多链路负载均衡的方案

1、Radware多宿主网络解决方案Radware China2002-6-30目录1前言31.1多宿主网络需求31.2多宿主网络面临的问题32Radware LinkProof解决方案72.1方案简介72.2方案实现说明82.2.1流出（Outbound）流量处理92.2.2流入（Inbound）流量处理102.2.3其它重要功能设置113Radware Peer Director解决方案123.1方案简介123.2方案实现说明123.2.1流出（Outbound）流量处理123.2.2流入（Inbound）流量处理123.2.3时间段133.3典型应用方案143.3.1路径外网络143.3.2

2、路径内网络153.3.3和LinkProof结合使用154LinkProof/Peer Director提供的增值服务说明174.1冗余配置174.2防火墙负载均衡194.3带宽管理204.4应用安全235设备管理简介255.1SNMP网络管理系统255.2Configware265.3Configware Insite275.4标准的网络浏览器295.5利用Telnet或CLI方式：305.6SSH管理手段316产品说明326.1SynApps326.2Radware智能应用交换机346.2.1Application Switch I 交换机346.2.2Application Switch

3、 II 交换机361 前言随着Internet 应用的不断发展，目前日益增多的机构，如电子商务公司、二级 ISP 和企业为了保证公司各个部门之间、供应商和客户之间连续的 Internet 访问，都逐步采用多个Internet接入链路（多宿主）接入Internet。1.1 多宿主网络需求为客户提供所承诺的7/24的内容和服务是至关重要的。一个网站不仅需要保证网站内所有的WEB服务器、应用服务器和数据库服务器的高可用性，还必须保证站点本身的高可用性。保证Internet接入的稳定性对于一个网站来说是非常重要的。现在绝大多数的网站采用一条Internet接入，也就是说使用一个ISP的链路。显然，一个

4、ISP无法保证它提供的Internet链路的持续可用性，从而可能导致网站WAN接入的中断，而一个网站的Internet接入的中断则意味着高额的损失。(见表一)企业业务类型中断造成的损失/小时 以美元计算金融经纪业645万金融信用卡260万媒体付费节目150,000零售家庭采购（TV）113,000零售家庭目录销售90,000交通定票业务89,000表一：中断造成的损失一个企业可以采用多宿主的解决方案来避免Internet接入中断所造成的损失。在这里所提及的“多宿主”通常指同时使用不同ISP提供的多条Internet接入链路。由于多宿主解决方案能够提供更好的可用性和性能，它正在被越来越多的企业所

5、采用。可用性的提高来自于多条链路的使用，而性能提高则是因为同时使用多条链路增加了带宽。多宿主方案能够提高企业网站的可用性和性能，但这种方案也面临着特殊的问题和挑战。1.2 多宿主网络面临的问题如图一所示，本地网络有两条Internet接入，一条通过ISP1，另一条通过ISP2。图一：多宿主网络这样的网络看起来很普通，但是仔细分析之后就会发现一些问题。首先就是IP地址管理的问题，在图一所示的网络中，可能会采用两种IP地址管理方式：l 内部网络使用同一个子网地址。采用这种方式需要两个ISP之间相互配合协作，来在Internet网络上发布到达该网段的正确路由信息。l 每个ISP分配给内部网络不同的地

6、址段。这种方式下，内部网络要同时使用两个地址段的IP地址。以上的两种方式都会面临一定的挑战。对第一种方式来说，两个ISP之间必须相互配合协作，来在Internet网络上发布到达该网段的正确路由信息，并且还要保证两条链路的双向同时使用。尤其对于流入流量来说，如果不能保证链路的同时使用，多宿主解决方案的部分优点就无法实现。对于第二种方式（目前使用较多的解决方式），在这种方式下，内部网络同时使用两个ISP提供的地址，一部分内部用户（A组）使用ISP1提供的地址，另一部分内部用户（B组）使用ISP2提供的地址。问题在于流出的流量处理，当ISP1的链路中断时，A组的用户将无法接入Internet。更进一

7、步，如果指使用B组的地址，则ISP2的链路无法用于流入的流量，因为Internet上只有ISP1是流入该网络的唯一路径。例如，如果网络中有一个WEB服务器提供Internet用户访问，如何注册该服务器的地址？如果只使用一个ISP的地址，则ISP链路中断是，用户将无法访问该服务器。如果在DNS服务器上注册两个ISP提供的地址，则DNS服务器的宕机同样会导致网络服务的中断。多宿主解决方案面临的不仅仅是地址管理问题。如果采用BGP协议来处理该问题，则只能处理流入的流量，同时无法动态处理，并且管理维护费用高昂。除去以上的问题，多宿主网络的一些优势还没有完全实现，例如：l 现在的一些多宿主网络解决方案仅

8、仅是“共享”式，而不是真正的负载均衡。l 没有就近性的路径判断。l 对流入的流量没有很好的解决方案。目前，面对以上的问题，有的用户和厂商采用了BGP协议的解决方案。这种解决方案使用BGP 作为路由器之间进行可用性和可达性通信的机制。管理员的某些职责就是对流入到路由中的流量进行监视，然后重新分配负载以保护路由器，使它们不会超负荷工作，同时为用户提供最快速的服务。从IT管理方面来看，管理员的许多任务必须在网络上执行，有些任务比较复杂，而其它一些任务则非常耗时。一项相当乏味、但需要熟练掌握BGP 知识的工作便是按照当前和过去的链路负载状况人工对流量进行重新分配。即使这样，当出现问题时管理员也不可能随

9、时作出响应并准确解决出现的问题。此外，就流量负载均衡而言，BGP 还是有一些局限性。BGP 作为一项路由协议，它通常会将多个路径中的一个路径定义为Internet 的最佳路径，将所有的流量都通过此路径发送。对于流入的流量，路由器会将其发布到链路另一端的网关路由器。于是流量分配将不受路由器的控制，它完全依靠外部BGP 发布，流量很可能会从某个单链路中返回。目前对此的人工解决方案是将内部网络分成子网，分别将子网发布到BGP 邻居。日期2001年9月13日- 3 -这是一项人工操作，需要熟练掌握BGP 专业技术。BGP 受到链路中有关网络阻塞和网络性能方面知识的限制，并且当网络状态不稳定时，它不能动

10、态调整配置。因此我们面临的挑战将是完成确定的人工任务，如更新BGP 路由表，这是一项重复性的工作并且非常耗时，我们需要自动处理这项任务来降低管理的开销。这样做可以让管理员将精力放在更加重要的问题上面，并且使他能够有效地利用自己的时间。另外一个挑战就是根据历史统计资料和实时负载来优化链路的使用。这项挑战就是要实时处理此任务，而且无需人工干预。BGP 的局限性就负载均衡流量而言，BGP 还是有一些局限性。BGP 作为一项路由协议，它通常会将多个路径中的一个路径定义为Internet 的最佳路径，所有的流量都通过此路径送出。对于流入的流量，路由器会将其发布到链路另一端的网关路由器。流量分配由外部BG

11、P 发布决定而不是由路由器来决定。目前对此的人工解决方案是将内部网络分成子网，又称为CIDR 块，将子网发布到BGP peer 或BGP 邻居。这种人工操作要求管理员对流入到路由器中的流量进行监视并且全天不停的修改配置。BGP 的一个局限是这些修改是根据估计进行的，而不是根据实时负载进行的。BGP 对链路中有关网络阻塞和网络性能方面的知识也有一定的局限。当网络状态不稳定时，BGP 不能动态重新调整配置。BGP 能够提供静态负载共享，但是不能提供真正的网络动态负载均衡。此外BGP 不能对流出的流量实施负载均衡，它只能针对流入的流量。虽然BGP 有这么多的局限性但它是一种非常流行的路由协议，而且是

12、目前世界上大多数路由器实际使用的标准。针对以上的问题和挑战，Radware提出了LinkProof和Peer Director解决方案。LinkProof采用Smart NAT技术，消除了多宿主网络设计中固有的复杂性，提供了一个易于管理、智能优化和利用所有Internet链路的解决方案。Peer Director针对不使用网络地址转换(NAT) 的网络环境， 对流入的流量进行检查，测定每个CIDR 使用的总流量并动态负载均衡不同链路之间的CIDR。 对于出口流量Peer Director 使用Radware 的就近性方案，并标记每个数据包的ToS 字段，以便向要使用的上行链路发出指令。最终实现

13、双向的BGP路由的负载均衡。2 Radware LinkProof解决方案2.1 方案简介LinkProof的多宿主解决方案具有以下功能和优点：l 智能管理不同ISP提供的IP地址网段。l 保证优化所有的ISP链路，即通过智能负载均衡所有通过可用链路的流量。l 使用Radware特有的就近性检测算法来选择用于输出流量的最佳ISP。l 确保两个ISP链路同时应用与所有的流入流量，保证Internet连接的畅通。l 使用Radware特有的就近性检测算法来选择用于流入流量的最佳ISP。2.2 方案实现说明图二是一个典型的LinkProof解决方案的应用案例。图中多宿主网络通过ISP1和ISP2接入

14、Internet。每个ISP都分配给该网络一个IP地址网段，假设ISP1分配的地址段为/24，ISP2分配的地址段为/24（此处的/24表示网络IP地址式，子网掩码为24位，即）。同样，Internet知道通过ISP1访问/24，通过ISP2访问/24。网络中的主机和服务器都属于私有网段/24。LinkProof解决方案就是在内部交换机和连接ISP的路由器之间，跨接一台LinkProof智能交换机，所有的地址处理和Internet链路优化全

15、部由LinkProof智能交换机来完成。如图所示，LinkProof智能交换机的端口1上绑定IP地址/24，端口2上绑定IP地址/24，端口3上绑定IP地址/24。解决方案实现方式如下。2.2.1 流出（Outbound）流量处理LinkProof主要采用以下集中方式来处理流出流量。SmartNAT对于流出流量的智能地址管理，LinkProof使用了称为SmartNAT的算法。当选定一个路由器（某一个ISP）传送流出流量时，LinkProof将选择该ISP提供的地址。在图二中，如果LinkProof选择ISP1作为流出流量的路径，则它将

16、把内部的主机地址192.168.1.A/24翻译为100.1.1.A/24，并作为流出数据包的源地址。同样，如果LinkProof选择ISP2作为流出流量的路径，则它将把内部的主机地址192.168.1.A/24翻译为200.1.1.A/24，并作为流出数据包的源地址。Content Routing为了优化流出的流量，LinkProof还为流出的流量实施就近性运算。如果内部主机要访问某一Internet站点，可能通过一个ISP的路径比通过其他ISP的路径有效。因此，LinkProof可以提供就近性算法，为流出到某一个站点的流量选择最佳的ISP路径，保证所需内容最快到达目的地，提高服务的品质。L

17、inkProof考虑路由的跳数、路径的延迟和负载状况来进行对每个目的地的就近性运算，选择最佳的流出流量传输路径。2.2.2 流入（Inbound）流量处理LinkProof不仅需要管理流出的流量，还必须管理来自Internet的访问，即流入（InBound）流量。假设图二中的Server1是Web服务器，Internet主机名为，地址为私有IP：00/24。SmartNATSmartNAT功能和LinkProof上集成的DNS代理结合在一起，即能够完成流入流量的负载均衡。图三 如图三所示，在DNS服务器上主则两笔NS记录，指向LinkProo

18、f：NS www.R NS www.R 而在LinkProof上设置URL与内部主机地址的对应关系： 00而在LinkProof上设置静态的地址翻译：00 00 当有Internet用户访问是时，DNS服务器回应给用户由LinkProof来完成最终地址解析。LinkProof根据具体设置来选定适当的ISP线路，如果选择ISP1，则将地址解析为

19、。同样，如果选择ISP2，则将地址解析为。从而完成流入流量的负载均衡。就近性对于流入的流量，LinkProof使用与流出流量相同的就近性判断机制。LinkProof考虑路由的跳数、路径的延迟和负载状况来进行对每个访问发起点的就近性运算，选择最佳的流入流量传输路径，进行最终的解析地址。2.2.3 其它重要功能设置全路径健康检查LinkProof在多宿主网络中的一个主要作用是检测ISP链路的可用性，即健康状况。而一条访问链路的健康状况不仅仅是由ISP的路由器的状况决定的。因此，LinkProof提供了全路径健康检查的功能，最多能够完成10跳路由健康的检测，从而保证整条数据链路的通

20、常，提高服务质量。故障恢复和预热定时器如果ISP连接状况不稳定，则最好不要通过它发送任何流量，知道它在预定时间内能够维持稳定。LinkProof提供故障恢复和预热定时器，用户可以自定义定时器的延迟时间，从而确保将会话定向到稳定的ISP链路。一旦ISP恢复正常，LinkProof能逐渐增加发送到该ISP的流量。备份路由器可以在LinkProof上设置，如果其它ISP的链路没有中断，则不能使用某个ISP链路。3 Radware Peer Director解决方案3.1 方案简介当网络环境不允许和用户不采用NAT技术来实现链路负载均衡是，Radware提供了另外一种世界领先的多宿主网络解决方案：Pe

21、er Director。3.2 方案实现说明Peer Director 使用BGP 在多对等环境中引入了一种新的流量管理功能。对于入口流量管理，Peer Director 能够动态更新路由器的BGP 配置，以确保每个可用链路处于最佳使用状态并提供最好的服务。Peer Director 对流入的流量进行检查，测定每个CIDR 使用的总流量并动态负载均衡不同链路之间的CIDR。 对于出口流量Peer Director 使用Radware 的就近性方案，并标记每个数据包的ToS 字段，以便向要使用的上行链路发出指令，实现链路的动态选择。3.2.1 流出（Outbound）流量处理Peer Direc

22、tor 利用Radware 经过验证的就近性算法，高效率动态地计算每个目标的最佳链路。这种动态算法可优化所有的可用链路，并为流出的流量提供最佳的服务。Peer Director 使用ToS 位来告诉路由器每个数据包应该使用哪个链路。服务类型(ToS) 在IP 报头中是一个很小的位模式，主要用于通知每个数据包要求的服务级别。但ToS 字段还是IP 数据包中的一个标准字段，它还可以用于其它用途。Peer Director 将ToS 字段用作路由器的指示器用来指示数据包应该使用哪个链路。在这种方式下，应该使用基于Tos 的策略路由来配置路由器，以便与Peer Director 的配置保持一致。3.2

23、.2 流入（Inbound）流量处理流量负载是在链路之间进行均衡。Peer Director 收集每个CIDR 流入的流量信息，计算最佳的CIDR 分配方案，然后根据此分配方案更新路由器的BGP 配置。路由器会发布BGP 更新到它们的相邻路由器，这样会将此信息传送到整个BGP 网络，于是确保了流入到CIDR 中流量使用选定的链路。Peer Director 会不断检查流入的流量和每个CIDR 使用的总流量，此外Peer Director SNMP 会查询路由器，以获得上行链路接口上的负载状况。只要Peer Director 检测到其中一个链路已经达到最大极限值的95%， Peer Direct

24、or 就会使用一种智能算法在链路中更加均匀地重新分配CIDR， 同时做出最少的改动以保持BGP 网络的稳定性。Peer Director 首先会重新分配CIDR 使相应链路中的CIDR 平均负载总和不超过负载极限的80%。如果由于总流量太大或者在CIDR 之间分配之后没有成功，Peer Director会重新分配CIDR 使所有链路的负载都不超过88%（最大极限和负载极限的平均值）。如果所有链路的负载超过88% 则会向网络管理员发出一个信息，通知管理员需要增加更多的带宽。Peer Director 在prepend 命令后使用clear 命令来配置路由器，以便强制路由器将更新发布到它的邻居。3

25、.2.3 时间段因为在每一天中的不同时间段，流量模式都是不同的。用户可以配置一些时间段，这样Peer Director 就会对BGP 网络配置进行调整以适应不同的时间段。这样做的目的是确保网络可随时处理各种可能的流量模式。例如，在每一天的早上进入CIDR 的流量大都来自商业客户而在晚上大部分进入CIDR 的流量一般都来自私人用户，在最初阶段Peer Director 会收集在用户所配置的时间段内每个CIDR的相关信息。当一个新的时间段开始时，或者当最初的阶段结束后，Peer Director 会根据每个CIDR 在前一天相应时间段的峰值负载统计信息，检查是否需要在多个链路之间重新分配CIDR

26、块。如果需要修改，Peer Director 会根据CIDR 块新的分配方案来对访问路由器进行配置。最终实现每个时间段的流量负载均衡，保证网络的传输质量。3.3 典型应用方案3.3.1 路径外网络路径外配置意味着Peer Director 没有被放置在流量线路中。网络设计必须确保所有到达本地路由器的流量都被复制到Peer Director 中。例如上图，在交换机或路由器上使用Copy Port或Mirroring。 Peer Director 配置路由器的BGP，并控制入口流量链路之间的负载均衡，出口流量由本地路由器从其它BGP Peer 接收到的BGP 信息来进行控制。3.3.2 路径内网络

27、在路径内网络配置中，Peer Director被连接在内部网络和本地路由器之间，可以同时实现流入和流出流量在不同链路之间的负载均衡。此配置使用与路径外设计同样的方法对入口流量进行负载均衡。Peer Director 使用每个CIDR 当前负载的有关联机信息来优化BGP 配置。通过使用Peer Director 的就近性机制，在路由器之间对出口流量进行负载均衡。这是通过使用ToS 来实现的，目的是区分流量的优先次序。路由器会使用这些标记来确定使用哪个外部链路发送数据包。3.3.3 和LinkProof结合使用在这种解决方案中，Peer Director负责流入流量的处理，而LinkProof通过

28、Tos位修改来负责处理流出流量的处理。Peer Director采用路径外连接方式，所有流经交换机或路由器的流量被复制到Peer Director，Peer Director 使用每个CIDR 当前负载的有关联机信息来优化BGP 配置。由于流入的流量不经过LinkProof，所以这种方式可以避免Peer Director和LinkProof成为网络中的瓶颈。4 LinkProof/Peer Director提供的增值服务说明4.1 冗余配置LinkProof和Peer Director采用相同的冗余配置机制，在后续内容中以LinkProof为例说明。由于服务的可靠性越来越成为因特网上的一个主要

29、问题，所以用户越来越多地安装像y应用交换机这样的因特网通信量控制设备时考虑到冗余配置。在多宿主网络中配置的LinkProof可以为网络与Internet的连接提供冗余，同样，LinkProof的功能即也把包括两台LinkProof的并行安装，其中一台时备用的。LinKProof使用Radware已被证明的冗余机制，其中设备的状态监视通过网络来实现，从而祢补了设备故障和网络故障。如果主LinkProof或其网络连接之一发生故障，则备用LinkProof能够非常容易的接管主LinkProof的工作。如图四所示。在两条链路正常的情况下，无论是InBound 还是OutBound 的流量， Activ

30、e LinkProof都可以采用Radware独特的智能地址翻译（Smart NAT）来实现负载的均衡，并且还可以使用Radware独有Proximity算法为其选择最“近”的路径。在其中一条链路中断的情况下，LinkProof同样可以保证Inbound 和OutBound流量的畅通。Backup LinkProof利用ARP监视Active linkProof的状态，随时准备接管它的一切功能。在Backup LinkProof 上启动Session Mirror 功能， 实时的复制Active LinkProof上的连接信息，当检查到Active LinkProof 上的连接出现问题时及时接

31、管，保证所有的网络连接，并且不会造成链路负载均衡失效。在Active LinkProof上启动端口连接绑定（Port Grouping），当Active LinkProof 上的网络连接失效时主动切断所有连接，保证Backup LinkProof在接管时的顺利进行。在Backup LinkProof上启动 virtual DNS功能，当Active LinkProof在失效时保证Inbound 的用户的DNS询问的正常工作。4.2 防火墙负载均衡Linkproof在完成Internet链路负载均衡的同时，如果与Radware的安全应用交换机结合使用，即可同时完成防火墙的负载均衡。如图五所示，L

32、inkProof完成对两条ISP链路的负载均衡，而FireProof对流出流量完成防火墙的负载均衡。两台设备结合，即可保证对话的保持，实现真正的Internet接入和防火墙的负载均衡。与LinkProof相似，Peer Director在完成BGP链路负载均衡的同时，可以对防火墙进行流量的管理。采用路径内的连接方式，Peer Director对流入和流出流量作重定向的管理。同时，Peer Director包含有FireProof的功能级，可以完成流入流量在多台防火墙上的负载均衡处理。4.3 带宽管理在带宽管理方面，Radware的所有应用交换机的实现机制和配置方法相同。尽管带宽管理的一般概念非

33、常简单，但在实施方案中却是非常复杂的。以下图表描述了Radware 带宽管理机制的组成部分和其所完成的任务：该系统包括三个主要的组件：分类器、排队和调度器。数据包首先通过分类器流入系统。分类器的任务是决定如何处理数据包。一组综合的用户可配置策略组成的策略数据库控制分类器如何识别每个数据包以及如何处理它们。当分类器收到数据包后，它可以执行以下三项操作之一：l 丢弃数据包 这使分类器能够提供非常强大的，粒状数据包过滤机制。l 实时转发数据包 这意味着数据包绕过整个带宽管理系统并立即被此设备转发，即使根本没有启用带宽管理，最终的结果也是非常有效的。l 确定数据包的优先级 这使此机制能够提供真正的带宽

34、管理服务。分类器如何处理数据包是由与数据包最匹配的策略所决定的。如果分类器确定了数据包的优先级，它会将其放入排队中，然后数据包就获得了从0到7的优先级，0的优先级最高，7的优先级最低。每个策略都有自己的排队队列。因此，排队队列的数量与策略数据库中策略的数量相等，但每个排队队列都标记了一个优先级（0到7共8个优先级中的一个）。这表示可能有100个排队队列（如果有100个策略），每个排队都有一个标记（从0到7）。最后，调度器从许多排队中提出数据包并转发它们。调度器通过两种算法之一来进行操作：Cyclic 和CBQ （基于分类的排队）。在Cyclic 算法中，调度器为每个优先级赋予的优先比率是与之紧

35、密相连的低优先级的两倍。换句话说，排队0 的优先级是排队1 的两倍，而排队1 的优先级是排队2 的两倍，依次类推。cyclic 算法的一般流程可以用以下数据包的顺序表示：0,0,1,0,0,1,2,0,0,1,0,0,1,2,3, 等注意先转发优先级为0 的两个数据，包然后再转发优先级为1的数据包；同样，先转发优先级为1 的两个数据包，然后再转发优先级为2的数据包等等。每个策略都有自己的排队队列，这意味着许多队列的优先级都可能是0 。调度器在转发某个优先级的数据包时，会系统地安排具有相同优先级的排队队列。CBQ 算法与Cyclic 算法具有相同的数据包转发模式，但具有一个明显的不同点。CBQ

36、算法知道每个策略预定义的带宽配置。每个策略都有自己的排队队列。在制定策略时，可以为策略分配最大的带宽值(Kbps) （将在后面详细讨论）。如果调度器正在使用CBQ 算法，则会访问每个排队队列以进行数据包转发，并检查有关策略的最大带宽。如果转发排队队列中的“此”数据包会超过此策略配置的带宽，调度器将跳过此数据包，并从相同优先级的另一个排队队列中选择另一个数据包。这样，分类器可以控制调度器以使一些应用程序不超过预先定义的带宽限制。在此讨论一下带宽借用的概念。前面已经讨论过，如果调度器使用的是CBQ 算法，则它在考虑了排队策略配置的最大带宽后会转发排队队列的数据包。如果启用了借用功能，调度器在访问某

37、个已超出其带宽的排队时（或者将要超出），将看看其它策略的带宽是否有“剩余”。如果找到这样的策略，将从此策略借用带宽并将其分配给将要超出带宽限制的策略。这样如果排队队列已经超出了其配置的带宽限制，根据调度计划就可以使用其它排队队列的可用带宽。4.4 应用安全在应用安全方面，Radware的所有应用交换机的实现机制和配置方法相同。应用安全模块可以保护web 服务器免受450 多个攻击信号的攻击。此模块的设计使它可以作为服务器、防火墙、cache 服务器，或者路由器前面的另一道防线。它提供了基于网络的安全性，并使用了网络信息和基于信息的应用。通过终止所跟踪的可疑会话来实时检测和阻止攻击。此模块包含在

38、SynApps 架构中能够处理Web 环境中的以下攻击：l 拒绝服务(DOS) 攻击l 分布式拒绝服务(DDOS)攻击-l 缓冲区溢出/超限l 利用已知的Bugsl 利用误配置和默认的安装问题来进行攻击l 在攻击前探测流量l 未授权的网络流量l 后门/特洛伊木马l 端口扫描(Connect & Stealth)架构的优点Radware 的解决方案具有几大优点：l 它是基于交换架构，而不是运行在一般H/W 上的S/W。 它不要求在任何服务器上安装任何网络代理 这样易于管理和配置。 它可以与任何服务器H/W 和操作系统共同工作。 因为没有代理，所以不会占用服务器的资源。 不要求代理报告的日常流量，

39、因此提高了整体的网络性能。 高性能的应用安全模块。 使用SNMP 进行安全的通信 通常SNMP 是不安全的，但这种新的架构应用了更复杂的安全版本的SNMP。 端口多路传输 服务器通常都使用相同的端口来发送数据，因此易于受到攻击。而使用SynApps 架构时，输入端口被映射到另一个可配置的输出端口，每次使用不同的端口来掩饰此端口的能力可以防止服务器受到攻击。 内置的数据包过滤引擎 可以根据优先权、IP 地址、内容和其它用户指定的参数转发数据包。反扫描功能 应用安全模块能够检测并防止 网络扫描 例如Stealth Scanning 或者Connect Scanning。 Web 应用程序扫描- 可

40、以实时检测并防止专门的TCP 连接TCP Syn 、TCP FIN 和TCP reverse IDENT 扫描方法。- 9 - 双向检查 流量受到双向的监视。搜索从外界流入的或者从内部向外发出的数据包中的攻击信息，它在防止流入通道上出现新的漏洞方面非常有用，并且对输出通道进行检测和保护。一些攻击来自网络内部，因此这种功能也被用来防止来自网络内部的攻击。 灵活的拓扑结构 因为此应用安全模块被内置在Radware 的设备中，所以它能够支持交换的拓扑结构。另外，它不受网络结构复杂性的影响，无论网络有2 个分段还是有20 个分段，只需要使用单个设备来保护这些资源。5 设备管理简介所有Radware应用

41、交换机的设备管理方式相同。下面以LinkProof为例作简单说明。针对智能交换机LinkProof，网络管理人员可利用如下方式对其进行管理：n SNMP网络管理系统n Configwaren Configware Insiten 标准的网络浏览器n 使用Telnet 命令n CLI 命令行控制方式(需要与LinkProof智能交换机通过控制台接口直接连接)n SSH管理手段5.1 SNMP网络管理系统Radware提供标准MIB库和扩展MIB库，这样就可以通过标准的网管平台来进行设备的管理，为了方便管理，Radware的Configware开发除了对应于HP OpenView的相应插件，可以在

42、HP OpenView上使用ConfigWare来对设备进行管理。以下是MIB库中的一部分：RADWARE-MIB DEFINITIONS := BEGIN- Title: Radware common MIB- This Private MIB supports Radware products- Version: 3.0- Date: 2/4/2001- By: RMA (Radware MIB Authority)- E-mail: US: - International: support_-IMPORTS NetworkA

43、ddress, IpAddress, Counter, Gauge, enterprises FROM RFC1155-SMI OBJECT-TYPE FROM RFC-1212 DisplayString, PhysAddress, ipAddrEntry FROM RFC1213-MIB TRAP-TYPE FROM RFC-1215; TruthValue := INTEGER true (1), false (2) RowStatus := INTEGER active(1), notInService(2), notReady(3), createAndGo(4), createAn

44、dWait(5), destroy(6) NetNumber := OCTET STRING (SIZE(4)- Some MIB compilers require that the following 7 lines which define the path- to RND MIB are commented out:5.2 ConfigwareConfigWare是Radware开发出来的基于Java的管理软件，通过ConfigWare可以为用户提供图形化的管理界面和辅助的向导以及帮助功能。5.3 Configware InsiteConfigware Insite 是行业中第一个对网

45、络中的应用交换设备进行控制和管理的站点管理工具。Configware Insite 是一套服务驱动的管理解决方案，它通过为所有 Radware 设备和应用服务的无缝管理提供统一的环境，来优化业务性能和可用性。下一代解决方案的特点如趋势分析和全面查看统计信息使网络管理员能够对网络资源进行监视、管理和调整，从而优化关键任务的企业服务。Configware Insite 针对所有服务提供了客户定制的实时和历史检查功能。它简化了趋势分析，增强了对企业活动进行控制和监视的能力。它收集到的统计信息能够帮助操作人员识别网络瓶颈，并在此瓶颈对最终用户体验产生影响之前采取相应的预防措施。Configware I

46、nsite提供了一套用户自定义的综合统计信息，包括每个设备的双向流量、故障、瓶颈、资源管理和客户信息等在内的各种性能信息。通过收集每个应用的带宽使用信息，系统管理员就可以获得带宽的实际使用情况。基于此信息，就可以作出各种决策，如是否扩大链路容量、制定相应的带宽策略或增加更多的服务器以更好地管理负载。透明的控制和趋势分析能够进一步节省网络成本和人力资源。5.4 标准的网络浏览器LinkProof智能交换机内部支持基于 WEB界面 的管理，在任何一台PC机上启动网络浏览器(Netscape 或者IE)，输入LinkProof智能交换机的管理子网IP地址，就可以通过WEB界面对LinkProof智能

47、交换机进行所有其支持的功能的在线配置、实时观察各种统计数据。如下图所示：5.5 利用Telnet或CLI方式：Linkproof智能交换机支持菜单形式的命令行配置、管理方式。系统管理员可以通过Telnet的方式或者直接利用控制线缆连接到LinkProof智能交换机，对其进行配置、管理。如下所示：LinkProof Application Switch - with SynApps Ver. 3.51.01(build Jun 2 2002, 14:16:19)-Base MAC address: 00:03:b2:05:a8:40Network Driver Version: 4.3 (Apr

48、 7 2002)Starting network initialization.Packets region: start 0X, size 0XNon cacheable region: start 0X2A94000, size 0XF0000Write-back region: start 0X2B85FD8, size 0X19000Write-through region: start 0X, size 0XFound FastEthernet switch on link 0Found GigaEthernet switch on link 1Found GigaEthernet

49、switch on link 2BWM Version: 2.21.02Application Security Version: 1.11.01Health Monitoring Version 1.00.00.36Init completed successfully.27-01-1970 23:27:41 INFO Port F-1 Down27-01-1970 23:27:41 INFO Port F-2 Down27-01-1970 23:27:41 INFO Port F-3 Down27-01-1970 23:27:41 INFO Port F-4 Down27-01-1970

50、23:27:41 INFO Port F-5 Down27-01-1970 23:27:41 INFO Port F-6 Down27-01-1970 23:27:41 INFO Port F-7 Down27-01-1970 23:27:41 INFO Port F-8 Down27-01-1970 23:27:41 INFO Port G-1 Down27-01-1970 23:27:41 INFO Port G-2 Down27-01-1970 23:27:45 INFO Port F-1 Up27-01-1970 23:27:45 INFO Port F-2 Up27-01-1970

51、23:27:47 INFO NextHopRouter 194. 1. 1. 12 up27-01-1970 23:27:47 INFO NextHopRouter l 194. 1. 1. 13 up5.6 SSH管理手段为了增强安全，Radware的设备支持SSH访问。6 产品说明6.1 SynApps简介SynApps 架构由五部分组成: 状态监视 流量重定向 带宽管理 应用安全 DoS攻击防护在Radware 的产品（WSD、CSD、FireProof、LinkProof和Peer Director）中，SynApps 架构的加入会进一步体现这五个组件的优势。SynApps五个组件的设

52、计能够满足我们客户的主要需求，以及流量管理有关的问题：1. 故障和停机时间2. 不可预测的流量模式3. 区别不同需求4. 安全危害功能和优点下面以各种产品为例，对每个组件进行了说明，以便帮助您了解此项技术和其优点。状态监视这种状态监视工具可以监视各种资源的状态。这些资源包括应用程序服务器、防火墙、cache服务器和路由器。如果在应用程序、硬件甚至是逻辑路径中检测到问题，则SynApps 会采取措施解决此问题并向系统管理员发出相应的警报。状态监视工具的类型：n 基于IP 监视n IP 级检查n 应用级检查（TCP 和UDP）n 可以监视服务器代理的MIB 变量以反映服务器的状态。这样就可以全面定

53、制状态监视。流量重定向 内容路由(LinkProof)在管理联网资源如防火墙和路由器时，流量重定向代表了不同的含义。重定向操作选择的不仅仅是一个资源，而是通向Internet 的整个路由。Radware 的SynApps架构重定向模块通过引入内容路由将此功能作了进一步扩展。根据HTTP Get request的内容对可选的路由进行测试从而，获得最快的内容提供路由，然后对流量进行重定向。带宽管理BWM 提供了强大的分级引擎，可以按照源和目标IP 地址或者地址组，应用程序端口，内容/URL 和cookies 对流量进行分级。这使用户可以根据上述参数对流量类型进行区分，并确定如何恰当地处理流量类型。

54、n 按照源和目标IP 地址和地址组、应用程序端口、内容/URL 和cookies 制定的带宽限制。n 根据源和目标IP 地址和地址组、应用程序端口、内容/URL 和cookies 设置流量的优先级。n 可以为每种流量指定优先级和带宽限制，以保证流量策略的正确执行。n 允许按照内容或者cookies 为用户组提供区别服务。n 完全的Diff-Serv 支持，包括执行指定的优先级和指定新的Diff-Serv 优先级。n 优先级机制的内置功能中支持实时流量，从而可以适用于应用程序，如VOIP 和流式应用。n 包括Weighted Round Robin 和Classed Based Queuing 的多种调度机制，确保提供灵活的可配置的和优化的调度机制n 支持随机丢弃 当排队溢出时，此机制可以随机丢弃低优先级排队中的数据包。IP保证重发丢弃的数据包。应用安全应用安全模块可以保护web 服务器免受450 多个攻击信号的攻击。此模块的设计使它可以作为Radware 设备管理的各种资源前面的另一道防线。这些资源包括服务器、防火墙、cache 服务器或者路由器。此模块使用网络信息和基于信息的应用。通过终止所跟踪的可疑会话来实时检测和阻止攻击，在任何管理设备上都不需要使用软件代理。架构的优点Radware 的解决方案是第一个基于交换的应用安全解决方案，而不是运行在一