Load Balancing im Detail: auch unter dem Namen F5 bekannt – mit echten Praxisbeispielen

Wer im Betrieb oder in der Security arbeitet, kommt an einem Begriff kaum vorbei: Load Balancing. Und kaum ist davon die Rede, springt vielen als erstes Gerät „F5“ in den Sinn. Das Interessante dabei: F5 ist eigentlich ein Firmenname (F5 Networks), doch weil die Produkte so berühmt wurden, wurde der Name allmählich zum Synonym für den Load Balancer – ähnlich wie „googeln“ zum Synonym für Suchen wurde.

Dieser Artikel erklärt es gründlich: Was genau ist F5, worin unterscheiden sich Layer 4 und Layer 7, und wie konfiguriert man echte Szenarien?

1. Welches Problem löst Load Balancing eigentlich?

Load Balancing bedeutet im Kern, Arbeitsaufgaben auf mehrere Bearbeitungseinheiten zu verteilen – etwa Webserver, FTP-Server oder geschäftskritische Anwendungsserver –, damit diese die Arbeit gemeinsam bewältigen.

Technisch gesehen präsentiert er nach außen einevirtuelle Serveradresse. Kommt ein Nutzer verbindend daher, leitet der Load Balancer die Verbindung per bidirektionalem Network Address Translation (NAT) an den am besten geeigneten realen Server weiter. Der Nutzer sieht immer denselben Eingang – im Hintergrund stemmen sich eine ganze Reihe von Maschinen gegen die Last.

Er löst drei Probleme:den Ausfall (Single Point of Failure), die Überlastung (Performance-Flaschenhals), die fehlende Skalierbarkeit (keine horizontale Skalierung).

2. Layer 4 vs. Layer 7: die häufigste Verwechslung

Der Kernunterschied lässt sich in einem Satz sagen:ob das Protokoll der Anwendungsschicht analysiert wird oder nicht. Genau diese Differenz bestimmt Fähigkeitsgrenzen und Leistung.

Layer-4-Load-Balancing (Transportschicht)

Arbeitsschicht: OSI-Schicht 4, Protokolle TCP/UDP
Weiterleitung nach: Quell-IP, Ziel-IP, Portnummer – Anwendungsdaten werden nicht angefasst
Kernfähigkeiten: Port-Weiterleitung, Wiederverwendung von TCP-Verbindungen, Layer-4-Health-Checks (TCP-Handshake), grundlegender DDoS-Schutz
Leistung: extrem effiziente Weiterleitung nahe der Hardwaregrenze, Latenz im Mikrosekundenbereich
Typische Szenarien: Datenbanken (MySQL/Redis), TCP-Dienste (Gameserver, Netty-Dienste), Link-Load-Balancing zwischen Rechenzentren
Beispielprodukte: LVS, F5 (Layer-4-Modus), HAProxy (Layer-4-Modus), Nginx (stream-Modul)

Layer-7-Load-Balancing (Anwendungsschicht)

Arbeitsschicht: OSI-Schicht 7, Anwendungsprotokolle wie HTTP/HTTPS, DNS, FTP
Weiterleitung nach: URL, Cookie, HTTP-Header, Anforderungsparameter, JSON-Inhalte
Kernfähigkeiten: inhaltsbasiertes Routing, SSL-Offloading, Caching, Rate-Limiting und Circuit Breaking, WAF-Integration, Session-Persistence, Canary-Releases
Leistung: funktionsreich, doch die Analyse der Anwendungsprotokolle kostet Zeit (Latenz im Millisekundenbereich); ausgeglichen wird das durch Cluster-Skalierung
Typische Szenarien: Webanwendungen, Microservice-APIs, HTTPS-Dienste, Canary-Releases, API-Gateways
Beispielprodukte: Nginx, HAProxy (Layer-7-Modus), F5 (Layer-7-Modul), Kong, Spring Cloud Gateway

Eselsbrücke in einem Satz: Layer 4 leitet anhand des „Wegweisers“ (IP und Port) weiter, Layer 7 öffnet erst das „Paket“ (schaut in die Inhalte), bevor es entscheidet, wohin die Sendung geht. Für Rohleistung Layer 4, für Funktionsvielfalt Layer 7.

3. Was F5 BIG-IP wirklich stark macht

F5s Vorzeigeprodukt BIG-IP LTM trägt den offiziellen NamenLocal Traffic Manager und beherrscht Load Balancing auf den Schichten 4 bis 7. Es ist mehr als ein Weiterleiter; die Funktionsliste ist beachtlich: Application Switching, Session Switching, Zustandsüberwachung, intelligentes NAT, universelle Persistenz, Behandlung von Antwortfehlern, IPv6-Gateway, erweitertes Routing, SSL-Beschleunigung, intelligente HTTP-Kompression, TCP-Optimierung, Content-Buffering, Cookie-Verschlüsselung, Filterung von Anwendungsangriffen, DoS- und SYN-Flood-Schutz, Firewall-Paketfilterung …

Ein paar der praxistauglichsten Highlights:

1. Multi-Link-Load-Balancing und Redundanz

Geschäftskritische Systeme hängen oft an mehreren ISP-Leitungen, um Qualität zu sichern und Single Points of Failure zu vermeiden. Dabei sind zwei Richtungen zu unterscheiden:

OUTBOUND-Verkehr (Intranet → Internet): BIG-IP LC verteilt den Verkehr intelligent auf verschiedene Internet-Schnittstellen und führt Quelladress-NAT durch
INBOUND-Verkehr (Internet → Intranet): die öffentlichen Adressen beider ISPs binden, DNS-Anfragen beider ISPs auflösen und anhand des Serverzustands und der RTT-Zeiten intelligent antworten

2. Server-Load-Balancing

Nach außen wird ein VIP bereitgestellt (eine virtuelle IP, bestehend aus IP-Adresse und TCP/UDP-Port), fortlaufend finden Health-Checks von L4 bis L7 auf den Zielservern statt. Fällt ein Server aus, wird er aus der Load-Balancing-Gruppe entfernt. Mit iRules lassen sich zudem TCP/UDP-Pakete öffnen und nach Inhaltsmerkmalen regelbasiert verarbeiten – etwa Traffic je nach URL auf unterschiedliche Server lenken.

3. Hohe Systemverfügbarkeit

Das ist F5s größtes Aushängeschild. Im Dual-Redundanzbetrieb:Umschaltung in Millisekunden (im besten Fall innerhalb von 200 ms), bei einer angeblichen Verfügbarkeit von 99,999 %. Das Prinzip: Während alle Sitzungen über das Active-Gerät laufen, werden die Sitzungsinformationen über die Synchronisationsleitung auf das Backup-Gerät gespiegelt – daher bricht die Nutzer-Verbindung beim Umschalten nicht ab. Ein Watchdog-Chip im Gerät überwacht über die Heartbeat-Leitung den Spannungspegel des Gegenstücks; stirbt das Active-Gerät, übernimmt das Backup sofort Shared IP und VIP.

4. Sicherheit

BIG-IP folgt dem Designprinzip einer Firewall:standardmäßig verweigern. Es kann ungenutzte Verbindungen trennen, um DoS abzuwehren, Source-Route-Tracking gegen IP-Spoofing ausführen und SYN-Pakete ohne ACK zurückweisen, um SYN-Angriffe abzuwehren. Die Funktion Dynamic Reaping räumt ungenutzte Verbindungen bei DoS-Angriffen effizient ab – undbeschleunigt die Trennrate, je stärker der Angriff wird – eine ziemlich harte Nummer. Die Technik Delay Binding wiederum bietet den Backend-Servern umfassenden Schutz vor SYN-Floods.

5. SSL-Beschleunigung

Jede BIG-IP ist mit einem SSL-Hardware-Beschleunigerchip ausgestattet; die Lizenz für 100 TPS ist inbegriffen, ohne Zusatzkosten. Braucht man später mehr, genügt ein Lizenz-Upgrade.

4. F5 oder Nginx? Ein Auswahlvergleich

Die in der Praxis am häufigsten gestellte Frage. Die beiden sind keine Konkurrenten – sie ergänzen sich eher.

F5 BIG-IP (Hardware)

Deployment-Form: dedizierte Hardware-Appliance (mit kundenspezifischen Chips)
Leistung: TCP-Verbindungen im Millionenbereich, Weiterleitungslatenz im Mikrosekundenbereich
Funktionen: Allrounder – Layer 4 + Layer 7, SSL-Offloading, DDoS-Schutz, WAF, VPN, Link-Load-Balancing
Zuverlässigkeit: Hardware-Redundanz (aktiver Standby-Betrieb), 99,999 % Verfügbarkeit
Kosten: hoch (mehrere Hunderttausend bis über eine Million), Wartung durch spezialisierte Ingenieure nötig
Skalierbarkeit: abhängig von Hardware-Upgrades, wenig flexibel
Betrieb: komplex, Vertrautheit mit der eigenen Konfigurationsoberfläche und der CLI nötig

Nginx (Software)

Deployment-Form: Software, läuft auf Standardservern oder Cloud-Instanzen
Leistung: TCP-Verbindungen im Hunderttausendbereich, Latenz im Millisekundenbereich, Cluster-Skalierung möglich
Funktionen: leichtgewichtig und effizient – Layer-7-Kern, dazu Layer 4, SSL-Offloading, Caching, Rate-Limiting, Reverse Proxy
Zuverlässigkeit: aktiver Standby-Betrieb (Keepalived) muss manuell eingerichtet werden; abhängig von der Hardware-Stabilität der Server
Kosten: Open Source kostenlos, auch Nginx Plus ist vergleichsweise günstig
Skalierbarkeit: Cluster-Deployment unterstützt; in Cloud-Umgebungen elastisch skalierbar
Betrieb: einfach, Konfigurationsdateien gut lesbar; Backend-Entwickler finden sich schnell zurecht

Der Entscheidungsweg zum Ablesen:

Hochparallele TCP-Dienste (Gaming, Börse) + maximale Verfügbarkeit → F5 Layer 4
Eingang geschäftskritischer Systeme + Sicherheitsanforderungen (WAF/DDoS) → F5 Layer 7
Microservice-API-Gateway + Cloud-Deployment → Nginx Layer 7
Datenbank-/Redis-Last + gutes Preis-Leistungs-Verhältnis → Nginx Layer 4
Geschäft im mittleren und kleineren Umfang + schnelle Iteration → Nginx (Layer 4/Layer 7)
Enterprise-Rechenzentrum + mehrere Leitungen → F5 am Eingang, Nginx für die interne Serverlastverteilung

Die letzte Kombination ist bei den großen Häusern in der Praxis sehr verbreitet – F5 wacht am Tor, Nginx regelt im Inneren.

5. Praxisfall: wie verschachtelt die F5-Konfiguration ist

Die erste Reaktion vieler beim ersten Kontakt mit F5:Das folgt einem völlig anderen Denkmuster als ein Switch – man weiß schlicht nicht, wo man ansetzen soll. Die Konfigurationslogik folgt einem ganz eigenen System.

Szenario: Zwei Webserver bedienen nach außen, die IPs lauten 192.168.192.10-20/24; gefordert ist Load Balancing über die externe Adresse 192.168.27.100 an Port 80.

Minimalistisches Load Balancing braucht nur drei Parameter, die ineinandergreifen:

Node (Knoten): die grundlegendste Definition; jeder Server ist ein Node
Pool (Ressourcenpool): eine Gruppe von Nodes, die Traffic annimmt und verarbeitet, etwa ein Webserver-Cluster
Virtual Server (virtueller Server): der nach außen gerichtete Eingang, verknüpft mit einem Pool

Datenfluss: Clientanfrage → Virtual Server → Pool → Node.

Praktische Schritte (BIG-IP-Verwaltungsoberfläche):

Schritt 1: Gerät aktivieren. Die frisch gelieferte F5 zuerst aktivieren; der Assistent ist unkompliziert, aber merken:unbedingt Internetanbindung, am besten vor dem Rack-Einbau erledigen – eine Lehre aus eigener, schmerzhafter Erfahrung
Schritt 2: Anmelden. Im Browser https://Verwaltungs-IP öffnen; Standardbenutzername und -passwort lauten beide admin
Schritt 3: VLAN anlegen. Network → VLANs, VLAN erstellen und Schnittstellen hinzufügen (als Untagged einfügen)
Schritt 4: IP konfigurieren. Networks → Self IPs, für jedes VLAN eine Adresse definieren
Schritt 5: Routing konfigurieren. Networks → Routes, Standardgateway oder statische Routen setzen
Schritt 6: Pool konfigurieren. Local Traffic → Virtual Servers → Pools: Namen festlegen, Health-Check (etwa TCP), Lastverteilungsalgorithmus (etwa observed-member, das Beobachtungsverfahren), echte Server-IPs und Ports
Schritt 7: Virtual Server konfigurieren. Local Traffic → Virtual Servers: den obigen Pool verknüpfen, Verteilverfahren wählen (üblich ist RoundRobin)
Schritt 8: Monitor konfigurieren. Local Traffic → Monitors: den Gesundheitszustand der Server prüfen und mit dem Pool verknüpfen
Schritt 9: Redundant konfigurieren, um die Doppelredundanz einzurichten

6. Einige Schlüsselparameter des Virtual Server

Der Kern von F5 ist der Virtual Server; wer ein paar Parameter übersieht, hat Probleme.

VS Type (Typ), drei häufige Varianten:

Performance L4: reines Layer-4-Forwarding; die TMM kümmert sich nur um die Verbindungszuteilung, TCP-Parameter bleiben unverändert, Client- und Serververbindung sind 1:1. Sehr schnelle Weiterleitung, in Unternehmen häufig im Einsatz. Um die Auswirkungen auf Anwendungen zu minimieren: wo möglich, diese Variante bevorzugen
Standard VS: Client- und Server-TCP-Verbindung sind vollständig unabhängig. Für Layer-7-Funktionen (Cookie-Persistenz, Session-ID-Persistenz, Header-Persistenz, transaktionsbasierte Trennung von Langzeitverbindungen, SYN-Angriffsschutz). Eine Besonderheit beachten: sein Port ist immer nach außen geöffnet – selbst wenn alle Backend-Nodes ausgefallen sind, lässt sich Port 80 des VIP weiterhin per telnet erreichen; nur die Seite lädt nicht. Bei dieser Art der Fehlerdiagnose unbedingt im Kopf behalten
Forwarding IP: für Verbindungen zwischen internem und externem Netz; ohne Pool-Member, die Weiterleitung folgt dem lokalen Routing. Standardmäßig beherrscht F5 kein Routing; dazu muss ein VS mit lauter Nullen angelegt werden, um die Routing-Funktion zu aktivieren

Timeouts müssen aufeinander abgestimmt sein (eine echte Falle). Ist am VS ein TCP-Profil konfiguriert, werden UDP-Verbindungen nicht angenommen. Noch wichtiger: der Idle-Timeout-Wert im TCP-Profil – er muss mit dem Server abgestimmt sein. Steht F5 auf 150 Sekunden, der IIS-Server aber auf 300, häufen sich Fehler. Die Zeiten auf beiden Seiten müssen abgesprochen werden.

Address/Port Translation: standardmäßig jeweils aktiviert. Weicht die VS-IP von der echten Maschinen-IP ab, muss Address Translation aktiviert werden; entspricht Port 8080 des VS dem Port 80 der echten Adresse, muss Port Translation aktiviert werden.

SNAT AutoMap: über welchen VLAN der Request hinausgeht, genau die Self IP dieses VLAN ist die SNAT-Quelladresse. Gibt es mehrere Self IPs auf einem VLAN, werden sie im Wechsel genutzt.

7. Warum man Session-Persistence unbedingt verstehen muss

Das ist im Load Balancing der Begriff, der am leichtesten übersehen wird – und am häufigsten Unfälle verursacht.

In Systemen wie E-Commerce oder Online-Authentifizierung durchläuft ein Kunde mehrere Interaktionen, bis eine Transaktion abgeschlossen ist. Diese Interaktionen hängen eng zusammen – verarbeitet der Server den zweiten Schritt, muss er oft das Ergebnis des ersten kennen. Das erfordert, dass all diese Interaktionen vom selben Server abgewickelt werden, dürfen sie nicht vom Load Balancer auf verschiedene Maschinen verteilt werden.

Genau dafür existiert Session-Persistence. F5 realisiert sie über Connectivity, wählbare Modi sind:

Quelladress-Persistenz: Bindung an die Quell-IP des Clients
Cookie-Persistenz: F5 fügt automatisch ein Session-Cookie ein; am häufigsten auf Layer 7 im Einsatz
SSL-Session-ID-Persistenz: Wiederverwendung der SSL-Sitzung
Persistenz-Tabelle: unterstützt verschiedene Timeout- und Match-Regeln

Was passiert bei Fehlkonfiguration? Der Kunde legt etwas in den Warenkorb, aktualisiert die Seite – und es ist weg, weil der Request auf einen anderen Server verteilt wurde. Solche Live-Störungen sind enorm mühsam zu diagnostizieren.

8. Ein paar unvermeidliche Praxisdetails

Zum Schluss einige Fallstricke aus fremder Erfahrung, direkt mit der Schlussfolgerung:

Health-Checks in der richtigen Schicht wählen: Wer nur den TCP-Handshake prüft, leitet weiterhin weiter, selbst wenn der Serverport zwar lebt, die Anwendung aber gestorben ist; für die Anwendungsschicht einen HTTP-Monitor auf Endpunkte wie /actuator/health verwenden
Firewalls müssen „sandwichiert“ werden: Eine einzelne Firewall erreicht oft nur 30 % der Leitungskapazität an Durchsatz; mehr davon erfordert mehrere Geräte. Doch Firewalls verlangen, dass Daten auf demselben Weg hinein- und hinausgehen, sonst werden Verbindungen abgelehnt – die Firewall-Load-Balancing-Lösung von F5 löst genau dieses Problem und sorgt für Persistenz transparenter Geräte
SSL-Offloading ist der größte CPU-Sparer: F5 den HTTPS-Handshake samt Ver- und Entschlüsselung überlassen, das Java-Backend verarbeitet nur noch HTTP – spürbarer Leistungsgewinn
Vor dem Produktivbetrieb Lasttests durchführen: Layer 4 ist schnell, doch sobald auf einem Layer-4-VS Session-Persistence aktiviert ist, führt man Zustandsbehaftung ein – die Leistungserwartung muss neu durchgerechnet werden
Drei Überwachungskennzahlen im Blick behalten: Pool-Status, Durchsatz des virtuellen Servers, Gesundheitszustand der Nodes
Diagnosebefehle: tmsh show ltm pool <pool-name> zeigt den Pool-Status, tmsh show ltm virtual <vs-name> den Zustand des virtuellen Servers

Zum Schluss

Ein Load Balancer wirkt wie ein bloßes „Weiterleitungsgerät“, steht aber an der kritischsten Stelle der gesamten Architektur – sämtlicher Traffic muss durch seine Hände. Läuft seine Konfiguration gut, spürt der Nutzer ihn gar nicht; läuft sie schlecht, klingelt mitten in der Nacht das Telefon – und zwar bei dir.

In der heutigen Cloud-nativen Welle reichen Softwarelösungen wie LVS, Nginx und HAProxy für kleinere und mittlere Szenarien völlig aus, mit klarem Kostenvorteil. Aber wo es um zentrale Eingänge in Finanzen, Börse oder großen E-Commerce geht, ist der Wert von Hardware-Load-Balancing – Stabilität, Umschaltung in Millisekunden, Sicherheitsfähigkeiten aus einem Guss – kurzfristig nicht zu ersetzen.

Was den Namen „F5“ angeht: Sein Weg vom Firmen- zum Gattungsnamen spricht für sich – wenn ein Produkt als Gattungsbegriff verwendet wird, hat es diesen Markt bereits gewonnen.

Layer 4 liest den Wegweiser, Layer 7 öffnet das Paket; für Leistung Layer 4, für Funktionen Layer 7.

Quellen: offizielle F5-BIG-IP-LTM-Materialien, F5-Load-Balancing-Fallstudien aus „Netzwerkbetrieb und -Management“, technische Vergleiche von Layer-4-/Layer-7-Load-Balancing