信安世纪NSAE-LT链路负载均衡产品技术白皮书V1. 3.doc

信信安安世世纪纪应应用用安安全全网网关关 链路负载均衡系列产品 NSAE LT 技术白皮书 信信 安安 世世 纪纪 科科 技技 有有 限限 公公 司司 INFOSEC TECHNOLOGIES CO LTD 二二零零零零八八年年 知识产权声明知识产权声明 本白皮书中的内容是信安世纪NSAE LT产品技术说明 书 本材料的相关权利归信安世纪公司所有 白皮书 中的任何部分未经本公司许可 不得转印 影印或复 印及传播 2007 信安世纪科技有限公司 All rights reserved NSAE LT链路负载均衡链路负载均衡 产品技术白皮书产品技术白皮书 信安世纪科技有限公司 北京市西城区南礼士路二条甲1号月坛理想大厦6层 电话 86 10 6802 5518 传真 86 10 6802 5519 邮编 100045 网址 电子信箱 support 信安世纪科技有限公司 目 录 前言前言 1 第第 1 章章产品概述产品概述 3 1 1产品背景 3 1 2产品简介 4 1 3产品型号 4 1 4NSAE LT 产品应用 5 第第 2 章章产品功能产品功能 6 2 1功能特性 6 2 1 1基本功能 链路负载均衡 LLB 7 2 1 2其他功能 9 2 2部署方式 14 2 3产品优势 14 第第 3 章章技术特性技术特性 16 3 1产品特性 17 3 2性能特性 19 第第 4 章章总结总结 20 信安世纪科技有限公司 1 前 言 当前 无论在政府网 金融网 企业网 校园网还是在广域网如 Internet 上 业务量的发展都超出了过去最乐观的估计 用户大量的信息请求 不断更 新的应用需求以及对业务不间断的持续访问 成为应用服务商解决互联网服务 获得用户认可的关键因素 即使按照当时最优条件配置建设的网络 面对不间 断 快速的用户增长 服务器也会无法承担 原有链路也会因为用户量的不断 增大导致用户访问速度过慢 链路拥塞 网络故障频繁 尤其是各个网络的核 心部分 其数据流量和计算强度之大 使得单一设备根本无法承担 而如何在 完成同样功能的多个链路及网络设备之间实现合理的业务量分配 使之不至于 出现一台设备过忙 而别的设备却未充分发挥处理能力的情况 成为信息提供 商及应用服务商必须克服的问题 负载均衡机制也因此应运而生 负载均衡建立在现有网络结构之上 它提供了一种廉价有效的方法扩展服 务器带宽和增加吞吐量 加强网络数据处理能力 提高网络的灵活性和可用性 它主要完成以下任务 解决网络拥塞问题 服务就近提供 实现地理位置无关 性 多条链路接入 根据链路响应速度 提供最快的访问方式 针对故障链路 进行智能自动切换 保证客户不间断访问 为用户提供更好的访问质量 提高 服务器响应速度 提高服务器及其他资源的利用效率 避免了网络关键部位出 现单点失故障导致所有服务停止 针对负载均衡的运行机制及应用策略方面 根据负载均衡的工作原理可以 分为链路负载均衡 服务器负载均衡 广域网负载均衡三种负载均衡方式 三 种负载均衡机制 根据用户针对不同环境及应用的负载均衡要求进行服务 满 足用户对各个应用层面及网络层次的负载均衡需求 总之 负载均衡是一种策略 它能让多条链路或多台服务器共同承担一些 繁重的计算或 I O 任务 从而以较低成本消除网络瓶颈 提高网络的灵活性和 可用性 针对当前形势 信安世纪公司分析各行业多种应用的请求 自主研发了适 用于广域网 内部网 独立子网的链路负载均衡设备 NSAE LT 解决客户针对 信安世纪科技有限公司 2 链路负载均衡 服务器负载均衡的各种需求 信安世纪推出的 NSAE LT 系列产品 采取了 ALL IN ONE 的设计策略 把服务器负载均衡 链路负载均衡 广域网负载均衡三种产品集成在一个设备 中 真正实现了链路 服务器 广域网负载均衡三种服务的无缝接入 在最低 成本的控制下满足了客户多方面的应用需求 并且在无需改变现有网络的情况 下 即可进行负载均衡设备的部署及升级 在应用及网络层次增加了客户系统 的安全性及稳定性 信安世纪科技有限公司 3 第1章 产品概述 1 1产品背景 随着网络通信的发展 网络规模的不断扩大 以及数字接入专线价格的不 断下调 客户对业务的需求也随着网络通信的不断发展变得更加多样化 对运 营服务的要求也越来越严格 如何充分利用服务资源 平衡链路利用率 提高 客户访问速度 确保客户的不间断访问以及链路服务的正常运转和切换 已经 成为运营服务商提高服务 争取更多用户认可的首要难题 目前用户普遍采用电信 网通 教育等多链路接入 实现链路自动切换 为外网及内网用户提供 7 24 小时的不间断访问 当其中一条链路出现问题后 系统自动切换到正常的链路上工作 保证服务的不间断运行 由于多链路解决 方案能够提供更好的可用性和带宽性能 它正在被越来越多的企业所采用 可 用性的提高来自于多条链路的使用 而性能提高则是因为同时使用多条链路增 加了带宽扩充了流量 多链路方案能够提高企业业务的可用性和性能 但这种 方案也面临着特殊的问题和挑战 在多链路环境的实际应用中 链路没有更好的进行负载分担 多链路网络解决方案仅仅是 共享 式 而不是真正的负载均衡 由于各个运营商之间存在互联互通的问题 没有实现根据网络就近性的路 径判断 对流入的流量没有很好的解决根据网络的就近性来导向用户的访问请求 使外部的用户能最快的访问对外服务 对流出的流量无法解决自动选择最快链路 达要目标资源的访问策略 对于链路的健康状况也不能实时监测 也解决不了链路容灾 也就是当某 一条链路出现故障后 将其流量导向另外链路的策略 基于以上的问题 链路负载均衡的解决方案成为众多服务商 以及多链路 接入客户必须解决的问题 信安世纪科技有限公司 4 1 2产品简介 信安世纪应用安全网关系列产品 后简称 NSAE 是一款集成了链路负载 均衡 服务器负载均衡等多种功能于一体的新型应用前端加速负载均衡设备 具有 SSL 加速 链路负载均衡 广域网负载均衡 集群 应用安全防火墙 高 速缓存 HTTP 压缩等多种功能可以自由选择 NSAE LT 是 NSAE 产品系列中专用的链路负载均衡设备 充分考虑了用 户的实际需求 可以极大的改善企业应用的可靠性 性能和安全性 同时降低 了整体成本和数据中心的复杂度 提高了应用的处理能力 为用户提供了全新 的易用 高效 稳定的保障信息安全的屏障 1 3产品型号 链路负载均衡链路负载均衡 NSAE LT 型号列表型号列表 产品型号产品型号范围范围 NSAE1100 LT 适用于用户数量不多 链路接入带宽小于等于 200M 应用访问较少 的中小型应用 可以降低成本 提高可靠性 NSAE2100 LT 适用于用户数量较多 链路接入带宽小于等于 400M 应用访问量较 大 访问业务增长较快的中小型应用 可以降低成本 减小维护风险 提高应用可靠性 避免单台服务器故障 NSAE11000 LT 适用于用户数量较多 链路接入带宽非常小于等于 1 2G 访问量增长 较快的中型以上应用项目 可以充分满足今后应用扩展的需求 NSAE21000 LT 适用于访问量以及链路负载量很大的大型应用 链路接入带宽小于等于 2G 提高整个应用平台的处理能力 为用户提供不间断链路服务 NSAE LT 产品型号表产品型号表 信安世纪科技有限公司 5 1 4NSAE LT 产品应用 产品应用产品应用 同类产品往往由多个单一功能设备组成 数据传输延迟大 管理维护困难 用户往往为了实现一个简单的需求需要改变整个网络结构或需要购买其它的网 络硬件产品 而 NSAE LT 则集多功能于一体 具备高性能 高可靠性 为客 户节省大量的硬件 维护 设置 和人力方面的投入 通过部署 NSAE LT 设备 不仅对用户上行流量支持链路的负载均衡 还 可以通过配置实现对内部防火墙或后台服务器的负载均衡 通过 NSAE LT 产 品的部署减少了网络的复杂性和用户成本的控制 第2章 产品功能 2 1功能特性 NSAE LT 产品系列除提供专业的链路负载均衡功能 LLB 外 还是一个 真正的将众多重要的网络功能合为一体的集成化应用系统 这些网络功能包括 服务器负载均衡 SLB 全局服务器负载均衡 GSLB SSL 加速 WebWall 安全 HTTP 压缩等 通过 NSAE LT 链路负载均衡设备部署 可以有效整合用户现有链路 保 障用户接入服务的不间断性及稳定性 保障内网用户访问外部资源的速度 链 路负载均衡无论针对内网用户和外网用户 都起到了良好的效果 具体表现在 内网用户访问因特网流量的负载均衡 内网用户访问因特网流量的负载均衡 当内网用户访问因特网上的其他服务器时 链路负载均衡设备能够自动帮 助用户选择 判断多条接入链路中状态最好的一条 加快了用户访问速度 及 服务响应时间 屏蔽了由于南北电信互访 网络响应速度过慢 带宽资源无法 充分利用带来的一系列问题 并且一旦其中任何一条链路发生问题时 另外一 条健康的链路将承载所有网络访问 而当发生问题的链路恢复正常后 网络服 务自动恢复负载均衡状态 外网用户访问网内服务器的负载均衡 外网用户访问网内服务器的负载均衡 当外网用户访问内部服务器时 链路负载均衡设备除了能帮助实现上述效 果的同时 还可以通过对链路状态的检测动态判断用户请求 DNS IP 地址 这 样众多的外网用户在访问同一服务器域名时 NSAE LT 设备将根据用户访问请 求判断用户所属区域 根据定义的服务策略 轮询 加权轮询 最快响应时间 源地址路由 等 返回根据策略定义的链路服务地址 通过多链路接入 不仅保证了用户访问速度 服务响应时间还保证了服务 商业务的不间断及稳定性 2 1 1 基本功能 链路负载均衡 基本功能 链路负载均衡 LLB NSAE LT 链路负载均衡可以解决多链路下流量分担的问题 为用户的多链 路的网络应用提供了最好的解决方案 通过 NSAE LT 的链路负载分担功能 能够对用户的多链路的网络应用提 供基于 Inbound 和 Outbound 的链路负载分担功能 解决多链路下流量分担的问 题 通过 NSAE LT 产品的部署很好的解决了南北电信互联互通 链路冗余 链路智能切换 链路负载 加速流量处理速度 提高服务响应速度等问题 2 1 1 1 Inbound Inbound 通过互联网访问拥有多条链路接入的 NSAE LT 内网应用服务 当有 Internet 用户访问用户应用网络时 DNS 服务器回应给用户由 NSAE LT 完成的最终地址解析 NSAE LT 根据具体设置来选定适当的 ISP 线路 如 果选择 ISP1 则将地址解析为 ISP1 的路由地址 同样 如果选择 ISP2 则将 地址解析为 2 的路由地址 从而完成流入流量的负载均衡 采用 SmartDNS 智能 DNS 时 LLB 支持的负载均衡算法包括 Round Robin 轮询 轮询 NSAE LT 顺序的将多个 ISP 的 IP 地址作为每次用户解析请求的返回值 Weighting Round Robbing 权重轮询权重轮询 NSAE LT 为每个 ISP 的 IP 地址设定一个加权值 并根据加权值顺序的 选择多个 ISP 的 IP 地址作为每次用户解析请求的返回值 权值大的 ISP 的 IP 地址被选择的次数多 通过此算法 企业可以在多条带宽不同的链路间合理分 配流量 带宽高的链路权值大 因此承载的流量就高 Shortest Response Time 最快响应时间 最快响应时间 对于流入的流量 NSAE LT 使用与流出流量相同的最短响应时间判断 机制 选择最佳的流入流量传输路径 进行最终的解析地址 Source IP Based Routing 源 源 IP 路由选择 路由选择 根据企业网络的特点 NSAE LT 还提供基于每个数据流的源 IP 地址的路 由选择算法 NSAE LT 会检查每个用户解析请求的源 IP 地址是否属于预先设 定的一个地址范围 若是 则选择某一个 ISP 的 IP 地址作为该次用户解析请求 的返回值 通过此算法 企业可以设定源 IP 地址属于教育网范围的 通过教育 网的链路流入 其他流量则通过另一条链路流入 2 1 1 2 Outbound Outbound 从内部网访问互联网通过多条链路接入的 NSAE LT 对于流出流量的智能地址管理 NSAE LT 使用了称为 SmartNAT 的算法 当选定一个路由器 某一个 ISP 传送流出流量时 NSAE LT 将选择该 ISP 提 供的地址 如果 NSAE LT 选择 ISP1 作为流出流量的路径 则它将把内部的主 机地址 192 168 1 A 24 翻译为 100 10 1 10 24 并作为流出数据包的源地址 同样 如果 NSAE LT 选择 ISP2 作为流出流量的路径 则它将把内部的主机地 址 192 168 1 A 24 翻译为 200 20 1 10 24 并作为流出数据包的源地址 采用 SmartNAT 时 NSAE LT 支持的负载均衡算法包括 Round Robin 轮询 轮询 NSAE LT 顺序的选择多个出口链路作为每个数据流的流出路径 Weighting Round Robbing 权重轮询 权重轮询 NSAE LT 为每个出口链路设定一个加权值 并根据加权值顺序的选择多 个出口链路作为每个数据流的流出路径 权值大的链路被选择的次数多 通过此算法 企业可以在多条带宽不同的链路间合理分配流量 带宽高 的链路权值大 因此承载的流量就高 Shortest Response Time 最快响应时间 最快响应时间 为了优化流出的流量 NSAE LT 还为流出的流量实施最快响应时间运算 如果内部主机要访问某一 Internet 站点 可能通过一个 ISP 的路径比通过 其他 ISP 的路径有效 因此 NSAE LT 可以提供最短响应时间算法 为流出到 某一个站点的流量选择最佳的 ISP 路径 保证所需内容最快到达目的地 提高 服务的品质 Destination IP Based Routing 源 源 IP 路由选择 路由选择 根据企业网络的特点 NSAE LT 还提供基于每个数据流的目标 IP 地址的 路由选择算法 NSAE LT 会检查每个流的目标 IP 地址是否属于预先设定的一 个地址范围 若是 则选择某一条特定链路作为该数据流的流出路径 通过此 算法 企业可以设定目标 IP 地址属于教育网范围的 通过教育网的链路流出 其他流量则通过另一条链路流出 NSAE LT 通过端口 Mnet 或 VLAN 功能的配置 能够同时支持 128 条链路 实现链路负载分担功能 支持各种速率的链路 比如 DSL Cable Modem T1 E1 支持多宿主的结构 负载均衡算法 RR WRR SRT PBR 可以和 NAT 一起工作 同时通过策略路由 Eroute 功能 能够更好的满足用户对路由功能的要求 2 1 2 其他功能其他功能 2 1 2 1 内置防火墙 内置防火墙 Webwall 内建基于状态检测的防火墙 Webwall 对比其他基于 ACL 的防火墙产品 NSAE LT 的 Webwall 具有独特的加速算法 使得 ACL 条目的增加不会影响整 个系统的性能 基于 NSAE LT 强大的处理性能 每秒可支持 1 000 000 并发 连接 Webwall 可抵御 DOS SYNC Flood Buffer Overflow Attacks Parser Evasion Attacks Directory Traversal Attacks 等恶意攻击 来自 Client 端的任何连接请求都不会直接发到后台服务器 从而保证了整个系 统的高安全性 Webwall 可从以下几方面有效保护您的服务器 支持应用层 URL 的过滤 基于包状态检测的防火墙 支持 NAT 的功能 使内部用户能访问 Internet 的资源 端口的 Forward 功能 使用户能远端对服务器进行管理 能把常用的端口 映射到服务器的任意端口 端口映射 常用的端口 比如 80 443 20 21 能映射到服务器任何端口 以此提供更高的安全性 让 闯入者很难知道哪些服务运转在哪个端口 WebWall 功能启动后 它将关闭所有的访问 NSAE LT 支持多达 1000 个访问控制列表 通过 HTTPS 或 SSL 远端管理 使用 SSH 命令行或以 HTTPS 来做浏览器 界面管理 支持 SSL 的安全访问 2 1 2 2 集群集群 Cluster 传统的四层设备 仅支持二台设备工作在 HA 方式下 支持 Active Active Active Standby 工作方式 因此四层设备可靠性 可扩展性 网络吞吐量都受到限制 但四层设备是关键设备 许多四层设备厂家都没有很 好解决这些问题 NSAE LT 提供 1 1 和 N 1 的冗余配置模式 可以工作在 Active Standby 方式 在 Active Standby 工作方式中 一个 Cluster 中 NSAE LT 设备中只有一台 设备为 Master 其它的设备全部为 Backup 状态 当主设备故障时 备份设备转 换为主设备成为 Master 状态 只有在主设备恢复时 备份设备退出 Master 状 态改变状态为 Backup 如图所示 图中 Infosec1 为主设备 处理 SLB 流量 Infosec2 为备份设备 监听 Infosec1 的广播 当 Infosec1 发生故障时 Infosec2 就会接管 Infosec1 上的 所有流量 Clustering 工作原理 利用 IP Multicast 进行广播 默认值 每 3 秒一次 具有最高优先级的成为 Master 若一个备份的 NSAE LT 具有最高优 先级 它就成为 Master 一个备份 NSAE LT 在 3 秒内 没在听到 Master 的广播 它宣布成为 Master 每个设备独立的进行流量的处理 同时又监视本 Cluster 中其它设备的 工作状态 利用 VRRP 的技术实现 VRRP 虚拟路由冗余协议 RFC 2338 2 1 2 3 快速缓存 快速缓存 Cache Cache 技术技术 解决访问速度缓慢问题解决访问速度缓慢问题 Infosec NSAE LT 采用基于内存的反向代理 Cache 功能 通过 Cache 功 能的应用 NSAE LT 产品能够在内存中以数据包的形式对网页及指定内容进行 Cache 内容缓存 当用户访问请求发送到 NSAE LT 时 如果 Cache 中的内 容能够匹配用户的访问请求则直接由 NSAE LT 来响应用户的访问 从而避免 了对后台服务器的负载压力 在减小了后台服务器负载的同时 提高了对用户 的响应速度和整体网站的处理能力 Reverse Proxy Cache 兼容 HTTP 1 0 和 HTTP 1 1 Cache 内容缓存 以 Frame 格式存贮 而不是以文件存贮 从而 快速存取 仅仅数据以 Frame 格式保存 不包含 Etherent IP TCP 的报头 内容保存于 RAM 具有更快的存取速度 Cache 内容可以手动删除 自动 手动清除或刷新 缓存内容预先装入 recursive pre load 利用 GET if modified 缓存验证模式 请求 在后台对内容进行 有效性验证 仅 HTTP GET 请求由 Cache Engine 处理 其它请求 Forward 到 SLB 处理 请求含有 Cookies 由 SLB 处理 响应含有 Cookies 的根据报头的 Cache 控制信息处理 HTTP 无 Cache 控制报头 自动 Cache 通过人工删除 Cache 的内容 支持 LOG Squid 格式 日志请求 Cache 功能可以在加速用户访问的同时 减轻服务器的负担 2 1 2 4 压缩 压缩 Http压缩 压缩 窄带访问应用的访问速度和服务质量的保证一直是网站推广和扩大用户访 问所亟待解决的问题 通过 NSAE LT 产品中 HTTP 压缩功能的应用 能够提 高网站访问的通信质量 在向窄带用户提供很高的通信质量的同时 还能够极 大的节约网站互联网接入带宽消耗 采用 HTTP 压缩的优势 节省带宽 缩短用户下载内容的时间 在 Web Server 上不需要压缩功能 减轻了 Web Server 的负担 下图是采用 HTTP 压缩前后的带宽利用率比较 由图可以看出 在 15 1Mbps 带宽下 没有采用 HTTP 压缩时 每秒可以处理 2000 个 HTTP 请求 采用 HTTP 压缩时 每秒可以处理 20000 个 HTTP 请求 2 1 2 5 连接复用连接复用 连接复用的主要作用是为了改善现有系统的总体性能 其技术原理是自动 实现 HTTP 1 0 到 HTTP 1 1 的转换 TCP IP 协议栈在处理长连接时具有更好 的性能 将 Web 流量的多个短连接合并为一个长连接 改善了服务器的性能 为了提高 NSAE LT 和服务器的性能 在 NSAE LT 与服务器之间建立持续 的 TCP 连接 从而 NSAE LT 不用为每个需要与 WEB 服务器连接的请求 建立新的连接 NSAE 与 Web 服务器之间 预先建立 20 个 TCP 连接 用于转发用户的请 求到 WEB 服务器 一个连接能转发 95 个用户请求 2 2部署方式 NSAE LT 产品部署方式灵活可以采取双臂部署方式 可以灵活的根据客户 现有网络架构进行部署 尽量减少了客户现有网络的变动 保证了整个网络的 安全性及稳定性 双臂方式部署如图双臂方式部署如图 2 3产品优势 优化的操作系统优化的操作系统 不同于其他安全代理网关设备 NSAE LT 具有信安世纪优化 定制的 Infosec OS 操作系统 实现内核级的应用处理 从根本上解决了潜在的应用性 能障碍 最大程度发挥其最高的性能 使整个架构的延迟得以降低 从而提升 整个系统的性能 其它厂家系统架构其它厂家系统架构 信安世纪系统架构信安世纪系统架构 安全性安全性 内建的应用安全防火墙确保网络真正的安全 高性能的访问控制列表 ACL 网络地址翻译 NAT 以及基于状态的数据包检测 使来自客户端的 任何连接请求都不会直接发到后台服务器 不仅抵御了非法访问和 Dos 攻击 而且可以阻止某些解决方案无法发现的应用层攻击 从而保证了整个系统的高 安全性 原始数据均进行了加密处理 关键信息无法被第三方窃取或篡改 有效地 保护服务器和应用的安全 同时还支持 1024 位的非对称加密算法和 128 位的 对称加密算法 应用数据传输更加安全可靠 功能丰富 满足不同用户的多种应用需求功能丰富 满足不同用户的多种应用需求 NSAE LT 是集多种功能于一体的新型应用设备 不同于以往单纯的链路负 载均衡设备 NSAE LT 还有负载均衡 集群 应用安全防火墙 高速缓存等多 种功能 用户可以根据需要灵活定制 以获得最佳的解决方案 来最大程度满 足多种应用的需要 改善 优化企业应用服务 从而保证其可靠性和安全性 降低成本和复杂性降低成本和复杂性 NSAE LT 可以做到一个产品提供用户所需的诸多功能 通过集成化的服务 系统 减少了用户的投入 节省了日后扩展功能所需的各项投资 不必为多个 产品带来的复杂配置 增加客户的管理成本 并能够避免多产品引发的兼容性 问题 同时也降低了整体成本和数据中心的复杂度 提高了应用的处理能力 为用户提供了全新的易用 高效 稳定的保障信息安全的屏障 易用性易用性 NSAE LT 安装简单 可以通过 Web 图形管理界面或者人性化的命令行界 面进行直观的配置和管理 客户只需要通过支持 SSL TLS 协议的 IE 或者 Netscape 的浏览器访问资源 无须安装任何客户端程序 使用步骤与普通的网 页浏览没有任何区别 对于普通的计算机使用者这种访问方式简单易行 无需 维护 网络管理员通过提供 Web 管理界面和命令行方式操作 通过监测自身的系 统参数状态 保障服务正常进行 实时监控图表为排查问题 决策分析等提供 参考依据 高可用性高可用性 实现多台服务器的负载均衡 监控和同步服务器提供的内容 确保客户获 到准确可靠的内容 提供服务器在线维护和调试的手段 实时监控服务器应用 系统的状态 并智能屏蔽故障应用系统 从多方面提升系统的可靠性 卓越的性能表现卓越的性能表现 通过采用多种性能增强技术 将提供的所有功能集成在一起 极大的优化 了各功能处理过程 从优化自身操作系统 SSL 加速 基于内存的缓存以及 HTTP 软硬件压缩等多方面提升服务器性能 实现数据库动态管理 从而保证 应用和服务高速 可靠 稳定的运行 多种访问控制模式多种访问控制模式 拥有内建的访问控制策略 可以实现复杂和专业的访问控制 可以对资源 进行更有效的保护 以及对用户进行有效管理 第3章 技术特性 3 1产品特性 功能功能NSAE LTAvailable 应用加速应用加速 B S 代理支持 代理类