F5LC鏈路負(fù)載均衡解決方案

F5LinkController多鏈路接入解決方案北京華勝天成科技股份效勞交付中心目 錄1.問(wèn)題的提出 4鏈路單點(diǎn)故障 41.2Internet用戶訪問(wèn)快慢差異 42.F5提供的最正確解決方案 5使用F5公司的LinkControl多鏈路設(shè)計(jì)構(gòu)造圖： 5網(wǎng)絡(luò)出口構(gòu)造建議 5技術(shù)實(shí)現(xiàn)原理 6技術(shù)實(shí)現(xiàn)原理講解 7鏈路的安康檢查 7依據(jù)鏈路安康狀態(tài)和流量來(lái)均衡處理DNS解析 7系統(tǒng)切換時(shí)間 72.4.4LinkController替代現(xiàn)有的DNS效勞器 7注冊(cè)多一個(gè)NS記錄 8效勞器負(fù)載均衡 8強(qiáng)大而且免費(fèi)的平安防護(hù)功能 9有效解決防火墻的處理能力瓶頸 92.4.9F5i–Control開(kāi)放的API接口介紹 113.方案優(yōu)勢(shì)闡述 13設(shè)備及拓?fù)錁?gòu)造的優(yōu)點(diǎn) 13平安機(jī)制方面 13與應(yīng)用的結(jié)合方面 14投資回報(bào)方面 144.相關(guān)產(chǎn)品介紹 15可靠的網(wǎng)絡(luò)連接 15最大帶寬和投資回報(bào) 16高級(jí)WAN鏈路管理 16配置和管理 17IPv6網(wǎng)關(guān) 18強(qiáng)化的平安性能 18簡(jiǎn)單、平安的管理 19訂購(gòu)信息 19最低系統(tǒng)要求： 19物理標(biāo)準(zhǔn) 19問(wèn)題的提出通常用戶系統(tǒng)構(gòu)造設(shè)計(jì)圖如下：鏈路單點(diǎn)故障在系統(tǒng)原有系統(tǒng)構(gòu)造中，采用單條鏈路接入，一個(gè)或多個(gè)DNS效勞器，這些效勞器對(duì)于同一個(gè)域名均解析為同一個(gè)地址。在該種網(wǎng)絡(luò)構(gòu)造之中，無(wú)論主機(jī)系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)的規(guī)劃有多么完美,完全的排除了應(yīng)用瓶頸和單點(diǎn)故障,都還存在一個(gè)非常明顯的單點(diǎn)故障,就是國(guó)際網(wǎng)絡(luò)接入局部的方案不夠完整,一旦國(guó)際網(wǎng)絡(luò)接入局部出現(xiàn)中斷就直接意味著所有應(yīng)用的中斷。Internet用戶訪問(wèn)快慢差異隨著國(guó)內(nèi)最大的Internet接入提供商Chinanet被拆分為北方ChinaNetcom和南方ChinaTelecom之后，兩方資源的互訪受到了很大程度的影響。其出現(xiàn)的根本原因?yàn)槟媳本W(wǎng)絡(luò)的互通互聯(lián)接點(diǎn)擁塞，造成用戶丟包、延遲較大，從而導(dǎo)致訪問(wèn)緩慢，甚至對(duì)于一些應(yīng)用根本無(wú)法訪問(wèn)。以下是一張?jiān)谡鎸?shí)環(huán)境下的實(shí)測(cè)數(shù)據(jù)表：測(cè)試工程網(wǎng)通北京ADSL用戶訪問(wèn)廣東電信用戶訪問(wèn)，寬帶用戶網(wǎng)通北京ADSL用戶訪問(wèn)上海ADSL寬帶用戶訪問(wèn)DNSResult202..209219.xxx.xxx.11202..209219..11網(wǎng)通電信網(wǎng)通電信網(wǎng)通電信網(wǎng)通電信Numberofhits:726947652471935RequestsperSecondSocketConnects737057753482036TotalBytesSent(inKB)BytesSentRate(inKB/s)TotalBytesRecv(inKB)BytesRecvRate(inKB/s)表中可以看出，對(duì)于同一個(gè)站點(diǎn)，一個(gè)用戶分別從兩條線路進(jìn)展訪問(wèn)，得出的訪問(wèn)速度差異是非常大的。最大的差值在廣東電信分別訪問(wèn)站點(diǎn)的兩條線路，其速度差異接近20倍。有效解決鏈路單點(diǎn)故障及為南北不同用戶提供一樣效勞質(zhì)量的需求與日俱增。對(duì)于一個(gè)運(yùn)行關(guān)鍵業(yè)務(wù)的網(wǎng)站來(lái)說(shuō)，為用戶供24*7不間段的業(yè)務(wù)，并保持用戶的訪問(wèn)速度和訪問(wèn)的成功率非常重要。F5提供的最正確解決方案使用F5公司的LinkControl多鏈路設(shè)計(jì)構(gòu)造圖：網(wǎng)絡(luò)出口構(gòu)造建議我們建議采用一對(duì)F5Linkcontroller設(shè)備接在兩個(gè)出口鏈路處，實(shí)現(xiàn)由內(nèi)向外和由外向內(nèi)的出入站流量負(fù)載均衡。由外向內(nèi)的inbound訪問(wèn)的智能性，通過(guò)Linkcontroller提供的智能DNS解析功能，實(shí)現(xiàn)對(duì)兩條鏈路的負(fù)載均衡。Linkcontroller可以通過(guò)實(shí)時(shí)監(jiān)控兩條鏈路的負(fù)載狀況及其安康狀況，也可以根據(jù)當(dāng)前鏈路的負(fù)載情況，用戶所處的位置ip地址或用戶的特殊要求進(jìn)展相應(yīng)域名解析，指引用戶從最快的、最好的、最近的路徑訪問(wèn)到企業(yè)的站點(diǎn)。這里我們建議采用靜態(tài)負(fù)載〔Topology〕和動(dòng)態(tài)負(fù)載〔RTT〕相結(jié)合的方式，使得方案更能滿足客戶是實(shí)際需求，當(dāng)用戶是來(lái)自國(guó)內(nèi)的用戶，在F5設(shè)備的Class中能查到它是來(lái)自哪家運(yùn)營(yíng)商的地址，這時(shí)F5的設(shè)備將采用靜態(tài)的算法給用戶端一條最快的鏈路，如果用戶不是來(lái)自國(guó)內(nèi)，是來(lái)自國(guó)外的用戶，F(xiàn)5設(shè)備將采用動(dòng)態(tài)算法〔RTT〕，去探測(cè)用戶的LDNS，然后算出來(lái)一個(gè)最正確路徑并提供應(yīng)用戶，這樣從用戶端，不管是來(lái)自國(guó)內(nèi)還是來(lái)自國(guó)外的用戶都能得到一條最正確的路徑來(lái)訪問(wèn)用戶企業(yè)網(wǎng)站。用戶在進(jìn)展由內(nèi)向外的outbound訪問(wèn)時(shí)，由F5Linkcontroller提供智能的鏈路選擇，實(shí)現(xiàn)對(duì)兩條鏈路的負(fù)載均衡。F5LC可以通過(guò)實(shí)時(shí)監(jiān)控兩條鏈路的負(fù)載狀況及其安康狀況來(lái)保證鏈路的高可用性，同時(shí)可以根據(jù)當(dāng)前鏈路的負(fù)載情況，用戶想要訪問(wèn)的IP地址等信息進(jìn)展鏈路選擇，指引用戶從最快的、最好的、最近的路徑訪問(wèn)INTERNET，另外考慮到帶寬等，我們可以在F5LC上通過(guò)添加策略來(lái)實(shí)現(xiàn)指定用戶走指定鏈路，只有當(dāng)此鏈路出問(wèn)題時(shí)會(huì)自動(dòng)切換到其他好的鏈路上。方案特點(diǎn)：從整體構(gòu)造上來(lái)看，對(duì)入站鏈路選擇進(jìn)展了優(yōu)化，解決了效勞器互訪慢的問(wèn)題，使得web效勞提高了響應(yīng)速度，由于鏈路的優(yōu)化從而改善了這些效勞的的響應(yīng)速度，國(guó)內(nèi)用戶和國(guó)外用戶通過(guò)F5設(shè)備的均衡最終能得到一個(gè)相對(duì)最正確的鏈路，保證了內(nèi)部效勞從外網(wǎng)訪問(wèn)能通過(guò)一條最快的鏈路，大大提升了網(wǎng)絡(luò)響應(yīng)速度采用F5的LC，同時(shí)也解決了出站時(shí)的鏈路優(yōu)化和當(dāng)其中某個(gè)鏈路中斷時(shí)，自動(dòng)切換到其他的鏈路上去的功能，另外在BIGIP上設(shè)置不同網(wǎng)段的鏈路選擇，如：可以將一段地址網(wǎng)絡(luò)只走某一條鏈路，其他的地址走另外的鏈路，當(dāng)此鏈路中斷時(shí)，BIGIP把所有流量切換到好的鏈路上。另外F5LC還同時(shí)具備效勞器負(fù)載均衡的能力，可以解決企業(yè)原有的效勞器性能缺乏的問(wèn)題。技術(shù)實(shí)現(xiàn)原理為了向企業(yè)用戶訪問(wèn)互聯(lián)網(wǎng)資源時(shí)提供高可性，LC使用defaultgatewaypool和SNAT〔平安網(wǎng)絡(luò)地址轉(zhuǎn)換〕將流量動(dòng)態(tài)導(dǎo)向最正確鏈路。Defaultgatewaypool包含了多個(gè)網(wǎng)關(guān)，F(xiàn)5LC將根據(jù)負(fù)載均衡算法選擇一個(gè)最優(yōu)網(wǎng)關(guān)，將當(dāng)前數(shù)據(jù)發(fā)送到該網(wǎng)關(guān)，從而發(fā)送到對(duì)應(yīng)ISP。SNAT提供了一個(gè)平安機(jī)制，可將不能路由內(nèi)部地址轉(zhuǎn)換為可路由的地址，并將流量導(dǎo)向適宜的上游網(wǎng)關(guān)路由器。利用LC的智能流量管理功能，可替代防火墻的NAT功能，并保證流量可以通過(guò)與WAN或互聯(lián)網(wǎng)的最正確連接往返發(fā)送。另外LC可以利用rules功能實(shí)現(xiàn)類似策略路由的功能，LC可以根據(jù)數(shù)據(jù)源地址或目的地址來(lái)選擇路徑，從而實(shí)現(xiàn)outbound流量的最優(yōu)鏈路選擇，防止針對(duì)某些鏈路的站點(diǎn)收費(fèi)問(wèn)題。入站連接為了保證用戶可以在24*7并且提高用戶的訪問(wèn)速度，LC可以通過(guò)智能DNS解析功能，動(dòng)態(tài)選擇最正確鏈路，將外部用戶導(dǎo)向駐留在站點(diǎn)中的資源。LC上可以配置多個(gè)VLAN，分別綁定多個(gè)ISP效勞商的公網(wǎng)地址,解析來(lái)自互聯(lián)網(wǎng)用戶的地址解析請(qǐng)求。后臺(tái)效勞器則由LC做成集群和虛擬化成針對(duì)ISPA的虛擬效勞器VirtualServer1和ISPB的虛擬效勞器VirtualServer2，這樣對(duì)于每個(gè)用戶到來(lái)的請(qǐng)求,LC都會(huì)分別檢測(cè)后臺(tái)效勞器的狀態(tài)并選擇最正確的鏈路提供效勞,到達(dá)用戶的就近性訪問(wèn)及效勞器的負(fù)載均衡。LC在回應(yīng)客戶的DNS解析請(qǐng)求時(shí),可以采用15種動(dòng)態(tài)或者靜態(tài)的決策方法中的任何一種方法并檢測(cè)鏈路的實(shí)際狀態(tài)將復(fù)合客戶要求的最正確狀態(tài)的鏈路的效勞器公網(wǎng)地址返回給客戶端,從而到達(dá)多鏈路動(dòng)態(tài)負(fù)載均衡的效果。技術(shù)實(shí)現(xiàn)原理講解鏈路的安康檢查多種效勞器狀態(tài)監(jiān)測(cè)手段?效勞器(Node)-Ping(ICMP)?效勞(Port)-Connect?擴(kuò)展的應(yīng)用驗(yàn)證(EAV)?擴(kuò)展的內(nèi)容驗(yàn)證多種效勞器狀態(tài)監(jiān)測(cè)手段?效勞器(Node)-Ping(ICMP)?效勞(Port)-Connect?擴(kuò)展的應(yīng)用驗(yàn)證(EAV)?擴(kuò)展的內(nèi)容驗(yàn)證(ECV)?頻度,e.g.10seconds?響應(yīng),e.g.5seconds擴(kuò)展內(nèi)容查證(ECV:ExtendedContentVerification)ECV是一種非常復(fù)雜的效勞檢查，主要用于確認(rèn)應(yīng)用程序能否對(duì)請(qǐng)求返回對(duì)應(yīng)的數(shù)據(jù)。如果一個(gè)應(yīng)用對(duì)該效勞檢查作出響應(yīng)并返回對(duì)應(yīng)的數(shù)據(jù)，則BIGIP控制器將該效勞器標(biāo)識(shí)為工作良好。如果效勞器不能返回相應(yīng)的數(shù)據(jù)，則將該效勞器標(biāo)識(shí)為宕機(jī)。宕機(jī)一旦修復(fù)，BIGIP就會(huì)自動(dòng)查證應(yīng)用已能對(duì)客戶請(qǐng)求作出正確響應(yīng)并恢復(fù)向該效勞器傳送。該功能使BIGIP可以將保護(hù)延伸到后端應(yīng)用如Web內(nèi)容及數(shù)據(jù)庫(kù)。BIGIP的ECV功能允許您向Web效勞器、防火墻、緩存效勞器、代理效勞器和其它透明設(shè)備發(fā)送查詢，然后檢查返回的響應(yīng)。這將有助于確認(rèn)您為客戶提供的內(nèi)容正是其所需要的。依據(jù)鏈路安康狀態(tài)和流量來(lái)均衡處理DNS解析在確定了ISP接入鏈路的連通狀態(tài)后，linkcontroller可以根據(jù)ISP鏈路的實(shí)際流量，鏈路品質(zhì)等因素來(lái)進(jìn)展智能的DNS解析處理，如果出現(xiàn)某ISP鏈路中斷的情況，在確認(rèn)后及時(shí)的改變DNS解析的內(nèi)容，將中斷鏈路的IP地址從DNS解析列表中刪除，保證解析出的地址都一定是可以訪問(wèn)得到的可用地址。系統(tǒng)切換時(shí)間在采用DNS實(shí)現(xiàn)鏈路切換時(shí)，系統(tǒng)的切換時(shí)間主要取決于每個(gè)域名的TTL時(shí)間設(shè)置。在LinkControl系統(tǒng)里，每個(gè)域名如均可設(shè)置對(duì)應(yīng)的TTL生存時(shí)間。在用戶的LocalDNS得到域名解析紀(jì)錄后，將在本地在TTL設(shè)定時(shí)間內(nèi)將該域名解析對(duì)應(yīng)紀(jì)錄進(jìn)展Cache，在Cache期間所有到該LocalDNS上進(jìn)展域名解析的用戶均將獲得該紀(jì)錄。在TTL時(shí)間timeout之后，如果有用戶到LocalDNS上請(qǐng)求解析，則此LocalDNS將重新發(fā)起一次請(qǐng)求到LinkController上獲得相應(yīng)紀(jì)錄。因此，當(dāng)單條線路出現(xiàn)故障時(shí)，LinkController將在系統(tǒng)定義的檢查間隔〔該時(shí)間可自行定義〕內(nèi)檢查到線路的故障，并只解析正常的線路側(cè)地址。但此時(shí)在LocalDNS上可能還有未過(guò)時(shí)的Cache紀(jì)錄。在TTL時(shí)間timeout之后，該LocalDNS重新發(fā)起請(qǐng)求的時(shí)候就將從LinkController上獲得正確的解析，從而引導(dǎo)用戶通過(guò)正常的線路進(jìn)展訪問(wèn)。系統(tǒng)檢測(cè)間隔加上TTL時(shí)間之和則為系統(tǒng)切換的最長(zhǎng)時(shí)間。通常，系統(tǒng)檢測(cè)間隔設(shè)置為60秒，而TTL時(shí)間設(shè)置為600秒，所以系統(tǒng)切換的整體時(shí)間為11分鐘。LinkController替代現(xiàn)有的DNS效勞器LinkController在實(shí)現(xiàn)雙鏈路時(shí)的Inbound流量時(shí)，要求將DNS的最終解析權(quán)交由LinkControllerp完成，建議將站點(diǎn)的所有域名解析均放置到LinkController上進(jìn)展解析，優(yōu)點(diǎn)是可以充分利用LinkController的動(dòng)態(tài)用戶引導(dǎo)和強(qiáng)大的圖形化管理界面。注冊(cè)多一個(gè)NS記錄LinkController取代現(xiàn)在DNS效勞器后，需在上一級(jí)DNS效勞器中添加一個(gè)新的NS記錄，即指向新增加鏈路中的LinkController的IP地址。這樣，對(duì)應(yīng)一個(gè)域名，將產(chǎn)生兩個(gè)不同ISP的NS記錄。效勞器負(fù)載均衡LinkController在實(shí)現(xiàn)鏈路負(fù)載均衡的同時(shí)，企業(yè)可以免費(fèi)得到該款產(chǎn)品提供的效勞器負(fù)載均衡功能，為效勞器提供高可用性及高性能的保證。LinkControl提供11種靈活的算法將數(shù)據(jù)流有效地轉(zhuǎn)發(fā)到它所連接的效勞器群。而面對(duì)用戶，只是一臺(tái)虛擬效勞器。用戶此時(shí)只須記住一臺(tái)效勞器，即虛擬效勞器。但他們的數(shù)據(jù)流卻被BIGIP靈活地均衡到所有的效勞器。這11種算法包括：輪詢〔RoundRobin〕：順序循環(huán)將請(qǐng)求一次順序循環(huán)地連接每個(gè)效勞器。當(dāng)其中某個(gè)效勞器發(fā)生第二到第7層的故障，BIGIP就把其從順序循環(huán)隊(duì)列中拿出，不參加下一次的輪詢，直到其恢復(fù)正常。比率〔Ratio〕：給每個(gè)效勞器分配一個(gè)加權(quán)值為比例，根椐這個(gè)比例，把用戶的請(qǐng)求分配到每個(gè)效勞器。當(dāng)其中某個(gè)效勞器發(fā)生第二到第7層的故障，BIGIP就把其從效勞器隊(duì)列中拿出，不參加下一次的用戶請(qǐng)求的分配，直到其恢復(fù)正常。優(yōu)先權(quán)〔Priority〕：給所有效勞器分組，給每個(gè)組定義優(yōu)先權(quán)，BIGIP用戶的請(qǐng)求，分配給優(yōu)先級(jí)最高的效勞器組〔在同一組內(nèi)，采用輪詢或比率算法，分配用戶的請(qǐng)求〕；當(dāng)最高優(yōu)先級(jí)中所有效勞器出現(xiàn)故障，BIGIP才將請(qǐng)求送給次優(yōu)先級(jí)的效勞器組。這種方式，實(shí)際為用戶提供一種熱備份的方式。最少的連接方式〔LeastConnection〕：傳遞新的連接給那些進(jìn)展最少連接處理的效勞器。當(dāng)其中某個(gè)效勞器發(fā)生第二到第7層的故障，BIGIP就把其從效勞器隊(duì)列中拿出，不參加下一次的用戶請(qǐng)求的分配，直到其恢復(fù)正常。最快模式〔Fastest〕：傳遞連接給那些響應(yīng)最快的效勞器。當(dāng)其中某個(gè)效勞器發(fā)生第二到第7層的故障，BIGIP就把其從效勞器隊(duì)列中拿出，不參加下一次的用戶請(qǐng)求的分配，直到其恢復(fù)正常。觀察模式〔Observed〕：連接數(shù)目和響應(yīng)時(shí)間以這兩項(xiàng)的最正確平衡為依據(jù)為新的請(qǐng)求選擇效勞器。當(dāng)其中某個(gè)效勞器發(fā)生第二到第7層的故障，BIGIP就把其從效勞器隊(duì)列中拿出，不參加下一次的用戶請(qǐng)求的分配，直到其恢復(fù)正常。預(yù)測(cè)模式〔Predictive〕：BIGIP利用收集到的效勞器當(dāng)前的性能指標(biāo)，進(jìn)展預(yù)測(cè)分析，選擇一臺(tái)效勞器在下一個(gè)時(shí)間片內(nèi)，其性能將到達(dá)最正確的效勞器相應(yīng)用戶的請(qǐng)求。(被BIGIP進(jìn)展檢測(cè))動(dòng)態(tài)性能分配〔DynamicRatio-APM):BIGIP收集到的應(yīng)用程序和應(yīng)用效勞器的各項(xiàng)性能參數(shù)，動(dòng)態(tài)調(diào)整流量分配。動(dòng)態(tài)效勞器補(bǔ)充〔DynamicServerAct.):當(dāng)主效勞器群中因故障導(dǎo)致數(shù)量減少時(shí)，動(dòng)態(tài)地將備份效勞器補(bǔ)充至主效勞器群。效勞質(zhì)量(QoS)：按不同的優(yōu)先級(jí)對(duì)數(shù)據(jù)流進(jìn)展分配。效勞類型(ToS)：按不同的效勞類型〔在TypeofField中標(biāo)識(shí)〕對(duì)數(shù)據(jù)流進(jìn)展分配。強(qiáng)大而且免費(fèi)的平安防護(hù)功能在圖中我們可以看到，前置效勞器群或中間件效勞器群在邏輯上位于BIGIP之后，所有的數(shù)據(jù)流，包括“攻擊性〞數(shù)據(jù)流都要經(jīng)過(guò)BIGIP才能夠流至效勞器。BIGIP具有以下優(yōu)秀的平安特性，對(duì)系統(tǒng)進(jìn)展保護(hù)：訪問(wèn)控制列表IP包過(guò)濾加密〔SSL〕的管理信息傳遞口令保護(hù)拒絕“DoS〞攻擊免疫“PingofDeath〞攻擊不用Ack緩沖應(yīng)答未確認(rèn)的SYN，防止SYN風(fēng)暴通過(guò)對(duì)無(wú)效連接的管理來(lái)防止使用沒(méi)有開(kāi)放的效勞進(jìn)展攻擊源路由檢查，防止IP欺騙NAT/SNAT。通過(guò)設(shè)置，BIGIP?可以將一個(gè)端口映射到多個(gè)端口上。許多知名的端口是，如80，443，20，21可以被映射到效勞器上的任何一個(gè)端口上。此外，BIGIP?可以將位于它后面的效勞器的地址翻譯為那些對(duì)外公布的地址。這個(gè)平安特性為網(wǎng)絡(luò)帶來(lái)了以下幾種好處：入侵者無(wú)法確定哪些效勞運(yùn)行在哪些端口上，因而增加了攻擊的難度；使用非公開(kāi)的路由地址、BIGIP?可以節(jié)省客戶的IP地址，降低客戶的本錢；可以隱藏BIGIP?背后的效勞器地址，防止這些效勞器暴露到外部世界，從而減少了黑客攻擊這些效勞器的時(shí)機(jī)利用虛擬IP地址隱藏效勞器實(shí)際地址。同時(shí)，在BIGIP?的平安管理報(bào)告中通過(guò)監(jiān)視以下參數(shù)，BIGIP?可以在平安報(bào)告中列出那些效勞和端口受到了非法的訪問(wèn)嘗試：IP地址：攻擊者的源IP地址頻率：攻擊者嘗試攻擊的數(shù)量端口：哪個(gè)端口受到攻擊這些信息可以幫助管理員發(fā)現(xiàn)他們網(wǎng)絡(luò)中存在的平安漏洞，并且可以判定哪些人是潛在的攻擊者。有效解決防火墻的處理能力瓶頸考慮到絕大多數(shù)的防火墻只能到達(dá)線速的30％吞吐能力，故要使系統(tǒng)到達(dá)設(shè)計(jì)要求的線速處理能力，必須添加多臺(tái)防火墻，以滿足系統(tǒng)要求。然而，防火墻必須要求數(shù)據(jù)同進(jìn)同出，否則數(shù)據(jù)將被拒絕。如何解決防火墻的負(fù)載均衡問(wèn)題，是關(guān)系到整個(gè)系統(tǒng)的穩(wěn)定性的關(guān)鍵問(wèn)題。F5的防火墻負(fù)載均衡方案，能夠?yàn)橛脩籼峁┊悩?gòu)防火墻的負(fù)載均衡與故障自動(dòng)排除能力。方案的特色：提供多臺(tái)防火墻的負(fù)載均衡能力提供在線維護(hù)防火墻的方法解決了單臺(tái)防火墻的處理能力瓶頸問(wèn)題,提供了系統(tǒng)的擴(kuò)展能力同時(shí)對(duì)于實(shí)現(xiàn)了鏈路負(fù)載均衡和效勞器負(fù)載均衡的企業(yè)來(lái)說(shuō)，防火墻負(fù)載均衡相當(dāng)于免費(fèi)贈(zèng)送，提高了用戶投資回報(bào)率。F5i–Control開(kāi)放的API接口介紹為了確保電子商務(wù)取得成功，應(yīng)用和網(wǎng)絡(luò)必須能夠嚴(yán)密結(jié)合。網(wǎng)絡(luò)通知應(yīng)用；應(yīng)用指導(dǎo)網(wǎng)絡(luò)。這就是F5新型體系構(gòu)造的根底。定義：F5互聯(lián)網(wǎng)控制體系構(gòu)造〔圖1〕是業(yè)界第一個(gè)集成的端到端互聯(lián)網(wǎng)流量、內(nèi)容和網(wǎng)絡(luò)管理體系構(gòu)造，該體系構(gòu)造可以：集成網(wǎng)絡(luò)產(chǎn)品促進(jìn)網(wǎng)絡(luò)與應(yīng)用間的通信現(xiàn)在就可使用它提供了業(yè)界最嚴(yán)密集成的產(chǎn)品套件，利用統(tǒng)一的設(shè)備活動(dòng)協(xié)作來(lái)對(duì)互聯(lián)網(wǎng)流量和內(nèi)容部署/提供進(jìn)展端到端的控制。它提供了端到端集成所需要的產(chǎn)品間的平安通信，而且還可以通過(guò)開(kāi)放式XMLAPI對(duì)F5產(chǎn)品進(jìn)展編程，以支持客戶與合作伙伴應(yīng)用間的集成〔F5的iControl內(nèi)部通信協(xié)議〕。圖1：F5的解決方案是業(yè)界第一個(gè)集成的端到端互聯(lián)網(wǎng)流量、應(yīng)用和網(wǎng)絡(luò)管理體系構(gòu)造。這種架構(gòu)方式克制了多廠商解決方案的最大問(wèn)題：互操作性和管理復(fù)雜性，而且還防止了單廠商套件的最大問(wèn)題：有限的靈活性、缺乏足夠的集成能力〔圖3〕。這種架構(gòu)使效勞提供商和企業(yè)能夠：管理和控制全球范圍的互聯(lián)網(wǎng)流量和內(nèi)容部署并實(shí)施SLA政策將政策應(yīng)用到多種技術(shù)上，如防火墻、VPN和QoS設(shè)備接收告警并管理關(guān)于網(wǎng)絡(luò)和設(shè)備活動(dòng)的報(bào)告保持適當(dāng)?shù)南到y(tǒng)配置iControl能夠使應(yīng)用與網(wǎng)絡(luò)流量管理和內(nèi)容提供根底設(shè)施實(shí)現(xiàn)直接的互操作。通過(guò)iControl開(kāi)放的平安通信協(xié)議和SOAP/XMLAPI，網(wǎng)絡(luò)設(shè)備能夠與應(yīng)用進(jìn)展通信，應(yīng)用可以控制網(wǎng)絡(luò)，從而防止出現(xiàn)易于出錯(cuò)的過(guò)程和人為干預(yù)。iControl能夠提供網(wǎng)絡(luò)產(chǎn)品間平安、加密的互相通信能力，并為無(wú)縫應(yīng)用集成帶來(lái)了方便，其中包括：本地流量管理；分布于全球的流量管理；將內(nèi)容部署到遠(yuǎn)程效勞器上；管理網(wǎng)絡(luò)中高速緩存提供的內(nèi)容版本；顯著減少管理分布式網(wǎng)絡(luò)所需的資源。客戶、合作伙伴及第三方集成商都可以使用iControl軟件開(kāi)發(fā)套件〔SDK〕，它具有開(kāi)放式的SOAP/XML或CORBAAPI。隨著iControl的推出，F(xiàn)5證明了其對(duì)制定和采用開(kāi)放式互聯(lián)網(wǎng)流量和內(nèi)容管理標(biāo)準(zhǔn)的支持。通過(guò)將iControl與F5的業(yè)界領(lǐng)先iTCM產(chǎn)品相結(jié)合使用，可以實(shí)施并部署F5的完整互聯(lián)網(wǎng)控制體系構(gòu)造，從而增強(qiáng)了7層性能。任何第三方和客戶都可以通過(guò)iControl將自己的應(yīng)用與網(wǎng)絡(luò)系統(tǒng)集成在一起，從而提供無(wú)與倫比的7層性能。方案優(yōu)勢(shì)闡述設(shè)備及拓?fù)錁?gòu)造的優(yōu)點(diǎn)采用一個(gè)硬件平臺(tái)同時(shí)實(shí)現(xiàn)鏈路負(fù)載均衡和效勞器負(fù)載均衡，allinone的硬件一體化解決方案，使網(wǎng)絡(luò)構(gòu)造簡(jiǎn)單實(shí)用,減少單點(diǎn)故障點(diǎn)同時(shí)也減少網(wǎng)絡(luò)維護(hù)人員的負(fù)擔(dān)，防止運(yùn)行維護(hù)時(shí)面對(duì)大批網(wǎng)絡(luò)設(shè)備。F5LC具有強(qiáng)大的ASIC內(nèi)嵌芯片專門處理4層流量，提供每秒120，000的4層新建連接，可以滿足企業(yè)的大量用戶訪問(wèn)壓力。ISP接入鏈路,效勞器等網(wǎng)絡(luò)層次全部采用負(fù)載均衡方式處理網(wǎng)絡(luò)流量,提高網(wǎng)絡(luò)效勞能力和投資回報(bào)率.靈活的擴(kuò)展空間,用戶可以根據(jù)實(shí)際的網(wǎng)絡(luò)流量和壓力增加鏈路帶寬,添加防火墻或增加效勞器來(lái)提高整體的效勞水平平安機(jī)制方面HTTPS,SSH等加密的網(wǎng)絡(luò)管理,防止明碼通訊對(duì)網(wǎng)絡(luò)設(shè)備控制時(shí)的平安隱患。BIGIP具有以下優(yōu)秀的，免費(fèi)的平安特性，對(duì)系統(tǒng)進(jìn)展保護(hù)：訪問(wèn)控制列表IP包過(guò)濾加密〔SSL〕的管理信息傳遞口令保護(hù)拒絕“DoS〞攻擊免疫“PingofDeath〞攻擊不用Ack緩沖應(yīng)答未確認(rèn)的SYN，防止SYN風(fēng)暴通過(guò)對(duì)無(wú)效連接的管理來(lái)防止使用沒(méi)有開(kāi)放的效勞進(jìn)展攻擊源路由檢查，防止IP欺騙NAT/SNAT。通過(guò)設(shè)置，BIGIP?可以將一個(gè)端口映射到多個(gè)端口上。許多知名的端口是，如80，443，20，21可以被映射到效勞器上的任何一個(gè)端口上。此外，BIGIP?可以將位于它后面的效勞器的地址翻譯為那些對(duì)外公布的地址。這個(gè)平安特性為網(wǎng)絡(luò)帶來(lái)了以下幾種好處：入侵者無(wú)法確定哪些效勞運(yùn)行在哪些端口上，因而增加了攻擊的難度；使用非公開(kāi)的路由地址、BIGIP?可以節(jié)省客戶的IP地址，降低客戶的本錢；可以隱藏BIGIP?背后的效勞器地址，防止這些效勞器暴露到外部世界，從而減少了黑客攻擊這些效勞器的時(shí)機(jī)利用虛擬IP地址隱藏效勞器實(shí)際地址。同時(shí)，在BIGIP?的平安管理報(bào)告中通過(guò)監(jiān)視以下參數(shù)，BIGIP?可以在平安報(bào)告中列出那些效勞和端口受到了非法的訪問(wèn)嘗試：IP地址：攻擊者的源IP地址頻率：攻擊者嘗試攻擊的數(shù)量端口：哪個(gè)端口受到攻擊這些信息可以幫助管理員發(fā)現(xiàn)他們網(wǎng)絡(luò)中存在的平安漏洞，并且可以判定哪些人是潛在的攻擊者。與應(yīng)用的結(jié)合方面F5可以通過(guò)ECV,EAV對(duì)后臺(tái)的多層構(gòu)造的效勞器進(jìn)展安康檢查,確保用戶的正常訪問(wèn)。F5可以通過(guò)InsertCookies和Samplepersistence等方式和應(yīng)用實(shí)現(xiàn)無(wú)縫集合的各種切換。F5的iControl是一套全球唯一的網(wǎng)絡(luò)產(chǎn)品提供的API/SDK,可以允許用戶根據(jù)自己的要求控制網(wǎng)絡(luò)設(shè)備。投資回報(bào)方面在提供鏈路負(fù)載均衡和效勞器負(fù)載均衡的同時(shí)，免費(fèi)提供對(duì)Firewall，IDS等的負(fù)載均衡，可以在將來(lái)幫助用戶解決平安性能瓶頸。2．F5的LC產(chǎn)品已在cernet和網(wǎng)通及電信系統(tǒng)中大量使用，用戶采用F5產(chǎn)品可以充分享受到F5產(chǎn)品在電信級(jí)網(wǎng)絡(luò)中運(yùn)行所得到的經(jīng)歷，以及最新的ip地址劃分等附加資源。3.統(tǒng)計(jì)與報(bào)告LC鏈路應(yīng)用交換機(jī)包含詳盡的實(shí)時(shí)報(bào)告和歷史紀(jì)錄報(bào)告，可供評(píng)測(cè)站點(diǎn)流量模式、相關(guān)ISP性能和預(yù)計(jì)帶寬計(jì)費(fèi)周期。全面的報(bào)告功能為管理員提供了對(duì)帶寬資源的充分掌握，從而使企業(yè)可以作出更適宜的業(yè)務(wù)決策。4.互聯(lián)網(wǎng)鏈路評(píng)估器專用互聯(lián)網(wǎng)鏈路評(píng)估器提供了一種獨(dú)特的查看功能，您可以用此來(lái)查看ISP為您的用戶所提供的總體性能?，F(xiàn)在，管理員可以非常輕松地：確定慢速鏈路，通過(guò)ISP尋找性能故障評(píng)估ISP為目標(biāo)互聯(lián)網(wǎng)用戶群快速提供效勞的能力評(píng)估您的網(wǎng)絡(luò)與您的用戶之間的ISP連接質(zhì)量。相關(guān)產(chǎn)品介紹BIG-IP?v9系列BIG-IP鏈路控制器數(shù)據(jù)表Internet互聯(lián)網(wǎng)Routers路由器BIG-IPLinkControllerBIG-IP鏈路控制器Firewall防火墻CorporateNetwork企業(yè)網(wǎng)絡(luò)CorporateServers企業(yè)效勞器CorporateUsers企業(yè)用戶主要優(yōu)勢(shì)：構(gòu)建可靠的廣域網(wǎng)(WAN)連接，提供企業(yè)級(jí)互聯(lián)網(wǎng)連接能力借助速率調(diào)整(RateShaping)使WAN鏈路帶寬的使用更為高效采用壓縮技術(shù)減少WAN鏈路帶寬的消耗通過(guò)基于TCPExpress的TCP/IP優(yōu)化，顯著改善WAN鏈路性能確保將流量導(dǎo)向最正確鏈路和ISP，為用戶提供最高質(zhì)量的效勞和速度通過(guò)整合經(jīng)濟(jì)型鏈路最大限度地提高公司在連接能力方面的投資回報(bào)。通過(guò)邊界網(wǎng)關(guān)協(xié)議(BGP)消除部署障礙，顯著降低多歸屬網(wǎng)絡(luò)的部署本錢BIG-IP鏈路控制器用于最大限度提升鏈路性能與可用性的下一代廣域網(wǎng)鏈路流量管理隨著企業(yè)開(kāi)場(chǎng)更多地使用互聯(lián)網(wǎng)來(lái)交付其應(yīng)用，只保持一條到公共網(wǎng)絡(luò)的連接鏈路存在著單點(diǎn)故障風(fēng)險(xiǎn)和脆弱的網(wǎng)絡(luò)平安性。BIG-IP鏈路控制器可以無(wú)縫地監(jiān)控多條WANISP連接的可用性與性能，以智能地管理到某一站點(diǎn)的雙向流量，從而提供出色的容錯(cuò)性和優(yōu)化的互聯(lián)網(wǎng)訪問(wèn)。BIG-IP鏈路控制器充分利用了F5的TMOS構(gòu)架，可帶來(lái)改良的鏈路性能與出色的可用性，同時(shí)還可提供靈活強(qiáng)大的狀態(tài)檢查功能、完善的平安性以及改良的易用性?？煽康木W(wǎng)絡(luò)連接高可用性BIG-IP鏈路控制器可檢測(cè)到整個(gè)鏈路中出現(xiàn)的錯(cuò)誤，從而能夠提供可靠的端到端WAN連接。它可以監(jiān)視每個(gè)連接的運(yùn)行狀態(tài)和可用性，實(shí)時(shí)檢測(cè)鏈路或ISP的損耗情況。一旦出現(xiàn)故障，流量將被動(dòng)態(tài)地傳遞給其它可用鏈路，從而確保用戶及外部客戶繼續(xù)保持連接。全面的鏈路監(jiān)控能力BIG-IP鏈路控制器可為您提供有關(guān)通過(guò)網(wǎng)關(guān)路由器的鏈路狀況與吞吐率的詳細(xì)信息，從而提供有關(guān)任何指定鏈路帶寬及容量的詳細(xì)資料。同時(shí)它還可以檢測(cè)出由ISP錯(cuò)誤配置或其它人為因素所引發(fā)的故障。此類故障通常極易被忽略。集合多個(gè)監(jiān)視器多個(gè)監(jiān)視器共同工作，能夠迅速準(zhǔn)確地確定鏈路的狀態(tài)及可用性。一旦發(fā)現(xiàn)問(wèn)題，BIG-IP鏈路控制器可以重新為流量選擇路徑，傳遞到其它可用鏈路，從而繼續(xù)保持客戶連接，防止出現(xiàn)停機(jī)影響。最大帶寬和投資回報(bào)可節(jié)省WAN鏈路本錢的壓縮模塊BIG-IP鏈路控制器的可選壓縮模塊使您可以智能壓縮流量、降低WAN鏈路帶寬占有率以節(jié)省ISP本錢，同時(shí)解決帶寬瓶頸以加快應(yīng)用交付速度。通過(guò)對(duì)面向不同連接類型的鏈路帶寬實(shí)行精細(xì)控制，將可以有效提升客戶體驗(yàn)，并能夠?qū)崿F(xiàn)更高效的WAN鏈路管理和改良的生產(chǎn)效率。您可以基于文檔類型、流量類型和其它網(wǎng)絡(luò)條件〔如往返時(shí)間〕配置靈活且可可調(diào)整的壓縮引擎。帶寬可擴(kuò)展性不管您使用何種鏈路類型或哪一家效勞提供商的效勞，BIG-IP鏈路控制器都能夠支持將小型經(jīng)濟(jì)型線路進(jìn)展高效的整合，以提供本錢更低的帶寬冗余，同時(shí)將花在暗光纖或閑置備用線路上的費(fèi)用降至最低。透明的流量分配BIG-IP鏈路控制器提供了業(yè)內(nèi)最先進(jìn)的鏈路流量分配能力，能夠滿足以下最繁忙站點(diǎn)的需求：輪循 - 往返時(shí)間全局可用性 - 中繼靜態(tài)持續(xù)性 - 數(shù)據(jù)包完成率拓?fù)?- 用戶定義的效勞質(zhì)量(QoS)虛擬效勞器容量 - 動(dòng)態(tài)比率最少連接 - 隨機(jī)包速率 - 比率 - 傳輸速率鏈路容量及吞吐率BIG-IP鏈路控制器可允許您根據(jù)實(shí)時(shí)的流量與吞吐率來(lái)確定和控制流量在鏈路上的分配方式。這將可以提高性能和增加包含線路冗余在內(nèi)的可用帶寬，同時(shí)消除鏈路飽和的風(fēng)險(xiǎn)。當(dāng)某條鏈路接近其容量極限時(shí)，流量將被轉(zhuǎn)至相對(duì)寬松的鏈路上去，從而提高站點(diǎn)的整體性能。鏈路本錢負(fù)載平衡BIG-IP鏈路控制器能夠支持您為通往數(shù)據(jù)中心的所有流量選擇最低本錢連接：將流量導(dǎo)入花費(fèi)最低的鏈路，從而將帶寬投資降至最低最大限度地提高不同連接的帶寬，包括可變本錢線路，以消除帶寬瓶頸，同時(shí)最大限度地減少低效帶寬利用情況和相關(guān)本錢。支持ISP計(jì)費(fèi)模式，包括一次性付費(fèi)、零散計(jì)費(fèi)和突發(fā)性計(jì)費(fèi)支持單向或雙向計(jì)費(fèi)高級(jí)WAN鏈路管理最正確性能鏈路BIG-IP鏈路控制器通過(guò)使用往返時(shí)間和線路質(zhì)量計(jì)算，可測(cè)試哪條鏈路可以為用戶提供最正確效勞，然后將該用戶引導(dǎo)至此鏈路，確保他們能得到最快效勞及最高質(zhì)量的連接。針對(duì)壓縮技術(shù)的目標(biāo)流量控制如果不在具體用戶類型〔寬帶用戶、撥號(hào)用戶等〕的根底上控制流量壓縮工作，將會(huì)對(duì)應(yīng)用性能及客戶體驗(yàn)產(chǎn)生負(fù)面影響。通過(guò)使用使用往返時(shí)間及線路質(zhì)量計(jì)算，BIG-IP鏈路控制器能夠動(dòng)態(tài)計(jì)算出用戶延遲和帶寬吞吐率，為能夠從中受益最大的用戶提供更多的壓縮資源。優(yōu)化的TCP性能TCP協(xié)議的低效會(huì)產(chǎn)生不必要的干擾，進(jìn)而對(duì)鏈路的帶寬利用產(chǎn)生不利影響。BIG-IP鏈路控制器利用TCPExpress來(lái)克制TCP協(xié)議的低效情況，同時(shí)提供了以下功能：WAN鏈路的有效帶寬利用以較低的帶寬費(fèi)用覆蓋長(zhǎng)距離的通道為關(guān)鍵任務(wù)應(yīng)用安排可用帶寬優(yōu)先級(jí)通過(guò)WAN為撥號(hào)和寬帶用戶提高端對(duì)端性能在部署全新應(yīng)用時(shí)更為靈活無(wú)需部署多臺(tái)設(shè)備，降低了總擁有本錢集成速率調(diào)整BIG-IP鏈路控制器為您在WAN鏈路上對(duì)應(yīng)用流量進(jìn)展分類并安排優(yōu)先級(jí)提供了一條高效的途徑，以更有效地利用帶寬。您可以定義流量和應(yīng)用限制，針對(duì)允許出現(xiàn)猝發(fā)情況的資源控制速率，利用隊(duì)列劃分流量類型的優(yōu)先級(jí)，以及定義可相互進(jìn)展借用的流量類型之間的關(guān)系。在此根底之上，您將可以顯著節(jié)省WAN鏈路帶寬，并改良應(yīng)用響應(yīng)時(shí)間?？删幊替溌仿酚扫D―iRuleBIG-IP鏈路控制器使您能夠根據(jù)諸如源IP地址、目標(biāo)IP地址和端口等TCP/IP參數(shù)，在多條WAN鏈路上智能路由流量。借助iRule，您可在根據(jù)應(yīng)用類型、效勞質(zhì)量和客戶類型制定策略，以在最正確鏈路上分配流量，進(jìn)而提高應(yīng)用性能和提升客戶體驗(yàn)。流量?jī)?yōu)先級(jí)安排：效勞質(zhì)量(QoS)和配置效勞類型(ToS)BIG-IP鏈路控制器支持各種流量?jī)?yōu)先級(jí)安排特性。企業(yè)可根據(jù)QoS和ToS對(duì)其關(guān)鍵流量或應(yīng)用做出定義，進(jìn)而對(duì)上游路由器進(jìn)展特殊處理。這就確保了具有較高優(yōu)先級(jí)的流量可以優(yōu)先路由?；谕?fù)涞穆酚刹捎猛負(fù)鋽?shù)據(jù)庫(kù)，BIG-IP鏈路控制器可準(zhǔn)確確定用戶的位置，并根據(jù)預(yù)定義的策略通過(guò)所需鏈路路由流量。這可以使您能夠選擇最正確性能鏈路，以提供基于位置的最正確用戶體驗(yàn)，同時(shí)防止ISP之間的路由問(wèn)題。此類問(wèn)題會(huì)導(dǎo)致高延遲和降低性能。爭(zhēng)用OracleBIG-IP鏈路控制器OracleVoIPVoIPSAPSAP劃分應(yīng)用流量?jī)?yōu)先級(jí)以實(shí)現(xiàn)有效的鏈路帶寬利用配置和管理消除BGP多歸屬部署障礙BIG-IP鏈路控制器可借助邊界網(wǎng)關(guān)協(xié)議(BGP)消除部署障礙，并降低多歸屬網(wǎng)絡(luò)的部署本錢。借助BIG-IP鏈路控制器，您無(wú)需再購(gòu)置大型路由器、與ISP進(jìn)展協(xié)作或安排專門的人員和IP地址來(lái)運(yùn)行BGP，同時(shí)仍能夠?qū)⒘髁繉?dǎo)向至最正確路由路徑。BIG-IP鏈路控制器可顯著改善多歸屬環(huán)境的流量引導(dǎo)性能，并可提供：面向企業(yè)內(nèi)外用戶的雙向流量控制自動(dòng)、即時(shí)ISP響應(yīng)及鏈路故障切換――無(wú)需等待部署路由變動(dòng)流量將被路由至最正確路徑，從而優(yōu)化了帶寬利用率基于線路容量的流量分配，帶來(lái)了更高的帶寬可擴(kuò)展性IPv6網(wǎng)關(guān)如果企業(yè)欲移植至IPv6，BIG-IP鏈路控制器是進(jìn)展叉車式升級(jí)(forkliftupgrade)的經(jīng)濟(jì)高效的選擇。通過(guò)采用BIG-IP鏈路控制器和可選的IPv6模塊，您可在提供IPv4效勞的同時(shí)訪問(wèn)IPv6客戶，并在不增加網(wǎng)絡(luò)負(fù)載的情況下實(shí)現(xiàn)兩者之間的轉(zhuǎn)換。統(tǒng)計(jì)與報(bào)告強(qiáng)化的平安性能智能SNAT網(wǎng)絡(luò)平安在面向命令行的SecureShell平安外殼(SSH)或面向?yàn)g覽器管理的SSL的根底上，進(jìn)展平安遠(yuǎn)程管理消除閑置連接，防止拒絕效勞攻擊執(zhí)行源