Timbang na Pasan: kilala rin bilang F5, at tunay na paglalarawan ng kaso

Halos walang salita — balanse ng karga — ang magagamit upang ihatid ang seguridad sa pagpapanatili ng kapayapaan. At pagdating sa pagkarga ng balanse, ang unang aparato na lumalabas sa maraming isipan ay ang "F5". Kapansin-pansin, ang F5 ay aktuwal na isang pangalan ng kompanya, ngunit dahil sa ang produkto nito ay napakasikat, ito ay unti-unting nagiging isang proxy para sa load balancer, tulad ng "100 degrees" ay nagiging isang search proxy.

At dito nag-iiba ang F5, kung saan ang apat at pitong patong, kung saan angkop ang tunay na eksena.

Ano ba talaga ang timbang na pasan?

Ang pagiging timbang ng pasan, na pangunahin nang isang atas na iniatas sa maraming operating unit — gaya ng Web server, ang FTP server, ang pundamental na application server — upang isagawang magkasama ang gawain.

Mula sa teknikal na punto de vista, ipinakikita nito ang isa sa labas.Maliit na adres ng serverHindi ko alam. Kapag sumali ang gumagamit, inililipat nito ang koneksyon sa pinakaangkop na tunay na server sa pamamagitan ng isang dalawahang-way network address (NAT). Laging nakikita ng mga gumagamit ang iisang pasukan, sa likuran nila ay isang kumpol ng mga makina.

Nilulutas nito ang tatlong bagay:Takot na mawalan ng pagkakataon.( isang punto na bigo)Natatakot ako na hindi ko ito makayanan.(Pagtatanghal ng mga bottleneck),Natatakot akong hindi ito lumaki.(Hindi maaaring lumaki nang pahalang).

Ika - 2, ika - 4 na palapag, ika - 7 palapag: ang pinakamadaling lugar na paghaluin

Ang pinaka - buod ng pagkakaiba ay isang pangungusap:Kung i-parse ang application layer protocolHindi ko alam. Ang pagkakaibang ito ay direktang nagtatakda ng mga hangganan ng kapasidad at pagsasagawa.

Apat na Pagkakatimbang ng Layer na Pasan (Pangungunahin ang Layer)

Pagtaas sa Trabaho: OSI Level 4, TCP/UDP protocol
Iba Pang OrganiserSource IP, target na IP, port number - huwag hawakan ang application data
Nakipagpaligsahan ang CorePort forwarding, TCP connection reuse, four-layer health check (TCP pakikipagkamay), saligang proteksiyon ng DDOS
Kakayahan: Napakahusay na relay, papalapit sa limitasyon ng hardware, mikrose second antala
Karaniwang eksena: Datatabase (MySQL/Redis), serbisyo ng TCP (playserver, Netty service), cross-house link load
Kinakatawan ang mga produktoLVS, F5 (apat-layer mode), HAProxy (apat na-layer mode), Nginx (stream module)

7 Pagiging Timbang ng Layer sa Pasan (Application Layer)

Pagtaas sa Trabaho:OSI 7th Floror, HTTP/HTPS, DNS, FTP atbp.
Iba Pang OrganiserURL, Cookie, HTTP header, humiling ng mga parameter, nilalaman ng JSON
Nakipagpaligsahan ang CoreBatay sa nilalamang paglupig, ang SSL unmounting, cache, limitadong pagtutunaw ng daloy, pagsasanib ng WAF, pagpapanatili ng sesyon, paglabas ng greyscale
Kakayahan: functional, ngunit may bahagyang mas mataas na pagkaantala (ms) upang punan ang paglaki ng kumpol
Karaniwang eksenaWeb Rescriptions, Microservices API, HTTPS Services, Greyscale Dissemination, API Gateway
Kinakatawan ang mga produktoNginx, HAProxy (Seven Layer Mode), F5 (Seven Layer Module), Kong, Spring Cloud Gateway

Isang salita.: Apat na palapag upang basahin ang karatula (IP at port) at pitong palapag upang buksan ang pakete (tingnan ang nilalaman) at magpasiya kung saan ito ipadadala. Upang makapili ng apat na palapag, ito ay magkakahalaga sa iyo ng pito.

Tatlo, F5 BIG-IP, nasaan ito?

BIG-IP LTM, opisyal na pangalanAng lokal na propulsion manager, gumawa ng 4-7 layer load balance. Ito'y hindi lamang isang transponder, kundi ito'y may mahabang listahan ng mga gawain: pagpapalit ng aplikasyon, sesyong pagpapalit, pagsubaybay ng katayuan, katalinuhan NAT, unibersal na pagpapatuloy, pagproseso ng tugon, IPv6 na tarangkahan, makabagong ruta, SSL Scread, smart HTTP compression, TCP optimisasyon, pag - iingat ng nilalaman, Cookie encryption, paglalagay ng mga pansala ng pagsalakay, DoS at SYN Floodon, pagsaksak ng apoy...

Pumili ng ilan sa pinakapraktikal na mga salita:

Multi-chain load balance at redundancy

Ang mga pangunahing operasyon ay kadalasang kinasasangkutan ng maramihang mga linya ng ISP upang matiyak ang kalidad at alisin ang mga pagkabigo ng isang punto. May dalawang direksiyon:

SEGBOUND na trapiko(Inline access): Ang BIG-IP LC ay nag-aatas ng katalinuhan sa trapiko sa iba't ibang mga interface sa Internet at gumagawa ng source address NAT
Nagsisikip na trapiko(Extranet access: pagtatali sa dalawang ISP public address, pagpapahina sa dalawang kahilingan ng ISP DNS, pagtugon sa server health at RT time intelligence

2. Balance ng server

Sa pamamagitan ng mga serbisyong panlabas ng VIP (Virtual IP, na binubuo ng mga IP adres at mga daungan ng TCP/UDP), ang target na server ay patuloy na inilalaan ng L4 hanggang L7. Minsang matagpuan ang isang hindi gumaganang server, ito ay inaalis sa grupong balance ng karga. Nagpapahintulot din ito sa mga iRule na buksan ang paketeng TCP/UDP at i-custom ito na may nilalamang tampok - halimbawa, sa pamamagitan ng URL upang idirekta ang trapiko sa iba't ibang server.

3. Makukuha ang mataas na sistema

Ito ang F5 pinakamahusay na lugar para sa suntok. Dalawang paraan ng redundancyPangalawang pagbabago(Karamihan sa 200 m), na tinatawag na 99.99% ang makukuha. Ang prinsipyo ay kapag ang lahat ng mga sesyon ay dumadaan sa aktibong aparato, ang mga impormasyon sa sesyon ay dinadaglat sa backup device sa pamamagitan ng pagtutugma ng mga linya ng datos - kaya ang user access ay hindi naaabala kapag nagreresulta. Ang panaklong ng bantay sa aparato ay sumusubaybay sa mga frequency ng bawat isa sa pamamagitan ng tibok ng puso, at aktibong nakabitin at agad na ipinaaalam kay Backup na pangasiwaan ang kabahaging IP at VIP.

Ginagamit ng BIG-IP ang mga prinsipyo ng disenyo ng firewall.Pagtanggi sa PagbagsakHindi ko alam. SYN proteksyon laban sa mga SYN attacks nang walang ACK. Mabisang inaalis ng Dynamic Reharning tampok nito ang walang - saysay na koneksiyon sa pagsalakay ng DosPabilisin nito ang di - pagkakaugnay - ugnay habang dumarami ang mga pagsalakay.Mahirap iyon. Ang paantalang teknolohiyang Bindering ay nagbibigay ng back-end servers komprehensibong SYN Flood proteksyon.

Pag - abuso sa SSL

Ang bawat BIG-IP ay may isang SSL hardware hardware chip at isang License na may 100 TPS na walang kahit isang bayad. Kailangan lamang itong palawakin at i-upgrade.

Apat, F5, o Nginx? Pumili ng Pagkakaiba

Ito ang pinakamadalas itanong. Ang dalawa ay hindi nakikipagkompetensiya; sila ay higit na nagtutulungan.

F5 BIG-IP (hardware)

Panggagaya: Pantanging kagamitang de - hardware (kasali na ang mga hiniwang chip)
Performance: Milyong-degree TCP connection, microsecond forward antala
Function: Full Power - 4th + 7th Layer, SSL Unmount, DDOS Protection, WAF, VPN, Chain Pasan
Reliable: Hardware redundancy (dobleng init), 99.99% magagamit
Halaga: mataas (sa daan - daang libo hanggang milyun - milyon) at nangangailangan ng pagmamantini ng propesyonal na mga inhinyero
Extension: Depende sa hardware upgrades, mababang pakikibagay
Transportasyon: Masalimuot, pamilyar sa proprietary configuration interfaces at CLI

Nginx (Software)

Pattern ng deployment: software, tumatakbo sa isang karaniwang server o cloud host
Performance: Level 100,000 TCP connection, millisecond antala, cluster expansion
Function: Light Efficiency - 7 Ang mga Layer ay nasa gitna, sumusuporta sa 4 Layer, SSL unmounting, cache, limitadong daloy, baligtad na agent
Relibilidad: Pangangailangan para sa manwal na double-heat (Pananatiling Buháy) pananalig sa katatagan ng server hardware
Halaga: Walang bayad ang open source at mas mababa ang bayad sa Nginx Plus
Extension: suporta sa paglalagay ng kumpol, nababaluktot na paglawak ng ulap sa kapaligiran
Larawan: Simple, madaling basahin ang mga talaksan ng pagsasaayos, mabilis na dulo ng mga inhinyero

Pumili ng paraan, sundan ito:

Mataas maging ang serbisyo ng TCP (play, furity)+ Lubhang madaling makuha F5. Apat.
Core business portal + mga kahilingan ng seguridad (WAF/DOS) F5. Pito.
Microservice API gate + maulap na kapaligiran Ika - 7 palapag ng Nginx
Datatabase/Redis Pasan + Mataas na Halaga Nginx, ikaapat na palapag.
Maliit at medium-sized na mga operasyon + mabilis na it Nginx (4/7 palapag)
Enterprise Data Centre + Multilink F5 para sa portal, Nginx para sa panloob na kargang serbisyo

Ang huling kombinasyon ay karaniwan sa malaki at medium-sized na mga halaman - F5 Nation Watch, Nginx internals.

Mga kaso ng V. Field: kung gaano kalaki ang kaayusang F5

Maraming tao ang nagkakaroon ng unang reaksiyon ng F5:Ibang - iba ito sa ideya ng switchboard. Kamay.Hindi ko alam. Ang lohika nito sa pagsasaayos ay isa pang sistema.

eksena: Dalawang Web Servers External Services, IP 192,168,192.10-20/24, ay nangangailangan ng pagbabalanse ng karga sa 80 port ng extranet address 192,168.27.100.

Ang pinakasimpleng balanse ng karga ay nangangailangan ng tatlong parameter at ang mga relasyon ay patong-patong:

Node (node): Minimum depinisyon, bawat server ay isang Node
Tubig: isang grupo ng mga Node na tumatanggap at nagpoproseso ng trapiko, tulad ng Web server set Group
Malapit na Server (tagapagsilbi): Labas na pasukan, na nauugnay sa Pool

Dumadaloy ang Data: Client Server → Pool → Node.

interface ng BIG-IP:

Hakbang 1: Isagawa ang aparatoHindi ko alam. Kunin ang F5. Activate. Ang giya ay simple, subalit tandaan.Tiyaking ito'y magkakaugnay. Mas mabuti ang gawin bago ka umahon.- Isa itong karanasan.
Hakbang 2: LoginHindi ko alam. Browser Opens https://ManogingIP na may default username passwords
Hakbang 3: Row VLANHindi ko alam. Network & VLANs, lumikha ng VLAN at magdagdag ng mga interface (checked)
Hakbang 4: Match IPHindi ko alam. Mga Network → Mga IP, bigyang - kahulugan ang bawat direksiyon ng VLAN
Ikalima: Mga traylineHindi ko alam. Mga Network →Routes, na may default na mga pintuan o static na mga ruta
Hakbang 6: Pag - amoy sa PoolHindi ko alam. Local Trade → Virgin Servers → Pool, na may pangalan, pagsusuring pangkalusugan (hal. g. TCP), kargang algorithm (hal. g. napagmasdang-member view), tunay na server IP at port
Hakbang 7: Halos Makapaglingkod NaHindi ko alam. Local Traffic →Mga Seryeng pang-internasyunal, kaugnay ng nabanggit na Pool, sa isang rotasyonal na batayan (karaniwang RundRobin)
Hakbang 8: Match kasama ng MonitorHindi ko alam. Local Traffic → Monitors, suriin ang kalusugan ng server at makipag - ugnayan sa Pool
Ikasiyam: Match RendanteDalawang ulit na redundancy.

VI. Mga Pangunahing Parameter Para sa Halos Server

Sa pusod ng F5 ay ang Virtual Server, at ilang parameters ay problematic nang walang atensiyon.

Uri ng VS, tatlong karaniwang uri:

Performance L4: Dalisay na apat na patong ng forwarding, ang TMM ay tanging responsable sa distribusyon ng koneksyon nang hindi nagbabago ng TCP parameter, at ang kliyente ay konektado sa server sa 1:1. Ang mga relay rate ay mataas at karaniwan sa mga negosyo. Upang mabawasan ang epekto sa mga aplikasyon,Kung magagawa mo, maaari mong taglayin ito.
Pamantayang VS: Ang Client ay ganap na independiyente sa mga koneksiyong server TCP. Pitong patong ng functionality ay kinakailangan (Cookie session maintenance, Session ID maintenance, Header maintenance, transaksyon-based mahabang koneksyon split, SYN attack proteksyon). Pansinin ang isang katangian:Laging bukas sa publiko ang mga daungan nito.-Kahit na ang backend ng Node ay mababa, ang 80 port ng VIP ay mararating pa rin ng Telnet, ngunit ang web page ay hindi maaaring buksan. Gamitin ito upang masuri ang kabiguan.
Pagsulong ng IP: Para sa internasyunal at panlabas na koneksiyon ng network, walang Pool Member, at forwarding depende sa lokal na ruta. Sa default, ang F5 ay walang pagpapatakbo ng ruta at ang isang buong 0 VS ay kailangan upang buksan ang eleksyon ng ruta

Orasan, tugmaan.Ito ang tunay na hukay. Ang koneksyong UDP ay hindi tatanggapin sa VS kung ito ay tumutugma sa TCP Profile. Higit na pansin sa Idle Timeout na halaga sa tscp...Kailangang gumawang kasama ng server.Hindi ko alam. Kung ang F5 ay nakatakda sa 150 segundo, at ang IIS server ay 300 segundo, magkakaroon ng maraming pagkakamali. Pag - usapan natin ang tungkol sa oras.

Pangungusap/Port na Transportasyon: May makukuhang mga default. VS IP at tunay na makina IP open Port Transport kapag ang 8080 port ng VS ay katumbas ng aktuwal na address.

SNAT AutoMap: Pakiusap na pumunta kung saan VLAN ang SNAT source address ay ang Self IP sa VLAN. Kapag ang isang VLAN ay may multiple Self IPs, ito ay ginagamit nang paliko.

VII. KUNG BAKIT KAILANGANG MAUNAWAAN ANG PAGTUTOK NG TALKS”

Ito ang konsepto na pinaka madaling kaligtaan at pinakamadaling mabunyag sa balanse ng karga.

Sa mga sistema na gaya ng mga elektrisyan at mga sertipikasyon sa Internet, ang isang parokyano ay maraming interaksiyon upang makumpleto ang isang transaksiyon. Ang mga ito ay nag - uugnay - ugnay.May malapit na kaugnayan.— Kapag ginawa ng server ang ikalawang hakbang, kadalasang kailangang malaman ang kalalabasan ng unang hakbang. Ito ay nangangailangan ng lahat ng interaksiyong ito.Kailangan itong gawin ng iisang server., hindi maikalat sa iba't ibang makina sa pamamagitan ng mga tagabalanse ng karga.

Iyan ang ibig sabihin ng patuloy na pag - uusap. F5 Sa pamamagitan ng Pag - uugnay, kalakip sa mga mapagpipilian ang:

Napanatili ang Pinagmulan na mga PahayagIba Pang Organiser
Cookie, manatili.:F5 Auto-insert Session Cookie, pinakamadalas sa ika-7 palapag
Ganito ang sabi ng SSL Session ID: Gumamit muli ng SSL Session
Organisyon: Suportahan ang maraming obertaym at ang katugmang mga tuntunin

Ano ang problema rito? Idinagdag ng gumagamit ang mga paninda sa kariton sa pamimili at pinanariwa ang mga ito — sapagkat ang kahilingan ay ibinigay sa ibang server. Ang ganitong uri ng kabiguan sa linya ay napakahirap tuntunin.

VIII. Ilang di - kombinyenteng detalye ng operasyon

Sa wakas, pumili ng dalawa pang tao na tumuntong sa mga hukay at agad na naghinuha:

Kailangan mong piliin ang antas ng pagpapatingin sa kalusugan.: manood TCP pakikipagkamay lamang, ang daungan ng server ay buháy subalit ang aplikasyon ay nakasabit at pasulong; upang suriin ang sapin ng aplikasyon, gamitin ang HTTP type Monitor/actuator/health interface
Firewall para gumawa ng sandwich.: Ang isang solong firewall ay may tendensiyang umabot lamang sa 30% ng bilis ng linya. Subalit ang firewall ay nangangailangan ng impormasyon upang makapasok at lumabas, kung hindi ang koneksiyon ay pinagkakaitan - Ang F5 firewall na timbang na solusyon ay nakalutas sa problemang ito at nagkakaroon ng patuloy na pag - iral ng naaaninag na kagamitan
Ang SSL unmounting ay ang pinuno ng panlalawigang CPUPinapahintulutan ang F5 na pangasiwaan ang mga pakikipagkamay at pag - aalis ng HTTPS. Backend Java applications lamang hawakan ang HTTP, ang pagganap ay malinaw na pinabubuti
Susubukan natin ang pressure test bago natin magawa ito.: Apat na palapag ang mabilis, subalit kung mayroon kang pulong sa apat na palapag ng VS, ito ang pagpapakilala ng isang estado at pagtatanghal na inaasahang magpapatuloy. Magaling.
Control indicators sa tatlo.: Kalagayan ng pool, birtwal na server sa pamamagitan ngput, nodal na kalagayang pangkalusugan
Utos Tungkol sa Pagsuway: tmsh show ltm cool <pool-name>, tmsh show ltm virtual <vs-name>

Sa katapusan.

Ang pagkakatimbang ng kargada ay waring isang “transmitting device”, na sa katunayan ay nakatayo sa pinakamapanganib na punto sa buong arkitektura — kung saan ang lahat ng trapiko ay kailangang dumaan. Magandang posporo ito. Hindi ito nararamdaman ng mga gumagamit nito; ito ay isang masamang posporo. Nasa telepono ka sa hatinggabi.

Ngayon, sa ilalim ng alon ng ulap, ang mga programa ng software na LVS, Nginx, HAProxy ay ganap na sapat sa maliit at medium-sized settings, na may maliwanag na halaga ng mga bentaha. Gayunman, ang mga core entry point na kinasasangkutan ng pananalapi, mga seguridad, mga malalaking operator ng kuryente, ang halaga ng hardware load balance sa mga termino ng katatagan, millisecond-scale switching, isang-stop security na kakayahan, ay hindi maaaring palitan sa maikling termino.

Kung tungkol naman sa pangalang "F5", ang proseso ng pagbabago mula sa isang kompanya tungo sa isang klase ay mismong nagsasabi — kapag ang isang produkto ay ginamit bilang isang pandiwa, ito ay nanalo sa pamilihan.

Apat na palapag ng mga karatula sa daan, pitong palapag ng mga pakete, apat na palapag ng pagtatanghal, pitong palapag ng trabaho.

Reference: F5 BIG-IP LTM Official Information, Web Difision and Management F5 Pasan Balance Case, 4/7 Layer Pasan Balance Technology Paghahambing