F5-BIGIP负载均衡器培训

1、1 主讲：xhj 日期：2021年7月11日 F5 BIG-IP LTM负载均负载均 衡器培训衡器培训 2 学习目标学习目标 了解负载均衡器的概念了解负载均衡器的概念 熟悉熟悉F5负载均衡器产品负载均衡器产品 能够对能够对F5负载均衡器进行规划和配置负载均衡器进行规划和配置 学习完本课程，您应该能够：学习完本课程，您应该能够： 3 内容内容 负载均衡器概念 F5负载均衡器介绍 F5负载均衡器配置步骤 F5负载均衡器的维护 F5的常见组网方式 4 什么叫负载均衡器什么叫负载均衡器 什么是负载均衡器？什么是负载均衡器？ 服务器负载均衡器是指设置在一组服务器负载均衡器是指设置在一组功能相同或相似的服

2、务功能相同或相似的服务 器前端器前端，对到达服务器组的，对到达服务器组的流量流量进行合理进行合理分发分发，并在其中某，并在其中某 一台服务器一台服务器故障故障时，能将访问时，能将访问请求转移请求转移到其它可以正常工作到其它可以正常工作 的服务器的软件或网络设备。的服务器的软件或网络设备。 SLB是服务器负载均衡是服务器负载均衡(Server Load Balancing)的简称。的简称。 服务器负载均衡又可以分为局域网服务器负载均衡与广域网服务器负载均衡又可以分为局域网服务器负载均衡与广域网 服务器负载均衡服务器负载均衡(Global Server Load Balancing)。狭义的。狭义

3、的 SLB是指局域网服务器负载均衡，与广域网服务器负载均衡是指局域网服务器负载均衡，与广域网服务器负载均衡 （GSLB）相对。）相对。 5 采用负载均衡器有什么优点采用负载均衡器有什么优点 采用负载均衡器的优点：采用负载均衡器的优点： 原有的系统只部署了一台服务器，随着访问量的增加，原有的系统只部署了一台服务器，随着访问量的增加， 一台服务器已经不能满足应用的需要，而需要增加更多的服一台服务器已经不能满足应用的需要，而需要增加更多的服 务器。务器。 当部署了两台以上的服务器时，就可能会需要用到负当部署了两台以上的服务器时，就可能会需要用到负 载均衡器。通过服务器负均衡器，对流量进行合理分配，可

4、载均衡器。通过服务器负均衡器，对流量进行合理分配，可 以带来以下好处：以带来以下好处： 提高性能提高性能负载均衡器可以实现服务器之间的负载平衡，负载均衡器可以实现服务器之间的负载平衡， 从而提高了系统的反应速度与总体性能；从而提高了系统的反应速度与总体性能； 提高可靠性提高可靠性负载均衡器可以对服务器的运行状况进行监负载均衡器可以对服务器的运行状况进行监 控，及时发现运行异常的服务器，并将访问请求转移到其它控，及时发现运行异常的服务器，并将访问请求转移到其它 可以正常工作的服务器上，从而提高服务器组的可靠性可以正常工作的服务器上，从而提高服务器组的可靠性 提高可维护性提高可维护性采用了负均衡器

5、器以后，可以根据业务量采用了负均衡器器以后，可以根据业务量 的发展情况灵活增加服务器，系统的扩展能力得到提高，同的发展情况灵活增加服务器，系统的扩展能力得到提高，同 时简化了管理。时简化了管理。 6 负载均衡实现的方式负载均衡实现的方式 实现服务器负载均衡有多种方法，常见的方法有：实现服务器负载均衡有多种方法，常见的方法有： 基于基于DNS轮询轮询的方法：即在的方法：即在DNS服务器中对同一域名设置多条服务器中对同一域名设置多条DNS A记录，通过记录，通过DNS的轮询机制实现服务器负载均衡。的轮询机制实现服务器负载均衡。 基于应用软件的实现方法，在应用软件设计中就考虑了多服务器之间基于应用软

6、件的实现方法，在应用软件设计中就考虑了多服务器之间 的协同工作与任务调度。这种方法一般会有一台服务器作为中枢对访的协同工作与任务调度。这种方法一般会有一台服务器作为中枢对访 问请求进行调度，同时要求在应用层支持访问重定向或任务调度、跳问请求进行调度，同时要求在应用层支持访问重定向或任务调度、跳 转机制转机制(如如nginx)。 采用专门的采用专门的L4/L7层交换机来实现，也即我们常说的负载均衡器。一层交换机来实现，也即我们常说的负载均衡器。一 般都是通过在般都是通过在L4/L7层交换机作地址转换（层交换机作地址转换（NAT）来实现。）来实现。 7 负载均衡器需要了解的问题负载均衡器需要了解的

7、问题 负载均衡器一般需要了解以下负载均衡器一般需要了解以下 方面的问题：方面的问题： 支持的负载均衡支持的负载均衡算法算法 支持的服务器支持的服务器健康检查的方法健康检查的方法 如何如何保持保持客户端和服务器的客户端和服务器的会会 话话 速度速度/性能指标性能指标 安全性与可靠性安全性与可靠性 端口数量端口数量 8 内容内容 负载均衡器概念 F5负载均衡器介绍 F5负载均衡器配置步骤 F5负载均衡器的维护 F5的常见组网方式 9 F5负载均衡器介绍负载均衡器介绍 F5负载均衡器介绍负载均衡器介绍 F5产品介绍产品介绍 F5的配置方法的配置方法 F5的几个概念的几个概念 F5的数据流的数据流 F

8、5负载均衡算法介绍负载均衡算法介绍 F5策略保护方法介绍策略保护方法介绍 F5健康检查方法介绍健康检查方法介绍 F5双机介绍双机介绍 F5地址转换介绍地址转换介绍 10 F5产品介绍（现在用的产品）产品介绍（现在用的产品） 6400系列 高级多用途流量管理 处理器：双CPU 基本内存：2GB ASIC：Packet Velocity ASIC2 千兆位CU端口：16个 千兆位光纤端口： (SFP - GBIC Mini)4个（2个标 准、2个可选） 包括：SSL TPS/Max TPS/Bulk 加速模块：（ 100/15,000/2GB /秒） 流量吞吐量：2GB/秒 可选硬件设备：硬件压

9、缩*（2GB/秒） FIPS处理*（ 8,000TPS/1GB SSL吞吐量） 3400系列 中级多用途流量管理 处理器：单CPU 基本内存：1GB ASIC：Packet Velocity ASIC2 千兆位CU端口：8个 千兆位光纤端口： (SFP - GBIC Mini)2个可选 包括：SSL TPS/Max TPS/Bulk 加速模块：（ 100/8,000/1GB/ 秒） 流量吞吐量：1GB/秒 2400系列 普通多用途流量管理 处理器：单CPU 基本内存：768MB ASIC：无 千兆位CU端口：2个 千兆位光纤端口（ GBIC ）：2个 可选 包括：SSL TPS/Max TPS

10、/Bulk 加速模块：（ 100/2,000/500 MB/秒） 流量吞吐量：500MB/ 秒 11 l 网络端口16个 l 光纤接口4个 l 右下角屏幕控制板 F5端口及板面说明（端口及板面说明（6800） 12 F5的配置方法的配置方法 两种配置方法两种配置方法 Web接口方式接口方式 https 命令行方式命令行方式 ssh (remote) telnet（需要用命令打开）（需要用命令打开） Console 建议用命令行的方式初始化，建议用命令行的方式初始化， 在在Web方式下配置业务方式下配置业务 13 Web 配置工具配置工具 14 Web 配置工具配置工具 配置工具配置工具 文档文

11、档 15 Web 配置工具配置工具 16 命令行配置方式命令行配置方式 命令行配置方式：命令行配置方式： F5#config I N I T I A L S E T U P M E N U Choose the desired configuration function from the list below. (A) Configure all services (R) Steps for redundant systems REQUIRED (E) Set default gateways (V) Configure VLANs & networking (H) Set host nam

12、e (W) Configure web servers (P) Set root password OPTIONAL (C) Remote authentication (O) Configure remote access (D) Configure DNS (S) Configure SSH (F) Configure FTP (T) Configure Telnetd (I) Initialize iControl portal (U) Configure RSH (K) Set keyboard type (Y) Set support access (L) License Activ

13、ation (Z) Set time zone (M) Define time servers (Q) Quit Enter Choice: 17 虚拟服务器（虚拟服务器（Virtual Servers）的概念）的概念 Internet 50:80 Virtual Server 虚拟服务器是在 F5上虚拟出来的概 念 虚拟服务器IP地 址端口号的组合 18 节点（节点（Nodes）的概念）的概念 Internet 80:8080 Nodes 节点（Nodes)是服 务器的IP地址端 口号的组合 81:8080 192.80.

14、10.182:8080 83:8080 19 地址池（地址池（Pool)的概念的概念 Internet 客户端 路由器 BIG-IP 负载均衡器 服务器 地址池是一组Node的组合 20 虚拟服务器和节点虚拟服务器和节点 Internet 80:8080 虚拟服务器虚拟服务器 节点节点 映射到映射到 一个虚拟服务器对应 一个地址池，一个地 址池对应多个节点 50:80 81:8080 82:8080 83:8080 21 虚拟服务器虚拟服务器 地址转换地址转换

15、 BIG-IP 会执行地址换， 把客户请求的数据包 中的目的地址换成真 实的服务器地址 真实服务器真实服务器 地址地址 Network Address Translation 虚拟服务器地址虚拟服务器地址 Internet 50:80 80:8080 81:8080 82:8080 83:8080 22 网络数据流网络数据流 - Packet #1 解释解释 to BIG-IP 虚拟服务器地址虚拟服务器地址 50 Internet DNS 服务器服务器 2

16、50:80 80:8080 81:8080 82:8080 83:8080 23 网络数据流网络数据流 - Packet #1 在在BIG-IP 上把目的地址转上把目的地址转 换成节点的地址，端口转换成节点的地址，端口转 换成节点的侦听端口换成节点的侦听端口 Internet Packet # 1 Src - 0:4003 Dest 50:80 Packet # 1 Src 0:4003 Dest 192.80

17、.10.180:8080 0 50:80 80:8080 81:8080 82:8080 83:8080 24 网络数据流网络数据流 Packet #1 Return 在在BIG-IP 把返回的数据包把返回的数据包 的源地址转换成虚拟服务的源地址转换成虚拟服务 器地址，端口转换成器地址，端口转换成BIG- IP侦听端口侦听端口 Internet Packet # 1 - return Dest - 0:4003 Src 218.200

18、.243.150:80 Packet # 1 - return Dest 0:4003 Src 192. 80.10.180:8080 0 50:80 80:8080 81:8080 82:8080 83:8080 25 网络数据流网络数据流 - Packet #2 Internet Packet # 2 Src - 1:4003 Dest 50:80 Packet # 2 Src 2

19、01:4003 Dest 192. 80.10.181:8080 1 50:80 80:8080 81:8080 82:8080 83:8080 26 网络数据流网络数据流 Packet #2 Return Internet Packet # 2 - return Dest - 1:4003 Src 50:80 Packet # 2 - return Dest 1:

20、4003 Src 192. 80.10.182:80 1 50:80 80:8080 81:8080 82:8080 83:8080 27 F5负载均衡算法介绍负载均衡算法介绍 Round Robin（轮询） Ratio（权重） Least Connections（最少连接） Fastest（最快回应） Observed（观察） Predictive（预测） Dynamic Ratio（动态权重） Minimum Active Members（最少活动成员）

21、 Fallback Host 静态静态 动态动态 失效机制失效机制 28 负载均衡算法轮询负载均衡算法轮询 客户端客户端 路由器路由器 BIG-IP 负载均衡器负载均衡器 服务器服务器 客户的请求被严格分发客户的请求被严格分发 1234 5678 Internet 29 负载均衡算法权重负载均衡算法权重 管理员设置把客户的请管理员设置把客户的请 求按求按 3:1:1:1比例分配比例分配 1234 7 8910 Internet 56 1112 客户端客户端 路由器路由器 BIG-IP 负载均衡器负载均衡器 服务器服务器 30 负载均衡算法最快回应负载均衡算法最快回应 下一个客户请求被分配下一个

22、客户请求被分配 到反应最快的机器到反应最快的机器 1 2 Internet 10ms5ms20ms17ms 当前反应时间当前反应时间 客户端客户端 路由器路由器 BIG-IP 负载均衡器负载均衡器 服务器服务器 31 负载均衡算法最快回应负载均衡算法最快回应 一定时间后一定时间后 101 102 Internet 14ms15ms20ms11ms 当前反应时间当前反应时间 客户端客户端 路由器路由器 BIG-IP 负载均衡器负载均衡器 服务器服务器 下一个客户请求被分配下一个客户请求被分配 到反应最快的机器到反应最快的机器 32 负载均衡算法最少连接数负载均衡算法最少连接数 1 2 Inter

23、net 下一次请求发送到有最下一次请求发送到有最 少连接数的机器上少连接数的机器上 462460455465 当前连接数当前连接数 客户端客户端 路由器路由器 BIG-IP 负载均衡器负载均衡器 服务器服务器 33 负载均衡算法最少连接数负载均衡算法最少连接数 一定时一定时 间后间后 Internet 61 62 342330338335 当前连接数当前连接数 下一次请求发送到有最下一次请求发送到有最 少连接数的机器上少连接数的机器上 客户端客户端 路由器路由器 BIG-IP 负载均衡器负载均衡器 服务器服务器 34 负载均衡算法最少活动成员负载均衡算法最少活动成员 13 5 2 46 Int

24、ernet Priority 1Priority 2 如果最少活动成员为如果最少活动成员为2， 现在有现在有3个高优先级的成个高优先级的成 员可用，则低优先级的节员可用，则低优先级的节 点不会被使用点不会被使用 客户端客户端 路由器路由器 BIG-IP 负载均衡器负载均衡器 服务器服务器 35 负载均衡算法最少活动成员负载均衡算法最少活动成员 1 5 Internet Priority 1Priority 2 324 678 如果最少活动节点少于如果最少活动节点少于2 个，则下一优先级的节点个，则下一优先级的节点 就会被使用就会被使用 客户端客户端 路由器路由器 BIG-IP 负载均衡器负载均

25、衡器 服务器服务器 36 负载均衡算法负载均衡算法Fallback Host Internet If all nodes fail, then client is sent an http redirect to the “fallback” server. 客户端客户端 路由器路由器 BIG-IP 负载均衡器负载均衡器 服务器服务器 37 策略保持（策略保持（ Persistence）概念）概念 1 2 3 1 2 3 策略保持是处理同一台策略保持是处理同一台 Client端过来的请求如果端过来的请求如果 分发到同一个节点中去的分发到同一个节点中去的 问题问题 38 策略保持方法策略保持方法

26、 Simple Persistence（简单策略保持） SSL Persistence（SSL策略保持） Cookie Persistence（Cookie策略保持） Insert, Rewrite, Passive & Hash Persistence by Expressio（表达式的策略保持） http:/ 39 会话策略保持方法会话策略保持方法 40 Cookie 策略保持方法策略保持方法 Insert 模式 BIG-IP 在数据流中插入一个在数据流中插入一个 cookie Rewrite 模式 主机产生主机产生 cookie而而 BIG-IP 会改写会改写cookie Passive

27、 模式 主机产生主机产生 cookie 而而 BIG-IP 读此读此cookie Hash 模式 镜像一个镜像一个 cookie值到一个特别的节点值到一个特别的节点 Web server 必须产生一个必须产生一个 cookie 41 ClientServer HTTP request (no cookie) TCP handshake TCP handshake HTTP request (no cookie) HTTP reply (no cookie) HTTP reply (with inserted cookie) pick server HTTP request (with same

28、 cookie) TCP handshake TCP handshake HTTP request (with same cookie) HTTP reply (no cookie) HTTP reply (updated cookie) cookie specifies server First HitSecond Hit Cookie Insert 模式模式 42 ClientServer HTTP request (no cookie) TCP handshake TCP handshake HTTP request (no cookie) HTTP reply (with blank

29、cookie) HTTP reply (with rewritten cookie) pick server HTTP request (with same cookie) TCP handshake TCP handshake HTTP request (with same cookie) HTTP reply (with blank cookie) HTTP reply (with updated cookie) cookie specifies server First HitSecond Hit Cookie Rewrite 模式模式 43 ClientServer HTTP requ

30、est (no cookie) TCP handshake TCP handshake HTTP request (no cookie) HTTP reply (with special cookie) HTTP reply (with special cookie) pick server HTTP request (with same cookie) TCP handshake TCP handshake HTTP request (with same cookie) HTTP reply (with special cookie) HTTP reply (with special coo

31、kie) cookie specifies server First HitSecond Hit Cookie Passive 模式模式 44 Client Server HTTP request (no cookie) TCP handshake TCP handshake HTTP request (no cookie) HTTP reply (with cookie) HTTP reply (with cookie) pick server HTTP request (with same cookie) TCP handshake TCP handshake HTTP request (

32、with same cookie) HTTP reply (with cookie) HTTP reply (with cookie) cookie hash specifies server First HitSecond HitThird Hit Server TCP handshake HTTP request (with same cookie) HTTP reply (with cookie) cookie hash specifies server TCP handshake HTTP request (with same cookie) HTTP reply (with cook

33、ie) Cookie Hash 模式模式 45 IP & TCP Header TCP Data 表达式表达式 （Expression）保持）保持 SYN SYN-ACK ACK Client Request SSL Session ID IP Address SIP Call ID HTTP Headers User Defined Fields TCP Handshake 46 表达式保持表达式保持 基于数据包中的其他内容来做策略保持基于数据包中的其他内容来做策略保持 可以做任何内容的策略保持可以做任何内容的策略保持 类似于类似于 Rules 47 简单简单(simple)策略保持方法策略

34、保持方法 基于源或目的基于源或目的IP地址地址 假设假设Client IP地址不变地址不变 Netmask 一段地址范围当作源地址一段地址范围当作源地址 48 SSL 策略保持方法策略保持方法 基于基于SSL会话会话ID 当客户端当客户端IP地址变化时，保持不变地址变化时，保持不变 如果如果SSL 会话会话ID丢失后，保持会发生变化丢失后，保持会发生变化 49 80:8080 F5的健康检查方法的健康检查方法 Internet 50 节点节点 & 节点地址状态节点地址状态 用 Monitors检查的节点的状态 UNCHECKED CHECKING UP DOWN ADDR

35、ESS DOWN 管理员原因引起的状态管理员原因引起的状态 DISABLED ADDRESS DISABLED FORCED DOWN ADDRESS DOWN 51 健康检查健康检查 健康检查概念健康检查概念 Address, Service, Content（内容）（内容） & Interactive Checks 配置健康检查配置健康检查 从模板中创建从模板中创建 Monitor 关联关联: pool 52 地址（地址（Address） 检查检查 步骤步骤 包被送到包被送到IP地址地址 如果没有反应，则不会再往此节点如果没有反应，则不会再往此节点 发送流量发送流量 例如例如 - ICMP

36、 Internet 82 ICMP 81 80 53 服务（服务（Service） Check 步骤步骤 建立一个建立一个 TCP 连接连接 (IP 地址地址 : 服务服务) 关闭连接关闭连接 如果如果TCP连接失效，则不会再往此连接失效，则不会再往此 节点发送流量节点发送流量 例如例如 TCP Internet 82:8080 TCP Connection 81:8080 80:8080 54 内容（内容（Content） 检查检查 Internet 步骤： 建

37、立一个Opens TCP 连接 (IP地 址 : 服务) 发送一个请求 返回数据 连接关闭 如果收到的包中内容不对，则不 会再往此节点发送流量 例如 http http GET / 82:8080 81:8080 80:8080 55 交互（交互（Interactive）检查）检查 Internet步骤 建立一个连接 (IP 地址: 服务) 模拟真实应用交互会话 连接关闭 如果期望的结果不对，则不会再往此 节点发送流量 例如 SQL 请求 会话会话 82:8080 81:8080 19

38、80:8080 56 F5双机系统双机系统 主主 备备 主主备备 57 双机配置的一些概念双机配置的一些概念 Unit ID （单元号码，双机时此（单元号码，双机时此Unit ID不能相同）不能相同） Failover IP (双机中对端机器的内部双机中对端机器的内部IP地址，两台机器地址，两台机器Failover IP要要 能互相能互相ping通）通） Failover Method (Hardwired or Network)（Hardwired用专门的用专门的 Failover线，而线，而Network用网线，经验验证要采用用网线，经验验证要采用hardwired） S

39、hared IP（类似于双机的浮动（类似于双机的浮动IP） Hostname（机器名，两台机器的机器名一定不要相同）（机器名，两台机器的机器名一定不要相同） F5双机系统的一些概念双机系统的一些概念 58 配置配置F5双机系统双机系统 n配置步骤： 确认BIG-IP运行在双机模式。在导航条选择SYSTEM -Platform， Hith Availability设置中应选择为Redundant Pair。 n通常BIG-IP1的Unit ID为1， BIG-IP2的Unit ID为2。 n在导航条选择SYSTEM -High Availability，完成如下配置 59 配置配置F5双机系统双

40、机系统 nRedundancy Mode选择Active/Standby模式 nEnable Network Failover选项。 60 F5主备机的同步主备机的同步 F 5 主主 备备 机机 的的 同同 步：步： 同步同步 别的配别的配 置置 当前配当前配 置置 F5只能同步Web 页面的配置 同步是一个push或者pull的操作 61 F5主机的判断主机的判断 通过通过WEB检查检查 通过命令行检查 bigtop 62 强制把强制把F5主机变成备机主机变成备机 只能把主机变成备机，但不能把备机变成主机只能把主机变成备机，但不能把备机变成主机 命令方式 b failover standby

41、 63 F5双机切换双机切换 切换方式切换方式 Watchdog device VLAN Arm Failsafe SSL Proxy Failover Gateway Failsafe 检测方法检测方法 Fail-over cable Network Fail-over 64 Watchdog 机制机制 主主F5有有 硬件或软件问题硬件或软件问题 Watchdog device 触发一个切换动作触发一个切换动作 (重启机器重启机器) 备机收不到主机的信息备机收不到主机的信息 备机变成主机备机变成主机 65 VLAN Arm Failsafe机制机制 检测到没有业务网络流量检测到没有业务网络流

42、量 F5本身触发一些流量本身触发一些流量 仍然没有没有检测到业务网络流量仍然没有没有检测到业务网络流量 发起切换进程发起切换进程 (重启机器重启机器) 备机从主机中收不到信息备机从主机中收不到信息 备机变成主机备机变成主机 66 SSL Proxy Failover机制机制 加密模块硬件错误加密模块硬件错误 发起切换进程发起切换进程 (重启机器重启机器) 备机从主机中收不到信息备机从主机中收不到信息 备机变成主机备机变成主机 67 Gateway Failsafe机制机制 ping GW没有回应没有回应 主机变成备机模式主机变成备机模式Sta 备机从主机中收不到信息备机从主机中收不到信息 备机

43、变成主机备机变成主机 68 检测方法检测方法 Failover 线线 主备机之间的串口线主备机之间的串口线 检查对端机器的电压检查对端机器的电压 Network 线线 两台机器的内网接口的通讯两台机器的内网接口的通讯Communication between boxes across internal interface 检查到没有信号检查到没有信号 厂商宣称支持二个检测方法，实际中建议用厂商宣称支持二个检测方法，实际中建议用Failover线线 69 F5的的NAT和和SNAT F5的的NAT和和SNAT： NAT (Network Address Translation)和和SNAT(Se

44、cure Network Address Translation)都是地址转换机制。都是地址转换机制。 NAT是一对一的，而是一对一的，而SNAT是多对一的。是多对一的。 SNAT只应用于从内部主动发起的流量，只应用于从内部主动发起的流量，NAT在公司业务中很少用。在公司业务中很少用。 SNAT出去的地址可以与出去的地址可以与Virtual Server的的IP地址相同。地址相同。 如果如果Nodes只接受只接受Client的访问，而不需要的访问，而不需要主动对外发起连接请求主动对外发起连接请求， 不需要配置不需要配置NAT和和SNAT。 目前我们的目前我们的SNAT为：为：1 70 F5的的NAT Internet 03 一对一的映射一对一的映射 双向的流量双向的流量 专门的外网地址专门的外网地址 只有只有udp和和tcp的流量的流量 71 F5的的SNAT 多对一的映射多对一的映射 到到 SNAT Address的流量是拒绝的的流量是拒绝的 可以与可以与 Virtual Server共用外网地址共用外网地址 只有只有TCP和和UDP流量流量 Int