深信服负载均衡AD常维护手册
深信服上网行为及负载均衡技术方案
技术方案本方案包含两个部分，上网行为管理技术方案和负载均衡技术方案一、上网行为管理技术方案1、需求概述背景介绍随着互联网技术的发展，组织的业务模式和员工的工作模式、行为习惯都在不断发生改变：⏹网上业务：组织建设了更多的网上业务平台，通过互联网来开展业务；⏹沟通桥梁：内部员工也更加依赖互联网与外部的合作伙伴、人员进行沟通和交流，提升工作效率，获取资讯和知识，维系人脉关系；⏹移动互联网：移动互联网的消费化趋势也逐渐影响到组织内部的IT系统，员工更喜欢通过WLAN、移动终端类开展工作；因此，在员工的日常工作中，ISD需要针对互联网出口平台的如下上网行为管理、上网安全防护需求进行改造，提供一个更安全、更高效的上网环境。
上网行为管理需求员工访问互联网的习惯正在发生变化，从最早使用PC、有线局域网，到更多使用移动终端、WLAN来进行办公，如果过度开放的上网环境会带来以下问题：工作效率低下网络的普及改变了传统的办公方式，而内网中总有部分用户在上班时间有意无意的做与工作无关的网络行为，比如聊天、炒股、玩网游、看视频、网购等，而且越来越多的员工正在通过企业无线网络来使用移动APP版的淘宝、陌陌。
这严重影响工作效率，从而导致企业竞争力的下降。
所以，组织需要针对PC、移动终端等各种应用、APP进行更有效的识别和管控。
带宽滥用和浪费互联网中充斥着P2P下载、在线视频、游戏、在线小说等耗费带宽的非关键业务应用，用户在使用这些应用的过程中必然会占用大量的带宽，而关键的业务应用、关键人员角色则得不到足够的资源。
此外，传统的带宽管理策略都是静态的，当带宽空闲时，依然会限制用户的流量，带宽价值被大大浪费。
所以，IT部门需要针对各种应用类型、用户角色、带宽占用情况等，提供更加灵活、细致、动态的带宽管理策略，提升用户上网体验。
BYOD难管理随着移动终端的普及，员工往往会采用PC、智能手机、Pad等多种终端，通过有线和无线网络，在不同的位置（办公座位、会议室等），接入企业IT系统。
深信服负载均衡AD日常维护手册
深信服负载均衡AD 日常维护手册文档仅供参考，不当之处，请联系改正。
深信服科技AD日常维护手册深信服科技大客户服务部04月■版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属深信服所有，受到有关产权及版权法保护。
任何个人、机构未经深信服的书面授权许可，不得以任何方式复制或引用本文的任何片断。
目录第1章 SANGFOR AD设备的每天例行检查 (5)1.1例行检查前需准备： (5)1.2设备硬件状态例行检查项 (5)1.2.1设备状态灯的检查 (5)1.2.2接口指示灯的检查 (6)1.2.3设备CPU运行检查 (6)1.2.4设备异常状况检查 (7)1.3日常维护注意事项 (7)1.4升级客户端的使用 (8)第2章 SANGFOR AD设备的每周例行检查 (12)2.1控制台账号安全性检查 (12)2.2关闭远程维护 (12)2.3设备配置备份 (12)第3章常见问题排错 (14)3.1无法登陆设备控制台 (14)3.2 AD新建了虚拟服务，但是无法访问？ (14)3.3链路负载，上网时快时慢，DNS有时解析不了域名 (15)3.4 DNS策略不生效 (16)3.5 DNS代理不生效 (17)3.6智能路由不生效 (17)3.7登陆应用系统，一会儿弹出并提示重新登陆 (17)技术支持 (18)第1章SANGFOR AD设备的每天例行检查1.1 例行检查前需准备：(1)安装了WINDOWS系统的电脑一台(2)设备与步骤1所描述的电脑在网络上是可连通的(3)附件中所带的工具包一份（包括：升级客户端程序）1.2 设备硬件状态例行检查项为了保证设备的稳定运行，工作人员需要以天为周期对设备进行检查，例行检查的项目如下：1.2.1设备状态灯的检查SANGFOR AD系列硬件设备正常工作时电源灯常亮，设备的状态指示灯（设备面板左上角标示“状态”字样）只在设备启动时因系统加载会长亮（约一分钟），正常工作时熄灭。
SANGFOR_AD_技术白皮书
深信服应用交付产品技术白皮书深信服科技有限公司2013年版权声明深圳市深信服电子科技有限公司版权所有，并保留对本文档及本声明的最终解释权和修改权。
本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明外，其着作权或其它相关权利均属于深圳市深信服电子科技有限公司。
未经深圳市深信服电子科技有限公司书面同意，任何人不得以任何方式或形式对本文档内的任何部分进行复制、摘录、备份、修改、传播、翻译成其他语言、将其全部或部分用于商业用途。
免责条款本文档仅用于为最终用户提供信息，其内容如有更改，恕不另行通知。
深圳市深信服电子科技有限公司在编写本文档的时候已尽最大努力保证其内容准确可靠，但深圳市深信服电子科技有限公司不对本文档中的遗漏、不准确、或错误导致的损失和损害承担责任。
信息反馈如果您有任何宝贵意见，请反馈：信箱：广东省深圳市学苑大道1001号南山智园A1栋邮编：518055电话：9传真：9您也可以访问深信服科技网站：获得最新技术和产品信息缩写和约定英文缩写英文全称中文解释ACL Access Control List 访问控制列表ADC Application Delivery Controller 应用交付设备BRAS Broadband Remote Access Server 宽带接入服务器DNAT Destination NAT 目的地址NATDNS Domain Name Service 域名服务DR Direct Route 直达路由FTP File Transfer Protocol 文件传输协议HA High Availability 高可用性HTTP Hypertext Transfer Protocol 超文本传输协议ICMP Internet Control Message Protocol 因特网控制报文协议ISP Internet Service Provider Internet服务提供商MAC Media Access Control 介质访问控制NAT Network Address Translation 网络地址转换OSPF Open Shortest Path First 开放最短路径优先RADIUS Remote Authentication Dial In User Service 远程用户拨号认证系统RIP Routing Information Protocol 路由信息协议RTT Round Trip Time 往返时间STP Spanning Tree Protocol 生成树协议SNAT Source NAT 源地址NATSNMP Simple Network Management Protocol 简单网络管理协议SOA Service Oriented Architecture 面向服务架构SSL Secure Socket Layer 安全套接层TCP Transmission Control Protocol 传输控制协议UDP User Datagram Protocol 用户数据报协议URI Uniform Resource Identifier 统一资源标识符URL Uniform Resource Locator 统一资源定位符VLAN Virtual Local Area Network 虚拟局域网目录第1章应用交付，后负载均衡时代的选择........................ 错误!未定义书签。
深信服负载均衡主备双机配置
深信服负载均衡主备双机一、主备双机配置界面主备』设置双机热备功能。
界面如下图所示：名称』自定义设备的名称，方便区分当前哪台设备处于主模式。
状态』中［启用］用来启用双机，［禁用］用来禁用双机。
『超时时间』当在超时时间内备机一直无法收到主机发送的心跳包，则认为主机超时，备机主动切换成主机。
『通信介质』选择连接双机的接口，可以用串口和空闲的网口。
选择网口后，需要为该网□配置一个IP地址,只要不与正在使用的IP地址冲突即可。
建议选择网□作为通信介质，通过网口来做双机切换比串口切换花费的时间短。
通信介质选择网口，则可以实现会话同步。
『MAC同步』用于设置双机切换是否同步MAC地址。
『同步网□列表』用于设置切换双机的时候同步哪些接□的MAC地址，需要开启MAC同步才会显示该选项。
『通信介质故障检测』通过网络数据包来检测对端是否存在，避免两台设备成为主机导致IP冲突。
两台设备的通信介质故障检测网□需要接到同一个广播域，可以选择已经使用的网□，也可以选择空闲网□，选择空闲网□需要设置IP地址。
界面如下：同步配置』点击向备机同步配置。
故障切换』用于设置双机切换条件，符合此处设置的条件则进行主备切换，界面如下：『状态』用于设置是否启用双机故障切换检测，『检测类型』分为『掉线检测』、『ARP检测』、『健康检查』3种，设置后点击添加可以组合使用多种检测方法，［删除可以取消选中的检测方法。
『掉线检测』当检测到网口物理状态不正常则进行切换。
『ARP检测』AD设备向选择的接□发送ARP广播，如果监视主机里填写的IP地址有回应ARP，则判断正常。
该监视主机地址需要填写与AD设备接□同一网段的地址。
界面如下：『健康检查』通过网络接□处设置的链路健康检查机制来检测，当选择健康检查后，只有启用了链路健康检查的链路才可选，界面如下：故晖切换状态检刪类型 检测列克切换条件主备状态』分为“主机”、“备机”，可通过右边的切换按钮进行主备切换。
深信服应用交付AD(负载均衡)幻灯片
选择最佳计算资源，分担任务处理
七层内容交换
c.jsp a.gif index.htm
c.jsp
JSP server
a.gif index.htm
GIF server HTML server
ISP 1 ISP 2
SANGFOR AD提供链路健康检查机制
• SANGFOR AD通过多个Internet站点的可达性，来共同判断一条链路的状况 • 内置多种协议TCP、UDP、ICMP、HTTP等 • 支持用户自定义，基于内容的链路健康检测机制 • 一旦链路出现问题，立即切换。
SANGFOR AD实现出站访问的链路负载均衡
• SANGFOR AD接收到内网的访问流量后，通过预先设定链路负载策略将用户访问流量分配到不同 的互联网链路之上。
• 静态就近性：根据目标网络进行NAT，内置全球地址库，实时动态更新 • 动态就近性：通过综合考虑与目标网络之间的网络延迟（Latency）和链路的实时负载（Load），
SANGFOR AD提供全面的七层调度策略
• 分析HTTP请求，基于URI、Cookies、HOST、HTTP-Head进行调度 • 将不同的HTTP请求交给不同的或多个服务器来响应以分担负载 • 支持HTTP请求改写和应答改写，以及页面跳转和丢弃
实现业务架构灵活配置和扩展
会话保持（Session Persistence）
深信服应用交付解决方案
——SANGFOR AD系列应用交付产品
目录
Sangfor AD 功能介绍 Sangfor AD 特色技术介绍 Sangfor AD 业务场景介绍
深信服全系列产品手册
目前很多组织都面临 着这样的挑战。
25 29 33 37
IPSec VPN
由于某些行业的特殊性，需要一种非常安 全的方式达到异地网络的互联， IPSec VPN 正是基于这样的需要而出现，可实 现异地机构快速组网、大型专网中数据安 全 加 密 、 行 业 专 网 的V P N延 伸 、 专 网 单 一 链路的稳定备份等多重价值。
通过部署AD产品，最高人民法院的门户网站实现了内外网用户的流量分担及服务器的智能负载均衡， 这不仅提升了 海量用户的访问速度和稳定性，还最大程度上改善了服务器的利用效率，提高了IT投资回报。
深信服公司
市场咨询免费热线：800 830 9565 深圳市南山区科技园科发路8号金融基地2栋4楼
邮 编：518052
电 话：0755-26581949 传 真：0755-26581959
邮 箱：market@
技术支持免费热线：800 830 6430 科技中二路深圳软件园十二栋501室 邮 编：518052 传 真：0755－86336514 邮 箱：support@
上网优化 SG
海量的互联网资源与组织有限的网络带 宽之间的矛盾由来已久，尤其近年互联 网的高速发展使得内网用户渴望快速上 网的诉求与日俱增，上网优化网关这一 概念也应运而生。
流量管理 BM
信息化建设的深入以及信息系统的普 及，使得组织机构网络所承载的数据与 内容变得复杂与多元化，同时组织业务 发展对网络质量的要求与网络应用日益 丰富导致的带宽瓶颈问题之间的矛盾日 趋严峻。
商业智能分析
A D产 品 可 统 计 访 问 用 户 的 时 间 、 地 域 分 布 特 性 以 及 用 户 的 应 用 访 问 偏 好 ， 为 企 业 业 务 运 营 挖 掘 更 多 的 用 户 特 征信息，以支撑商业决策。
深信服应用交付(负载均衡)解决方案
服务器
数据库
Database Database Database
Database Database Database
物理架构
&
WEB层
APP层
数据库
Database Database Database
Database Database Database
虚拟化 OpenStack管理
链路负载解决方案
SSL加密和SSL卸载
支持SSL加密技术，能够通 过加密算法实现端到端的加 密，同时通过SSL卸载减轻
后端服务器压力。
证书透传
支持证书字段的信息透传与过滤 （HTTP Header、Cookie、URL
等方式），保持认证一致性
安全
RSA算法和国密算法
支持国际通用密码算法（RSA算 法），支持国家商用密码算法 SM1-SM4, 并拥有国家密码管理 局批准的《商用密码产品型号证 书》
重要信息被监听和 窃取
应用访问慢，影响 用户体验
影响网络和应用高பைடு நூலகம்量交付因素
客户端
Data
ISP
SEVER
base
链路故障，应用不可用 跨运营访问，访问体验差
应用受到哪些威胁 服务器故障，应用不可用
服务器故障，服务器不响应
应用假死，应用无响应
数据库故障，应用无响应
HTTP访问，应用不安全
写入压力大，应用响应慢
应用交付价值:提升应用访问的高效性
灵活的算法
通过各种灵活的算法保障 在大流量、高并发的场景 下也能合理分配，提升访
问的高效性。
TCP连接复用
加快了客户端与后台服务 器之间的连接处理速度， 提高应用系统的处理能
深信服科技有限公司SANGFOR_AD_6.4_设备管理_序列号_用户配置指导书说明书
SANGFOR_AD_6.4_设备管理_序列号_用户配置指导书深信服科技有限公司文档编号AD_CONF_07_01审核huangbing修订记录版本时间修订内容1.02016年7月目录1说明 (1)1.1文档说明 (1)1.2缩写和标志说明 (1)1.3使用反馈 (1)2应用场景 (2)3模块介绍及运用 (2)3.1设备管理 (2)3.1.1管理网口 (2)3.1.2日期/时间 (4)3.1.3配置备份与恢复 (5)3.1.4关机/重启 (7)3.1.5WebConsole (8)4序列号 (12)4.1应用分析授权 (14)4.2安全分析授权 (14)5用户 (16)1说明1.1文档说明本文档深信服公司及其许可者版权所有，并保留一切权利。
未经本公司书面许可，任何单位和个人不得擅自摘抄、复制本书内容的部分或全部，并不得以任何形式出版传播。
由于产品版本升级或其他原因，本手册内容有可能变更。
深信服保留在没有任何通知或者提示的情况下对本手册的内容进行修改的权利。
本手册仅作为使用指导，深信服尽全力在本手册中提供准确的信息，但是并不确保手册内容完全没有错误。
1.2缩写和标志说明本文中AD均指应用交付管理系统。
本文还采用各种醒目标志来表示在操作过程中应该特别注意的地方，这些标志的意义如下：小心、注意：提醒操作中应注意的事项，不当的操作可能会导致设置无法生效、数据丢失或者设备损坏。
说明、提示、窍门：对操作内容的描述进行必要的补充和说明1.3使用反馈如果您在使用过程中发现本资料的任何问题，欢迎及时反馈给我们，可以通过反馈到深信服技术支持论坛：用户支持邮箱：*******************.cn技术支持热线电话：400-630-6430感谢您的支持与反馈，我们将会做的更好！2应用场景方便现场部署和网络维护人员了解如何登陆和管理AD设备；掌握设备配置的备份与恢复；在设备界面简单调试AD。
了解设备开通了哪些授权以及可以使用设备具体功能和对应功能的应用场景。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
深信服科技AD日常维护手册
深信服科技大客户服务部2015年04月
有特别注明，版权均属深信服所有，受到有关产权及版权法保护。
任何个人、机构未经深信服的书面授权许可，不得以任何方式复制或引用本文的任何片断。
目录
SANGFOR AD设备的每天例行检查
例行检查前需准备：
(1)安装了WINDOWS系统的电脑一台
(2)设备与步骤1所描述的电脑在网络上是可连通的
(3)附件中所带的工具包一份
（包括：升级客户端程序）
设备硬件状态例行检查项
为了保证设备的稳定运行，工作人员需要以天为周期对设备进行检查，例行检查的项目如下：
1.2.1设备状态灯的检查
SANGFOR AD系列硬件设备正常工作时电源灯常亮，设备的状态指示灯（设备面板左上角标示“状态”字样）只在设备启动时因系统加载会长亮（约一分钟），正常工作时熄灭。
如果在使用过程中此灯长亮（注意双机热备的备机此灯会以闪烁），且设备无法正常使用请按照如下步骤进行操作：
(1)请立即将设备断电关闭，将系统切换到备机；
(2)半小时后将设备重启，若重启后红灯仍一直长亮不能熄灭，请速与我司
技术支持取得联系。
1.2.2接口指示灯的检查
正常情况下，网口link灯在感知到电信号的时候会呈绿色（百兆链路，如果是千兆链路，该灯会成橙色）且长亮，网口ACT灯在有数据通过的时候会呈橙色且会不停闪烁，如果link或者ACT灯不闪或者不亮，请按照如下步骤进行操作：
(1)检查该网线是否破损
(2)检查网口水晶头是否有破损
(3)检查网卡双工模式是否协商匹配
(4)上述均没有问题，请及时重启设备切换主备，并及时联系深信服技术支
持
1.2.3设备CPU运行检查
通过设备控制台的网关运行状态，检查CPU占用率是否长期居高，注：登陆设备后显示的第一页面就是网关运行状态，如果CPU长期居高，请按照如下步骤进行操作：
(1)在线用户数是否超过了设备能够承受的并发参数
(2)设备是否遭受到了DOS攻击？（设备默认关闭防dos攻击，开启后可产
生日志）
(3)某个进程是否异常？（需联系深信服技术支持确认）
1.2.4设备异常状况检查
检查设备硬件是否有异常（风扇，硬盘是否有异常声响）
如果设备内部有异常声响，可能是硬盘或风扇的异常工作导致，请立即断开电源停止设备工作，如有备用机，请立即将系统切换到备用机；并及时联系我司客服部门以确认故障并返修设备。
升级客户端是我司开发的用于调试设备的一个客户端工具，集成了一些常用的网络命令，和具备升级、备份设备配置的功能，对于日常维护工作有很大帮助，下载地址：请至服务与支持-软件下载-常用工具中下载最新版本的升级客户端
注：使用升级客户端登陆设备须放通tcp 51111端口。
下载升级客户端后，解压压缩包，打开SANGFOR Firmware 文件，如下图：
输入设备的IP地址，并输入登录密码即可登录。
默认的登录密码是“dlanrecover”或“控制台Admin管理员的密码”。
界面如下：登录成功后，会出现登录成功的提示，如下图：
按F10，可进入如下界面
【备份】：包括备份配置、恢复备份配置选项，如下图：
【备份配置】：将现有的配置信息进行备份。
【恢复备份配置】：将以前备份过的配置信息恢复到设备。
【命令】：包括Ping、查看路由表、查看ARP表、查看网络配置选项。
如下图
SANGFOR AD设备的每周例行检查
为了保证设备信息的完整性和可恢复性，请以月为周期进行如下例行检查：控制台账号安全性检查
检查项:
1.控制台管理员密码是否为默认或是空？
如果空密码或默认密码则检查不通过，请立即修改密码
2.控制台管理员密码一个月内有没有修改过？
如果控制台管理员密码一个月内都没有修改过，请立即修改并妥善保存密码
3.控制台是否有多余账号？
如果有的话，请删除多余账号，保留控制台账号
关闭远程维护
为了避免设备被非法入侵，请及时关闭远程维护功能。
设备配置备份
为了保证网络的稳定运行，建议客户每半个月进行一次配置的备份，以防止系统意外瘫痪导致系统无法迅速恢复。
方法：见升级客户端章节中关于备份配置的介绍。
常见问题排错
本部分主要介绍了AD设备在使用中可能会碰到的一些问题和维护的方法：无法登陆设备控制台
(1)检查设备面板上红色alarm灯是否常亮
(2)是否能够正常ping通设备管理口
(3)从内网是否能telnet通设备443、51111端口
(4)Tracert设备管理口地址，看数据包是否能够到达设备内网口
(5)如经过上述步骤仍无法登陆设备速联系我司技术支持
AD新建了虚拟服务，但是无法访问？
(1)在【链路状态】里查看线路是否在线，如不在线，说明外网线路问题；
(2)在【虚拟服务状态】里查看虚拟服务状态，如果繁忙、离线，则不能访问；
(3)在【节点状态】检查节点是否在线；
(4)检查访问的IP地址是否正确，是否配置了互联网ip地址，dns策略和
http重定向会使用互联网ip地址替换IP组的地址；
(5)如果是网关模式，可以先禁用虚拟服务，然后建立端口映射，试着用端口
映射是否能访问到；
(6)如果是网桥模式，检查IP组设置的是否包含网桥IP，访问的是否是网桥
IP；
(7)如果节点在线，线路也未离线，如果是旁路模式部署，那检查是否做了
SNAT；
(8)从内网不经过AD查看是否可以访问到应用系统；
(9)如果是使用cookie 会话保持，改用源IP会话保持看是否能恢复正常；
(10)如果不是基于http协议的，有专门的客户端软件的，（例如手机炒股软
件之类），测试时注意配置好虚拟服务后，要重启客户端。
链路负载，上网时快时慢，DNS有时解析不了域名
问题产生的原因：
(1)使用了线路繁忙保护，导致上网数据匹配到智能路由里面的default策略，
default策略
采用流量最小加权算法，所以导致一会走线路1一会走线路2；
(2)访问的目标IP不在ISP地址段里面；
(3)链路监视器问题，导致外网链路不停的出现离线的情况；
(4)使用电信的地址去访问网通的DNS服务器，网通的DNS不回复，导致DNS
解析不了；
(5)若启用了DNS代理，调度策略选轮询或加权轮询，有可能会出现访问一个
电信的站点，恰好调度到联通的DNS，导致联通解析DNS不了域名；
(6)若启用了DNS代理，查看【DNS状态】，看DNS服务器是否不停离线。
解决方法：
(1)把繁忙保护比例设置成99%（建议刚部署设备时，把繁忙保护比例设置成
99%），当只有1条电信或1条联通线路时，建议禁用繁忙保护。
(2)确定dns客户端里面配置的DNS服务器都在ISP地址段里面。
DNS策略不生效
（1）检查域名是不是A记录；
（2）【服务器设置】里面是否有填写监听地址；
（3）检查【服务器设置】里面的地址，是否和DNS代理的监听地址冲突；
（4）将电脑的DNS地址填写成AD的IP，能否解析；
（5）查看公网的NS记录是否填写正确。
DNS代理不生效
（1）监听地址有没有填；
（2）DNS服务器列表有没有填；
（3）【DNS状态】中dns服务器是否在线；
（4）客户端电脑的DNS是否填的监听地址或者DNS服务器列表中的地址。
智能路由不生效
（1）检查智能路由的配置是否正确；
（2）查看【链路状态】中的外网线路是否离线或者繁忙；
（3）在【路由测试】中进行测试，看测试结果；
（4）检查【出站高级配置】，出站会话保持的子网掩码是否合适。
登陆应用系统，一会儿弹出并提示重新登陆
（1）检查是否开启会话保持；
（2）对于cookie会话保持，检查客户PC的系统时间是否不正确，是否有较大误差；
（3）对于cookie会话保持，检查AD的系统时间是否有较大误差；
（4）cookie会话保持超时时间是否设置过短；
（5）检查客户的浏览器是否把安全等级设置过高，是否禁用部分cookie。
技术支持
技术支持电话：400-630-6430
技术支持论坛：
用户支持邮箱：
公司主页：。