F5 BIG-IP LTM V9负载均衡器配置指导书

1、cVirtual Servers中点击相应的Virtual server，选择Resources项 图4-5 会话保持配置页面(2) 对Default Persistence Profile进行配置 图4-6 选择会话保持方法& 说明：会话保持验证可使用“tcpdump工具进行验证，tcpdump使用参见附录说明。(3) 点击Update完成配置。 4.4 配置健康检查节点状态监控Monitor用于检验负载均衡池中成员节点的连接和效劳信息，包括健康监控和性能监控，当池中成员节点性能下降时BIG-IP系统将会把流量重定向到其它节点。配置节点状态监控包括如下两项工作：l 自定义节点状态监控

2、l 监控与节点/负载均衡池相关联其中自定义节点状态监控配置步骤是可选的，当使用默认监控模板时，此步骤可以跳过。4.4.1 自定义节点状态监控节点如果使用标准效劳，只需要使用BIG-IP系统提供默认监控模板即可，不需要进行自定义。当监控信息需要对效劳的内容或效劳协议信息进行监控时，这时需要进行自定义节点状态监控。配置步骤： (1) 在导航面板中选择“Monitor中的“Monitors标签，点击“Create按钮添加监控。 图4-7 创立Monitor选择Monitor类型模板(2) 在“Type中选择采用模板，比方HTTP或HTTPS等，在“Name 文本框输入监控名称。 图4-8 创立Mon

3、itor自定义Monitor(3) 在“Configure表格中使用默认属性。根据监控模板的不同对属性进行配置，比方对HTTP ECV属性的“Send String配置为“GET /user/index.html；将Internal更改为10秒，Timeout更改为31秒(3 X Internal +1)。(4) 完成监控配置后，点击“Finished完成配置。& 说明：当默认监控方法无法实现检测效劳器运行状态时，需要定制的监控。例如，默认的域名方式使用“GET /命令无法获取正确页面或页面经过屡次重定向，这时BIG-IP系统无法正确检测效劳器状态，我们需要手工更改命令，比方“GET

4、/user/index.html，使HTTP检查方法可以检测出效劳器的运行状态。 4.4.2 监控与节点/负载均衡池相关联监控必须要跟节点/负载均衡池相关联才能生效。1. 监控与节点相关联配置步骤：(1) 点击左侧的导航条，选择Local Traffic -> Virtual Servers ->Nodes标签，选中需要监控的节点Node 图4-9 调整Health Monitors(2) 节点配置项下拉框Health Monitors缺省为Node Default。Node Default设置可以在Local Traffic -> Virtual S

5、ervers ->Nodes -> Default Monitor标签中调整；如果需要针对具体节点调整监控方式，选择下拉框Health Monitors为Node Specific，将可用的Monitor方式选中点击“<<添加到Select Monitors中；如果不需要监控，选择None即可。 图4-10 配置Default Monitor(3) 完成配置后，点击Update按钮使配置生效。2. 监控与负载均衡池相关联配置步骤：(1) 点击左侧的导航条，选择Local Traffic -> Virtual Servers

6、->Pools标签，选中需要监控的负载均衡池Pool (2) 将Monitore与负载均衡池相关联(3) 在Health Monitors中将可用的Monitor方式选中点击“<<添加到Active栏中。(4) 完成配置后，点击Update按钮使配置生效。 4.4.3 检查系统状态配置完负载均衡池、节点监控和虚拟效劳器后，我们可以通过“Local traffic->Virtual Servers页面查看Virtual server的状态；“Local traffic->Pool页面查看Pool的状态。当图标为绿色时表示节点或

7、虚拟效劳器可用，当图标为红色那么意味着节点或虚拟效劳器状态为离线，如果图标为黄色说明节点或虚拟效劳器不可用。如果图标为蓝色说明虚拟效劳器被禁用。 说明节点或虚拟效劳器状态未知，通常此时没有启用Monitor。如果图标为黑色4.5 配置SNAT跟路由器、防火墙一样，BIG-IP系统提供NAT (Network Address Translation)和SNAT(Secure Network Address Translation)地址转换机制，SNAT地址转换跟Cisco PAT方式类似。如果不启用NAT/SNAT，负载均衡池说明：SNAT地址可以不是唯一的，比方，SNAT地址可以使用虚拟效劳器

8、的IP地址。 4.5.1 配置步骤(1) 在导航面板中选择Local Traffic->SNATs标签，点击“Create按钮添加SNAT地址。 图4-11 SNAT配置(2) 在“Name文本框中输入名称(3) 在 “Translation文本框中输入SNAT IP地址，并在“Origin List的“Origin Address文本框中输入节点IP地址或在“VLAN Traffic的下拉框中选择“Enable on或“Disable on在VLAN List中选择相应的Vlan，点击“<<参加“Selected列表。(4) 按“Finished完成

9、添加SNAT IP地址。(5) 通常我们希望说明：如果需要添加外部单独访问验证SNAT配置在检查SNAT配置正确性之前，必须确保BIG-IP系统网关已经配置完毕。请在CLI界面用“netstat nr命令确定网关信息已经配置完毕：f5test1:# netstat -nrRouting tables Internet:Destination Gateway Flags MTU If default 54 UGS 3400 vlan1 35 54 UGHc 3400 vlan1 92/26 link#7 UC 34

10、00 vlan1 50 0.e0.fc.5.36.78 UHLc 3400 vlan1 54 0.e0.fc.2.5d.f2 UHLc 3400 vlan1 127 UGRS 4352 lo0 UH 4352 lo0 192.168.1 link#6 UC 3400 vlan0 192.168.129 link#8 UC 3400 vlan2 2 link#8 UHLc 3400 vlan2 3 link#8 UHLc 3400 vlan2 1

11、6 0.e5.27 UHLc 3400 lo0 f5test1:# 在BIG-IP系统CLI界面中用TCPDUMP验证SNAT配置。举例，在内部节点IP:2中Ping外部IP地址(2)，BIG-IP的Internal VLAN IP为6对应SNAT地址为13，测试显示如下：f5test1:# tcpdump -i external host 13 and icmptcpdump: listening on external11:04:55.0

12、85576 13 > 2: icmp: echo request 11:04:55.087803 2 > 13: icmp: echo reply 11:04:55.099550 13 > 2: icmp: echo request 11:04:55.102797 2 > 13: icmp: echo reply f5test1:# tcpdump -i internal

13、host 2 and icmptcpdump: listening on internal11:06:02.859518 2 > 2: icmp: echo request 11:06:02.861788 2 > 2: icmp: echo reply 11:06:02.865022 2 > 2: icmp: echo request 11:06:02.866768 10.77.220

14、.82 > 2: icmp: echo reply 第5章 双机配置在业务与软件产品中使用BIG-IP系统一般都会配置双机。在配置BIG-IP系统双机Failover之前请确认两台BIG-IP系统两者的软件版本必须一致如BIG-IP Version 9.2.3 34.3，在CLI使用“b version查看或者在Web页面的导航面板中选择“System中的“General Properties标签，查看版本信息。无论主用系统还是备机都要进行根本配置。本处仅给出配置双机的考前须知和根本配置后的配置步骤。 5.1 考前须知如果以前已经有其它配置，可以通过命令

15、请空配置，“reboot重启BIG-IP系统清空现有配置，然后使用web页面进行根本配置，注意在console或连在管理网口上执行：(1) 备份配置信息文件备份配置文件保存在“/var/local/ucs目录中roottest:Active #b config save mybackup.ucs(2) 删除各个配置信息文件roottest:Active # b reset #约30秒，等待bigip为Active状态roottest:Active # b base reset #约30秒，等待bigip为Active状态 roottest:Active # b db reset #约30,等待

16、bigip为Active状态(3) 重启机器roottest:Active # reboot5.2 双机设置配置步骤：(1) 确认BIG-IP运行在双机模式。在导航条选择SYSTEM ->Platform，HithAvailability设置中应选择为Redundant Pair。 图5-1 双机Platform配置(2) 通常BIG-IP1的Unit ID为1， BIG-IP2的Unit ID为2。(3) 在导航条选择SYSTEM ->High Availability，完成如下配置通过举例说明：l Primary Failover Address输入两台BIGI

17、P的内网 Self IP地址BIG-IP1的Self IP为, Peer IP为; BIG-IP1的Self IP为, Peer IP为l Secondary Failover Address输入两台BIGIP的外网Self IP地址BIG-IP1的Self IP为24, Peer IP为25; BIG-IP1的Self IP为25, Peer IP为24(4) Redundancy Mode选择Active/Stand

18、by模式(5) Enable Network Failover选项。 图5-2 BIG-IP1双机设置 图5-3 BIG-IP2双机设置5.3 双机状态监控设置BIG-IP支持多种双机状态监控方式，主要有系统、网关和VLAN三种Fail-safe方式。系统Fail-safe通常选用缺省配置，不需要改动。业务与软件一般采用 VLAN Fail-safe方式实现双机状态监控，当VLAN没有流量到达Timeout超时时间后执行预先规定的操作，通常选择Fail over操作。VLAN Failsafe配置步骤方法一：(1) 在Web界面导航条选择Network -> VLANs -&am

19、p;gt; 选中VLAN如External(2) 在VLAN页面中的Configuration下拉框选中“Advanced 图5-4 VLAN Failsafe配置(1)(3) 选中“Arm Failsafe复选框(4) 在“Timeout中填写30(5) 在Action选择Failover(6) 点击Update按钮完成配置。由于BIG-IP系统无法同步这项配置，需要在主备双机分别进行配置。 VLAN Failsafe配置步骤方法二：(1) 在Web界面导航条选择High Availability(2) 在Fail-safe标签下拉框选择VLANs(3) 点击Add按钮添加VLAN Fail

20、safe(4) 在VLAN下拉框选中特定VLAN如External 图5-5 VLAN Failsafe配置(1)(5) 在“Timeout中填写30(6) 在Action选择Failover(7) 点击Finished按钮完成配置。由于BIG-IP系统无法同步这项配置，需要在主备双机分别进行配置。 5.4 双机状态检查和配置同步(1) 状态检查 在配置完初始化配置并重启后，通过“ifconfig a命令确认在主用BIG-IP系统显示Share IP，而在备用BIG-IP系统仅显示Self IP，用“b failover show命令可以确认系统的状态。或者在Web配置界面中通过“System

21、 -> High Available和“Network -> Self IPAddresses进行查看，在浮动IP属性中，其状态为“Floating，在Web界面的“BIP-IP Status Applet窗口也显示了BIG-IP系统的状态。(2) 连接状态镜像配置 BIG-IP系统负载均衡池、虚拟效劳器、监控等配置请参见WEB配置局部。为了同步主备机之间虚拟效劳器连接状态，需要在虚拟效劳器属性页中启用“Mirror Connections选项；忽略其提示，选择“确定。(3) 配置同步 在主用BIG-IP系统的“System -> High Avail

22、able页面中，点击“Synchronize Configuration按钮，把主用系统上的四层业务配置同步到备机中去。页面显示成功后返回。切换到备机的web登录页面，可以观察到，主用系统上的L4/L7层业务配置已经全部同步到备机中了。 图5-6 配置同步(4) 验证备机的可用性 在主用BIG-IP系统中强制切换为Standby备用运行模式，在备用BIG-IP系统中通过WEB界面或CLI界面查看状态是否切换为Active主用运行模式。检查上级网关有效性以及测试应用的可用性。 第6章 附录B 常见问题说明6.1 BIG-IP单机或两台双机系统处于Standby状态，为什么？单系统处于Standb

23、y状态，通常是BIG-IP系统Licnese没有生效，请执行bigstart restart命令查看sod进程是否正常启动：f5test-1:# bigstart restartbigstart: restart inetdbigstart: restart namedbigstart: restart sodbigstart: sod killed, 15 seconds expired<输出省略>f5test-1:# b failoverThe failover state is STANDBY.解决方法：激活License。激活License后bigstart

24、 restart命令结果如下：f5test-1:# bigstart restartbigstart: restart inetdbigstart: restart namedbigstart: restart sodJan 16 14:52:29 f5test-1 kernel: BIG-IP authorization successful.Jan 16 14:52:29 f5test-1 kernel: SSL TPS Level: 100<输出省略>f5test-1:# b failover showThe failover state is ACTIVE.

25、 6.2 BIG-IP系统如何进行配置备份和恢复？在CLI使用“b config save <config-file>.ucs保存配置，使用“config install<config-file>.ucs恢复配置。在Web配置界面中“System -> Archives中，点击create，在备份页面输入名称点击finished保存当前配置，。如果不指定路径，默认保存在目录“/var/local/ucs中。选择恢复：在“System -> Archives中选择相应的备份，点击“Restore恢复配置 6.3

26、SSH访问具有密码加密传输的优点，请问从哪里获取SSH客户端？常用的SSH客户端有：l PuTTY 本免费工具为绿色软件，无需安装。l TTSSH TTSSH是公司标准软件Tera Term的SSH扩展免费软件。l SecureCRT 本软件功能强大，评估版为免费软件。 本例仅给出PuTTY的使用说明：运行PuTTY，在“PuTTY Configuration窗口中输入主机名，并选定协议为“SSH，点击“Open即可通过SSH登录到BIG-IP系统： 6.4 网络设备通常有收集系统信息的宏命令，F5有没有相应命令？与华为路由器“display base-information、华为交换机“di

27、splaydiagnostic-information、思科“show tech-support和NetScreen防火墙“get tech-support命令类似，BIG-IP系统也有对应信息收集工具叫F5 Qkview Diagnostic Tool。通过Qkview工具可以采集BIG-IP上的配置信息及日志信息，以供离线的故障诊断。在CLI界面中执行“qkview，Qkview 工具执行完成后将输出信息保存在文件“/var/tmp/<host-name>-tech.out中。在进行故障诊断和寻求高级技术支持，别忘了执行本命令。 Qkview也可以通过Web界面

28、获取，步骤如下：(1) 在SystemàSupport中，选中QKView (2) 点击Start运行Qkview工具，运行过程如下： (3) Qkview运行过程大概会持续3至5分钟，执行结果如下： (4) 点击Download下载Qkview的输出文件 。 注意：(1) 修改下载文件的文件名以免双机的文件重名冲突。(2) 下载完后及时清理/var/tmp/目录，防止空间缺乏。 6.5 如何使用TCPDUMP进行Troubleshooting？TCPDUMP是Unix系统常用的报文分析工具，TCPDUMP经常用于故障定位，如会话保持失效、SNAT通信问题等。命令语法：tcpdump

29、 -adeflnNOpqRStvxX -c count -F file -i interface -m module -r file -s snaplen -T type -w file -E algo:secret expression 其中：l -i 报文捕获监听的接口，如果不指定，默认为系统最小编号的接口不包括loop-back接口l -n 不将IP地址或端口号转化为域名或协议名称l -r 从文件中读取该文件由-w选项创立l -s 确定捕获报文大小l -w 直接将捕获报文写入文件，而不是对其进行解析并通过屏幕显示与-r选项对应l -x 每个报文以十六进制方式显示 l -X 每个报文同时以

30、文本和十六进制显示l expression 匹配表达式的分组将进行解析。如果不指定表达式，系统对所有分组进行捕获分析。复杂表达式可以使用“and与、“or或以及“not非操作进行组合。表达式有三种：n type 三种种类：host、net和port。比方：host 。如果不指定类型，默认为host。n dir 有src、dst、 src or dst和src and dst四种方向。默认为src or dst，即双向。n proto 常见协议有：ip、arp、tcp、udp、icmp等。如果不指定协议类型，默认为所有协议。举例1：对external接口主机139.212.96.

31、2并且端口为1433的流量进行监控。端口不指定tcp和udp，默认为同时对tcp和udp进行报文捕获。本命令不解析IP地址/端口号为主机名/效劳名称，同时显示报文十二进制和文本信息，报文最大为3400字节。f5-1:# tcpdump -i external -n -X -s 3400 port 1433 and host tcpdump: listening on external 21:48:41.295546 .1201 > 4.1433: .302192826:302192827(1) ack 558871

32、968 win 64360 (DF) 0x0000 012c 0800 4500 0029 38cf 4000 7f06 c3b2 .,.E.)8. 0x0010 8bd4 6002 0a4b 092c 04b1 0599 1203 18ba .K.,. 0x0020 214f b5a0 5010 fb68 a926 0000 00 !O.P.h.&. 21:48:41.296015 4.1433 > .1201: . ack 1 win 64636(DF)0x0000 012c 0800 4500 0028 cb2d 4

33、000 7f06 3155 .,.E.(.-.1U 0x0010 0a4b 092c 8bd4 6002 0599 04b1 214f b5a0 .K.,.!O. 0x0020 1203 18bb 5010 fc7c a812 0000 0000 0000 .P.|. 0x0030 0000 . 21:48:50.701130 .1206 > 4.1433: .304974934:304974935(1) ack 565108263 win 64882 (DF) 0x0000 012c 0800 4500 0029 38f7 4000 7

34、f06 c38a .,.E.)8. 0x0010 8bd4 6002 0a4b 092c 04b6 0599 122d 8c56 .K.,.-.V 0x0020 21ae de27 5010 fd72 0a6b 0000 00 !.P.r.k. 21:48:50.702567 4.1433 > .1206: . ack 1 win 65267(DF)0x0000 012c 0800 4500 0028 d3a6 4000 7f06 28dc .,.E.(.(. 0x0010 0a4b 092c 8bd4 6002 0599 04b6 21

35、ae de27 .K.,.!. 0x0020 122d 8c57 5010 fef3 08ea 0000 0000 0000 .-.WP. 0x0030 0000 .举例2：对internal接口主机3和1之间端口8080的流量进行分组捕获。本命令不解析IP地址/端口号为主机名/效劳名称，报文最大为1600字节，捕获信息以“/var/tmp/intdump文件保存：tcpdump -s 1600 -ni internal -w /var/tmp/intdump host 3 andhost 1 an

36、d port 8080如果查看该捕获文件，请用tcpdump r /var/tmp/intdump命令。6.6 如何实时监视BIG-IP的连接状态？请使用“watch b conn命令，退出请按“Ctrl + C，显示例如如下： 6.7 如何备份和恢复配置？对BIG-IP进行配置调整之后，建议及时对BIG-IP进行配置备份。备份方法步骤如下：(1) 进入SystemàArchives，点击Create: (2) 配置备份好后，点击设配置文件并下载到外部电脑上： 恢复配置方法类似，在上图中点击Restore按钮即可完成配置恢复。6.8 如何添加“只读权限的管理员帐号为了防止对bigip

37、进行误操作，建议管理员以“只读权限的用户名进行登录，建立“只读权限的管理员帐号方法如下：(1) 点击左侧导航条的SystemàUsersàCreate: (2) 进入添加管理员帐号的操作界面： (3) 在帐号页面中如下各栏进行配置：User Name代表用户名Authentication:输入该用户登录时得到的密码Web User Role选择该用户登录时所具有的操作权限. Administrator:超级用户 Operator:可以对效劳器节点进行up/down操作的权限 Guest:完全只读的权限 No Access:无任何访问的权限(4) 点击Finished按钮完成

38、配置。 6.9 如何查询设备的序列号？负载均衡器的序列号可能从设备前面板右边的机架安装处获得，是在一个条形码标签下面以bip开头的一串字串。如果设备已经上架，不方便查看设备的序列号的话，也可以通过License文件，获取设备的序列号。License文件保存在/config/bigip.license文件中。在文件中搜寻以下信息：Registration Key : JSUIF-IISEN-YSJWQ-JRRVP-LIVYDKELicensed version : 9.2.3Platform ID : C62aAppliance SN : Registration Key : JSUIF-IIS

39、EN-YSJWQ-JRRVP-LIVYDKE Licensed version : 9.2.3Platform ID : C62aAppliance SN : bip083200s其中的bip083200s即为设备的序列号。 6.10 对某一Virtual Server用TCPDUMP命令无法抓到包如何处理？可能是该Virtual Server的属性中选用了Performance Layer4类型，导致数据包由四层加层ASIC芯片处理而没有流经CPU引起，碰到这种情况，选取该Virtual Server将type由Performance Layer4临时改为Standard再来用TCPDUMP

40、命令抓包，抓包以后，改回到Performance Layer4。 第7章 F5负载均衡配置手册负载均衡器通常称为四层交换机或七层交换机。四层交换机主要分析IP层及TCP/UDP层，实现四层流量负载均衡。七层交换机除了支持四层负载均衡以外，还有分析应用层的信息，如HTTP协议URI或Cookie信息。 一、F5配置步骤：1、F5组网规划(1)组网拓朴图具体到网络设备物理端口的分配和连接，效劳器网卡的分配与连接(2)IP地址的分配具体到网络设备和效劳器网卡的IP地址的分配(3)F5上业务的VIP、成员池、节点、负载均衡算法、策略保持方法确实定2、F5配置前的准备工作(1)版本检查f5-portal

41、-1:# b versionKernel:BIG-IP Kernel 4.5PTF-07 Build18(2)时间检查如不正确，请到单用户模式下进行修改f5-portal-1:# dateThu May 20 15:05:10 CST 2004(3)申请license现场用的F5都需要自己到F5网站上申请license3、F5 的通用配置(1)在平安要求允许的情况下，在setup菜单中可以翻开telnet及ftp功能，便于以前方便维护(2)配置vlan unique_mac选项，此选项是保证F5上不同的vlan 的MAC地址不一样。在缺省情况下，F5的各个vlan的MAC地址是一样的，建议在配

42、置时，把此项统一选择上。可用命令ifconfig a来较验具体是system/Advanced Properties/vlan unique_mac(3)配置snat any_ip选项选项，此选项为了保证内网的机器做了snat后，可以对ping的数据流作转换。Ping是第三层的数据包，缺省情况下F5是不对ping的数据包作转换，也就是internal vlan的主机无法ping external vlan的机器。注意：还可以采用telnet来验证。 具体是system/Advanced Properties/snat any_ip 4、F5 的初始化配置建议在对F5进行初始时都用命令行方式来进

43、行初始化用Web页面初始化的方式有时会有问题。登录到命令行上，运行config或setup命令可以进行初始化配置。初次运行时会提示一些license的信息。default:# config 5、F5双机切换监控配置有F5双机时需要(1)在web页面中选择相应的vlan，在arm failsafe选择那么可。Timeout为从F5收不到包的时间起，经过多长时间就发生切换。此配置不能同步，需要在F5的主备机上同时配置。每个vlan都可以配置vlan arm failsafe。 具体在Network下(2)在web页面中选择system，在redundant properties中把gateway

44、failsafe选择那么可。Router是需要监控的地址。此配置不能同步，需要在F5的主备机上同时配置。一套F5上只能配置一个gateway failsafe具体在system/redundant properties/gateway failsafe 6、F5 MAC masquerade配置Mac Masquerading是F5的Shared IP Address (Floating)的MAC地址，F5如果不配置此项，那么shared IP Address的MAC地址与每台F5的vlan self IP Address的MAC地址是一样的。一般效劳器是以shared IP Address为

45、网关，在两台F5上都配置了MacMasquerade相同的MAC地址，这样当F5发生切换后，效劳器上shared IP address的MAC不变，保证了业务的不中断具体在Network下 7、F5的pool配置(1)在配置工具Web页面的导航面板中选择“Pools中的“Pools标签，点击“ADD按钮添加效劳器池(Pool)。(2)在池属性Pool Properties中的“Load Balancing Method表格中选择负载均衡策略，通常采用默认策略：“Round Robin(3)在“Resouces表格中的“Member Address文本框输入成员IP地址，在“Service文本框

46、中输入效劳端口，点击“>>添加到“Current Members当前成 员列表中。(4)添加所有组成员，点击“Done完成配置。(5)在“Pools中的“Pool Name列选中特定池，然后池属性页面中选择“Persistence标签。(6)在“Persistence Type表格中选定会话保持类型。点击“Apply应用配置。8、F5的virtual server配置(1)在配置工具Web页面的导航面板中选择“Virtual Servers中的“Virtual Servers标签，点击“ADD按钮添加虚拟效劳器。(2)在“Add Virtual Server窗口的“Address文本框中输入虚拟效劳器IP地址，并在“Service文本框中输入效劳端口号或在下拉框中选择现有的效劳名称，点击“Next执行下一步。(3)在“Add Virtual Server窗口的“Configure Basic Properties页面中点击“Next执行下一步。 在“Add Virtual Server窗口的“Select PhysicalResources页面中点击单项选择按钮“Pool，并在下拉框中选择虚拟效劳器对应的负载均衡池。(4)按“Done完成创立虚拟效劳器。