbavení: tmsh show ltm cool < pool- name >, tmsh show ltm virtual < vs- name >

Na konci.

Záložní bilance se zdá být "vysílacím zařízením", které ve skutečnosti stojí v nejkritičtějším bodě celé architektury - ze kterého musí projít veškerý provoz. Je to dobrá shoda. Uživatelé to necítí, je to špatná shoda. Telefonuješ uprostřed noci.

Nyní, pod vlnou mraků, softwarové programy LVS, Nginx, HAProxy jsou plně adekvátní v malých a středně velkých nastavení, s jasnými náklady výhody. V krátkodobém horizontu však nemohou být nahrazeny hlavní vstupní body zahrnující finance, cenné papíry, velké elektrické operátory, hodnotu hardwarové bilance, pokud jde o stabilitu, přepínání v milisekundách, jednorázovou bezpečnostní kapacitu.

Pokud jde o název "F5", proces přeměny ze společnosti na třídu sám o sobě ukazuje - když je výrobek používán jako sloveso, získal trh.

Čtyři patra silničních značek, sedm pater balíků, čtyři podlaží výkonu, sedm podlaží práce.

Odkaz: F5 BIG-IP LTM Oficiální informace, Web Difusion and Management F5 Balance Case, 4 / 7 Layer Balance Technology Comparison