Lastebalanse LoadBalance: også kjent som F5, og ekte case beskrivelse

Nesten ikke noe ord — belastningsbalanse — kan brukes til å transportere fredsbevaring. Og når det gjelder belastningsbalanse, er den første enheten som kommer ut av mye sinn. Interessant nok er F5 faktisk et selskapsnavn, men fordi produktet er for kjent, blir det sakte en proxy for lastebalansen, som "100 grader" blir en søkeproxy.

Og det er her F5 er, hvor de fire og syv lagene er forskjellige, hvor den virkelige scenen passer.

I. Hva er nøyaktig belastningsbalanseløsningen?

Last Balance, som i hovedsak er en oppgave som tildeles flere driftsenheter - for eksempel webserveren, FTP-serveren, bedriftens kritiske programserver - å utføre arbeidet sammen.

Fra et teknisk synspunkt viser det en utenfor.Virtuell serveradresseJeg vet ikke. Når brukeren blir medlem, overfører den tilkoblingen til den mest passende ekte serveren gjennom en toveis nettverksadresse (NAT). Brukere ser alltid den samme inngangen, bak dem en rekke maskiner.

Det løser tre ting:Frykt for tap av muligheter.(ettpunktssvikt)Jeg kan ikke håndtere det.(ytelsesflasker),Jeg er redd den ikke vil utvide seg.(Kan ikke utvides horisontalt)

2., 4. etasje, vs 7. etasje: det enkleste stedet å blande

Kjernen i forskjellen er én setning:Om programlaget skal tolkesJeg vet ikke. Denne forskjellen bestemmer direkte kapasitetsgrenser og ytelse.

Fire lag belastning balanse (transmitterende lag)

Arbeidsnivå:OSI nivå 4, TCP/UDP protokoll
Andre arrangørerKilde IP, mål IP, portnummer - ikke rør på brukte data
KjernekompetansePortvideresending, TCP-forbindelsesgjenbruk, firelags helsekontroll (TCP-håndtrykk), grunnleggende DDoS-beskyttelse
Ytelse: meget effektiv stafett, nærmer seg maskinvaregrense, mikrosekund forsinkelse
Typisk scene: Database (MYSQL/Redis), TCP-tjeneste (spilleserver, Netty-tjeneste)
Representere produkterLVS, F5 (fire lag), HAProxy (fire lag modus), Nginx (strømmodul)

7 Layer Load Balance (Application Layer)

Arbeidsnivå: OSI 7. etasje, HTTP/ HTTPS, DNS, FTP etc.
Andre arrangørerURL, Informasjonskapsler, HTTP-hode, forespørselsparametere, JSON-innhold
KjernekompetanseBasert på innholdsrouting, SSL-avmontering, cache, begrenset strømningssmelting, WAF-integrasjon, økt vedlikehold, gråskalautgivelse
Ytelse: funksjonell, men med en litt høyere forsinkelse (ms) for å kompensere for ved klyngeutvidelse
Typisk sceneWebapplikasjoner, Microservices API, HTTPS Services, Gråskaladissement, API Gateway
Representere produkterNginx, HAProxy (Syv lagmodus), F5 (Syv lagmodul), Kong, vårskygateway

Ett ord.: Fire etasjer for å lese skiltet (IP og port) og syv etasjer for å åpne pakken (se innhold) og bestemme hvor du skal sende det. For å kunne velge fire etasjer vil det koste deg syv.

Tre F5 BIG-IP, hvor er den?

BIG-IP LTM, offisielt navnLokal flytleder, gjør en 4-7 lag belastningsbalanse. Det er ikke bare en transponder, men den har en lang liste over funksjoner: applikasjonsutveksling, øktutveksling, statusovervåkning, intelligens NAT, universell kontinuitet, responsfeilbehandling, IPv6-gateway, avansert rute, SSL-akselerasjon, smart HTTP-komprimering, TCP-optimering, innholdsbuffer, Cookie-kryptering, bruk av angrepsfilter, DoS og SYN-flodbeskyttelse, brannmurfiltrering...

Velg noen av de mest praktiske ordene:

Lastebalanse og redundans

Nøkkeloperasjoner involverer ofte flere ISP-linjer for å sikre kvalitet og eliminere enkeltpunktsfeil. Det finnes to retninger:

Utebygd trafikk(Inline adgang): BIG-IP LC tildeler trafikkintelligens til ulike Internett-grensesnitt og gir kildeadresse NAT
INBound trafikk(Ekstranett tilgang: binde to ISP offentlige adresser, dekomponere to ISP DNS-forespørsler, svare på serverens helse og RTT-tid intelligens

2. Server lastbalanse

Gjennom VIP (Virtual IP, bestående av IP-adresser og TCP/UDP-porter) eksterne tjenester, er målserveren kontinuerlig utstyrt med L4 til L7. Når en funksjonsfeilserver er funnet, fjernes den fra lastebalansegruppen. Den lar også iRules åpne TCP/UDP-pakken og tilpasse den med innholdsfunksjoner - for eksempel via URL for å lede trafikk til ulike servere.

3. Høy system tilgjengelighet

Dette er det beste stedet å blåse på. Dobbel redundansmodusMillisecond overgang(Mest enn 200 ms), kalt 99.99% tilgjengelighet. Prinsippet er at når alle økter passerer gjennom den aktive enheten, synkroniseres sesjonsinformasjonen til sikkerhetskopienheten ved å synkronisere datalinjene -- slik at brukertilgang ikke avbrytes når du bytter. Watchdog-chippen i enheten overvåker hverandres frekvenser gjennom et hjerteslag, og Active henger opp og informert Backup umiddelbart for å ta over delt IP og VIP.

4. Sikkerhet

BIG-IP bruker brannmurdesignprinsipper.Standard NektJeg vet ikke. SYN beskyttelse mot SYN angrep uten ACK. Dynamic Reaping-funksjonen fjerner effektivt den inaktive tilkoblingen i DoS-angrepet, ogDet vil øke frakoplingshastigheten etter hvert som antall angrep øker.Det er vanskelig. Forsening Binding teknologi gir back-end servere omfattende SYN Flood beskyttelse.

SSL- akselerasjon

Hver BIG-IP har en SSL maskinvareakselerasjonschip og en lisens med 100 TPS uten en enkelt avgift. Det må bare utvides og oppgraderes.

Fire, F5 eller Nginx? Velg kontrast

Dette er det vanligste spørsmålet i praksis. De to er ikke konkurransedyktige; de er mer komplementære.

F5 BIG-IP (hardware)

Distribusjonsmønster: Spesialt maskinvareutstyr (inkludert tilpassede chips)
Ytelse: Million-grad TCP-tilkobling, microsecond forover forsinkelse
Funksjon: Full effekt - 4. + 7. lag, SSL avmontert, DDoS beskyttelse, WAF, VPN, kjedelast
Pålitelighet: Hardware redundans (dobbelt varme), 99.99% tilgjengelighet
Kostnad: høy (i hundrevis av tusen til millioner) og kreves vedlikehold av profesjonelle ingeniører
Utvidelse: tillit til maskinvareoppgraderinger, lav fleksibilitet
Transport: Komplekse, kjent med proprietære konfigurasjonsgrensesnitt og CLI

Nginx (programvare)

Distribusjonsmønster: programvare, kjører på en felles server eller skyvert
Ytelse: Nivå 100.000 TCP-tilkobling, millisekund forsinkelse, klyngeutvidelse
Funksjon: Lys effektivitet - 7 lag er kjerne, støtter 4 lag, SSL avmontering, cache, begrenset strøm, omvendt agent
Pålitelighet: Trenger manuell dobbelvarme (Keeved) avhengighet av serverens maskinvarestabilitet
Kostnad: Åpen kilde er gratis og Nginx Plus avgifter er lavere
Forlengelse: Støtte til utplassering av klynger, fleksibel skymiljøutvidelse
Portrett: enkle, enkle å lese konfigurasjonsfiler, rask bakside ingeniører

Velg en måte, bare følg den:

Høy TCP-tjeneste (spill, verdipapirer)+ ekstrem tilgjengelighet F5. Fire.
Core Business portal + sikkerhetskrav (WAF/DOS) F5.
Microservice API gateway + skymiljø implementasjon Nginx 7. etasje
Database/Redis Last + høy verdi Nginx, fjerde etasje.
Små og mellomstore operasjoner + rask iterativ Nginx (4/7 etasje)
Enterprise Data Centre + Multilink F5 for portal, Nginx for intern servicelast

Den siste kombinasjonen er vanlig ved store og mellomstore planter - F5 Nation Watch, Nginx interner.

V. Felt tilfeller: hvor mye F5-konfigurasjon er rundt

Mange får F5s første reaksjon:Det er helt forskjellig fra ideen om en bryter. Hender.Jeg vet ikke. Konfigurasjonslogikken er et annet system.

scene: To webservere Eksterne tjenester, IP 192.168,192.10-20/24, krever lastbalansering gjennom 80 porten til ekstranettadressen 192.168.27.100.

Den enkleste belastningsbalansen krever tre parametere og relasjoner er lagdelt:

Node (node)Minimum definisjon, hver server er en node
Basseng: en gruppe noder som mottar og behandler trafikk, som Web server sett Group
Virtuell server (virtuell server): Ekstern inngang, tilknyttet bassenget

Datastrømmer: Kundeserver → Basseng → Node.

BIG-IP-styringsgrensesnitt:

Trinn 1: Aktiver enhetenJeg vet ikke. Få F5. Aktiver. Guiden er enkel, men husk.Pass på at den er tilkoblet. Bedre å bli gjort før du går opp.- Det er en opplevelse.
Trinn 2: Logg innJeg vet ikke. Nettleser Åpner https://ManagingIP med standard brukernavn passord
Trinn 3: Rad VLANJeg vet ikke. Network & VLANs, lag VLAN og legg til grensesnitt (sjekket)
Trinn 4: Match IPJeg vet ikke. Nettverk →Self IPs, definere hver VLAN-adresse
Trinn 5: VeilinjerJeg vet ikke. Nettverk →Routes, med standard gateways eller statiske rutere
Trinn 6: Matching BassengJeg vet ikke. Lokal handel → Jomfruservere → Svømmebasseng, med navn, helsekontroll (f.eks. TCP), lastealgoritme (f.eks. observert medlemsobservasjon), ekte server-IP og port
Trinn 7: Å matche virtuell serverJeg vet ikke. Lokal trafikk → Virtuelle servere, assosiert med det ovenfor nevnte bassenget, på rotasjonsbasis (vanlig RundRobin)
Trinn 8: Match med skjermJeg vet ikke. Lokal trafikk → Skjermer, sjekk serverens helse og kontakt med basseng
Trinn 9: Match RedundantDobbel redundans.

VI. Nøkkelparametere for Virtual Server

I hjertet av F5 er den virtuelle serveren, og flere parametere er problematiske uten oppmerksomhet.

VS Type3 vanlige typer:

Performance L4: ren fire lag videresending, TMM er bare ansvarlig for tilkoblingsdistribusjon uten å endre TCP-parametre, og klienten er koblet til serveren på 1: 1. Relay rate er høy og er vanlig i bedrifter. å redusere virkningen på applikasjoner,Hvis du kan, kan du ha dette.
Standard VSKunden er helt uavhengig av TCP-forbindelser. Det kreves syv lag funksjonalitet (cookiess vedlikehold av sesjon, økt ID-vedlikehold, hovedvedlikehold, transaksjonsbasert lang forbindelsesdeling, SYN-angrepsbeskyttelse). Merk ett karakteristisk:Havnene er alltid åpne for publikum.- Selv om motoren til Node er nede, kan 80 porten til VIP fortsatt nås av Telnet, men nettsiden kan ikke åpnes. Bruk dette til å sjekke feilen.
Sender IPFor intern og ekstern nettverksforbindelse, ingen bassengmedlem og videresending avhengig av lokal rute. Som standard har F5 ingen rutefunksjon og en full 0 VS kreves for å åpne rutefunksjonen

Tidsavbrudd.Dette er den virkelige gropen. UDP-tilkoblingen vil ikke bli akseptert på VS hvis den passer TCP-profil. Mer oppmerksomhet til Idle Tidsavbrudd i tcp...Må jobbe med serveren.Jeg vet ikke. Hvis F5 er satt på 150 sekunder, og IIS-serveren er 300 sekunder, vil det være mange feil. La oss snakke om tid.

Adresse/havntransportStandard er tilgjengelig. VS IP og ekte maskin IP åpen porttransport når 8080 port av VS tilsvarer den faktiske adressen.

SNAT AutoMapForespørsel om å gå fra hvilken VLAN SNAT kildeadresse er Selv IP på VLAN. Når en VLAN har flere selv-IPs, brukes den på roterende basis.

VII. Hvorfor må det være nødvendig å undervurdere \"Keeping of Talks\"

Dette er konseptet som er lettere oversett og mest lett eksponert i belastningsbalansen.

I systemer som elektrikere og online-sertifisering, har en kunde flere interaksjoner for å fullføre en transaksjon. Disse samhandlingene.Nært forbundet.— Når serveren håndterer det andre trinnet, er det ofte nødvendig å vite resultatet av det første trinnet. Dette krever all denne interaksjonen.Det må gjøres av samme server., kan ikke spres over ulike maskiner med lastbalansatorer.

Det betyr å holde samtalen. F5 Gjennom Connectivity, alternativer inkluderer:

Kildeadresse vedlikeholdtAndre arrangører
Vent litt.:F5 Auto-innsett Sessionscookies, mest vanlig i 7. etasje
SSL-økts-ID opprettholder: Bruk SSL-økten igjen
Kalender:: Støtte flere overtid og samsvarende regler

Hva er galt med det? Brukeren la varene i handlekurven og oppdaterte dem — fordi forespørselen ble tildelt en annen server. Dette er svært vanskelig å spore.

VIII. Noen ukomfortable driftsdetaljer

Til slutt, velg et par andre mennesker som gikk på gropene og komme rett til konklusjonen:

Du må velge nivået på helsekontroll.: se TCP håndtrykk bare, serverporten er i live, men programmet er hengt opp og videresendt; å sjekke programlaget, bruk HTTP-type Monitor / aktuator / helse grensesnitt
Firewall å lage sandwich.En enkelt brannmur har en tendens til å nå bare 30% av linjens hastighet. Men brannmuren krever data for å gå inn og ut, ellers blir tilkoblingen nektet - F5 brannmur lastbalanse løsning adresserer dette problemet og oppnår kontinuitet i gjennomsiktig utstyr
SSL avmontering er lederen for den provinsielle CPUTillater F5 å håndtere HTTPS håndtrykk og dekryptering. Motor Java-applikasjonen håndterer bare HTTP, ytelsen er tydelig forbedret
Vi gjør en trykkprøve før vi kan gjøre det.: Fire etasjer er raske, men hvis du har et møte på fire etasjer i VS, er det introduksjonen av en tilstand og ytelse forventes å gjenoppta. Greit.
Kontrollindikatorer på tre.: bassenget status, virtuell server gjennomstrømning, nodal helsestatus
Avtakskommando: tmsh show ltm kul <pool-navn>, tmsh show ltm virtuell <vs-navn>

På slutten.

Lastebalansen ser ut til å være en “transmitterende enhet”, som faktisk står på det mest kritiske punktet i hele arkitekturen - som all trafikk må passere. Det er en god kamp. Brukerne føler det ikke; det er en dårlig kamp. Du er på telefonen midt på natten.

Nå, under bølgen av skyer, programvareprogrammet LVS, Nginx, HAProxy er fullt tilstrekkelig i små og mellomstore innstillinger, med klare kostnadsfordeler. Kjerneposter som involverer finans, verdipapirer, store elektriske operatører, verdien av maskinvarelastbalansen når det gjelder stabilitet, Millisecond-skalabrytere, one-stop sikkerhetskapasiteter, kan imidlertid ikke erstattes på kort sikt.

Når det gjelder navnet F, er prosessen med å bytte fra et selskap til en klasse i seg selv å fortelle - når et produkt brukes som verb, har det vunnet markedet.

Fire etasjer med veiskilt, syv etasjer med pakker, fire etasjer med ytelse, syv etasjer med arbeid.

Referanse: F5 BIG-IP LTM Offisiell informasjon, Web Diffusion og Management F5 Load Balance Case, 4/7 Layer Load Balance Technology Sammenligning