Kuormatase LoadBalance: tunnetaan myös nimellä F5 ja todellinen tapauskuvaus

Melkein mikään sana ... kuormatasetta ... voidaan käyttää rauhanturvaamiseen. Ja kun on kyse tasapainosta, ensimmäinen monista mielistä lähtevä laite on F5. Kiintoisaa kyllä, F5 on itse asiassa yrityksen nimi, mutta koska sen tuote on liian kuuluisa, siitä on hitaasti tulossa kuorman tasapainottajan välityspalvelija, kuten "100 astetta" tulee hakupalvelija.

Tässä F5 on, missä neljä ja seitsemän kerrosta ovat erilaisia.

I. Mikä on kuormatasapainon ratkaisu?

Load Balance, joka on pääasiassa tehtävä, joka on osoitettu useita käyttöyksiköitä ... kuten Web-palvelin, FTP-palvelin, yrityksen kriittinen sovelluspalvelin ...

Tekniseltä kannalta se näyttää yhden ulkoa.Virtuaalipalvelimen osoiteEn tiedä. Kun käyttäjä liittyy, se siirtää yhteyden tarkoituksenmukaisimmalle oikealle palvelimelle kaksisuuntaisen verkkoosoitteen (NAT) kautta. Käyttäjät näkevät aina saman sisäänkäynnin, takanaan on useita koneita.

Se ratkaisee kolme asiaa:Mahdollisuuksien menettämisen pelko.(yksipistevika)En kestä sitä.(tehon pullonkaulat)Pelkäänpä, ettei se laajene.(Ei voi laajentaa vaakasuunnassa).

2., 4. kerros, vs. 7. kerros: helpoin paikka sekoittaa

Eron ydin on yksi lause:Tulkitaanko sovelluskerrosprotokollaEn tiedä. Tämä ero määrittää suoraan kapasiteettirajat ja suorituskyvyn.

Neljän tason kuormatase (lähettävä taso)

• Työtaso:OSI-taso 4, TCP- ja UDP-protokolla
• Muu järjestäjäLähde IP, tavoite IP, sataman numero - älä koske sovellettuihin tietoihin
• YdinosaaminenSataman huolinta, TCP-yhteyden uudelleenkäyttö, nelikerroksinen terveystarkastus (TCP kättely), perus DDoS-suojaus
• Suorituskyky: erittäin tehokas rele, lähestyy laitteiston raja, mikrosekunnin viive
• Tyypillinen kohtaus: Tietokanta (MySQL/Redis), TCP-palvelu (playserver, Netty service), cross-house link load
• Edustavat tuotteetLVS, F5 (neljän tason tila), HAProxy (neljän tason tila), Nginx (virtamoduuli)

7 Tason kuormatase (sovellustaso)

• Työtaso:OSI 7. kerros, HTTP/ HTTPS, DNS, FTP jne.
• Muu järjestäjäURL, Eväste, HTTP- otsikko, pyyntöparametrit, JSON-sisältö
• YdinosaaminenSisällön reitityksen, SSL:n irrottamisen, välimuistin, rajoitetun virtauksen sulamisen, WAF-integroinnin, istunnon ylläpidon, harmaasävyn julkaisun
• Suorituskyky: toimiva, mutta hieman suurempi viive (ms) kompensoida klusterien laajentaminen
• Tyypillinen kohtausWeb-sovellukset, Microservices API, HTTPS-palvelut, Greyscale Distribution, API Gateway
• Edustavat tuotteetNginx, HAProxy (Seven Layer Mode), F5 (Seven Layer Module), Kong, Spring Cloud Gateway

Yksi sana.: Neljä kerrosta merkin lukemiseksi (IP ja portti) ja seitsemän kerrosta pakkauksen avaamiseksi (ks. sisältö) ja sen lähettämiseksi. Neljän kerroksen valitseminen maksaa seitsemän.

Kolme, F5 BIG-IP, missä se on?

BIG-IP LTM, virallinen nimiPaikallinen virtaushallinta, tekee 4-7 kerros kuorma tasapaino. Se ei ole vain transponderi, mutta sillä on pitkä luettelo toiminnoista: sovelluksen vaihto, istuntojen vaihto, tilan seuranta, älykkyys NAT, universaali jatkuvuus, vastausvirheiden käsittely, IPv6-portti, kehittynyt reitti, SSL kiihtyvyys, älykäs HTTP pakkaus, TCP optimointi, sisältöpuskuri, Cookie salaus, soveltaminen hyökkäyssuodatin, DOS ja SYN Flood suojaus, palomuuri suodatus...

Valitse joitakin käytännön sanoja:

Moniketjuinen kuormatase ja irtoaminen

Keskeisissä toimissa on usein useita ISP-linjoja laadun varmistamiseksi ja yhden pisteen häiriöiden poistamiseksi. On kaksi suuntaa:

• Ulkoliikenne(Inline-yhteys): BIG-IP LC määrää liikennetietoja eri Internet-liittymille ja tekee lähdeosoitteen NAT
• INBound-liikenne(Extranet-yhteys: sitovat kaksi ISP-julkista osoitetta, hajottavat kaksi ISP DNS-pyyntöä, vastaavat palvelinten terveyteen ja RTT-aikatiedot

2. Palvelinkuormatase

VIP (virtuaali-IP, joka koostuu IP-osoitteista ja TCP/UDP-porteista) ulkoisista palveluista, tarjoaa kohdepalvelin jatkuvasti L4-L7. Kun vikapalvelin löytyy, se poistetaan kuormataseryhmästä. Sen avulla myös iSäännöt voivat avata TCP/UDP-paketin ja muokata sitä sisältöominaisuuksilla - esimerkiksi URL-osoitteella liikenteen ohjaamiseksi eri palvelimille.

3. Järjestelmän korkea saatavuus

Tämä on F5:n paras räjähtämispaikka. Kaksinkertainen irtisanomistilamillisekunnin siirtymä(noin 200 ms), kutsutaan 99.99% saatavuus. Periaate on, että kun kaikki istunnot kulkevat Active-laitteen kautta, istuntotiedot synkronoidaan varmuuskopiolaitteeseen synkronoiduilla datalinjoilla - joten käyttäjän pääsyä ei keskeytetä vaihtaessa. Laitteen vahtikoiran siru seuraa toistensa taajuuksia sydämenlyönnin kautta, ja Aktiivinen katkaisi puhelun ja ilmoitti varmuuskopio välittömästi ottaa haltuunsa jaettu IP ja VIP.

4. Turvallisuus

BIG-IP käyttää palomuurisuunnittelun periaatteita.Oletus HylkääEn tiedä. Syn-suojaus SYN-hyökkäyksiltä ilman selkäydintä. Sen Dynamic Reaping-ominaisuus poistaa tehokkaasti joutokäyntiyhteyden DOS-hyökkäyksestä, jaSe nopeuttaa yhteyden katkeamista hyökkäysten lisääntyessä.Se on rankkaa. Delay Binding tekniikka antaa back-end palvelimet kattava SYN Flood suojaus.

SSL-kiihdytys

Jokaisessa BIG-IP:ssä on SSL-laitteiston kiihtyvyyssiru ja lisenssi 100 TPS:llä ilman maksua. Sitä pitää vain laajentaa ja päivittää.

Neljä, F5 vai Nginx? Valitse kontrasti

Tämä on useimmin esitetty kysymys käytännössä. Nämä kaksi eivät ole kilpailukykyisiä vaan toisiaan täydentäviä.

F5 BIG-IP (laitteisto)

• Käyttötapa: Erikoislaitteet (mukaan lukien räätälöidyt sirut)
• Suorituskyky: Miljoonan asteen TCP-liitäntä, mikrosekunnin viive
• Funktio: Täysi teho - 4. ja 7. kerros, SSL Unmount, DDOS Protection, WAF, VPN, Chain Load
• Luotettavuus: Laitteiston poisto (kaksinkertainen lämpö), 99.99% saatavuus
• Kustannukset: korkea (satoja tuhansia miljoonia) ja tarvitaan huolto ammattiinsinöörit
• Laajentaminen: turvautuminen laitteistopäivityksiin, heikko joustavuus
• Kuljetus: Kompleksinen, perehtynyt konfiguraatiorajapintoihin ja CLI

Nginx (ohjelmisto)

• Käyttötapa: ohjelmisto, joka toimii yhteisellä palvelimella tai pilvipalvelimella
• Suorituskyky: Taso 100 000 TCP-yhteys, millisekunnin viive, klusterien laajennus
• Funktio: Light Efficiency - 7 kerrokset ovat ydin, tukevat 4 tasot, SSL irrotus, välimuisti, rajoitettu virtaus, käänteisagentti
• Luotettavuus: Kaksoislämmön (Keepalived) tarve riippuu palvelimen laitteiston vakaudesta
• Kustannukset: Avoin lähdekoodi on ilmainen ja Nginx Plus maksut ovat alhaisemmat
• Laajentaminen: tuki klusterien käyttöönotolle, joustava pilviympäristön laajentaminen
• Muotokuva: yksinkertainen, helppo lukea konfiguraatiotiedostoja, nopea takapää insinöörejä

Valitse tie, seuraa sitä.

• Korkeatasoinen TCP-palvelu (play, securities)+ äärimmäinen saatavuus F5, neljä.
• Keskeinen liiketoimintaportaali + turvallisuusvaatimukset (WAF/DOS) F5, seitsemän.
• Microservice API-portti + pilviympäristön käyttöönotto Nginx 7. kerros
• Tietokanta/Redis Load + Suuri Arvo Nginx, neljäs kerros.
• Pienet ja keskisuuret toimet + nopea iteratiiviset toimet Nginx (4/7 kerros)
• Yritysdatakeskus + Multilink F5 portaalille, Nginx sisäiselle käyttökuormalle

Viimeinen yhdistelmä on yleinen suurissa ja keskisuurissa kasveissa - F5 Nation Watch, Nginx sisätilat.

V Kenttätapaukset: kuinka paljon F5-konfiguraatiota on

Monet saavat F5:n ensireaktion:Se on täysin erilainen kuin ajatus vaihteesta. Kädet.En tiedä. Sen kokoonpanologiikka on toinen järjestelmä.

kohtaus: Two Web Servers External Services, IP 192,168,192.10-20/24, edellyttää kuorman tasapainottamista ekstranetin osoitteen 192,168.27.100 80 sataman kautta.

Yksinkertaisin kuormatase vaatii kolme muuttujaa ja suhteet on kerrostettu:

• Solmu: Minimi määritelmä, jokainen palvelin on solmu
• Yhteenliittymä: ryhmä nodes, joka vastaanottaa ja käsittelee liikennettä, kuten Web-palvelimen joukko
• Virtuaalipalvelin (virtuaalinen palvelin): Ulkosisäänkäynti, liittyy allas

Tietovirrat: Asiakaspalvelin → Uima-allas → Node.

BIG-IP-hallintaliittymä:

• Vaihe 1: Aktivoi laiteEn tiedä. Aktivoikaa F5. Opas on yksinkertainen, mutta muista.Varmista, että se on yhteydessä. Parasta olla valmis ennen kuin menet ylös.- Se on kokemus.
• Vaihe 2: KirjautuminenEn tiedä. Selain avaa https://ManagingIP oletussalasanalla
• Vaihe 3: Rivi VLANEn tiedä. Verkko & VLANs, luo VLAN ja lisää rajapinnat (tarkistettu)
• Vaihe 4: Match IPEn tiedä. Verkostot →Self IPs, määrittele jokainen VLAN-osoite
• Vaihe viisi: TielinjatEn tiedä. Verkot →Routes, oletusportit tai staattiset reitittimet
• Vaihe 6: Yhteensopiva ryhmäEn tiedä. Local Trade → Virgin Servers → Pooleja, joiden nimi, terveystarkastus (esim. TCP), kuormitusalgoritmi (esim. havaittu-jäsen havainto), todellinen palvelimen IP ja portti
• Vaihe 7: VirtuaalipalvelinEn tiedä. Local Traffic → Virtuaalipalvelimet, jotka liittyvät edellä mainittuun pooliin, vuorovaikutteisesti (yhteinen Rundrobin)
• Vaihe 8: Yhteensovitetaan monitorin kanssaEn tiedä. Paikallinen liikenne → Tarkkaile, tarkista palvelinten terveys ja yhteys Pool
• Vaihe yhdeksän: Match RedundantKaksoisirtisanomista.

VI. Virtuaalipalvelimen avainparametrit

F5:n ytimessä on Virtual Server, ja useat parametrit ovat ongelmallisia ilman huomiota.

VS-tyyppi, kolme yleistä tyyppiä:

• Suorituskyky L4: Puhdas neljä kerrosta huolinta, TMM on vain vastuussa yhteyden jakelusta muuttamatta TCP-parametreja, ja asiakas on kytketty palvelimelle klo 1:1. Välitysasteet ovat korkeita ja yleisiä yrityksissä. Vähentääkseen vaikutuksia sovelluksiinJos voit, saat tämän.
• Standardi VS: Asiakas on täysin riippumaton palvelimen TCP-yhteydet. Tarvitaan seitsemän kerrosta toiminnallisuutta (evästeistuntojen ylläpito, istunnon ID ylläpito, Otsikkohuolto, tapahtumapohjainen pitkä yhteys split, SYN hyökkäyssuojaus). Huomautus:Sen satamat ovat aina avoimia yleisölle.- Vaikka solmun takaosa on alhaalla, Telnet voi silti tavoittaa VIP 80-portin, mutta sivua ei voi avata. Käytä tätä tarkistaaksesi vian.
• Lähetys IP: Sisäisen ja ulkoisen verkkoyhteyden osalta ei Pool-jäsentä eikä paikallisen reitin mukaan tapahtuvaa välittämistä. Oletuksena F5:llä ei ole reittitoimintoa ja reittitoiminnon avaamiseen tarvitaan täysi 0 VS

Aikalisä, asettukaa.Tämä on oikea kuoppa. UDP-yhteyttä ei hyväksytä VS:ssä, jos se vastaa TCP-profiilia. Lisää huomiota Idle Timeout arvo tcp ...Täytyy toimia palvelimen kanssa.En tiedä. Jos F5 on asetettu 150 sekunnille ja IIS-palvelin 300 sekunnille, tulee olemaan paljon virheitä. Puhutaan ajasta.

Osoite/Port Transport: Oletukset ovat saatavilla. VS IP ja todellinen kone IP avoin Port Transport kun 8080 satama VS vastaa todellista osoitetta.

SNAT AutoMap: Pyyntö mennä, josta VLAN SNAT lähdeosoite on Self IP VLAN. Kun VLAN on useita Self IPs, sitä käytetään pyörivällä perusteella.

VII Miksi täytyy ymmärtää Talks...

Tämä on käsite, joka on helpoimmin unohdettu ja helposti alttiina kuormatase.

Sähköasentajien ja online-sertifioinnin kaltaisissa järjestelmissä asiakkaalla on useita vuorovaikutussuhteita liiketoimen suorittamiseksi. Nämä ovat vuorovaikutuksessa.Läheltä piti.Kun palvelin käsittelee toisen vaiheen, on usein tarpeen tietää ensimmäisen vaiheen tulos. Tämä edellyttää kaikkea tätä vuorovaikutusta.Se on tehtävä samalla palvelimella., ei voida levittää eri koneiden kuorman tasapainottimet.

Sitä tarkoittaa keskustelu. F5 Yhteyden kautta vaihtoehtoja ovat:

• LähdeosoiteMuu järjestäjä
• Cookie, odota.:F5 Lisää istuntoeväste automaattisesti, yleisimmin 7. kerroksessa
• SSL- istunnon tunnisteen ylläpito: Käytä uudelleen SSL-istuntoa
• Organisaatio: Tukea useita ylitöitä ja matching sääntöjä

Mitä vikaa siinä on? Käyttäjä lisäsi tavarat ostoskoriin ja päivitti ne . Tällaista köyttä on vaikea jäljittää.

VIII Joitakin epämukavia toiminnallisia yksityiskohtia

Lopuksi, valita pari muuta ihmistä, jotka astuivat kuoppia ja tulla suoraan päätökseen:

• Sinun täytyy valita taso terveystarkastus.: katso vain TCP kädenpuristus, palvelinportti on elossa, mutta sovellus on ripustettu ja lähetetty; tarkistaa sovelluskerroksen, HTTP tyyppi Monitor / toimilaite / terveys käyttöliittymä
• Palomuuri tehdä voileipä.: Yksi palomuuri pyrkii saavuttamaan vain 30% radan nopeudesta. Mutta palomuuri vaatii tietoja mennä sisään ja ulos, muuten yhteys evätään - F5-palomuurin kuorman tasapainoratkaisu ratkaisee tämän ongelman ja saavuttaa jatkuvuuden läpinäkyvä laitteiden
• SSL:n käyttöönotto on läänin keskusyksikön johtajaSallii F5:n käsitellä HTTPS-kättelyjä ja salauksen purkamista. Backend Java -sovellus käsittelee vain HTTP-sovellusta, suorituskykyä parannetaan selvästi
• Teemme painetestin ennen kuin ehdimme.: Neljä kerrosta ovat nopeita, mutta jos sinulla on kokous neljässä kerroksessa VS, se on käyttöönotto valtion ja esityksen odotetaan jatkuvan. Hyvä on.
• Hallintaindikaattorit kolmelle.: allas tila, virtuaalinen palvelimen läpimeno, solmukohta terveystilanne
• Irtautumiskomento: tmsh show ltm cool < pool-name>, tmsh show ltm virtuaalinen <vs-name>

Lopussa.

Kuormatase näyttää olevan ... lähettävä laite. Se on itse asiassa koko arkkitehtuurin kriittisin kohta. Se sopii hyvin yhteen. Käyttäjät eivät tunne sitä. Olet puhelimessa keskellä yötä.

Nyt, alla aalto pilviä, ohjelmistot LVS, Nginx, HAProxy ovat täysin riittäviä pienissä ja keskisuurissa asetuksissa, joilla on selkeitä kustannusetuja. Lyhyellä aikavälillä ei kuitenkaan voida korvata keskeisiä tulokohtia, joihin liittyy rahoitusta, arvopapereita, suuria sähköoperaattoreita, laitteiston kuormitusta koskevan tasapainon arvoa vakauden kannalta, millisekunnin mittakaavan vaihtoa, yhden luukun turvaominaisuuksia.

Mitä tulee nimeen "F5," prosessi, jossa siirrytään yrityksestä luokkaan, kertoo itse, kun tuotetta käytetään verbinä, se on voittanut markkinat.

Neljä kerrosta tienviittoja, seitsemän kerrosta paketteja, neljä esitystä, seitsemän kerrosta työtä.

Viite: F5 BIG-IP LTM Viralliset tiedot, Web Diffuusio ja hallinta F5 Load Balance Case, 4/7 Layer Load Balance Tekniikan vertailu