F5負(fù)載均衡設(shè)備組網(wǎng)架構(gòu)

F5LTM組網(wǎng)架構(gòu)李興華F5

售前工程師單臂接入模式雙臂接入模式遠(yuǎn)程節(jié)點(diǎn)模式加入獨(dú)立SSL/WA/ASM設(shè)備防火墻負(fù)載均衡多鏈路接入災(zāi)備站點(diǎn)靜態(tài)路由注入AgendaLTM單臂接入模式3單臂接入模式下的網(wǎng)絡(luò)物理結(jié)構(gòu)4核心三層交換服務(wù)器服務(wù)器LTMLTM外部網(wǎng)絡(luò)Vlan1串口心跳線LTM單臂源地址替換接入典型架構(gòu)設(shè)計(jì)5CoreSwitchCoreSwitchServerServer網(wǎng)絡(luò)同步-獨(dú)立Vlan串口心跳NetworkIP:GW:54IP:GW:54SelfIP:00GW:54VS:00SNATAutomapSelfIP:01GW:54VS:00SNATAutomapHSRP54TrunkTrunkTrunkActiveBackup單臂接入-源地址替換模式數(shù)據(jù)訪問(wèn)流程6核心三層交換服務(wù)器服務(wù)器LTMClient0GW:541GW:54VS::80SelfIP:53GW:545454①②③④⑤

SIPSportDIPDport①②678780③538888180④180538888⑤⑥806787⑥源地址替換后的處理7核心三層交換服務(wù)器服務(wù)器LTMClient0GW:541GW:54VS:：80SelfIP:53GW:545454①②③④⑤⑥HTTPProfilewhenHTTP_REQUEST{HTTP::headerinsert"Client_IP=[IP::client_addr]"}iRules只有HTTP協(xié)議的時(shí)候，可以通過(guò)將源地址插入到客戶端請(qǐng)求的HTTPHeader里，然后在服務(wù)器上通過(guò)讀取這個(gè)Header，獲得客戶端的真實(shí)源IP地址單臂接入-npath模式數(shù)據(jù)訪問(wèn)流程8核心三層交換服務(wù)器服務(wù)器LTMClient0Lo:GW:541Lo:GW:54VS::80SelfIP:53GW:545454①②③④⑤

SIPSportDIPDport①②678780③678780④⑤806787npath模式的關(guān)鍵在于服務(wù)器上配置的loopback地址在上能找到各種服務(wù)器的loopback地址如何配置的文檔單臂接入-服務(wù)器非直連模式（無(wú)源地址替換）9核心三層交換服務(wù)器服務(wù)器LTMClient0GW:541GW:54VS::80SelfIP:53GW:545454①②③④⑤⑦⑧⑥

SIPSportDIPDport①②678780③④6787180⑤⑥1806787⑦⑧806787無(wú)源地址替換的單臂接入模式使用比較少，通常用于對(duì)現(xiàn)網(wǎng)不能改造的情況這種模式下需要在核心三層交換上啟用源地址路由，將服務(wù)器的所有返回?cái)?shù)據(jù)包轉(zhuǎn)向LTM，這樣才能保證進(jìn)出的連接完整性建議在這種結(jié)構(gòu)下采用源地址替換以減小網(wǎng)絡(luò)復(fù)雜程度54同網(wǎng)段訪問(wèn)處理-必須通過(guò)SNAT實(shí)現(xiàn)10核心三層交換客戶端服務(wù)器LTM0GW:541GW:54VS:：80IP:53GW:5454

SIPSportDIPDport①0678780②538888180③180538888④806787①②③④單臂接入-服務(wù)器更改網(wǎng)關(guān)數(shù)據(jù)訪問(wèn)流程11核心三層交換服務(wù)器服務(wù)器LTMClient0GW:531GW:53VS::80SelfIP:53GW:545454①②③④⑤

SIPSportDIPDport①②678780③6787180④1806787⑤⑥806787⑥服務(wù)器更改網(wǎng)關(guān)后的直接訪問(wèn)服務(wù)器問(wèn)題12核心三層交換服務(wù)器服務(wù)器LTMClient0GW:531GW:53VS:：80IP:53GW:545454①SYN②SYN③SYN-ACK

SIPSportDIPDport①②6787180③1806787FastL4Profile雙臂接入模式13LTM雙臂接入模式典型架構(gòu)設(shè)計(jì)14VLANEXTServerServer網(wǎng)絡(luò)同步-獨(dú)立Vlan串口心跳NetworkIP:GW:54IP:GW:54SelfIPEXT:00SelfIPINT:00GW:54VS:00HSRP54ActiveBackupVLANINTVLANEXTVLANINTSelfIPEXT:00SelfIPINT:00GW:54VS:00FIP:54LBServerIP:GW:50LBServerIP:GW:50FIP:54HSRP54雙臂接入-服務(wù)器直連15核心三層交換服務(wù)器服務(wù)器LTMClient0GW:541GW:54VS:EXTIP:53/VLANEXTINTIP:54/VLANINTGW:545454

SIPSportDIPDport①678780②6787180③1806787④806787①②③④雙臂接入-串聯(lián)部署-擴(kuò)展端口16核心三層交換服務(wù)器服務(wù)器LTMClient0GW:541GW:54VS:EXTIP:53/VLANEXTINTIP:54/VLANINTGW:545454①②③④服務(wù)器接入交換

SIPSportDIPDport①678780②6787180③1806787④806787雙臂接入-旁掛模式17核心三層交換服務(wù)器服務(wù)器LTMClient0GW:541GW:54VS::80EXTIP:53/VLANEXTINTIP:54/VLANINTGW:545454①②③④

SIPSportDIPDport①678780②6787180③1806787④806787External_vlanInternal_vlan旁掛模式下LTM可以用不同的端口接入核心交換，也可以采用端口捆綁模式接入核心交換，然后在端口捆綁里通過(guò)VLANtag方式來(lái)劃分多個(gè)VLAN旁掛模式下的服務(wù)器直接訪問(wèn)18核心三層交換服務(wù)器服務(wù)器LTMClient0GW:541GW:54VS:EXTIP:53/VLANEXTINTIP:54/VLANINTGW:545454①②③

SIPSportDIPDport①6787180②6787180③1806787FastL4Profile雙臂接入-避免SpanningTreeF5LTM有非?？焖俚那袚Q機(jī)制（200ms），切換完成后會(huì)發(fā)送ARP廣播SpanningTree的重算機(jī)制在一些情況下會(huì)阻止對(duì)端設(shè)備收到ARP廣播不同設(shè)備的ARP更新機(jī)制有時(shí)會(huì)帶來(lái)很大的麻煩通常情況下，也不建議采用服務(wù)器雙網(wǎng)卡接入19核心三層交換服務(wù)器服務(wù)器LTMClient服務(wù)器接入交換核心三層交換LTM服務(wù)器接入交換Client遠(yuǎn)程節(jié)點(diǎn)模式20遠(yuǎn)程節(jié)點(diǎn)模式21核心三層交換服務(wù)器服務(wù)器LTMClient0GW:541GW:54VS::80SelfIP:53GW:545454①②③④⑤

SIPSportDIPDport①②678780③538888180④180538888⑤⑥806787⑥三層交換54遠(yuǎn)程節(jié)點(diǎn)模式通常用于服務(wù)器不在本地的情況只要路由可達(dá)，LTM就可以配置遠(yuǎn)程服務(wù)器作為節(jié)點(diǎn)必須采用源地址替換方式，保證服務(wù)器返回?cái)?shù)據(jù)包回到LTM進(jìn)行處理在同一個(gè)VS里面，可以同時(shí)存在有本地節(jié)點(diǎn)和遠(yuǎn)程節(jié)點(diǎn)，并且可以通過(guò)iRules控制在發(fā)往不同節(jié)點(diǎn)的時(shí)候是否啟用源地址替換加入獨(dú)立SSL/WA/ASM設(shè)備22應(yīng)用加速和應(yīng)用安全外掛典型架構(gòu)設(shè)計(jì)23VLANEXT網(wǎng)絡(luò)同步-獨(dú)立Vlan串口心跳NetworkHSRP54ActiveBackupVLANINTVLANEXTVLANINTSelfIPEXT:00SelfIPINT:00GW:54VS:00FIP:54LBServerIP:GW:50LBServerIP:GW:50FIP:54HSRP54SelfIPEXT:00SelfIPINT:00GW:54VS:00IP:GW:50IP:GW:50WA/ASMWA/ASM加入獨(dú)立SSL/WA/ASM設(shè)備設(shè)備業(yè)務(wù)邏輯流程24VSExternalMember1Member20SSL/WA/ASMVSInternalMember1Member20Client

SIPSportDIPDport①678780②67870080③67870080④6787080⑤0806787⑥00806787⑦00806787⑧806787①②③④⑤⑥⑦⑧:800000:80VSExternal:ADDR：Pool：M1::80P1M2:0:80P1M3:00:80P10VSInternal:Addr:00Pool:M1::80M2:0:80防火墻負(fù)載均衡組網(wǎng)結(jié)構(gòu)25防火墻負(fù)載均衡處理-物理連接結(jié)構(gòu)26LTM服務(wù)器服務(wù)器防火墻接入交換機(jī)LTMLTMLTM接入交換機(jī)服務(wù)器服務(wù)器接入交換機(jī)接入交換機(jī)防火墻防火墻防火墻建議所有的SSL/WA/ASM獨(dú)立設(shè)備自身都以單臂模式接入在獨(dú)立設(shè)備上無(wú)須開(kāi)啟源地址替換，保證在服務(wù)器上接收到的請(qǐng)求源地址為真實(shí)的客戶端源地址F5所有的獨(dú)立應(yīng)用加速/安全設(shè)備均支持源地址透?jìng)鞣阑饓ω?fù)載均衡處理-業(yè)務(wù)邏輯流程27LTMLTM防火墻防火墻Client服務(wù)器

SIPSportDIPDport①67870080②67870080③67870080④67870080⑤00806787⑥00806787⑦00806787⑧00806787EXT:54INT:EXT:00INT:00EXT:01INT:01EXT:INT:5400①②③④⑤⑥⑦⑧防火墻負(fù)載均衡模式下，數(shù)據(jù)包的信息在所有穿過(guò)整體系統(tǒng)的過(guò)程中都不會(huì)被改變3層以上的信息LTM依靠AutoLastHop記錄的源MAC地址來(lái)確定將服務(wù)器返回?cái)?shù)據(jù)發(fā)送到那個(gè)防火墻，而不是依靠路由防火墻可以工作在路由模式或者NAT模式，兩種模式下都可以正常工作鏈路負(fù)載均衡28鏈路負(fù)載均衡-LinkController部署物理結(jié)構(gòu)29LC客戶端服務(wù)器防火墻接入交換機(jī)LC接入交換機(jī)客戶端服務(wù)器核心交換機(jī)核心交換機(jī)防火墻互聯(lián)網(wǎng)ISP1ISP2HA在每臺(tái)LC上都劃分3個(gè)Vlan:ISP1,ISP2和Internal兩臺(tái)LC之間建議采用Trunk方式連接劃分在InternalVlan里作為數(shù)據(jù)流量?jī)膳_(tái)LC之間的同步/Failover采用另外的網(wǎng)絡(luò)連線（在端口不足的情況下可以使用數(shù)據(jù)連線）建議防火墻采用路由模式，并且放置在LC的后端接入交換機(jī)通常建議采用低端的比較可靠的二層交換機(jī)，每增加一個(gè)ISP，增加一臺(tái)接入交換機(jī)如果接入交換機(jī)支持VLAN劃分，也可以通過(guò)VLANtag模式將LC的外網(wǎng)接入部分統(tǒng)一連接在接入交換機(jī)上鏈路負(fù)載均衡-GTM+LTM防火墻在外部30LTM客戶端服務(wù)器防火墻接入路由器LTM接入路由器客戶端服務(wù)器核心交換機(jī)核心交換機(jī)防火墻互聯(lián)網(wǎng)ISP1ISP2GTMGTM在每臺(tái)LTM上都劃分3個(gè)Vlan:防火墻1,防火墻2和Internal兩臺(tái)LTM之間沒(méi)有數(shù)據(jù)流量發(fā)生兩臺(tái)LTM之間的同步/Failover采用另外的網(wǎng)絡(luò)連線（在端口不足的情況下可以使用數(shù)據(jù)連線）建議防火墻采用路由模式，并且放置在LTM的前端，針對(duì)每條鏈路上的防火墻也可以采用HA模式部署接入交換機(jī)通常建議采用低端的比較可靠的二層交換機(jī)，每增加一個(gè)ISP，增加一臺(tái)接入交換機(jī)如果接入交換機(jī)支持VLAN劃分，也可以通過(guò)VLANtag模式將LTM的外網(wǎng)接入部分統(tǒng)一連接在接入交換機(jī)上GTM部署在防火墻的DMZ區(qū)，配置公網(wǎng)地址接入交換機(jī)接入交換機(jī)鏈路負(fù)載均衡-GTM+LTM防火墻在內(nèi)