F5负载均衡的直连和旁路配置模式解析

network

F5有两种常见的接入方式就是直连和旁路，在具体的环境下如何选择接入配置模式，先让我们对这两种模式有一个认识和了解。
首先看两种模式的结构。
1、直连模式结构

结构说明：图中Bigip为F5负载均衡设备，bigip上面使用公开的ip地址，bigip下面同负载均衡的服务器使用不公开的ip地址。但对外提供服务则使用公开的ip。
2、旁路模式结构

结构说明：图中Bigip为F5负载均衡设备，bigip和下面同交换机连接的服务器都使用公开的ip地址。
第二，看一下两种模式的流量走向
直连下的正常流量走向，如图

如上图，bigip同客户端的流量在bigip的上联接口，bigip同服务器的流量在下面的接口。
再看旁路模式下的流量走向，如图

如上图，无论同客户端还是同服务器的通讯流量均在bigip的一个接口上。
第三、两种模式的对比和思考
1、从接口流量压力上看
直连情况下，bigip同客户端的流量在bigip的上联接口，bigip同服务器的流量在下联的接口，故bigip单一接口压力较小。
在旁路模式下, bigip无论同客户端还是同服务器的通讯流量均在bigip的一个接口上，故bigip单一接口压力较大。为解决此问题，可以在bigip和交换机之间采用链路聚合技术，即端口捆绑，以避免接口成为网络瓶颈。

2、从网络结构安全性上看
直连情况下，可以不公布内部服务器使用的真实ip地址，只需要公布提供负载均衡的虚拟地址即可，而在旁路情况下，则客户端可以得知服务器的真实地址，在此模式下，为保证服务器的安全性，服务器的网关指向bigip，可以使用bigip上的包过滤（防火墙）功能来保护服务器。

3、从管理方便性上看
直连情况下，因服务器的真实地址可以隐含，故管理起来需要在bigip上启用地址翻译（NAT）功能，相对会复杂一些。而旁路模式则不需要地址翻译的配置。

4、从扩展性上看

直连模式不支持npath模式，旁路模式支持npath模式，启用npath模式可减少F5设备的压力，旁路npath模式下的流量走向，如下图。

在旁路模式下，使用npath的流量处理方式，所有服务器回应的流量可以不通过bigip，这样可以大大减少bigip上流量的压力。但npath的流量处理方式不能工作在直连的模式。

5、后续系统改造时，两种模式的工作复杂程度不一样
如果对一个原先没有负载均衡技术的系统进行负载均衡技术的改造，那么，在直连情况下，需要修改服务器的ip地址同时网络结构也要做调整（将服务器调到bigip后端），同时相关联的应用也要改动，需要进行严格的测试才能上线运行；然而，在旁路模式下，仅仅需要改动一下服务器的网关，原有系统的其它部分（包括网络结构）基本不需要做改动，故前者对系统改动较大，后者则改动较小。

最后总结一下，相对于直连模式，旁挂模式在系统架构中的主要优点：
1、增加了网络的灵活性：F5采用旁挂的方式，则后端服务器的网关指向的为三层交换机的地址，而不是F5的地址，在对网络设备维护时可以方便的采用修改路由的方式使设备下线，便于维护管理。同时，一些特殊的应用也可在核心交换机上采用策略路由的方式指向特定的网络设备。
2、提高了网络整体的可靠性：由于旁路方式的存在，如果F5设备出现问题，可在交换机上修改路由使用数据流绕过F5，而不会对整个业务系统造成影响。
3、针对某些特殊应用，提高了速度：采用旁路的方式后，一些特定的的对速度、时延敏感的应用数据在进入和离开时可以采用不同的路径，例如：在流入时可经过F5设备，对其进行检查，负载均衡。而在该数据流离开时，则不经过F5，以提高其速度。

network

概述

负载均衡（Load Balance）

由于目前现有网络的各个核心部分随着业务量的提高，访问量和数据流量的快速增长，其处理能力和计算强度也相应地增大，使得单一的服务器设备根本无法承担。在此情况下，如果扔掉现有设备去做大量的硬件升级，这样将造成现有资源的浪费，而且如果再面临下一次业务量的提升时，这又将导致再一次硬件升级的高额成本投入，甚至性能再卓越的设备也不能满足当前业务量增长的需求。

负载均衡实现方式分类

1：软件负载均衡技术

该技术适用于一些中小型网站系统，可以满足一般的均衡负载需求。软件负载均
衡技术是在一个或多个交互的网络系统中的多台服务器上安装一个或多个相应的负载均衡软件来实现的一种均衡负载技术。软件可以很方便的安装在服务器上，并且
实现一定的均衡负载功能。软件负载均衡技术配置简单、操作也方便，最重要的是成本很低。

2：硬件负载均衡技术

由于硬件负载均衡技术需要额外的增加负载均衡器，成本比较高，所以适用于流量高的大型网站系统。不过在现在较有规模的企业网、政府网站，一般来说都会部署有硬件负载均衡设备（原因1.硬件设备更稳定，2.也是合规性达标的目的）硬件负载均衡技术是在多台服务器间安装相应的负载均衡设备，也就是负载均衡器来完成均衡负载技术，与软件负载均衡技术相比，能达到更好的负载均衡效果。

3：本地负载均衡技术

本地负载均衡技术是对本地服务器群进行负载均衡处理。该技术通过对服务器进行性能优化，使流量能够平均分配在服务器群中的各个服务器上，本地负载均衡技术不需要购买昂贵的服务器或优化现有的网络结构。

（如微软NLB网络负载均衡技术，该技术通过多台服务器上起应用完成负载均衡的实现，原理是几台服务器虚拟出一个IP地址，应用会使服务器轮循响应数据，
但是在一次安全网关的部署当中就遇到了问题，大家以后可以注意本次经验，问题简单描述如下：当外部测试PC，向虚拟IP地址发了一个ping包之后，虚拟
IP回应一个数据包，另外，实主机也均回应数据包，导致安全设备认为会话不是安全的。所以进行阻断，致使业务不正常。）

4：全局负载均衡技术（也称为广域网负载均衡）

全局负载均衡技术适用于拥有多个低于的服务器集群的大型网站系统。全局负载均衡技术是对分布在全国各个地区的多个服务器进行负载均衡处理，该技术可以通过对访问用户的IP地理位置判定，自动转向地域最近点。很多大型网站都使用的这种技术。

5：链路集合负载均衡技术

链路集合负载均衡技术是将网络系统中的多条物理链路，当作单一的聚合逻辑链路来使用，使网站系统中的数据流量由聚合逻辑链路中所有的物理链路共同承担。这种技术可以在不改变现有的线路结构，不增加现有带宽的基础上大大提高网络数据吞吐量，节约成本。

总结：

负载均衡至少有四种应用：

§
服务器负载均衡；

§
广域网络服务器负载均衡
；

§
防火墙负载均衡；

§
透明网站加速器负载均衡。

服务器负载均衡负责将客户请求的任务分发到多台服务器，用以扩展服务能力并超出一台服务器的处理能力，并且能够使应用系统具有容错能力。

广域网络服务器负载均衡负责将客户的请求导向到不同的数据中心的服务器群中，以便为客户提供更快的响应速度和针对某一数据中心出现灾难性事故时智能的冗灾处理。

防火墙负载均衡将请求负载分发到多台防火墙，用来提高安全性能以便超出一台防火墙的处理能力。

透明网站加速器(Transparent cache)使导向流量交换到多台网站加速器中，用以卸载网站服务器的静态内容到网站加速器(Cache)中，从而提高网站服务的性能和加速cache的响应时间。

硬件负载均衡部署方式

负载均衡硬件设备的部署一般有两种：一种是串联部署、一种是旁路部署。在部分，我们主要通过
F5负载均衡的直连和旁路配置模式解析硬件负载均衡设备的部署方式。

1、直连模式结构

负载均衡

结构说明：图中Bigip为F5负载均衡设备，bigip上面使用公开的ip地址，bigip下面同负载均衡的服务器使用不公开的ip地址。但对外提供服务则使用公开的ip。

负载均衡旁路部署

结构说明：图中Bigip为F5负载均衡设备，bigip和下面同交换机连接的服务器都使用公开的ip地址。

第二，看一下两种模式的流量走向直连下的正常流量走向，如图

负载均衡串联部署流量走向图

如上图，bigip同客户端的流量在bigip的上联接口，bigip同服务器的流量在下面的接口。
再看旁路模式下的流量走向，如图

负载均衡旁路部署流量走向

如上图，无论同客户端还是同服务器的通讯流量均在bigip的一个接口上。
第三、两种模式的对比和思考
1、从接口流量压力上看
直连情况下，bigip同客户端的流量在bigip的上联接口，bigip同服务器的流量在下联的接口，故bigip单一接口压力较小。
在旁路模式下, bigip无论同客户端还是同服务器的通讯流量均在bigip的一个接口上，故bigip单一接口压力较大。为解决此问题，可以在bigip和交换机之间采用链路聚合技术，即端口捆绑，以避免接口成为网络瓶颈。
2、从网络结构安全性上看
直连情况下，可以不公布内部服务器使用的真实ip地址，只需要公布提供负载均衡的虚拟地址即可，而在旁路情况下，则客户端可以得知服务器的真实地址，在此模式下，为保证服务器的安全性，服务器的网关指向bigip，可以使用bigip上的包过滤（防火墙）功能来保护服务器。

3、从管理方便性上看
直连情况下，因服务器的真实地址可以隐含，故管理起来需要在bigip上启用地址翻译（NAT）功能，相对会复杂一些。而旁路模式则不需要地址翻译的配置。

4、从扩展性上看

直连模式不支持npath模式，旁路模式支持npath模式，启用npath模式可减少F5设备的压力，旁路npath模式下的流量走向，如下图。（在该种流量走向的情况下，如果网络中有安全设备，很可能会出现问题，具体的问题还要看安全设备是在负载均衡设备之上，还是负载均衡设备之下）

npath流量走向图

在旁路模式下，使用npath的流量处理方式，所有服务器回应的流量可以不通过bigip，这样可以大大减少bigip上流量的压力。但npath的流量处理方式不能工作在直连的模式。

5、后续系统改造时，两种模式的工作复杂程度不一样
如果对一个原先没有负载均衡技术的系统进行负载均衡技术的改造，那么，在直连情况下，需要修改服务器的ip地址同时网络结构也要做调整（将服务器调到
bigip后端），同时相关联的应用也要改动，需要进行严格的测试才能上线运行；然而，在旁路模式下，仅仅需要改动一下服务器的网关，原有系统的其它部分
（包括网络结构）基本不需要做改动，故前者对系统改动较大，后者则改动较小。

最后总结一下，相对于直连模式，旁挂模式在系统架构中的主要优点：
1、增加了网络的灵活性：F5采用旁挂的方式，则后端服务器的网关指向的为三层交换机的地址，而不是F5的地址，在对网络设备维护时可以方便的采用修改路由的方式使设备下线，便于维护管理。同时，一些特殊的应用也可在核心交换机上采用策略路由的方式指向特定的网络设备。

2、提高了网络整体的可靠性：由于旁路方式的存在，如果F5设备出现问题，可在交换机上修改路由使用数据流绕过F5，而不会对整个业务系统造成影响。

3、针对某些特殊应用，提高了速度：采用旁路的方式后，一些特定的的对速度、时延敏感的应用数据在进入和离开时可以采用不同的路径，例如：在流入时可经过F5设备，对其进行检查，负载均衡。而在该数据流离开时，则不经过F5，以提高其速度。

network

基于庞大的网络结构，集群服务器的使用带来了不少流量等负载问题。那么相对的，负载均衡的技术也应运而生。每一种技术都需要产品的支持，那么现在我们来认识一下F5负载均衡器的一种。那么首先我们先把产品的结构功能进行一下介绍。

许多厂商推出了专用于平衡服务器负载的负载均衡器,如F5 Network公司的BIG-IP,Citrix公司的NetScaler｡F5 BIG-IP LTM 的官方名称叫做本地流量管理器,可以做4-7层负载均衡,具有负载均衡､应用交换､会话交换､状态监控､智能网络地址转换､通用持续性､响应错误处理､IPv6网关､高级路由､智能端口镜像､SSL加速､智能HTTP压缩､TCP优化､第7层速率整形､内容缓冲､内容转换､连接加速､高速缓存､Cookie加密､选择性内容加密､应用攻击过滤､拒绝服务(DoS)攻击和SYN Flood保护､防火墙—包过滤､包消毒等功能｡

以下是F5 BIG-IP用作HTTP负载均衡器的主要功能:

①､F5 BIG-IP提供12种灵活的算法将所有流量均衡的分配到各个服务器,而面对用户,只是一台虚拟服务器｡

②､F5 BIG-IP可以确认应用程序能否对请求返回对应的数据｡假如F5 BIG-IP后面的某一台服务器发生服务停止､死机等故障,F5会检查出来并将该服务器标识为宕机,从而不将用户的访问请求传送到该台发生故障的服务器上｡这样,只要其它的服务器正常,用户的访问就不会受到影响｡宕机一旦修复,F5 BIG-IP就会自动查证应用已能对客户请求作出正确响应并恢复向该服务器传送｡

③､F5 BIG-IP具有动态Session的会话保持功能｡

④､F5 BIG-IP的iRules功能可以做HTTP内容过滤,根据不同的域名､URL,将访问请求传送到不同的服务器｡

下面,结合实例,配置F5 BIG-IP LTM v9.x负载均衡器:

①､如图,假设域名blog.s135.com被解析到F5负载均衡器的外网/公网虚拟IP:61.1.1.3(vs_squid),该虚拟IP下有一个服务器池(pool_squid),该服务器池下包含两台真实的Squid服务器(192.168.1.11和192.168.1.12)｡

②､如果Squid缓存未命中,则会请求F5的内网虚拟IP:192.168.1.3(vs_apache),该虚拟IP下有一个默认服务器池(pool_apache_default),该服务器池下包含两台真实的Apache服务器(192.168.1.21和192.168.1.22),当该虚拟IP匹配iRules规则时,则会访问另外一个服务器池(pool_apache_irules),该服务器池下同样包含两台真实的Apache服务器(192.168.1.23和192.168.1.24)｡

③､另外,所有真实服务器的默认网关指向F5负载均衡器的自身内网IP,即192.168.1.2｡

④､所有的真实服务器通过SNAT IP地址61.1.1.4访问互联网｡

network

5负载均衡的双机冗余实现与RadWare是不同的，RadWare是采用VRRP协议实现的，F5主要是通过串口心跳和网络心跳来实现双机冗余的。下面让我们对此做一下认识和了解，仅此交流。

一、串口心跳双机冗余方式

两台F5 BIGIP之间通过串口用它自带的串口线揽(这个串口线较短)相连。每台F5 BIGIP通过串口心跳线监控对端设备的状态。

在串口心跳线的结构中，双机切换流程如下：
1、Active 设备负责在心跳线上产生一个高电平
2、Backup设备监听对端的高电平
3、当Backup设备监听到对端没有高电平时，将自己转换为Active设备
4、Backup设备对外发送ARP广播，将所有的VS和浮动IP对外广播，表明这些地址在自己这端，引发网络流量切换。
在BIGIP的串口心跳线中，主要通过电平方式来通知对端和监控对端状态，在串口心跳线中没有任何的数据信号传输。

这种方式也是F5推荐的冗余方式。

二、网络心跳双机冗余方式

由于F5的串口线长度有限（50英尺），当两台F5 BIGIP物理位置相距较远的时候，就不方便连接了。除了串口心跳外，两台F5 BIGIP之间还可以通过网络线连接来实现心跳信号的传递。切换触发信号通过网络通知对端设备，同时每台F5 BIGIP通过网络连线来监控对端设备的状态。
两台f5 BIGIP之间通过TCP的1028端口进行心跳信号传递。切换的过程如下：

1、Acitve设备负责产生心跳信号
2、Backup设备监听Active设备的心跳信号
3、当Backup设备在一定时间内没有接收到心跳信号时，则将自己切换为Active
4、Backup设备对外发送ARP广播，将所有的VS和浮动IP对外广播，表明这些地址在自己这端，引发网络流量切换。

在配置Network FailSafe的时候，将指定一个VLAN来进行心跳信号传输。这个VLAN通常为两台BIGIP之间的一个独立连接VLAN或者Internal VLAN。

三、网络心跳的配置示例：

1、网络图

2、设置Floating IP和Failover Peer IP地址

3、检测运行状态:  System---Redundancy Properties中查看

4、配置FailOver:  System---System Fail-safe

5、监控进程与触发

F5 BIGIP对FailOver关键进程进行监控，当进程出现故障无法响应或者无法启动时，将会触发BIGIP切换。
在BIGIP设计中，一些重要的进程均被处于严格的监控中。监控系统一旦发现到这些重要进程产生异常情况。则可以通过预先设置的动作对当时的情况进行处理。这些处理方式包括：切换到备份BIGIP，重起故障BIGIP，重新启动异常进程，不做处理等。

四、实际中常用的全冗余方式
1、网络图：

2、优缺点：

   这种方式具有良好的扩展性，可以通过L2交换机的堆叠无限扩展端口，从而可以为后台相当大数目的服务器群实现负载均衡提供良好的端口数量条件。
如果是使用性能良好的千兆扩展交换机，可以在保证网络连接速度和质量的前提下，同时为大批量服务器提供负载均衡，从而大大提高应用服务的并发连接处理，提供应用服务的响应速度。
但是这种部署方式也存在一定的缺点，部署成本高，如果服务器都使用千兆网卡，则需要相对较高端的千兆交换机，避免低端二三层交换机端口与服务器网卡端口不适应所带来的丢包等网络效率下降的情况。
扩展交换机可以增加负载均衡的后台服务器群的数目，提高并发连接的处理能力，但是不能提高网络流量的处理能力，相反，如果后台服务器群数目过大，往往扩展交换机会成为网络的瓶颈，这就更加要求扩展交换机最好是全千兆端口，以便在网络流量过大的时候，实现端口捆绑，通过Trunk方式与上级的BIGIP3400连接，来提高对网络流量的处理能力。