防火墙负载均衡原理

企业级 IT 项 企 项目实战第一 一品牌——专注 所以专业 业
https://www.360docs.net/doc/c115968523.html,bat‐https://www.360docs.net/doc/c115968523.html, m?

?
?
防火墙负 均衡原 防 负载均 原理 F5?Big 应用 换机实 gip 用交换 实现防火 负载均衡 准结构 火墙负 衡标准 及阐述 及 述?
?

企业级 IT 项 企 项目实战第一 一品牌——专注 所以专业 业
https://www.360docs.net/doc/c115968523.html,bat‐https://www.360docs.net/doc/c115968523.html, m?
防火墙负 均衡原理 防 负载均 理
一、为什么需 一 需要对防火墙 墙进行负载均 均衡？ 1、 1 消除性能 能瓶井： 单台防火 火墙性能不够 够；随着网络 络流量的增加 加，单台防火墙可能成为网络的瓶井。 。通过实现防 防火墙的负载 载 均衡，横加增 均 增加防火墙的 的数量，又保 保护了原有投 投资。 2、 2 提高设备 备利用率： 处于 Act tive/Standy 双 双机模式的防 防火墙可以转 转换成 Active e/Active 方式 式。 3、 3 提高系统 统的扩展性： 采用负载 载均衡器对防 防火墙进行负 负载均衡，系统的扩展性大大增加，可 可以随着网络 络流量的增加 加，横加增加 加 防火墙的数量 防 量，而且新增 增加的防火墙 墙并不局限在 在同一型号。 二、防火墙负 二 负载均衡的典 典型网络架构 构： 对一进一 一出的二路防 防火墙，一般 般采用如下图 图的防火墙三 三明治结构（在实际应用环 环境中，为了 了防止网络中 中 出现单点故障 负载均衡 出 障， 衡器往往会采 采用双机结构， 具体的网络 络拓扑结构设 设计请参考＜ ＜＜F5?Bigip 应用交换机实 应 实 现防火墙负载 现 载均衡标准结 结构及阐述＞ ＞＞)：?
如果是采用 U 如 Untrust,?Trust,?DMZ 的三路 路防火墙，则 则防火墙负载 载均衡的典型 型拓扑结构如 如下：?

企业级 IT 项 企 项目实战第一 一品牌——专注 所以专业 业
https://www.360docs.net/doc/c115968523.html,bat‐https://www.360docs.net/doc/c115968523.html, m?
Interne e Router?A?
Router?B B?
DMZ D
对于三路 路防火墙的负 负载均衡，在 在一个无单点 点故障的网络 络设计中要采用六台负载均 均衡器。另外 外在三路防火 火 墙负载均衡的 墙 的设计中，针 针对防火墙的 的健康检查要 要特别当心、精心设计。 三、为什么需 三 需要防火墙负 负载均衡需要 要采用三明治 治的结构？ 目前的绝大多 目 多数防火墙都 都是基于连接 接状态检测的 的防火墙，也 也即是说对于构成完整用户 户会话的双向 向数据流进行 行 监控，以确定 监 定数据流的合 合法性。当采 采用多台防火 火墙对网络流 流量进行负载均衡时，如果 果数据流处理 理不当，可能 能 出现的情况是 出 是对构成同一 一个用户会话 话的双向数据 据包，在多台 台防火墙上进行处理，而每 每一个防火墙 墙上都看到到 到 完整的用户会 完 会话信息。而 而防火墙如果 果看不到完整 整的用户会话 话信息，就会 会将该数据包 包当作非法访 访问而抛弃掉 掉。 只有采用三明 只 明治结构，通 通过在防火墙 墙的两端都设 设置四层交换 换机，四层交换机可以在作 作流量分发的 的同时，维持 持 用户会话的完 用 完整性，使对 对某一用户的 的同一会话产 产生的双向数 数据包始终都由同一台防火 火墙来处理， ，而使防火墙 墙 得于在负载均 得 均衡环境下还 还可以正常工 工作。 四、F5 Bigi 应用交换机 四 ip 机对防火墙作 作负载均衡时 时所用到的主 主要功能： 利用 利 F5 Big 应用交换机对防火墙作 gip 作负载均衡时 时，与用 F5 Bigip 应用交换机对服务 务器作负载均 均衡时类似， 都是需要将防 都 防火墙放在一 Pool 里面 一个 面，然后根据 Pool 的负载 据 载均衡算法在 在防火墙之间 间进行流量分 分发。 但为了支持防 但 防火墙负载均 均衡器上，F5 Bigip 应用 5 用交换机有以 以下几个功能 能是区别于服 服务器负载均衡的： ? Last?Hop 功能 p Bigip 上的 Last?Hop 功能， B ， 又叫基于连 连接的路由(P Per?Connecito on?Routing)， 是用于当回应 应的路据包需 需要经由相邻 邻

企业级 IT 项 企 项目实战第一 一品牌——专注 所以专业 业
https://www.360docs.net/doc/c115968523.html,bat‐https://www.360docs.net/doc/c115968523.html, m?
的传输最初发 的 发起访问数据 据包的网络设 设备时。如下 下图：
Inte ernet
Ro outer
200.1.1.0/24
FW #2
201.1.1.0/24
BIG G-IP 202.1.1.0/24
当一个客 客户发起到内 内网服务器访 访问，假设他 他是经由防火 1 进来（如褐色线条 火墙 条所示） 服务器接受到 ，当服 到 这次访问而产 这 产生回应时，回应的数据 据包首先到达 达内网的负载 载均衡器，这时负载均衡器 器即可以将加 加应的数据包 包 经回防火墙 1 发出去，也 经 也可以经由防 防火墙 2 发出 出去。根据基 基于状态防火墙的工作特点 点，对于同一 一连接的双向 向 数据须经由同 数 同一防火墙处 处理。 而 Bigig 的 Last?Hop 功能是可以实 实现这一点， ， 当内网的负 负载均衡器首 首次接收到用 用户的访问请求时， 它就会 会 在它的连接表 在 表中创建一条 Last?Hop 记 条 记录， 记录本次连接发起请 请求是由哪个 个设备传送过 过来的(俗称最 最后一跳记录 录， 实际上就是该 实 该设备的 MA 地址， 例中就是防火 1 内网卡的 MAC 地址 当它收到服 AC 本例 火墙 址)。 服务器回应的 的数据包时， 它可以识别出 它 出这个回应数 数据包所属的 的连接，并查 查找出这一连 连接所对应的 Last?Hop 记录 录，并将服务 务器回应包发 发 给那台设备― 给 ――防火墙 1 1。 如果用户 户再次发起一 一个新的连接 接，假设这一 一次，外网的 的负载均衡器将它负载均衡 衡到了防火墙 2 上（如蓝 墙 蓝 色线条所示） 色 ） ，这时能过内网的负载均 均衡器的 Last Hop 功能 能，由服务器对本次连接请 请求所回应的 的数据包将都 都 由防火墙 2 出 由 出去。 注：如果 果对负载均衡 衡器的四层连 连接表有疑问 问，请对考服 服务器负载均衡工作原理。

企业级 IT 项 企 项目实战第一 一品牌——专注 所以专业 业
https://www.360docs.net/doc/c115968523.html,bat‐https://www.360docs.net/doc/c115968523.html, m?
? Transpar rent 健康检查 查功能 Bigip?Transparent 健康检查功能 能是指 Bigip 对某一非相邻节点(非相 相邻节点是指 Bgip 的 Se 不在同一 指与 elfIP 一 网段的某一 一节点)进行健 健康检查的数 数据包，需要 要经由某一指 指定相邻节点 点进行发送。 Trans sparent 健康检 检查方法可以 以实现对某一 一网络通路或 或路径(Path)的 的连通性检查 查。 在对防火墙负载均 均衡时，负载 载均衡需要不 不断地检查防 防火墙的健康 康，当某一防 防火墙发生故 故障时， 负载 载 均衡器不应 应该再将网络 络流量分发到 到已故障的防 防火墙。而这 这里所指的防火墙的健康状 状态，不仅仅 仅是指与防火 火 墙与负载均 均衡相邻的链 链路故障，而 而是指内外网 网负载均衡器 器之间某一防火墙所使用的 的完整网络通 通路的健康状 状 态。 例如通 Transpa 通过 arent 健康检 检查功能，在 在外网负载均衡 衡器上可以设 设定，需要经 经由防火墙 1 来检查内网 网 负载均衡器 器上的某一 V VIP，如果 Tr ransparent 健 健康检查的结 结果是这一个 VIP 是可以经 经由防火墙 1 访问到，则 则 证明防火墙 1 所使用的 墙 的的内外网负 负载均衡器之 之间的通路是 是可用的，外网负载均衡器 器可以将网络 络流量分发给 给 防火墙 1。 Transpar rent?Virtual?Servers Trans sparent?Virtua al?Server 是指 指不对目的地 地址作地址转 转换的虚拟服 服务器 VIP。 注：如果对 Bigip 的虚拟服务器（V 对 VIP）地址转换工作原理有 有疑问，请参 参考服务器负 负载均衡工作 作原理或 Bigi ip 用户手册。 Network k?Virtual?Serve er Netw work?Virtual?S Server 是相对 Server?Virtual?Server 而言，Netw 对于 work?Virtual?S Server 可以对 对一组 IP 地址 址 起到 VIP 的 的作用。例如 Network Vi 如 irtual Server 202.96.128.0:*（假设子 子网掩码为 25 55.255.255.0）, 可以对从 从 202.96.128 到 202.96 8.1 6.128.254 的所 IP 地址起 所有 起作用。与 Server?Virtua al?Server 一样 样，Network Virtual?Serve er 所对应的资 资源可以是 S Server?Pool、Forwarding 或 Rules。 WildCast t?Virtual?Serv ver WildC Cast?Virtual?Server 是指 0 0.0.0.0:0 这个 个对所有地址 址都有效的虚拟服务器。?
?
?
?
（一 在 F5 的 Bigip 实现 5 现的防火墙负 负载均衡中， Bigip 配置 Network?Virtual?Server 一般 Network?Virtual?Serve 在 er 都是 都 Transparent Virtual Server） 起到了路由器上的静态路由功能。而区 ，起 区别于普通的 的静态路由的 的是，Bigip 上 的 Network?V Virtual?Server 所对应的 Server?Pool 使 r 使用静态路由 由的下一跳（Next?Hop）可 可以是多个， ，而不是只能 能 有一个。而且 Bigip 上的 EAV 健康检查可以保证只 有 且 只有正常的下 下一跳才会被 被选中来传输 输数据。 注：如果对 B 注 Bigip 的 Netw work?Virutal?S Server、Wild dCast?Virtual?S Server 有疑问 问请查阅 Big 用户用册。 gip 五、F5 Bigi 应用交换机 五 ip 机对防火墙作 作负载均衡时 时的配置过程 程 以下图为例，来说 说明用 F5 Bigip 应用交 交换机对防火墙作负载均衡 衡时的配置过 过程。?

企业级 IT 项 企 项目实战第一 一品牌——专注 所以专业 业
https://www.360docs.net/doc/c115968523.html,bat‐https://www.360docs.net/doc/c115968523.html, m?
61.1.1.1
202.1. .1.254
10.10.0.0 0/16
202.1 1.1.1 BIG-IP # #1 172.1 16.1.254 172 2.16.1.1
172.16.1.0/24 172.1 16.1.2
172.1 16.2.1
172.16 6.2.2 172.16.2 2.0/24 172.16.2.254?V VIP?172.16.2. .100 BIG-IP #2 P
192.168.0.25 54 192.168. .0.0/16
192.168.0.1 ?
192 2.168.0.2
?
外网负载 载均衡器的设 设置： Network?Vi irtual?Server: 172.16.2.0/ /24:0?fw_ext_ _pool?{?172.1 16.1.1?172.16 6.1.2}?Disable?IP?Address?T Translation 192.168.0.0 0/16:0?fw_ex xt_pool?{?172.16.1.1?172.1 16.1.2}?Disable?IP?Address?Translation 0.0.0.0/0:in nternal?vlan/0 0?Default_GW W_pool?{202.1.1.254} Monitor: Node?172.1 16.1.1?TCP?Tra ansparent?De estination?IP/ /Port:?172.16. .2.100?:80 Node?172.1 16.1.2?TCP?Tra ansparent?De estination?IP/ /Port:?172.16. .2.100?:80 SelfIP?202.1 1.1.1?Automa ap?enable SNAT?intern nal?Vlan?Auto omap?

企业级 IT 项 企 项目实战第一 一品牌——专注 所以专业 业
https://www.360docs.net/doc/c115968523.html,bat‐https://www.360docs.net/doc/c115968523.html, m?
? 内网负载 载均衡的设置 置 0.0.0.0/0:in nternal?vlan/0 0?FW_int_pool?{172.16.2.1?172.16.2.2} }?Disable?IP?A Address?Translation VIP:?172.16 6.2.100:80?se erver_pool?{?1 192.168.0.1:8 80?192.168.0.2:80} Monitor: Node?172.1 16.2.1?ICMP?T Transparent?1 172.16.1.254 Node?172.1 16.2.2?ICMP?T Transparent?1 172.16.1.254
注：以上配置 Monitor 的设置需要 注 置对 r 要通过试验进 进一步确认。 六、防火墙作 六 作负载均衡是 是，防火墙之 之间是否需要 要启用会话状 状态同步机制 制？ 在防 防火墙负载均衡 衡来说， 火墙之间是否 防火 否需要启用会 会话状态同步机制需要视网 网络上所支持 持的应用类型 型 及对应用可靠 及 靠性而定。 对长连接的应 对 应用(一般是指 指在连接中断 断后不会迅速 速自动重建连 连接的那种)， ，如果对应用 用的可靠性要 要求特别高， 要求某一防火 要 火墙突然发生 生故障时已建 建连接不能有 有任何中断，这种情况就需要在作负载 载均衡的防火 火墙之间启用 用 会话状态同步 会 步机制。 如果要在防火墙启 启用状态同步 步机制，一般 般要求作负载 载均衡的防火 火墙是同一型 型号的负载均 均衡器。 注：对上述应 注 应用，如果要 要求负载均衡 衡发生切换时 时，也不能出 出现连接中断，还需要在双 HA 模式 双机 式的负载均衡 衡 器之间启用 C 器 Connection?M Mirroring 功能 如果对 Big 能。 gip?Connectio on?Mirroring 功能有疑问， 请参考 Bigip 用户手册。 而对于短连接 而 接的应用，如 如常见的 http 运行，由于 p 于短连接应用 用一般都支持 持重建连接，就 就不一定需要 要在防火墙上 上 启用会话状态 启 态同步机制。因为在防火 火墙上启用会 会话状态同步 步机制，会对防火墙的性能 能带来比较大 大的影响。而 而 且如果防火墙 且 墙的数量多于 于两台以后，多台防火墙 墙之间的会话 话同步会带来更多的问题， ，同时对系统 统的扩展性也 也 会带来影响。 会 七、当第一层 七 层的负载均衡 衡器即作链路 路负载均衡又 又作防火墙负 负载均衡时，有防火墙有什么特殊设置 置要求？ 当第一层 层的负载均衡 衡器即作链路 路负载均衡又 又作防火墙负 负载均衡时，防火墙需要对 对内网的服务 务器启用网络 络 地址转换 AT）对于第一 地 （NA 。 一层即作链路 路负载均衡又 又作防火墙负 负载均衡的负 负载均衡器， 其 其上的 VIP 所对应的 Serve er Pool 成员必须 P 须采用防火墙 墙上的 NAT 地 地址，而不能 能直接采用第 第二层负载均 均衡上的 VIP 地 地址或内网服 服务器的真实 实 地址。 地 注： 注 对于 F5 Link?Contro oller 实现链路 路负载均衡， 如有疑问， 请查阅 F5 L 请 Link?Controlle 链路控制器 er 器用户手册。 八、通过负载 八 载均衡器对防 防火墙作负载 载均衡与防火 火墙集群（Cluster）方式的由防火墙自己作负载均 均衡有什么区 区 别？ 别 目前 前有一些防火墙 墙也开始支持 持防火墙之间 间的负载均衡 衡功能。 防火墙自己作负载 载均衡时， 常用的方法有 常 有： ? 基于 IP Multicast 方 方式： 构成集群的 这种方式下， 的所有防火墙 墙都会接受到 到全部的网络 络数据， 防火墙 墙之间通过协 协商各自对一 一 部份网络 络流理进行处 处理。 ? 基于主从 从的方法： 在集群中有一 一台防火墙负 负责起主导，起到负载均 均衡器的作用 用，由它先接受所有的网络 络流量，然后 后 在其它从 从的防火墙之 之间分发。

企业级 IT 项 企 项目实战第一 一品牌——专注 所以专业 业
https://www.360docs.net/doc/c115968523.html,bat‐https://www.360docs.net/doc/c115968523.html, m?
在实际环 环境中， 虑部署防火墙 考虑 墙负载均衡主要就是解决单 单台防火墙处 处理能力不够 够的问题。 上述两种方法 上 法， 都没有真正提 都 提升防火墙群 群集的处理能 能力，因为总 总是有一台防 防火墙要承受全部的网络流 流量，也即是 是说防火墙群 群 集的处理能力 集 力还是受限于 于单台防火墙 墙的处理能力 力。这也是为 为什么很少在实际环境中见 见到防火墙自 自己作负载均 均 衡运行方式的 衡 的原因，绝大 大多数的防火 火墙集群还是 是运行于主备 备方式。 而通过独立的 而 的负载均衡器 器对防火墙作 作负载均衡，是真正提高 高了防火墙群集的处理能力 力。 九、F5 产品实 九 实现防火墙负 负载均衡的成 成功案例 北京国税、北 北 北京地税、河 河南地税、江 江苏地税、CN NNIC。
第二篇 第 篇、 F Big F5 gip应用 换机实现 火墙负载 用交换 现防火 载均 衡标 标准结构 阐述 构及阐
?
注：在以下的 注 的防火墙负载 载均衡网络拓 拓扑结构设计 计中，负载均 均衡器都是采用双机 HA 配 配置，以减少 少单点故障。 如果对 F5 B 如 Bigip 的双机 HA 配置有疑 疑问，请先查 F5 Bigip 用户手册。 查阅 。 当采用 F Bigip 应用 F5 用交换机实现 现防火墙负载 载均衡时，网 网络拓扑结构的设计受防火 火墙特点的限 限制可以作出 出 不同的选择： 不 一、当防火墙 一 墙支持多个网 网络接口放在 在一起设置同 同一个 IP 地址 址时（例如 N Netscreen 防火 火墙，可以将 将两个网络接 接 口设置成主从 口 从接口，共用 用一个 IP 地址 址。当主接口 口故障时，从 从接口可以接 接管主接口的 的工作） 以采用如下的 ，可以 的 网络拓扑结构 网 构：?

企业级 IT 项 企 项目实战第一 一品牌——专注 所以专业 业
https://www.360docs.net/doc/c115968523.html,bat‐https://www.360docs.net/doc/c115968523.html, m?
防火 火墙
防火墙
核心交换机
核心交 交换机
上述拓扑 扑结构的特点 点是负载均衡 衡器与防火墙 墙之间采用了 了冗余链接，当通路中只有 有一条链路故 故障时，通过 过 链路切换即可 链 可恢复系统的 的运行，而不 不会引起负载 载均衡器或防 防火墙的切换。 采用上述 述拓扑结构时 时，要注意的 的一点是如果 果防火墙是采 Netscree 那种主从接 采用 en 接口的方式时 时，处于双机 机 的负载均衡器 的 器之间必须在 在防火墙一则 Vlan 之间 则的 间有一根线相 相连，以保证 证防火防的主从接口发成切 切换时，防火 火 墙与 墙 Active 负 负载均衡器之 之间的链路通 通路。 如果防火 火墙不是采用 Netscreen 那种主从接口的冗余链路 用 路，而是通过 Vlan 划分来 过 来支持冗余链 链路。这时需 需 要启用采用 S 要 Spanning?Tree 来解决冗余 余链接中的二 二层环路。 虑到 Spannin 考虑 ng?Tree 收敛时 时间会影响负 负载均衡器对 对 防火墙作健康 防 康检查，不建 建议采用这种 种冗余链接方 方式，而推荐 荐采用后面的网络拓扑结构 构。
二、当防火墙 二 墙不支持多个 个网络接口放 放在一起设置 置同一个 IP 地址时（例如 Nokia 防火 地 如 火墙） ，这时防 防火墙与负载 载 均衡器之间无 均 无法采用冗余 余链接，而只 只能采用以下 下网络拓扑结 结构：?

企业级 IT 项 企 项目实战第一 一品牌——专注 所以专业 业
https://www.360docs.net/doc/c115968523.html,bat‐https://www.360docs.net/doc/c115968523.html, m?
防火 火墙
防火墙
核心交换机
核心交 交换机
上述拓扑 扑结构的问题 题是，当处于 于双机的负载 载均衡有一台 台故障时，与 与之相连的防 防火墙也相应 应的退出工作 作。 为解决这个问 为 问题可以采用 用网络拓朴结 结构三。 三、网络拓朴 三 朴结构三如下 下图：
服务 务器群

企业级 IT 项 企 项目实战第一 一品牌——专注 所以专业 业
https://www.360docs.net/doc/c115968523.html,bat‐https://www.360docs.net/doc/c115968523.html, m?
二层交换
防火墙
防火墙
二层交换
二层交换
核心交换机
核心交换机 核
服 务 器
?
在上述网 网络拓扑结构 构中，在防火 火墙与负载均 均衡之间增加 加二层交换机（二层交换机 机可以用一台 台，也可以象 象 上图所示用两 上 两台二层交换 换机，之间级 级联，采用二 二台二层交换 换机级联一般都是用在严格 格要求不允许 许网络中有单 单 点故障的场合 ）当处于双机的某一台负载均衡器 点 合。 器发生故障时 时，不会影响 响防火墙的工 工作。 由于没有采用 由 用冗余链路，负载均衡器 器需要设置基 Vlan 的监 基于 监控，当处于 Active 的负载 载均衡器与二 二层交换机之 之 间的链路故障 间 障时，即触发 发负载均衡器 器的主从切换 换。 四、对网络拓 四 拓扑三，还可 可以作如下变 变化，?

企业级 IT 项 企 项目实战第一 一品牌——专注 所以专业 业
https://www.360docs.net/doc/c115968523.html,bat‐https://www.360docs.net/doc/c115968523.html, m?
二层交换机
二层交换机
防火墙
防火墙 防
核心交换机
?
服务器群
?
通过在核 核心交机机上 上增加一个 V Vlan, 二层交换机。 二
可以将 将第二层的二 二层交换机与 与核心交换机 机合并在一起 减少了一对 起， 对