Saldo obciążenia LoadBalance: znany również jako F5, i prawdziwy opis przypadku

Prawie żadne słowo - bilans obciążenia - może być użyte do transportu bezpieczeństwa pokojowego. A jeśli chodzi o równowagę obciążenia, pierwszym urządzeniem, które wychodzi z wielu umysłów jest "F5". Co ciekawe, F5 to nazwa firmy, ale ponieważ jego produkt jest zbyt sławny, powoli staje się proxy dla balancera obciążenia, jak "100 stopni" staje się proxy wyszukiwania.

A tutaj jest F5, gdzie cztery i siedem warstw są różne, gdzie prawdziwa scena pasuje.

I. Co dokładnie rozwiązuje bilans obciążeń?

Load Balance, która jest zasadniczo zadaniem przypisanym do wielu jednostek operacyjnych - takich jak Web Server, FTP Server, enterprise critical application server - do wykonywania pracy razem.

Z technicznego punktu widzenia, pokazuje jeden na zewnątrz.Adres serwera wirtualnegoNie wiem. Kiedy użytkownik przystępuje, przenosi połączenie na najbardziej odpowiedni prawdziwy serwer poprzez dwukierunkowy adres sieciowy (NAT). Użytkownicy zawsze widzą to samo wejście, za nimi kilka maszyn.

To rozwiązuje trzy rzeczy:Strach przed utratą okazji.(awaria pojedynczego punktu)Obawiam się, że nie dam rady.(wąskie gardła wydajności),Obawiam się, że to się nie rozszerzy.(Nie można rozwijać poziomo).

2, 4 piętro, przeciw 7 piętrze: najprostsze miejsce do mieszania

Podstawą tego rozróżnienia jest jedno zdanie:Czy przetworzyć protokół warstwy aplikacjiNie wiem. Różnica ta bezpośrednio określa granice przepustowości i wydajność.

Waga obciążenia czterech warstw (transmitująca warstwa)

• Poziom pracy: Poziom 4 OSI, protokół TCP / UDP
• Inny organizatorŹródło IP, docelowy IP, numer portu - nie dotykajcie zastosowanych danych
• Kompetencje podstawowePrzekazywanie portów, ponowne użycie połączenia TCP, czterowarstwowa kontrola stanu zdrowia (TCP handshake), podstawowa ochrona DDoS
• Wydajność: bardzo wydajny przekaźnik, zbliża się limit sprzętu, mikrosekundowe opóźnienie
• Typowa scena: Baza danych (MySQL / Redis), TCP service (playserver, Netty service), cross-house link load
• Reprezentowanie produktówLVS, F5 (tryb czterowarstwowy), HAProxy (tryb czterowarstwowy), Nginx (moduł strumienia)

7 Równowaga obciążenia warstwy (warstwa aplikacji)

• Poziom pracy: OSI 7th Floor, HTTP / HTTPS, DNS, FTP itp.
• Inny organizatorURL, Cookie, Nagłówek HTTP, parametry żądania, zawartość JSON
• Kompetencje podstawoweOpierając się na routingu zawartości, rozmontowaniu SSL, pamięci podręcznej, ograniczonym topnieniu przepływu, integracji WAF, konserwacji sesji, uwolnieniu w skali szarości
• Wydajność: funkcjonalne, ale z nieco większym opóźnieniem (ms) w celu zrekompensowania rozszerzenia klastrów
• Typowa scenaAplikacje internetowe, Microsservices API, Usługi HTTPS, Rozpowszechnianie w skali szarości, Brama API
• Reprezentowanie produktówNginx, HAProxy (Seven Layer Mode), F5 (Seven Layer Module), Kong, Spring Cloud Gateway

Jedno słowo.: Cztery piętra, aby przeczytać znak (IP i port) i siedem pięter, aby otworzyć pakiet (zobacz zawartość) i zdecydować, gdzie go wysłać. Aby móc wybrać cztery piętra, będzie cię to kosztować siedem.

Trzy, F5 BIG-IP, gdzie to jest?

BIG- IP LTM, oficjalna nazwaLokalny menedżer przepływu, tworzy 4- 7 warstwa bilansu obciążenia. Jest to nie tylko transponder, ale posiada długą listę funkcji: wymiana aplikacji, wymiana sesji, monitoring stanu, inteligencja NAT, uniwersalna ciągłość, przetwarzanie błędów reakcji, bramka IPv6, zaawansowana trasa, przyspieszenie SSL, inteligentna kompresja HTTP, optymalizacja TCP, bufor zawartości, szyfrowanie plików cookie, stosowanie filtra ataku, ochrona DoS i SYN Flood, filtrowanie firewall...

Wybierz najbardziej praktyczne słowa:

Bilans i redundancja obciążenia wielołańcuchowego

Kluczowe operacje często obejmują wiele linii ISP w celu zapewnienia jakości i wyeliminowania awarii pojedynczych punktów. Istnieją dwa kierunki:

• Ruch zewnętrzny(Dostęp wewnętrzny): BIG- IP LC przypisuje informacje o ruchu do różnych interfejsów internetowych i sprawia, że adres źródłowy NAT
• Ruch INBOund(Extranet access: inlinding two ISP public address, decomplating two ISP DNS requests, responding to server health and RTT time intelligence

2. Saldo obciążenia serwera

Za pośrednictwem VIP (wirtualnego IP, składającego się z adresów IP i zewnętrznych usług portów TCP / UDP) serwer docelowy jest stale dostarczany z L4 do L7. Po odnalezieniu serwera nieprawidłowego, jest on usuwany z grupy bilansu obciążenia. Pozwala również iRules na otwarcie pakietu TCP / UDP i dostosowanie go do zawartości - na przykład poprzez URL do kierowania ruchu do różnych serwerów.

3. Wysoka dostępność systemu

To najlepsze miejsce do wysadzenia F5. Tryb dublowaniaprzejście milisekundowe(Najwięcej niż 200 ms), nazywa 99,99% dostępności. Zasada jest taka, że kiedy wszystkie sesje przechodzą przez urządzenie Active, informacje o sesjach są synchronizowane z urządzeniem Backup za pomocą zsynchronizowanych linii danych - więc dostęp użytkownika nie jest przerywany podczas przełączania. Chip watchdog w urządzeniu monitoruje swoje częstotliwości poprzez bicie serca, a Active rozłączył się i poinformował Backup natychmiast przejąć wspólne IP i VIP.

4. Bezpieczeństwo

BIG- IP wykorzystuje zasady projektowania zapory.Domyślne odrzucenieNie wiem. Ochrona SYN przed atakami SYN bez ACK. Dynamiczna funkcja odtwarzania skutecznie usuwa bezczynności połączenia w ataku DoS, orazPrzyspieszy odłączenie, gdy liczba ataków wzrośnie.To trudne. Opóźnienie Wiążąca technologia daje serwery back- end kompleksową ochronę SYN Flood.

Przyspieszenie SSL

Każdy BIG- IP posiada chip przyspieszenia sprzętowego SSL i licencję z 100 TPS bez jednej opłaty. Trzeba go tylko powiększyć i ulepszyć.

Cztery, F5 czy Nginx? Wybierz kontrast

Jest to najczęściej zadawane pytanie w praktyce. Obie te kwestie nie są konkurencyjne, są bardziej komplementarne.

F5 BIG- IP (sprzęt)

• Wzór rozmieszczenia: Specjalne wyposażenie sprzętowe (w tym indywidualne chipy)
• Performance: Przyłącze TCP o milionach stopni, mikrosekundowe opóźnienie do przodu
• Funkcja: Pełna moc - 4. + 7. warstwa, odmontowanie SSL, ochrona DDoS, WAF, VPN, obciążenie łańcuchowe
• Wiarygodność: redundancja sprzętu (podwójne ciepło), dostępność 99,99%
• Koszt: wysoki (w setkach tysięcy do milionów) i wymagany konserwacji przez profesjonalnych inżynierów
• Rozszerzenie: poleganie na aktualizacji sprzętu, niska elastyczność
• Transport: Kompleks, znany z własnych interfejsów konfiguracyjnych i CLI

Nginx (oprogramowanie)

• Wzór wdrożenia: oprogramowanie, uruchomione na wspólnym serwerze lub hoście w chmurze
• Wydajność: Połączenie TCP na poziomie 100.000, opóźnienie milisekundy, rozszerzenie klastra
• Funkcja: Efektywność światła - 7 Warstwy są rdzeniem, podtrzymujące 4 Warstwy, rozmontowanie SSL, cache, ograniczony przepływ, czynnik odwrotny
• Wiarygodność: Potrzeba ręcznego podgrzania (Keepalived) polegającego na stabilności sprzętu serwera
• Koszt: Open source jest darmowy i Nginx Plus opłaty są niższe
• Rozszerzenie: wsparcie dla wdrażania klastrów, elastyczne rozszerzanie środowiska w chmurze
• Portret: proste, łatwe do odczytania pliki konfiguracyjne, szybkie tylnych inżynierów

Wybierz sposób, podążaj za nim:

• Wysoka jakość usług TCP (gra, papiery wartościowe) + ekstremalna dostępność F5. 4.
• Główny portal biznesowy + wymogi bezpieczeństwa (WAF / DOS) F5, 7.
• Microservice API brama + wykorzystanie środowiska w chmurze Nginx 7 piętro
• Baza danych / obciążenie Redis + wysoka wartość Nginx, czwarte piętro.
• Małe i średnie operacje + szybki iteracyjny Nginx (4 / 7 piętro)
• Enterprise Data Centre + Multilink F5 dla portalu, Nginx dla wewnętrznego obciążenia serwisowego

Ostatnie połączenie jest powszechne w dużych i średnich roślin - F5 Nation Watch, Nginx wewnętrzne.

V. Przypadki pola: ile jest wokół konfiguracji F5

Wielu ludzi ma pierwszą reakcję F5:To zupełnie co innego niż pomysł centrali. Ręce.Nie wiem. Logika konfiguracji to inny system.

scena: Two Web Servers External Services, IP 192,168,192.10- 20 / 24, requirement balancing through the 80 port of the extranet address 192,168.27.100.

Najprostszy bilans obciążenia wymaga trzech parametrów i relacje są warstwowe:

• Węzeł: Minimalna definicja, każdy serwer jest węzłem
• Pula: grupa węzłów, które odbierają i przetwarzają ruch, jak Web server set Group
• Serwer wirtualny (serwer wirtualny): Zewnętrzne wejście, związane z basenem

Przepływ danych: Serwer klienta → Pool → Węzeł.

Interfejs zarządzania BIG- IP:

• Krok 1: Uruchomić urządzenieNie wiem. Włączyć F5. Przewodnik jest prosty, ale pamiętaj.Upewnij się, że jest podłączony. Lepiej skończ zanim pójdziesz na górę.- To doświadczenie.
• Krok 2: Zaloguj sięNie wiem. Przeglądarka Otwiera https: / / ManagingIP z domyślnymi hasełami nazwy użytkownika
• Krok 3: Wiersz VLANNie wiem. Sieć i VLAN, tworzenie VLAN i dodawanie interfejsów (zaznaczone)
• Krok 4: Dopasowanie IPNie wiem. Sieci → Samodzielne IP, zdefiniować każdy adres VLAN
• Krok piąty: linie drogoweNie wiem. Sieci → Trasy, z domyślnymi bramami lub ruterami statycznymi
• Krok 6: Dopasowanie puliNie wiem. Local Trade → Virgin Servers → Pools, z nazwą, kontrola stanu zdrowia (np. TCP), algorytm obciążenia (np observed- member observation), prawdziwy serwer IP i port
• Krok 7: Dopasowanie serwera wirtualnegoNie wiem. Local Traffic → Wirtualne serwery, związane ze wspomnianą Pool, na podstawie rotacji (wspólne RundRobin)
• Krok 8: Dopasuj do monitoraNie wiem. Lokalny ruch → Monitory, sprawdzić zdrowie serwera i połączyć się z Pool
• Krok dziewiąty: dopasować czerwonyPodwójna redundancja.

VI. Kluczowe parametry dla serwera wirtualnego

Serwer wirtualny znajduje się w samym sercu F5, a kilka parametrów jest problematycznych bez uwagi.

Typ VS, trzy wspólne typy:

• Wydajność L4: Czyste cztery warstwy przekazywania, TMM jest odpowiedzialny tylko za dystrybucję połączenia bez zmiany parametrów TCP, a klient jest podłączony do serwera o 1: 1. Stawki przekaźnikowe są wysokie i są powszechne w przedsiębiorstwach. W celu zmniejszenia wpływu na wnioski,Jeśli możesz, możesz to wziąć.
• Standardowe VS: Klient jest całkowicie niezależny od połączeń TCP serwera. Wymagane są siedem warstw funkcjonalności (konserwacja sesji cookie, konserwacja identyfikatora sesji, konserwacja nagłówka, długi podział połączeń oparty na transakcji, ochrona przed atakami SYN). Uwaga pierwsza:Jego porty są zawsze otwarte dla publiczności.- Nawet jeśli backend węzła jest w dół, 80 port VIP może być nadal osiągnięta przez Telnet, ale strona nie może być otwarta. Użyj tego do sprawdzenia awarii.
• Przekazywanie IP: Dla wewnętrznego i zewnętrznego połączenia sieciowego, nie Członek Pool, i przekazywanie w zależności od trasy lokalnej. Domyślnie, F5 nie posiada funkcji trasy i jest wymagane pełne 0 VS do otwarcia funkcji trasy

Czas, wyrównaj.To prawdziwa dziura. Połączenie UDP nie będzie akceptowane na VS, jeśli pasuje do profilu TCP. Więcej uwagi do wartości Idle Timeout w tcp...Musi działać z serwerem.Nie wiem. Jeśli F5 jest ustawiony na 150 sekund, a serwer IIS wynosi 300 sekund, będzie dużo błędów. Porozmawiajmy o czasie.

Adres / Port Transport: Domyślne są dostępne. VS IP i prawdziwa maszyna IP otworzyć Port Transport, gdy port 8080 VS odpowiada rzeczywistemu adresowi.

Automapa SNAT: Prośba, aby przejść z którego VLAN adres źródłowy SNAT jest Self IP na VLAN. Gdy VLAN posiada wiele własnych IP, jest on stosowany na zasadzie rotacji.

VII. Dlaczego musisz rozumieć "zachowanie rozmów"

Jest to koncepcja, która jest najłatwiej przeoczone i najbardziej łatwo narażone w bilansie obciążenia.

W systemach takich jak elektrycy i certyfikacja online, klient ma wiele interakcji, aby zakończyć transakcję. Te interakcje.Blisko połączone.- Kiedy serwer obsługuje drugi krok, często konieczne jest poznanie wyniku pierwszego kroku. Wymaga to całej tej interakcji.To musi być zrobione przez ten sam serwer., nie mogą być rozłożone na różnych maszynach przez balanse obciążenia.

To jest to, co oznacza zachować rozmowę. F5 Poprzez połączenie, opcje obejmują:

• Adres źródłowy zachowanyInny organizator
• Cookie, zaczekaj.: F5 Auto- insert Session Cookie, najczęściej na 7 piętrze
• ID sesji SSL utrzymuje: Powtórz sesję SSL
• Organizacja: Wsparcie wielu nadgodzin i zasady dopasowania

Co w tym złego? Użytkownik dodał towary do koszyka i odświeżył je - ponieważ żądanie zostało przypisane do innego serwera. Ten rodzaj awarii linii jest bardzo trudny do namierzenia.

VIII. Kilka niewygodnych szczegółów operacyjnych

Wreszcie, wybierz kilka innych osób, które nadepnęły na dół i wprost do wniosku:

• Musisz wybrać poziom kontroli zdrowia.: tylko oglądaj TCP handshake, port serwera żyje, ale aplikacja jest powieszona i przekazywana; aby sprawdzić warstwę aplikacji, użyj HTTP typu Monitor / siłownik / interfejs zdrowia
• Firewall zrobić kanapkę.: Pojedynczy firewall osiąga tylko 30% prędkości linii. Ale firewall wymaga danych, aby wejść i wyjść, w przeciwnym razie połączenie jest odmówione - Firewall F5 rozwiązanie bilansu obciążenia rozwiązać ten problem i osiągnąć ciągłość przezroczystego sprzętu
• Rozmontowanie SSL jest szefem CPU prowincjiUmożliwia obsługę uścisków dłoni i deszyfrowania HTTPS F5. Program Backend Java obsługuje tylko HTTP, wydajność jest wyraźnie zwiększona
• Zrobimy test ciśnienia, zanim zdążymy.: Cztery piętra są szybkie, ale jeśli masz spotkanie na czterech piętrach VS, to wprowadzenie stanu i performance ma wznowić. Dobrze.
• Wskaźniki kontrolne na trzy.: stan puli, przepustowość wirtualnego serwera, stan zdrowia węzła
• Dowództwo odosobnienia: tmsh show ltm cool < pool- name >, tmsh show ltm virtual < vs- name >

Na końcu.

Bilans obciążenia wydaje się być "urządzeniem nadawczym", który w rzeczywistości stoi w najbardziej krytycznym punkcie całej architektury - z którego musi przejść cały ruch. Pasuje. Użytkownicy tego nie czują, to nie pasuje. Rozmawiasz przez telefon w środku nocy.

Teraz, pod falą chmur, programy oprogramowanie LVS, Nginx, HAProxy są w pełni odpowiednie w małych i średnich ustawień, z wyraźnymi korzyściami kosztowymi. Jednakże podstawowe punkty wejścia obejmujące finanse, papiery wartościowe, dużych operatorów elektrycznych, wartość bilansu obciążenia sprzętowego pod względem stabilności, przełączanie w skali milisekund, jednostopniowe możliwości bezpieczeństwa, nie mogą zostać zastąpione w perspektywie krótkoterminowej.

Jeśli chodzi o nazwę "F5", proces przechodzenia z firmy na klasę sam mówi - kiedy produkt jest używany jako czasownik, wygrał rynek.

Cztery piętra znaków drogowych, siedem pięter paczek, cztery piętra wydajności, siedem pięter pracy.

Numer referencyjny: F5 BIG- IP LTM Oficjalne informacje, Rozpowszechnianie stron internetowych i zarządzanie F5 Lading Balance Case, 4 / 7 Layer Load Balance Technology Comparison