F5配置指導(dǎo)實戰(zhàn)書

F5配置指導(dǎo)實戰(zhàn)書WAP網(wǎng)關(guān)典型組網(wǎng)方案及網(wǎng)絡(luò)規(guī)劃1 WAP網(wǎng)關(guān)典型組網(wǎng)方案2.1 典型組網(wǎng)圖及組網(wǎng)方案介紹應(yīng)用程序服務(wù)器：PPG/WAP1X/WAP20GGSNSMC平臺支撐服務(wù)器：RADIUSSMPADB server防火墻BIG 5交換機(jī)虛擬網(wǎng)絡(luò)28/26外部網(wǎng)絡(luò)本例中介紹的WAP網(wǎng)關(guān)組網(wǎng)方案類似中國移動五期擴(kuò)容南京、鄭州、沈陽三個點(diǎn)的組網(wǎng)。組網(wǎng)方案說明：WAP網(wǎng)關(guān)的應(yīng)用程序分成兩大部分：應(yīng)用部分和支撐部分，其中應(yīng)用部分主要包括PPG,WAP1X協(xié)議棧處理程序、WAP2.0協(xié)議處理程序等，為了平滑擴(kuò)展系統(tǒng)的處理能力，一般設(shè)計為通過負(fù)載均衡器將業(yè)務(wù)請求平均分擔(dān)到多臺服務(wù)器，本例中應(yīng)用程序的服務(wù)器數(shù)量為7臺SUNV480小型機(jī)。此外，平臺支撐服務(wù)器主要包括：RADIUS服務(wù)器程序、SMPA短信代理以及ORACLE數(shù)據(jù)庫等，為了增加系統(tǒng)的可靠性，支撐服務(wù)器采用雙機(jī)集群的設(shè)計方案，對外提供統(tǒng)一的浮動IP地址。2 網(wǎng)絡(luò)及負(fù)載均衡器IP地址規(guī)劃及配置要求2.1 IP地址規(guī)劃總體規(guī)劃：內(nèi)部所有服務(wù)器使用92/26網(wǎng)段，WAP網(wǎng)關(guān)對外提供的虛擬服務(wù)使用28/26網(wǎng)段。場所數(shù)量需求內(nèi)部網(wǎng)絡(luò)網(wǎng)段規(guī)劃(92/26) 193-254四層交換機(jī)F5內(nèi)網(wǎng)設(shè)備IP地址分配，包括平臺支撐服務(wù)器，WAP網(wǎng)關(guān)服務(wù)器等主要設(shè)備虛擬網(wǎng)絡(luò)網(wǎng)段規(guī)劃(28/26） 129-190防火墻和四層交換機(jī)F5之間的網(wǎng)絡(luò)部分，主要提供了WAP網(wǎng)關(guān)的虛擬服務(wù)內(nèi)部網(wǎng)絡(luò)：根據(jù)上表規(guī)劃，將內(nèi)部機(jī)器的地址從93開始分配，內(nèi)部不沖突即可。下表為一分配樣例：設(shè)備名稱說明IP地址/掩碼平臺支撐服務(wù)器雙機(jī)浮動IP 93/26主機(jī)主IP 94/26備機(jī)主IP 95/26WAP網(wǎng)關(guān)的服務(wù)器集群節(jié)點(diǎn)（每個節(jié)點(diǎn)需要3個IP地址）96/26到16/26話單/報表服務(wù)器PC server HPDL38017/2618/26維測/告警/網(wǎng)管代理服務(wù)器PC server HPDL38019/2620/26網(wǎng)管采集機(jī)SUN F280R21/2622/2623/26負(fù)載均衡器：設(shè)備名稱說明IP地址/掩碼負(fù)載均衡器(主用)內(nèi)網(wǎng)地址internal IP31/26內(nèi)網(wǎng)share IP30/26外網(wǎng)地址external IP31/26負(fù)載均衡器外網(wǎng)share IP30/26 VIP71:9080/26-PPGVIP72:80/26-HTTPproxyVIP3-172:9200-9207 /26-WAP1.XVIP172:1813/26 RADIUS服務(wù)器負(fù)載至93 VIP1373:80/26-WAP2.0負(fù)載均衡器(備用)內(nèi)網(wǎng)地址internal IP32/26內(nèi)網(wǎng)share IP 30/26外網(wǎng)地址 external IP32/26負(fù)載均衡器外網(wǎng)share IP30/26 VIP71:9080/26-PPGVIP72:80/26-HTTPproxyVIP3-172:9200-9207 /26-WAP1.XVIP172:1813/26-RADIUS服務(wù)器，負(fù)載到雙機(jī)浮動IP地址93。VIP1373:80/26-WAP2.0四層交換機(jī)VIP設(shè)立：VIP說明72:80(tcp)HTTP Proxy服務(wù)地址，實現(xiàn)負(fù)載均衡72:92009207(udp)WAP網(wǎng)關(guān)1.X的服務(wù)地址。實現(xiàn)負(fù)載均衡73:80(tcp)WAP網(wǎng)關(guān)2.0的服務(wù)地址，實現(xiàn)負(fù)載均衡71:9080(tcp)PPG的服務(wù)地址，實現(xiàn)負(fù)載均衡72:1813(udp)Radius server的服務(wù)地址。僅負(fù)載均衡到雙機(jī)浮動地址2.2 配置要求根據(jù)上述典型的組網(wǎng)方案，負(fù)載均衡器主要負(fù)責(zé)WAP網(wǎng)關(guān)系列服務(wù)器提供統(tǒng)一對外虛擬IP地址，外部業(yè)務(wù)訪問該虛擬服務(wù)器時，通過負(fù)載均衡器以后，由負(fù)載均衡器完成負(fù)載均衡到不同的服務(wù)器。本配置要求除負(fù)載均衡器組織主備用方式及本身需要的IP地址外，主要是完成相關(guān)虛擬IP地址的設(shè)定以及與相關(guān)服務(wù)器地址的映射，此外，還需要在負(fù)載均衡器上完成負(fù)載策略的配置，以便負(fù)載均衡器以最優(yōu)的負(fù)載分擔(dān)方式將數(shù)據(jù)包分發(fā)到不同的機(jī)器節(jié)點(diǎn)上。二 負(fù)載均衡器系統(tǒng)的安裝與配置1 負(fù)載均衡器硬件安裝及物理連接2.1 負(fù)載均衡技術(shù)簡單介紹由于Internet對業(yè)務(wù)服務(wù)訪問具有不可預(yù)知性，傳統(tǒng)的服務(wù)器提供大量并發(fā)服務(wù)已經(jīng)面臨處理能力和I/O性能的瓶頸，當(dāng)業(yè)務(wù)超過已經(jīng)界限將會出現(xiàn)“Server Too Busy”乃至服務(wù)器宕機(jī)等問題。針對單臺服務(wù)器有限的性能存在瓶頸的情況，負(fù)載均衡器通過負(fù)載均衡機(jī)制將所有請求平均分配到多臺節(jié)點(diǎn)服務(wù)器，使得系統(tǒng)業(yè)務(wù)處理能力大大提升。此外，負(fù)載均衡器還能監(jiān)控服務(wù)器節(jié)點(diǎn)的可用性，其中某一臺服務(wù)器故障時，能將訪問請求轉(zhuǎn)移到其它可以正常工作的服務(wù)器。負(fù)載均衡器通常稱為四層交換機(jī)或七層交換機(jī)。四層交換機(jī)主要分析IP層及TCP/UDP層，實現(xiàn)四層流量負(fù)載均衡。七層交換機(jī)除了支持四層負(fù)載均衡以外，還有分析應(yīng)用層的信息，如HTTP協(xié)議URI或Cookie信息。2.2 負(fù)載均衡器雙機(jī)硬件安裝及物理連接1. 物理連接示意圖防火墻防火墻 S3526 S3526圖中紅線表示光纖，其中GE1口系統(tǒng)默認(rèn)編號為2.1,GE2口編號為2.2.本例中2.1口為外口連接防火墻，2.2口為內(nèi)口連接3526交換機(jī)串口線普通網(wǎng)線Console線連接PC做配置2.3 負(fù)載均衡器配置步驟及準(zhǔn)備要點(diǎn)在安裝BIG-IP系統(tǒng)之前，請檢查如下準(zhǔn)備工作是否做好： 設(shè)備物理連接規(guī)劃。要注意的是如果做F5雙機(jī)的話，一定要用隨機(jī)帶來的標(biāo)有failover的線纜把兩臺F5之間的Failover口連接起來。 檢查F5的軟件版本，因F5代理商發(fā)貨的原因，到現(xiàn)場的F5的版本常常是比較舊的版本，需要與公司或廠商確認(rèn)當(dāng)前比較穩(wěn)定的版本，并進(jìn)行升級。確認(rèn)F5版本的命令為在命令行下輸入：b version則可看出。 IP地址規(guī)劃（參見上面表格） BIG-IP外部VLAN需要3個IP用于冗余BIG-IP配置。 每一個VIP（虛擬IP地址）或NAT需要一個外部VLAN IP。 BIG-IP內(nèi)部VLAN需要3個IP用于冗余BIG-IP配置。 BIG-IP內(nèi)部每個節(jié)點(diǎn)需要一個內(nèi)部VLAN IP。 確定BIG-IP主機(jī)域名，并且確保BIG-IP雙機(jī)主機(jī)名不一樣。2 負(fù)載均衡器系統(tǒng)主備環(huán)境配置2.1 主負(fù)載均衡器的安裝與配置1） 啟動PC，進(jìn)入windows操作系統(tǒng)，設(shè)置PC的IP為固定IP地址，并設(shè)置為00，用串口線將PC的串口與主負(fù)載均衡器的串口（標(biāo)有console）連起來，使用windows自帶的超級終端去連接，需要注意的是每秒位數(shù)選擇19200，數(shù)據(jù)流控制選擇無。 默認(rèn)初始用戶密碼：root/default。超級終端連接如Error! Reference source not found.所示。注意一定要用標(biāo)有CONSOLE的串口線2） 超級終端連接圖啟動F5，啟動后超級終端顯示如下：BIG-IP 4.5PTF-07 (default) (console)login:3） 輸入用戶名和口令輸入用戶“root”和默認(rèn)密碼“default”，回車。4） 設(shè)置終端類型Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994The Regents of the University of California. All rights reserved. 省略輸出信息Terminal type? vt100缺省的終端類型為vt100，回車5） SETUP初始化相關(guān)配置缺省的主機(jī)名字是：default,在提示符下面輸入命令：config，回車：說明：第一次運(yùn)行config或setup命令將進(jìn)入setup命令界面。Setup工具可以實現(xiàn)逐步配置root密碼、BIG-IP主機(jī)名、接口和遠(yuǎn)程管理等。default:# config6） 提示系統(tǒng)license不存在第一次運(yùn)行，提示系統(tǒng)License不存在信息B I G - I P L I C E N S E P R O B L E M There is no active license on this system. To activate your license, run the setup command again after this configuration and choose the License Activation menu item, or exit from this program now and run the license command. Exit now? (Y/N): n 按“n”鍵進(jìn)入License Agreement窗口，按回車鍵繼續(xù)，并選擇Yes, I Agree To This License。根據(jù)系統(tǒng)提示，繼續(xù)執(zhí)行配置步驟直至正式進(jìn)入Setup Utility。 Setup Utility Welcome to BIG-IP. Before using your BIG-IP, you will have to configure many services and values including: the root password, BIG-IP hostname, interface cards, shared interfaces (if any), and remote administration tools. This utility will take you through the process step-by-step. Press ctrl-E to exit and configure manually press any other key to continue 注意：進(jìn)入BIG-IP Setup工具模式后，無法退出和配置回滾，必須一步一步配完。如果配置過程中發(fā)現(xiàn)超級終端上下鍵不能正確切換，請使用其他超級終端工具，重新執(zhí)行config7） 設(shè)置鍵盤類型進(jìn)入Setup界面后，第一步工作是設(shè)置鍵盤類型，默認(rèn)使用US - Standard 101 key，回車。 Choose your keyboard type from the list below. 。 Swedish US + Cyrillic US - Standard 101 key United Kingdom 8） 系統(tǒng)提示輸入root 密碼9） 接著系統(tǒng)提示你輸入hostname，請輸入負(fù)載均衡器的主機(jī)名稱。S E T B I G - I P H O S T N A M E Enter BIG-IP FQDN : /備機(jī)可以設(shè)置為： The FQDN (Fully Qualified Domain Name) identifies this BIG-IP controller. Example: .警告：BIG-IP雙機(jī)系統(tǒng)的主機(jī)名必須不一樣，否則配置無法同步。警告：必須通過Setup工具來更改主機(jī)名，不得直接編輯/etc/hosts或用hostname命令更改主機(jī)名，否則會導(dǎo)致系統(tǒng)不可訪問。10） 雙機(jī)系統(tǒng)設(shè)置配置完主機(jī)名之后，BIG-IP系統(tǒng)進(jìn)入接口配置模式，包括VLAN、IP地址和雙機(jī)配置。如果工程中配置F5雙機(jī)系統(tǒng)unit ID（通常為1或2）、fail-over IP地址和fail-over類型。如果BIG-IP系統(tǒng)為雙機(jī)，選擇Yes, it is a redundant BIG-IP system，否則選擇No, it is not a redundant BIG-IP system。C O N F I G U R E B I G - I P I N T E R F A C E S Is this a redundant BIG-IP system? Yes, it is a redundant BIG-IP system No, it is not a redundant BIG-IP system 以下步驟在雙機(jī)系統(tǒng)中需配置，如果系統(tǒng)為單機(jī)運(yùn)行則無需配置。A. 設(shè)置Unit ID。通常主用系統(tǒng)Unit ID為1，備用系統(tǒng)Unit ID為2。unique number for each BIG-IP. For example, if this is the second BIG-IP you have configured, enter a 2 below. If it is the first, enter a 1, which is the default. Unit Number: 1 B. 設(shè)置Failover IP。通常為備用BIG-IP系統(tǒng)內(nèi)部接口Self-IP地址。本例中使用備用BIG-IP系統(tǒng)內(nèi)部接口IP地址。hat is the IP address of the failover system? This will typically be the IP of an internal interface on the redundant controller. Failover IP: 32 C. 設(shè)置Fail-over類型。本例中選擇Hardwired，F(xiàn)ail-over通過雙機(jī)系統(tǒng)連接Failover線纜來實現(xiàn)，請確保雙機(jī)之間有Failover線纜。我們還可以選擇Network作為Fail-over類型，這時Failover心跳和同步方式將通過網(wǎng)絡(luò)實現(xiàn)。BIG-IP系統(tǒng)支持MDI/MDI-X自適應(yīng)，BIG-IP系統(tǒng)之間接口既可以通過直連網(wǎng)線也可以通過交叉網(wǎng)線對接。What is the IP address of the failover system? This will typically be the IP of an internal interface on the redundant controller. Failover IP: 32 Will hardwired or network failover be used for these systems? Hardwired Network 11） 設(shè)置接口速率和雙工類型一般采用auto默認(rèn)值按“c”繼續(xù)。x devices configured for Auto media are incompatible and the proper duple x setting will not be negotiated between these devices. In these cases you may need to set the media settings to the same speed and duplex on both this device and the corresponding switch or host. 1.1 auto 1.2 auto 1.3 auto 1.4 auto 1.5 auto 12） 配置VLAN 和接口IP地址。系統(tǒng)默認(rèn)有3個VLAN：admin、external和internal。按“A”鍵添加新的VLAN，按“D”鍵刪除一個VLAN，按“C”鍵繼續(xù)下一步配置。D E F I N E V L A N S A N D I P A D D R E S S E S Use the arrow keys to navigate. Press to choose a VLAN to configure or modify. Press A to add a new VLAN name. Press D to delete a configuration. Press C to continue. admin external internal Failover IP: 32 Redundant controller is not accessible. No addresses defined. 本例中刪除admin VLAN，對于admin vlan，它是用于管理用，可以不用保留，用internal vlan作為管理。VLAN配置還包括Port Lockdown 配置、IP地址/掩碼/廣播和浮動IP地址/掩碼/廣播。如果啟用Port Lockdown，將無法通過該VLAN訪問BIG-IP系統(tǒng)，即無法通過HTTPS或SSH對BIG-IP進(jìn)行配置管理。通常建議對VLAN external啟用Port Lockdown。下文以external為例介紹VLAN配置。A. VLAN external啟用Port Lockdown：C O N F I G U R E V L A N e x t e r n a l You will now specify the attributes and IP addresses of this VLAN. Port lockdown enabled for this vlan Port lockdown disabled for this vlan Enabling port lockdown will block traffic to services running on BIG-IP itself. However, individual ports can be opened for administrative and B. 配置VLAN external IP地址/掩碼/廣播C O N F I G U R E V L A N e x t e r n a l You will now specify the attributes and IP addresses of this VLAN. Port lockdown disabled for this vlan Enter IP Address: 31 Enter Netmask : 92 Enter Broadcast Address : 91 Enter Shared IP Alias: 30 Enter Shared IP Alias Netmask : 92然后對internal VLAN進(jìn)行配置，最終VLAN和IP地址配置如下： external 31 (Port lockdown: on) internal 31 (Port lockdown: off) 13） 添加接口到VLAN中根據(jù)安裝前規(guī)劃和設(shè)備物理連線，將接口添加到相應(yīng)VLAN中。本例中，接口2.1添加到external VLAN中，接口2.2添加到internal VLAN中。此外，接口1.1,1.2,1.3，1.4用于主備BIG-IP雙機(jī)系統(tǒng)級連，目前先不加入vlan web，將在WEB界面中進(jìn)行配置。Use the arrow keys to navigate. Press to choose a VLAN and modify the list of interfaces. You must configure at least one VLAN. Press C to continue. external 2.1 internal 2.2 14） 選擇VLAN IP與主機(jī)名關(guān)聯(lián)Hostname: external 31 (X) internal 31 指定主IP地址后，系統(tǒng)將保存網(wǎng)絡(luò)配置：Wrote /etc/hosts Write /config/bigip_base.conf Update /config/bigip.conf Write bigdb fields Update /etc/snmpd.conf Shutdown all services. Startup all services. bigstart: startup inetd bigstart: startup named bigstart: startup sod bigstart: startup sshd bigstart: startup bigstpd bigstart: startup big3d bigstart: startup bigd bigstart: startup sfd bigstart: startup slapd 15） 配置默認(rèn)網(wǎng)關(guān) 16） 系統(tǒng)出現(xiàn)如下提示信息讓你選擇該負(fù)載均衡器是否是一個冗余設(shè)備，選擇Yes，it is a redundant BIG-IP system。unit number 輸入 1，failover ip 輸入備負(fù)載均衡器的IP，例如21。 Unit Number: 1What is the IP address of the failover system. This will typically be the IP of an internal interface on the redundant controller.Failover IP: 2117） 接下來系統(tǒng)讓你選端口的類型：直接按C鍵（continue）。接著系統(tǒng)出現(xiàn)VLAN設(shè)置的界面：共3個vlan （internal、external、admin），需要依次選擇每個VLAN，進(jìn)行相應(yīng)的配置。這里給出一個樣例，配置數(shù)據(jù)請參見Error! Reference source not found.。1 VLAN配置信息舉例表VLANIP地址NetmaskBroadcast Address浮動IP浮動IP Netmask浮動IP Broadcast AddressPort lockdown端口admin2455.32455disabled3.1external572355552355enabled1.10-1.162.1internal20245502455disabled1.1-1.92.2選擇admin，回車。出現(xiàn)以下提示信息，表示是否對該端口進(jìn)行加密檢查。選擇Port lockdown disabled for this vlan。You will now specify the attributes and IP addresses of this VLAN.Port lockdown enabled for this vlanPort lockdown disabled for this vlanEnabling port lockdown will block traffic to services running on BIG-IP itself.However, individual ports can be opened for administrative and monitoring purposes using the global open port commands.The appropriate globals will be automatically set by this utility when services are configured.接下來設(shè)置admin的IP地址：You will now specify the attributes and IP addresses of this VLAN.Port lockdown disabled for this vlanEnter IP Address: Enter Netmask : Enter Broadcast Address : 55Enter Shared IP Alias: Enter Shared IP Alias Netmask : Enter Shared IP Alias Broadcast Address : 55輸入完最后的地址后，回到初始設(shè)置界面，接著選擇external，回車，進(jìn)行設(shè)置：出現(xiàn)以下提示信息，表示是否對該端口進(jìn)行加密檢查，選擇Port lockdown enabled for this vlan。You will now specify the attributes and IP addresses of this VLAN.Port lockdown enabled for this vlanPort lockdown disabled for this vlanEnabling port lockdown will block traffic to services running on BIG-IPitself. However, individual ports can be opened for administrative and monitoring purposes using the global open port commands.The appropriate globals will be automatically set by this utility when services are configured.接下來設(shè)置external的IP地址：You will now specify the attributes and IP addresses of this VLAN.Port lockdown enabled for this vlanEnter IP Address: 57Enter Netmask : Enter Broadcast Address : 55 Enter Shared IP Alias: 55 Enter Shared IP Alias Netmask : Enter Shared IP Alias Broadcast Address : 55輸入完最后的地址后，回到初始設(shè)置界面，接著選擇internal，回車，進(jìn)行設(shè)置：出現(xiàn)以下提示信息，表示是否對該端口進(jìn)行加密檢查，選擇Port lockdown disabled for this vlan。You will now specify the attributes and IP addresses of this VLAN.Port lockdown enabled for this vlanPort lockdown disabled for this vlanEnabling port lockdown will block traffic to services running on BIG-IP itself. However, individual ports can be opened for administrative and monitoring purposes using the global open port commands.The appropriate globals will be automatically set by this utility when services are configured.接下來設(shè)置internal的IP地址：You will now specify the attributes and IP addresses of this VLAN.Port lockdown disabled for this vlanEnter IP Address: 20Enter Netmask : Enter Broadcast Address : 55Enter Shared IP Alias: 0Enter Shared IP Alias Netmask : Enter Shared IP Alias Broadcast Address : 55配置完成3個VLAN后，按C繼續(xù)進(jìn)行設(shè)置。接下來設(shè)置的是端口設(shè)置。在如Error! Reference source not found.所示界面上指定各vlan所屬的端口號。請根據(jù)實際的網(wǎng)絡(luò)情況進(jìn)行修改，具體操作請看界面說明。2 VLAN端口設(shè)置圖設(shè)置完端口后，將進(jìn)入設(shè)置主機(jī)名稱關(guān)聯(lián)，設(shè)置external關(guān)聯(lián)。設(shè)置完后，按C繼續(xù)。Select the IP address that will be associated with the host name in /etc/hosts. Press to select an address. Use the arrow keys to navigate. Enter C to continue.Hostname: AdminExternal57(X)internal2018） 接下來進(jìn)行路由設(shè)置，在該地方輸入路由器的ip地址。The default gateway route determines where the BIG-IP should send network traffic for which there is no more specific route.To set up a single default route, type one default gateway IP address.If you type more than one address, the BIG-IP creates a default gateway pool.The first address in the list is entered as a traditional default route.Each IP address in the list must be on the same IP network as the BIG-IP.Enter default route addresses separated by a space.If you do not want a default route, leave this option blank.IPs: 5119） 配置webserver ，三個vlan 的servername 同第(6)步設(shè)置的hostname一致，證書選擇Do not replace keys，接下來系統(tǒng)要求你輸入用https方式登陸webserver時的用戶名和密碼，為admin/admin，對于support password 直接回車即可。20） 接下來需要輸入生成安全證書的一些信息，因為這個證書是沒有什么用的，所以隨意配置好了，Country: cn ；State/Province: gd ；City: sz ；Company: hw ；Com