F5-培训--v2.ppt

《F5-培训--v2.ppt》由会员分享，可在线阅读，更多相关《F5-培训--v2.ppt（49页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、1让应让应用用用用更快、更安全、更可靠更快、更安全、更可靠更快、更安全、更可靠更快、更安全、更可靠F5技术工程师23Agenda ADN介绍F5公司简介F5产品以及功能模块的介绍Q&A4到底什么是应用交付到底什么是应用交付ADNADN？所谓“应用交付”，实际上就是指应用交付网络（Application Delivery Networking，简称ADN），它利用相应的网络优化/加速设备，确保用户的业务应用能够快速、安全、可靠地交付给内部员工和外部服务群。从定义中可以看出应用交付的宗旨是保证企业关键业务的可靠性、可用性与安全性。应用交付应是多种技术的殊途同归，比如广域网加速、负载均衡、Web应用

2、防火墙针对不同的应用需求有不同的产品依托和侧重。5F5 ADNF5 ADN带来的效果带来的效果确保数据中心和应用系统达到99.999%的高可用性服务器资源降低80%互联网络带宽节省75%客户响应速度提高3-7倍网络层到应用层的全方位安全保障数据传输速度提升10倍Todays Market Challenges in Application DeliveryF5s Application Delivery Networking Solution6F5 F5 简介简介全球应用交付全球应用交付(ADN)(ADN)的领导者的领导者总部在西雅图总部在西雅图全球应用交付控制器产品市场中全球应用交付控制器产

3、品市场中全球应用交付控制器产品市场中全球应用交付控制器产品市场中排名第排名第排名第排名第一。一。一。一。您只要访问互联网一定会经过您只要访问互联网一定会经过F5F5几乎所有的在线业务几乎所有的在线业务,包括银行包括银行,税务税务,证券证券,电子商务电子商务,电子政务电子政务均要经过均要经过F5F5F5 F5 确保网上应用安全确保网上应用安全,快速快速,高可用高可用 7FinancialMediaOtherITTransportTelco/ISP全球众多机构组织信任F5确保其业务正常运行包括90的重要金融服务和60的Global10008中国区超过中国区超过1,000家重要用户家重要用户(10,

4、000+Units)FinancialGovt and EducationsEnterprsieTelcoms/Services/ITOthers9F5与主流软件在与主流软件在ADN领域的合作领域的合作10F5 解决方案合作伙伴：不是解决方案合作伙伴：不是简单堆砌，而是深堆砌，而是深层互互动11F5产品线及功能模块介绍产品线及功能模块介绍1112Function/PerformanceBIG-IP 平台平台阐述述12$Price$BIG-IP 3600BIG-IP 8900BIG-IP 1600BIG-IP 6900BIG-IP 3900DualcoreCPU410/100/1000+2x1G

5、BSFP1x160GBHDSSL5KTPS/1GbBulk4GBmemory1Gbpsmaxsoftwarecompression DualcoreCPU810/100/1000+2x1GBSFP1x160GBHD+8GBCF4GBmemorySSL10KTPS/21GbpsmaxsoftwareGbbulkcompression2xDualcoreCPU1610/100/1000+8x1GBSFP2x320GBHD(S/WRAID)+8GBCF8GBmemorySSL25KTPS/4Gbbulk5Gbpsmaxhardwarecompression2xQuadcoreCPU1610/100/

6、1000+8x1GBSFP2x320GBHD(S/WRAID)+8GBCF16GBmemorySSL58KTPS/9.6Gbbulk6GbpsmaxhardwarecompressionQuadcoreCPU810/100/1000+4x1GBSFP1x300GBHD+8GBCF8GBmemorySSL15KTPS/3.8Gbbulk3.8Gbpsmaxsoftwarecompression7,000,000Layer7Requests/SecVIPRION13F5 Data Center Virtualization Today EMCPC-HomeApp.ServerApp.ServerW

7、ebServerWebServerWebServerApp.ServerApp.ServerWebServerWebServerWebServerPC-LANWLANWindowsfilestorageWindowsfilestorageNetAppCellRemote-WANFile Storage VirtualizationARXApplication Server VirtualizationLTMWeb Server VirtualizationLTMData Center&Link VirtualizationGTM&LC14Applications&StorageUsersInt

8、ernationalData CenterF5 Networks:Integrated Application Delivery Networking ArchitectureEnterpriseManager/ControlPointTMOSiControlBIG-IPGlobalTrafficManagerWANJetFirePassSSLVPNBIG-IPLocalTrafficManagerBIG-IPApplicationSecurityManagerBIG-IPWebAcceleratorBIG-IPLinkControllerARXFile/DataVirtualization1

9、5F5 LTM本地流量管理器本地流量管理器1516F5拓扑示意拓扑示意图图17BIG-IP LTM负载均衡与均衡与应用交用交换截获和检查流量截获和检查流量保证只有合适的数据包才能通过服务器监控和健康检查服务器监控和健康检查随时了解服务器群的可用性状态,透明的容错，从而保证服务器的整体性能得以大幅度提升。负载均衡和应用交换功能负载均衡和应用交换功能采用丰富的负载均衡算法对多台服务器进行负载均衡，使流量得以合理分配，充分利用服务器资源。会话的保持会话的保持以实现与应用系统完美结合12345678ClientsClientsInternet18BigIP负载均衡算法均衡算法RoundRobin(轮巡

10、)Ratio(比率)Priority(优先权)LeastSession(最小会话数)Fastest(最快响应速度)Observed(观察模式)DynamicRatio(动态比例）SNMPWMIReal Server API智能算法智能算法iRulesiControlStorageSystemAAABIG-IPServerFarmBestperformingServerPoorlyperformingServerDownServer19会会话保持保持强大的应用会话保持功能源地址相关性持续性cookie持续性目的地地址相关性持续性Hash持续性21健康健康检查检查技技术术ICMPMonitorFT

11、PMonitorWAPMonitorPOP3MonitorGatewayICMPMonitorSIPMonitorIMAPMonitorRADIUSMonitorTCPMonitorSMTPMonitorLDAPMonitorRDPMonitorTCPEchoMonitorSNMPMonitorLDAPoverSSLMonitorRealNMonitorUDPMonitorSoapMonitorMicrosoftSQLMonitorOracleMonitorHTTPMonitorsHTTPSMonitorNNTPMonitorWMIMonitorEAVMonitorReverseKeyword

12、MonitorTransparentDeviceMonitorMonitorScripting内置多种应用类型的健康检查机制22服务健康状态检查服务健康状态检查BIG-IPLTM的Monitor以固定的间隔时间检查应用的真实健康状态一旦发现应用的响应失败或者不正常，则将其从负载均衡组中摘除应用级的健康检查避免了HA软件依靠进程状态进行健康检查的问题22WebLogicWebLogicGET/monitor/test.jspHTTP1.1Host:BIG-IPLTM23基于基于URI的七层交换的七层交换23index.htma.gifb.gifc.jspindex.htma.gifb.gifc.

13、jspHTML server poolGIF server poolJSP server pool基于Object类型进行交换基于URI目录结构进行交换ClientWebServerWebServerJSPServerClientClient/abc/a.jsp/abc/*.*/cde/b.jspWebLogic/cde/*.*WebLogicWebLogicWebLogicApplication1VSStart_with/abc-Pool1Start_with/cde-Pool2Application2BIG-IPLTMBIG-IPLTM24One Connect降低服务器压力降低服务器压力

14、24HTTP 1.1客户端客户端客户端客户端HTTP 1.1HTTP 1.1HTTP 1.1HTTP 1.1ApplicationServerBIG-IPLTMF5BIG-IPLTM强大的应用层交换引擎，可以对多个客户端的TCP连接进行合并，通过少量的长连接与后台应用通讯适合于大并发量的系统使用，可以有效的降低系统在频繁建立和关闭TCP连接时所带来的巨大开销完全兼容HTTP1.1标准协议，对后台应用透明25OneConnect 效果演示效果演示26SSL Offload降低服务器压力降低服务器压力26NetworkApplicationApplicationBIG-IPLTMDomainSer

15、ver1Server2CRLDPAuthOCSPAuthSSL加密通道提供高级别安全加密支持百万级客户端同时接入完善的SSL证书验证体系支持卸载服务器SSL处理性能问题27HTTPSHTTP/HTTPSCRLDPServerLDAP/Radius作废证书验证SSL加速/应用交换服务器群组CAServer证书发放，更新作废证书列表集中处理SSL流量，转换为HTTP之后发送给服务器减小服务器端压力同时处理非对称加密和对称加密支持多种CA和证书应用，支持多CA同时处理SSL 加速与高级客户端认证加速与高级客户端认证28iRule提供了提供了强大的流量分析与控制功能大的流量分析与控制功能 真正的可编程

16、引擎（TCL）事件驱动的iRules提供了强大的控制能力灵活扩展交换、安全、转换与优化的功能高性能的iRules现在网络可以真正完全参与到应用控制中 29基于基于iRules的可编程控制的可编程控制29whenCLIENTSSL_CLIENTCERTsetssl_status0X509:verify_cert_error_stringSSL:verify_resultsetssl_cert0SSL:cert0setssl_stuff0list$ssl_status0$ssl_cert0sessionaddsslSSL:sessionid$ssl_stuff0180whenHTTP_REQUES

17、Tsetssl_stuffsessionlookupsslSSL:sessionidsetssl_statuslindex$ssl_stuff0if$ssl_statuseqoksetssl_certlindex$ssl_stuff1setssl_cert_contentfindstrX509:whole$ssl_cert-BEGINCERTIFICATE-27-ENDCERTIFICATE-setspace_count0setssl_cert_for_wlsetssl_cert_fragmentlindex$ssl_cert_content0while$ssl_cert_fragment!=

18、appendssl_cert_for_wl$ssl_cert_fragmentincrspace_countsetssl_cert_fragmentlindex$ssl_cert_content$space_countHTTP:headerinsertWL-Proxy-SSLtrueHTTP:headerinsertWL-Proxy-Client-Cert$ssl_cert_for_wlHTTP:headerinsertWL-Proxy-Client-IPIP:client_addrelseHTTP:redirecthttp:/ LC链路负载链路负载均衡器均衡器333435模块选型模块选型多链

19、路负载均衡多服务器负载均衡（内置免费）防DDOS攻击模块（内置免费）速率限制模块（内置免费）36根据用户需求灵选线路根据用户需求灵选线路做到电信走电信，网通走网通加快用户响应速度根据带宽比率来选择线路根据不同的客户端来选择线路给不同客户端限定速率完成带宽管理给内部的各种应用服务进行带宽管理37稳定高可靠稳定高可靠电信2根线，网通2根线，双机同步连接1根线双操作系统2种双机切换机制（电平心跳切换和网络切换）双冗余电源多链路互备多服务器互备38F5 GTM数据中心负载均衡器数据中心负载均衡器39城域网和广域网冗灾系统建设城域网和广域网冗灾系统建设39ApplicationApplicationEn

20、terpriseApplication互联网ISP1ISP2BIG-IPLTM/LCApplicationApplicationEnterpriseApplicationISP3ISP4BIG-IPLCBIG-IPGTMBIG-IPGTM40F5 独特的独特的Web Accelerator41Web-APP-多多层结构大型部署层结构大型部署41WebServerBIG-IPLTMWebServerWebServerAPPServerBIG-IPLTMAPPServerAPPServerNetwork根据部署的规模可选独立设备或者BIG-IPLTM上的模块WebAccelerator、Appli

21、cationSecurityManager在大型部署结构中，通常分为两个层面分别实现负载均衡部署WebServer主要用于提供静态内容APPServer主要用于提供动态内容42Web Accelerator的主要工作的主要工作智能浏览器行为控制智能浏览器行为控制Intelligent Browser Referencing(IBR)与传统Cache不同的是，WebAccelerator尽可能的将数据Cache在客户的浏览器端动态内容级Cache，与URL无关本机Cache刷新时间可以为零43动态页面缓存降低服务器压力动态页面缓存降低服务器压力43客户端WebServerAppServerDB互

22、联网Get/main/info.jsp?id=1Response:”goodnews”Get/main/info.jsp?id=1Response:“goodnews”Select“id=1”fromnewsdbResult=“goodnews”客户端WebServerAppServerDBGet/main/info.jsp?id=1Response:“goodnews”Select“id=1”fromnewsdbResult=“goodnews”Get/main/info.jsp?id=1Response:”goodnews”客户端Get/main/info.jsp?id=1Response

23、:”goodnews”/main/info.jsp?id=1Content:”goodnews”SmartCacheTMOS/main/info.jsp?id=2Content:”badnews”BIG-IPWebAccelerator模块具备动态页面Cache能力，可以将动态页面按照不同的QueryParameter进行缓存，有效的减轻后台App和DB的运算和查询计算需求主要针对新闻发布类型的页面有效，不能对交易类型页面进行缓存传统的动态页面访问流程动态页面缓存开启之后的访问流程44业界首个对业界首个对Web应用进行打包、预配置和认证应用进行打包、预配置和认证策略的优化设备策略的优化设备在应

24、用厂商已经经过认证测试，并且已进行预先配置在应用厂商已经经过认证测试，并且已进行预先配置45Web Accelerator 加速效果加速效果所有页面均为加密页面所有页面均为加密页面11.3Sec13.8Sec69.9Sec8.8Sec12.5Sec15.4Sec15.0Sec13.7Sec29.2Sec3.0Sec6.9Sec19.8Sec5.2Sec5.3Sec32.0Sec4.6Sec7.0Sec22.2Sec0.0Sec10.0Sec20.0Sec30.0Sec40.0Sec50.0Sec60.0Sec70.0SecPDFFileSearchProductPageProductSumma

25、ryWelcomePageAuthenticationNoAccelerationWiththeWebAcceleratorLANPerformance48tcpdump-i external-n host 10.10.17.25 and port 8012:03:59.21852010.10.17.25.128710.10.17.100.80:S19608494:19608494(0)win8192(DF)12:03:59.21877510.10.17.100.8010.10.17.25.1287:S4036340102:4036340102(0)ack19608495win17520(DF

26、)12:03:59.21959810.10.17.25.128710.10.17.100.80:.ack1win8760(DF).12:03:59.22198010.10.17.100.8010.10.17.25.1287:F172:172(0)ack279win17520(DF)12:03:59.22257110.10.17.25.128710.10.17.100.80:.ack173win8589(DF)12:03:59.22308010.10.17.25.128710.10.17.100.80:F279:279(0)ack173win8589(DF)12:03:59.22325210.1

27、0.17.100.8010.10.17.25.1287:.ack280win17520(DF)tcpdump-i internal-n host 10.10.17.25 and port 8012:03:59.21860010.10.17.25.1287172.16.20.1.80:S19608494:19608494(0)win8192(DF)12:03:59.218749172.16.20.1.8010.10.17.25.1287:S4036340102:4036340102(0)ack19608495win17520(DF)12:03:59.21961910.10.17.25.12871

28、72.16.20.1.80:.ack1win8760(DF).12:03:59.221965172.16.20.1.8010.10.17.25.1287:F172:172(0)ack279win17520(DF)12:03:59.22259210.10.17.25.1287172.16.20.1.80:.ack173win8589(DF)12:03:59.22310010.10.17.25.1287172.16.20.1.80:F279:279(0)ack173win8589(DF)12:03:59.223220172.16.20.1.8010.10.17.25.1287:.ack280win17520(DF)实时抓包分析工具抓包分析工具49谢谢