F5BIGIP負(fù)載均衡器培訓(xùn)

1、主講：xhj日期：2022年8月13日F5 BIG-IP LTM負(fù)載均衡器培訓(xùn)學(xué)習(xí)目標(biāo)了解負(fù)載均衡器的概念熟悉F5負(fù)載均衡器產(chǎn)品能夠?qū)5負(fù)載均衡器進(jìn)行規(guī)劃和配置學(xué)習(xí)完本課程，您應(yīng)該能夠：內(nèi)容負(fù)載均衡器概念F5負(fù)載均衡器介紹F5負(fù)載均衡器配置步驟F5負(fù)載均衡器的維護(hù)F5的常見(jiàn)組網(wǎng)方式什么叫負(fù)載均衡器什么是負(fù)載均衡器？服務(wù)器負(fù)載均衡器是指設(shè)置在一組功能相同或相似的服務(wù)器前端，對(duì)到達(dá)服務(wù)器組的流量進(jìn)行合理分發(fā)，并在其中某一臺(tái)服務(wù)器故障時(shí)，能將訪問(wèn)請(qǐng)求轉(zhuǎn)移到其它可以正常工作的服務(wù)器的軟件或網(wǎng)絡(luò)設(shè)備。 SLB是服務(wù)器負(fù)載均衡(Server Load Balancing)的簡(jiǎn)稱。服務(wù)器負(fù)載均衡又可以分為

2、局域網(wǎng)服務(wù)器負(fù)載均衡與廣域網(wǎng)服務(wù)器負(fù)載均衡(Global Server Load Balancing)。狹義的SLB是指局域網(wǎng)服務(wù)器負(fù)載均衡，與廣域網(wǎng)服務(wù)器負(fù)載均衡（GSLB）相對(duì)。 采用負(fù)載均衡器有什么優(yōu)點(diǎn)采用負(fù)載均衡器的優(yōu)點(diǎn)： 原有的系統(tǒng)只部署了一臺(tái)服務(wù)器，隨著訪問(wèn)量的增加，一臺(tái)服務(wù)器已經(jīng)不能滿足應(yīng)用的需要，而需要增加更多的服務(wù)器。當(dāng)部署了兩臺(tái)以上的服務(wù)器時(shí)，就可能會(huì)需要用到負(fù)載均衡器。通過(guò)服務(wù)器負(fù)均衡器，對(duì)流量進(jìn)行合理分配，可以帶來(lái)以下好處：提高性能負(fù)載均衡器可以實(shí)現(xiàn)服務(wù)器之間的負(fù)載平衡，從而提高了系統(tǒng)的反應(yīng)速度與總體性能；提高可靠性負(fù)載均衡器可以對(duì)服務(wù)器的運(yùn)行狀況進(jìn)行監(jiān)控，及時(shí)發(fā)現(xiàn)運(yùn)行

3、異常的服務(wù)器，并將訪問(wèn)請(qǐng)求轉(zhuǎn)移到其它可以正常工作的服務(wù)器上，從而提高服務(wù)器組的可靠性提高可維護(hù)性采用了負(fù)均衡器器以后，可以根據(jù)業(yè)務(wù)量的發(fā)展情況靈活增加服務(wù)器，系統(tǒng)的擴(kuò)展能力得到提高，同時(shí)簡(jiǎn)化了管理。 負(fù)載均衡實(shí)現(xiàn)的方式實(shí)現(xiàn)服務(wù)器負(fù)載均衡有多種方法，常見(jiàn)的方法有：基于DNS輪詢的方法：即在DNS服務(wù)器中對(duì)同一域名設(shè)置多條DNSA記錄，通過(guò)DNS的輪詢機(jī)制實(shí)現(xiàn)服務(wù)器負(fù)載均衡?；趹?yīng)用軟件的實(shí)現(xiàn)方法，在應(yīng)用軟件設(shè)計(jì)中就考慮了多服務(wù)器之間的協(xié)同工作與任務(wù)調(diào)度。這種方法一般會(huì)有一臺(tái)服務(wù)器作為中樞對(duì)訪問(wèn)請(qǐng)求進(jìn)行調(diào)度，同時(shí)要求在應(yīng)用層支持訪問(wèn)重定向或任務(wù)調(diào)度、跳轉(zhuǎn)機(jī)制(如nginx)。采用專(zhuān)門(mén)的L4/L7層

4、交換機(jī)來(lái)實(shí)現(xiàn)，也即我們常說(shuō)的負(fù)載均衡器。一般都是通過(guò)在L4/L7層交換機(jī)作地址轉(zhuǎn)換（NAT）來(lái)實(shí)現(xiàn)。負(fù)載均衡器需要了解的問(wèn)題負(fù)載均衡器一般需要了解以下方面的問(wèn)題：支持的負(fù)載均衡算法支持的服務(wù)器健康檢查的方法如何保持客戶端和服務(wù)器的會(huì)話速度/性能指標(biāo)安全性與可靠性端口數(shù)量 內(nèi)容負(fù)載均衡器概念F5負(fù)載均衡器介紹F5負(fù)載均衡器配置步驟F5負(fù)載均衡器的維護(hù)F5的常見(jiàn)組網(wǎng)方式F5負(fù)載均衡器介紹F5負(fù)載均衡器介紹F5產(chǎn)品介紹F5的配置方法F5的幾個(gè)概念F5的數(shù)據(jù)流F5負(fù)載均衡算法介紹F5策略保護(hù)方法介紹F5健康檢查方法介紹F5雙機(jī)介紹F5地址轉(zhuǎn)換介紹F5產(chǎn)品介紹（現(xiàn)在用的產(chǎn)品）6800系列超級(jí)多用途流量管

5、理處理器：雙CPU基本內(nèi)存：2GBASIC：Packet Velocity ASIC2千兆位CU端口：16個(gè)千兆位光纖端口：(SFP - GBIC Mini)4個(gè)（2個(gè)標(biāo)準(zhǔn)、2個(gè)可選）包括：SSL TPS/Max TPS/Bulk加速模塊：（100/20,000/2GB/秒）流量吞吐量：4GB/秒可選硬件設(shè)備：硬件壓縮*（2GB/秒）6400系列高級(jí)多用途流量管理處理器：雙CPU基本內(nèi)存：2GBASIC：Packet Velocity ASIC2千兆位CU端口：16個(gè)千兆位光纖端口：(SFP - GBIC Mini)4個(gè)（2個(gè)標(biāo)準(zhǔn)、2個(gè)可選）包括：SSL TPS/Max TPS/Bulk加速模

6、塊：（100/15,000/2GB/秒）流量吞吐量：2GB/秒可選硬件設(shè)備：硬件壓縮*（2GB/秒）FIPS處理*（8,000TPS/1GB SSL吞吐量）3400系列中級(jí)多用途流量管理處理器：?jiǎn)蜟PU基本內(nèi)存：1GBASIC：Packet Velocity ASIC2千兆位CU端口：8個(gè)千兆位光纖端口：(SFP - GBIC Mini)2個(gè)可選包括：SSL TPS/Max TPS/Bulk加速模塊：（100/8,000/1GB/秒）流量吞吐量：1GB/秒2400系列普通多用途流量管理處理器：?jiǎn)蜟PU基本內(nèi)存：768MBASIC：無(wú)千兆位CU端口：2個(gè)千兆位光纖端口（ GBIC ）：2個(gè)可選包

7、括：SSL TPS/Max TPS/Bulk加速模塊：（100/2,000/500 MB/秒）流量吞吐量：500MB/秒網(wǎng)絡(luò)端口16個(gè)光纖接口4個(gè)右下角屏幕控制板F5端口及板面說(shuō)明（6800）F5的配置方法兩種配置方法Web接口方式 https 命令行方式ssh (remote)telnet（需要用命令打開(kāi)）Console建議用命令行的方式初始化，在Web方式下配置業(yè)務(wù)Web 配置工具Web 配置工具配置工具文檔Web 配置工具命令行配置方式命令行配置方式：F5#config I N I T I A L S E T U P M E N U Choose the desired configur

8、ation function from the list below. (A) Configure all services (R) Steps for redundant systems REQUIRED (E) Set default gateways (V) Configure VLANs & networking (H) Set host name (W) Configure web servers (P) Set root password OPTIONAL (C) Remote authentication (O) Configure remote access (D) Confi

9、gure DNS (S) Configure SSH (F) Configure FTP (T) Configure Telnetd (I) Initialize iControl portal (U) Configure RSH (K) Set keyboard type (Y) Set support access (L) License Activation (Z) Set time zone (M) Define time servers (Q) Quit Enter Choice: 虛擬服務(wù)器（Virtual Servers）的概念 Internet50:80Virtual Serv

10、er虛擬服務(wù)器是在F5上虛擬出來(lái)的概念虛擬服務(wù)器IP地址端口號(hào)的組合節(jié)點(diǎn)（Nodes）的概念I(lǐng)nternet80:8080Nodes節(jié)點(diǎn)（Nodes)是服務(wù)器的IP地址端口號(hào)的組合81:808082:808083:8080地址池（Pool)的概念 Internet客戶端路由器BIG-IP 負(fù)載均衡器服務(wù)器地址池是一組Node的組合虛擬服務(wù)器和節(jié)點(diǎn)Internet80:8080虛擬服務(wù)器節(jié)點(diǎn)映射到一個(gè)虛擬服務(wù)器對(duì)應(yīng)一個(gè)地址池，一個(gè)地址池對(duì)應(yīng)多個(gè)節(jié)點(diǎn)50:8081:808082:808083:8080虛擬服務(wù)器 地址轉(zhuǎn)換BIG-IP 會(huì)執(zhí)行地址換，把客戶請(qǐng)求的數(shù)據(jù)包中的目的地址換成真實(shí)的服務(wù)器地址

11、真實(shí)服務(wù)器地址Network Address Translation虛擬服務(wù)器地址Internet50:8080:808081:808082:808083:8080網(wǎng)絡(luò)數(shù)據(jù)流 - Packet #1解釋 to BIG-IP 虛擬服務(wù)器地址 50 InternetDNS 服務(wù)器50:8080:808081:808082:808083:8080網(wǎng)絡(luò)數(shù)據(jù)流 - Packet #1在BIG-IP 上把目的地址轉(zhuǎn)換成節(jié)點(diǎn)的地址，端口轉(zhuǎn)換成節(jié)點(diǎn)的偵聽(tīng)端口InternetPacket # 1 Src - 0:4003Dest 50:80Packet # 1 Src 0:4003Dest 80:8080050

12、:8080:808081:808082:808083:8080網(wǎng)絡(luò)數(shù)據(jù)流 Packet #1 Return 在BIG-IP 把返回的數(shù)據(jù)包的源地址轉(zhuǎn)換成虛擬服務(wù)器地址，端口轉(zhuǎn)換成BIG-IP偵聽(tīng)端口InternetPacket # 1 - return Dest - 0:4003Src 50:80Packet # 1 - return Dest 0:4003Src 192. 80.10.180:8080050:8080:808081:808082:808083:8080網(wǎng)絡(luò)數(shù)據(jù)流 - Packet #2InternetPacket # 2 Src - 1:4003Dest 50:80Packe

13、t # 2 Src 1:4003Dest 192. 80.10.181:8080150:8080:808081:808082:808083:8080網(wǎng)絡(luò)數(shù)據(jù)流 Packet #2 Return InternetPacket # 2 - return Dest - 1:4003Src 50:80Packet # 2 - return Dest 1:4003Src 192. 80.10.182:80150:8080:808081:808082:808083:8080F5負(fù)載均衡算法介紹Round Robin（輪詢）Ratio（權(quán)重）Least Connections（最少連接）Fastest（最快

14、回應(yīng)）Observed（觀察）Predictive（預(yù)測(cè)）Dynamic Ratio（動(dòng)態(tài)權(quán)重）Minimum Active Members（最少活動(dòng)成員）Fallback Host靜態(tài)動(dòng)態(tài)失效機(jī)制負(fù)載均衡算法輪詢客戶端路由器BIG-IP 負(fù)載均衡器服務(wù)器客戶的請(qǐng)求被嚴(yán)格分發(fā)12345678Internet負(fù)載均衡算法權(quán)重管理員設(shè)置把客戶的請(qǐng)求按 3:1:1:1比例分配123478910Internet561112客戶端路由器BIG-IP 負(fù)載均衡器服務(wù)器負(fù)載均衡算法最快回應(yīng)下一個(gè)客戶請(qǐng)求被分配到反應(yīng)最快的機(jī)器12Internet10ms5ms20ms17ms當(dāng)前反應(yīng)時(shí)間客戶端路由器BIG-I

15、P 負(fù)載均衡器服務(wù)器負(fù)載均衡算法最快回應(yīng) 一定時(shí)間后101102Internet14ms15ms20ms11ms當(dāng)前反應(yīng)時(shí)間客戶端路由器BIG-IP 負(fù)載均衡器服務(wù)器下一個(gè)客戶請(qǐng)求被分配到反應(yīng)最快的機(jī)器負(fù)載均衡算法最少連接數(shù)12Internet下一次請(qǐng)求發(fā)送到有最少連接數(shù)的機(jī)器上462460455465當(dāng)前連接數(shù)客戶端路由器BIG-IP 負(fù)載均衡器服務(wù)器負(fù)載均衡算法最少連接數(shù) 一定時(shí)間后Internet6162342330338335當(dāng)前連接數(shù)下一次請(qǐng)求發(fā)送到有最少連接數(shù)的機(jī)器上客戶端路由器BIG-IP 負(fù)載均衡器服務(wù)器負(fù)載均衡算法最少活動(dòng)成員135246InternetPriority 1P

16、riority 2如果最少活動(dòng)成員為2，現(xiàn)在有3個(gè)高優(yōu)先級(jí)的成員可用，則低優(yōu)先級(jí)的節(jié)點(diǎn)不會(huì)被使用客戶端路由器BIG-IP 負(fù)載均衡器服務(wù)器負(fù)載均衡算法最少活動(dòng)成員15InternetPriority 1Priority 2324678如果最少活動(dòng)節(jié)點(diǎn)少于2個(gè)，則下一優(yōu)先級(jí)的節(jié)點(diǎn)就會(huì)被使用客戶端路由器BIG-IP 負(fù)載均衡器服務(wù)器負(fù)載均衡算法Fallback HostInternetIf all nodes fail, then client is sent an http redirect to the “fallback” server.客戶端路由器BIG-IP 負(fù)載均衡器服務(wù)器策略保持（

17、Persistence）概念123123策略保持是處理同一臺(tái)Client端過(guò)來(lái)的請(qǐng)求如果分發(fā)到同一個(gè)節(jié)點(diǎn)中去的問(wèn)題策略保持方法Simple Persistence（簡(jiǎn)單策略保持）SSL Persistence（SSL策略保持）Cookie Persistence（Cookie策略保持）Insert, Rewrite, Passive & HashPersistence by Expressio（表達(dá)式的策略保持）.交流分享/網(wǎng)絡(luò)/F5/會(huì)話保持.doc會(huì)話策略保持方法Cookie 策略保持方法Insert 模式BIG-IP 在數(shù)據(jù)流中插入一個(gè) cookie Rewrite 模式主機(jī)產(chǎn)生 coo

18、kie而 BIG-IP 會(huì)改寫(xiě)cookiePassive 模式主機(jī)產(chǎn)生 cookie 而 BIG-IP 讀此cookieHash 模式鏡像一個(gè) cookie值到一個(gè)特別的節(jié)點(diǎn) Web server 必須產(chǎn)生一個(gè) cookieClientServerHTTP request (no cookie)TCP handshakeTCP handshakeHTTP request (no cookie)HTTP reply (no cookie)HTTP reply (with inserted cookie)pickserver HTTP request (with same cookie)TCP h

19、andshakeTCP handshakeHTTP request (with same cookie)HTTP reply (no cookie)HTTP reply (updated cookie)cookiespecifiesserver First HitSecond HitCookie Insert 模式ClientServerHTTP request (no cookie)TCP handshakeTCP handshakeHTTP request (no cookie)HTTP reply (with blank cookie)HTTP reply (with rewritten

20、 cookie)pickserver HTTP request (with same cookie)TCP handshakeTCP handshakeHTTP request (with same cookie)HTTP reply (with blank cookie)HTTP reply (with updated cookie)cookiespecifiesserver First HitSecond HitCookie Rewrite 模式ClientServerHTTP request (no cookie)TCP handshakeTCP handshakeHTTP reques

21、t (no cookie)HTTP reply (with special cookie)HTTP reply (with special cookie)pickserver HTTP request (with same cookie)TCP handshakeTCP handshakeHTTP request (with same cookie)HTTP reply (with special cookie)HTTP reply (with special cookie)cookiespecifiesserver First HitSecond HitCookie Passive 模式Cl

22、ientServerHTTP request (no cookie)TCP handshakeTCP handshakeHTTP request (no cookie)HTTP reply (with cookie)HTTP reply (with cookie)pickserver HTTP request (with same cookie)TCP handshakeTCP handshakeHTTP request (with same cookie)HTTP reply (with cookie)HTTP reply (with cookie)cookie hash specifies

23、server First HitSecond HitThird HitServerTCP handshakeHTTP request (with same cookie)HTTP reply (with cookie)cookie hash specifiesserver TCP handshakeHTTP request (with same cookie)HTTP reply (with cookie)Cookie Hash 模式IP & TCP HeaderTCP Data表達(dá)式 （Expression）保持SYNSYN-ACKACKClient RequestSSL Session I

24、DIP AddressSIP Call IDHTTP HeadersUser Defined FieldsTCP Handshake表達(dá)式保持基于數(shù)據(jù)包中的其他內(nèi)容來(lái)做策略保持可以做任何內(nèi)容的策略保持類(lèi)似于 Rules簡(jiǎn)單(simple)策略保持方法基于源或目的IP地址假設(shè)Client IP地址不變Netmask一段地址范圍當(dāng)作源地址SSL 策略保持方法基于SSL會(huì)話ID當(dāng)客戶端IP地址變化時(shí)，保持不變?nèi)绻鸖SL 會(huì)話ID丟失后，保持會(huì)發(fā)生變化80:8080F5的健康檢查方法Internet節(jié)點(diǎn) & 節(jié)點(diǎn)地址狀態(tài)用 Monitors檢查的節(jié)點(diǎn)的狀態(tài) UNCHECKEDCHECKINGUP DO

25、WNADDRESS DOWN管理員原因引起的狀態(tài) DISABLEDADDRESS DISABLEDFORCED DOWNADDRESS DOWN健康檢查健康檢查概念A(yù)ddress, Service, Content（內(nèi)容） & Interactive Checks配置健康檢查從模板中創(chuàng)建 Monitor關(guān)聯(lián):pool地址（Address） 檢查步驟包被送到IP地址如果沒(méi)有反應(yīng)，則不會(huì)再往此節(jié)點(diǎn)發(fā)送流量例如 - ICMPInternet82ICMP8180服務(wù)（Service） Check步驟建立一個(gè) TCP 連接 (IP 地址 : 服務(wù))關(guān)閉連接如果TCP連接失效，則不會(huì)再往此節(jié)點(diǎn)發(fā)送流量例如

26、 TCP Internet82:8080TCP Connection81:808080:8080內(nèi)容（Content） 檢查Internet步驟：建立一個(gè)Opens TCP 連接 (IP地址 : 服務(wù))發(fā)送一個(gè)請(qǐng)求返回?cái)?shù)據(jù)連接關(guān)閉 如果收到的包中內(nèi)容不對(duì)，則不會(huì)再往此節(jié)點(diǎn)發(fā)送流量例如 http http GET /82:808081:808080:8080交互（Interactive）檢查Internet步驟建立一個(gè)連接 (IP 地址: 服務(wù))模擬真實(shí)應(yīng)用交互會(huì)話連接關(guān)閉 如果期望的結(jié)果不對(duì)，則不會(huì)再往此節(jié)點(diǎn)發(fā)送流量例如 SQL 請(qǐng)求會(huì)話82:808081:808080:8080F5雙機(jī)系統(tǒng)主

27、備主備雙機(jī)配置的一些概念Unit ID （單元號(hào)碼，雙機(jī)時(shí)此Unit ID不能相同）Failover IP (雙機(jī)中對(duì)端機(jī)器的內(nèi)部IP地址，兩臺(tái)機(jī)器Failover IP要能互相ping通）Failover Method (Hardwired or Network)（Hardwired用專(zhuān)門(mén)的Failover線，而Network用網(wǎng)線，經(jīng)驗(yàn)驗(yàn)證要采用hardwired）Shared IP（類(lèi)似于雙機(jī)的浮動(dòng)IP）Hostname（機(jī)器名，兩臺(tái)機(jī)器的機(jī)器名一定不要相同）F5雙機(jī)系統(tǒng)的一些概念配置F5雙機(jī)系統(tǒng)配置步驟：確認(rèn)BIG-IP運(yùn)行在雙機(jī)模式。在導(dǎo)航條選擇SYSTEM -Platform，Hi

28、th Availability設(shè)置中應(yīng)選擇為Redundant Pair。通常BIG-IP1的Unit ID為1， BIG-IP2的Unit ID為2。在導(dǎo)航條選擇SYSTEM -High Availability，完成如下配置 配置F5雙機(jī)系統(tǒng)Redundancy Mode選擇Active/Standby模式Enable Network Failover選項(xiàng)。F5主備機(jī)的同步F5主備機(jī)的同步：同步別的配置當(dāng)前配置F5只能同步Web 頁(yè)面的配置同步是一個(gè)push或者pull的操作F5主機(jī)的判斷通過(guò)WEB檢查通過(guò)命令行檢查 bigtop 強(qiáng)制把F5主機(jī)變成備機(jī)只能把主機(jī)變成備機(jī)，但不能把備機(jī)變成

29、主機(jī)命令方式 b failover standbyF5雙機(jī)切換 切換方式Watchdog deviceVLAN Arm FailsafeSSL Proxy FailoverGateway Failsafe檢測(cè)方法Fail-over cableNetwork Fail-overWatchdog 機(jī)制主F5有 硬件或軟件問(wèn)題Watchdog device 觸發(fā)一個(gè)切換動(dòng)作 (重啟機(jī)器)備機(jī)收不到主機(jī)的信息備機(jī)變成主機(jī)VLAN Arm Failsafe機(jī)制檢測(cè)到?jīng)]有業(yè)務(wù)網(wǎng)絡(luò)流量F5本身觸發(fā)一些流量仍然沒(méi)有沒(méi)有檢測(cè)到業(yè)務(wù)網(wǎng)絡(luò)流量發(fā)起切換進(jìn)程 (重啟機(jī)器)備機(jī)從主機(jī)中收不到信息備機(jī)變成主機(jī)SSL Pro

30、xy Failover機(jī)制加密模塊硬件錯(cuò)誤發(fā)起切換進(jìn)程 (重啟機(jī)器)備機(jī)從主機(jī)中收不到信息備機(jī)變成主機(jī)Gateway Failsafe機(jī)制 ping GW沒(méi)有回應(yīng)主機(jī)變成備機(jī)模式Sta備機(jī)從主機(jī)中收不到信息備機(jī)變成主機(jī)檢測(cè)方法Failover 線主備機(jī)之間的串口線檢查對(duì)端機(jī)器的電壓Network 線兩臺(tái)機(jī)器的內(nèi)網(wǎng)接口的通訊Communication between boxes across internal interface檢查到?jīng)]有信號(hào)廠商宣稱支持二個(gè)檢測(cè)方法，實(shí)際中建議用Failover線F5的NAT和SNATF5的NAT和SNAT：NAT (Network Address Translation)和SNAT(Secure Net