F5负载均衡设备组网架构.pptx

《F5负载均衡设备组网架构.pptx》由会员分享，可在线阅读，更多相关《F5负载均衡设备组网架构.pptx（35页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、F5 LTM组网架构组网架构李兴华F5 售前工程师 F5 Networks单臂接入模式单臂接入模式双臂接入模式双臂接入模式远程节点模式远程节点模式加入独立加入独立SSL/WA/ASMSSL/WA/ASM设备设备防火墙负载均衡防火墙负载均衡多链路接入多链路接入灾备站点静态路由注入灾备站点静态路由注入AgendaAgenda F5 NetworksLTM单臂接入模式臂接入模式3 F5 Networks单臂接入模式下的网臂接入模式下的网络物理物理结构构4核心三层交换服务器服务器LTMLTM外部网络Vlan 1串口心跳线 F5 NetworksLTM单臂源地址替臂源地址替换接入典型架构接入典型架构设计

2、5Core SwitchCore SwitchServerServer网络同步-独立Vlan串口心跳NetworkIP:192.168.0.1GW:192.168.0.254IP:192.168.0.2GW:192.168.0.254SelfIP:192.168.0.200GW:192.168.0.254VS:192.168.0.100SNAT AutomapSelfIP:192.168.0.201GW:192.168.0.254VS:192.168.0.100SNAT AutomapHSRP 192.168.0.254TrunkTrunkTrunkActiveBackup F5 Networ

3、ks单臂接入臂接入-源地址替源地址替换模式数据模式数据访问流程流程6核心三层交换服务器服务器LTMClient192.168.0.1192.168.1.10GW:192.168.1.254192.168.1.11GW:192.168.1.254VS:192.168.1.1:80SelfIP:192.168.1.253GW:192.168.1.254192.168.1.254192.168.0.254SIPSportDIPDport192.168.0.16787192.168.1.180192.168.1.2538888192.168.1.1180192.168.1.1180192.168.1.

4、2538888192.168.1.180192.168.0.16787 F5 Networks源地址替源地址替换后的后的处理理7核心三层交换服务器服务器LTMClient192.168.0.1192.168.1.10GW:192.168.1.254192.168.1.11GW:192.168.1.254VS:192.168.1.1：80SelfIP:192.168.1.253GW:192.168.1.254192.168.1.254192.168.0.254HTTP Profilewhen HTTP_REQUEST HTTP:header insert Client_IP=IP:client_

5、addriRules只有HTTP协议的时候，可以通过将源地址插入到客户端请求的HTTP Header里，然后在服务器上通过读取这个Header，获得客户端的真实源IP地址 F5 Networks单臂接入臂接入-npath模式数据模式数据访问流程流程8核心三层交换服务器服务器LTMClient192.168.0.1192.168.1.10Lo:192.168.1.1GW:192.168.1.254192.168.1.11Lo:192.168.1.1GW:192.168.1.254VS:192.168.1.1:80SelfIP:192.168.1.253GW:192.168.1.254192.16

6、8.1.254192.168.0.254SIPSportDIPDport 192.168.0.1 6787 192.168.1.180192.168.0.1 6787 192.168.1.180 192.168.1.180192.168.0.1 6787npath模式的关键在于服务器上配置的loopback地址在上能找到各种服务器的loopback地址如何配置的文档 F5 Networks单臂接入臂接入-服服务器非直器非直连模式（无源地址替模式（无源地址替换）9核心三层交换服务器服务器LTMClient192.168.0.1192.168.2.10GW:192.168.2.254192.168

7、.2.11GW:192.168.2.254VS:192.168.1.1:80SelfIP:192.168.1.253GW:192.168.1.254192.168.2.254192.168.0.254SIPSportDIPDport192.168.0.16787192.168.1.180192.168.0.16787192.168.2.1180192.168.2.1180192.168.0.16787192.168.1.180192.168.0.16787无源地址替换的单臂接入模式使用比较少，通常用于对现网不能改造的情况这种模式下需要在核心三层交换上启用源地址路由，将服务器的所有返回数据包转向

8、LTM，这样才能保证进出的连接完整性建议在这种结构下采用源地址替换以减小网络复杂程度192.168.1.254192.168.1.254 F5 Networks同网段同网段访问处理理-必必须通通过SNAT实现10核心三层交换客户端服务器LTM192.168.1.10GW:192.168.1.254192.168.1.11GW:192.168.1.254VS:192.168.1.1：80IP:192.168.1.253GW:192.168.1.254192.168.1.254SIPSportDIPDport192.168.0.106787192.168.1.180192.168.1.253888

9、8192.168.1.1180192.168.1.1180192.168.1.2538888192.168.1.180192.168.0.16787 F5 Networks单臂接入臂接入-服服务器更改网关数据器更改网关数据访问流程流程11核心三层交换服务器服务器LTMClient192.168.0.1192.168.1.10GW:192.168.1.253192.168.1.11GW:192.168.1.253VS:192.168.1.1:80SelfIP:192.168.1.253GW:192.168.1.254192.168.1.254192.168.0.254SIPSportDIPDpo

10、rt192.168.0.16787192.168.1.180192.168.0.16787192.168.1.1180192.168.1.1180192.168.0.16787192.168.1.180192.168.0.16787 F5 Networks服服务器更改网关后的直接器更改网关后的直接访问服服务器器问题12核心三层交换服务器服务器LTMClient192.168.0.1192.168.1.10GW:192.168.1.253192.168.1.11GW:192.168.1.253VS:192.168.1.1：80IP:192.168.1.253GW:192.168.1.254192

11、.168.1.254192.168.0.254SYNSYNSYN-ACKSIPSportDIPDport192.168.0.16787192.168.1.1180192.168.1.1180192.168.0.16787FastL4 Profile F5 Networks双臂接入模式双臂接入模式13 F5 NetworksLTM双臂接入模式典型架构双臂接入模式典型架构设计14VLAN EXTServerServer网络同步-独立Vlan串口心跳NetworkIP:192.168.0.3GW:192.168.0.254IP:192.168.0.4GW:192.168.0.254SelfIP EX

12、T:192.168.1.200SelfIP INT:192.168.0.200GW:192.168.1.254VS:192.168.1.100HSRP 192.168.0.254ActiveBackupVLAN INTVLAN EXTVLAN INTSelfIP EXT:192.168.1.200SelfIP INT:192.168.0.200GW:192.168.1.254VS:192.168.1.100 FIP:192.168.0.254LB ServerIP:192.168.0.1GW:192.168.0.250LB ServerIP:192.168.0.2GW:192.168.0.25

13、0 FIP:192.168.0.254HSRP 192.168.1.254 F5 Networks双臂接入双臂接入-服服务器直器直连15核心三层交换服务器服务器LTMClient192.168.0.1192.168.2.10GW:192.168.2.254192.168.2.11GW:192.168.2.254VS:192.168.1.1EXTIP:192.168.1.253/VLAN EXTINTIP:192.168.2.254/VLAN INTGW:192.168.1.254192.168.1.254192.168.0.254SIPSportDIPDport192.168.0.167871

14、92.168.1.180192.168.0.16787192.168.2.1180192.168.2.1180192.168.0.16787192.168.1.180192.168.0.16787 F5 Networks双臂接入双臂接入-串串联部署部署-扩展端口展端口16核心三层交换服务器服务器LTMClient192.168.0.1192.168.2.10GW:192.168.2.254192.168.2.11GW:192.168.2.254VS:192.168.1.1EXTIP:192.168.1.253/VLAN EXTINTIP:192.168.2.254/VLAN INTGW:192

15、.168.1.254192.168.1.254192.168.0.254服务器接入交换SIPSportDIPDport192.168.0.16787192.168.1.180192.168.0.16787192.168.2.1180192.168.2.1180192.168.0.16787192.168.1.180192.168.0.16787 F5 Networks双臂接入双臂接入-旁挂模式旁挂模式17核心三层交换服务器服务器LTMClient192.168.0.1192.168.2.10GW:192.168.2.254192.168.2.11GW:192.168.2.254VS:192.1

16、68.1.1:80EXTIP:192.168.1.253/VLAN EXTINTIP:192.168.2.254/VLAN INTGW:192.168.1.254192.168.1.254192.168.0.254SIPSportDIPDport192.168.0.16787192.168.1.180192.168.0.16787192.168.2.1180192.168.2.1180192.168.0.16787192.168.1.180192.168.0.16787External_vlanInternal_vlan旁挂模式下LTM可以用不同的端口接入核心交换，也可以采用端口捆绑模式接入核

17、心交换，然后在端口捆绑里通过VLAN tag方式来划分多个VLAN F5 Networks旁挂模式下的服旁挂模式下的服务器直接器直接访问18核心三层交换服务器服务器LTMClient192.168.0.1192.168.2.10GW:192.168.2.254192.168.2.11GW:192.168.2.254VS:192.168.1.1EXTIP:192.168.1.253/VLAN EXTINTIP:192.168.2.254/VLAN INTGW:192.168.1.254192.168.1.254192.168.0.254SIPSportDIPDport192.168.0.1678

18、7192.168.2.1180192.168.0.16787192.168.2.1180192.168.2.1180192.168.0.16787FastL4 Profile F5 Networks双臂接入双臂接入-避免避免Spanning TreeF5 LTM有非常快速的切换机制（200ms），切换完成后会发送ARP广播Spanning Tree的重算机制在一些情况下会阻止对端设备收到ARP广播不同设备的ARP更新机制有时会带来很大的麻烦通常情况下，也不建议采用服务器双网卡接入19核心三层交换服务器服务器LTMClient服务器接入交换核心三层交换LTM服务器接入交换Client F5 Ne

19、tworks远程程节点模式点模式20 F5 Networks远程程节点模式点模式21核心三层交换服务器服务器LTMClient192.168.0.1192.168.20.10GW:192.168.20.254192.168.20.11GW:192.168.20.254VS:192.168.1.1:80SelfIP:192.168.1.253GW:192.168.1.254192.168.1.254192.168.0.254SIPSportDIPDport192.168.0.16787192.168.1.180192.168.1.2538888192.168.20.1180192.168.20.

20、1180192.168.1.2538888192.168.1.180192.168.0.16787三层交换192.168.20.254远程节点模式通常用于服务器不在本地的情况只要路由可达，LTM就可以配置远程服务器作为节点必须采用源地址替换方式，保证服务器返回数据包回到LTM进行处理在同一个VS里面，可以同时存在有本地节点和远程节点，并且可以通过iRules控制在发往不同节点的时候是否启用源地址替换 F5 Networks加入独立加入独立SSL/WA/ASM设备22 F5 Networks应用加速和用加速和应用安全外挂典型架构用安全外挂典型架构设计23VLAN EXT网络同步-独立Vlan串口

21、心跳NetworkHSRP 192.168.0.254ActiveBackupVLAN INTVLAN EXTVLAN INTSelfIP EXT:192.168.1.200SelfIP INT:192.168.0.200GW:192.168.1.254VS:192.168.1.100 FIP:192.168.0.254LB ServerIP:192.168.0.1GW:192.168.0.250LB ServerIP:192.168.0.2GW:192.168.0.250 FIP:192.168.0.254HSRP 192.168.1.254SelfIP EXT:192.168.1.200S

22、elfIP INT:192.168.0.200GW:192.168.1.254VS:192.168.1.100IP:192.168.0.3GW:192.168.0.250IP:192.168.0.4GW:192.168.0.250WA/ASMWA/ASM F5 Networks加入独立加入独立SSL/WA/ASM设备设备业务逻辑流程流程24VS ExternalMember 1192.168.2.9Member 2192.168.2.10SSL/WA/ASMVS InternalMember 1192.168.2.9Member 2192.168.2.10ClientSIPSportDIPDp

23、ort192.168.0.16787192.168.1.180192.168.0.16787192.168.2.20080192.168.0.16787192.168.2.10080192.168.0.16787192.168.2.1080192.168.2.1080192.168.0.16787192.168.2.10080192.168.0.16787192.168.2.20080192.168.0.16787192.168.1.180192.168.0.16787192.168.1.1:80192.168.0.1192.168.2.100192.168.2.200:80VS Extern

24、al:ADDR：192.168.1.1Pool：M1:192.168.2.9:80 P1 M2:192.168.2.10:80 P1 M3:192.168.2.200:80 P10VS Internal:Addr:192.168.2.200Pool:M1:192.168.2.9:80 M2:192.168.2.10:80 F5 Networks防火防火墙负载均衡均衡组网网结构构25 F5 Networks防火防火墙负载均衡均衡处理理-物理物理连接接结构构26LTM服务器服务器防火墙接入交换机LTMLTMLTM接入交换机服务器服务器接入交换机接入交换机防火墙防火墙防火墙建议所有的SSL/WA/A

25、SM独立设备自身都以单臂模式接入在独立设备上无须开启源地址替换，保证在服务器上接收到的请求源地址为真实的客户端源地址F5所有的独立应用加速/安全设备均支持源地址透传 F5 Networks防火防火墙负载均衡均衡处理理-业务逻辑流程流程27LTMLTM防火墙防火墙Client服务器SIPSportDIPDport192.168.0.16787192.168.4.10080192.168.0.16787192.168.4.10080192.168.0.16787192.168.4.10080192.168.0.16787192.168.4.10080192.168.4.10080192.168.0

26、.16787192.168.4.10080192.168.0.16787192.168.4.10080192.168.0.16787192.168.4.10080192.168.0.16787192.168.0.1EXT:192.168.0.254INT:192.168.2.1EXT:192.168.2.100INT:192.168.3.100EXT:192.168.2.101INT:192.168.3.101EXT:192.168.3.1INT:192.168.4.254192.168.4.100防火墙负载均衡模式下，数据包的信息在所有穿过整体系统的过程中都不会被改变3层以上的信息LTM依靠

27、Auto LastHop记录的源MAC地址来确定将服务器返回数据发送到那个防火墙，而不是依靠路由防火墙可以工作在路由模式或者NAT模式，两种模式下都可以正常工作 F5 Networks链路路负载均衡均衡28 F5 Networks链路路负载均衡均衡-Link Controller部署物理部署物理结构构29LC客户端服务器防火墙接入交换机LC接入交换机客户端服务器核心交换机核心交换机防火墙互联网ISP1ISP2HA在每台LC上都划分3个Vlan:ISP1,ISP2和Internal两台LC之间建议采用Trunk方式连接划分在Internal Vlan里作为数据流量两台LC之间的同步/Failov

28、er采用另外的网络连线（在端口不足的情况下可以使用数据连线）建议防火墙采用路由模式，并且放置在LC的后端接入交换机通常建议采用低端的比较可靠的二层交换机，每增加一个ISP，增加一台接入交换机如果接入交换机支持VLAN划分，也可以通过VLAN tag模式将LC的外网接入部分统一连接在接入交换机上 F5 Networks链路路负载均衡均衡-GTM+LTM防火防火墙在外部在外部30LTM客户端服务器防火墙接入路由器LTM接入路由器客户端服务器核心交换机核心交换机防火墙互联网ISP1ISP2GTMGTM在每台LTM上都划分3个Vlan:防火墙1,防火墙2和Internal两台LTM之间没有数据流量发生

29、两台LTM之间的同步/Failover采用另外的网络连线（在端口不足的情况下可以使用数据连线）建议防火墙采用路由模式，并且放置在LTM的前端，针对每条链路上的防火墙也可以采用HA模式部署接入交换机通常建议采用低端的比较可靠的二层交换机，每增加一个ISP，增加一台接入交换机如果接入交换机支持VLAN划分，也可以通过VLAN tag模式将LTM的外网接入部分统一连接在接入交换机上GTM部署在防火墙的DMZ区，配置公网地址接入交换机接入交换机 F5 Networks链路路负载均衡均衡-GTM+LTM防火防火墙在内部在内部31LTM客户端服务器防火墙接入交换机LTM接入交换机客户端服务器核心交换机核心

30、交换机防火墙互联网ISP1ISP2HAGTMGTM在每台LTM上都划分3个Vlan:ISP1,ISP2和Internal两台LTM之间建议采用Trunk方式连接划分在Internal Vlan里作为数据流量两台LTM之间的同步/Failover采用另外的网络连线（在端口不足的情况下可以使用数据连线）建议防火墙采用路由模式，并且放置在LTM的后端接入交换机通常建议采用低端的比较可靠的二层交换机，每增加一个ISP，增加一台接入交换机如果接入交换机支持VLAN划分，也可以通过VLAN tag模式将LTM的外网接入部分统一连接在接入交换机上GTM直接连接在接入交换机上或者LTM的外网VLAN，配置公网地址 F5 Networks灾备站点静态路由注入灾备站点静态路由注入32 F5 Networks灾备站点静态路由注入灾备站点静态路由注入33核心交换机核心交换机核心交换机核心交换机LTMLTM服务器服务器服务器服务器客户端客户端OSPF环网VS:192.168.0.1VS:192.168.0.1静态路由注入模式下，两台LTM同时对外发布相同的Virtual Server地址的主机路由，但是采用不同的路由优先级在主设备上的VS Down的时候将自动降低路由优先级，并对OSPF路由广播必须在LTM上增加相应的路由模块 F5 Networks更多更多讨论在在34