图解F5 链路负载均衡详细配置方法
F5 network 链路及服务器负载均衡解决方案
F5 network 链路及服务器负载均衡解决方案2002.11.25链路负载平衡：多归属网络智能流量管理解决方案概览随着企业采用互联网传送关键任务内容和应用，只与公共网络保持一个链路就意味着单点故障和严重的网络隐患。
因此，提供多个网络连接已成为构建可靠和容错的数据中心的关键部分。
F5 的 BIG-IP®链路控制器 (BIG-IP LINK CONTROL 2000) 为希望增加其互联网连接可用性和性能的企业提供了一个解决方案。
BIG-IP 链路控制器提供了一个综合解决方案：-提供可靠的网络连接-管理多个链路上的入站 / 出站流量-通过最佳性能链路发送流量-增加链路可扩充性和吞吐量-实现最大的企业连接投资回报率-消除带有 BGP （边缘网关漫游）的多归属的部署障碍和成本多归属和 ISP 负载平衡的挑战显而易见，高可用性是部署多个互联网链路的主要推动因素之一。
一个平常的互联网中断即可使企业在冗余系统上的所有投资变得毫无用处。
同时，从物理网络组件到互联网服务提供商（ ISP ）本身，连接的任何地方都有可能发生故障，给企业和其客户带来重大停机事件和财务损失。
互联网连接的成本和可扩充性也是大多数企业的考虑重点。
如果仅有一个连接，企业必需确保他们在一条线路上购买了足够的带宽，以满足他们的吞吐量需求。
在许多情况下，这会导致站点的过度供应（尝试提供过多的保护和可扩充性）。
由于企业的业务依赖于单一 ISP ，企业还必须确信他们选择的服务提供商拥有良好的正常运行记录。
此外，一些企业也考虑采用多站点部署来解决可用性问题。
对于许多中小企业而言，开设第二个数据中心来增强可用性保护受到资金的限制。
许多企业还面临着在多个数据中心上提供 Web 应用和服务主机服务的复杂技术问题。
他们寻求一种更简单、成本更低的方法来提高其站点的可靠性。
多归属和流量管理“多归属”这个技术术语是指通过多个连接与互联网相连的网络。
多归属的重要意义不在于拥有多个链路，而是如何优化管理在这些连接上以及常常是在不同 ISP 之间传输的流量。
F5 链路负载均衡方案
6
与主要厂商的对比
F5
可用性
Radware Foundry Nortel
组合多种健康检查 高级的负载均衡 基本负载均衡
管理性
IPv6 网关 iSNAT
iRules Link 统计报告 安全的Web 管理 压缩 TCP Express 带宽管理
可扩展LTM服务器负载均衡功能
1 Gbps L7 Traffic
可扩展LTM服务器负载均衡功能
Limited
性能
7
硬件平台选择
BIG-IP 3900 BIG-IP 3600
BIG-IP 1600
Dual core CPU 8 10/100/1000 + 2x 1GB SFP 1x 160 GB HD + 8GB CF 4 GB memory SSL @ 10K TPS / 2 Gb bulk 1 Gbps max software compression
BIG-IP Link Controller
内部与防火墙互联需要3个地址： 1. BIGIP1 IP’’ 2. BIGIP2 IP’’ 3. Floating IP’’（浮动IP，用作网关地址）
防火墙
内部网络
内部服务器
内部用户
4
链路控制器-Link Controller 的主要功能
• 提升可用性
• • 自动管理多条ISP链路 确保关键应用的带宽
Quad core CPU 8 10/100/1000 + 4x 1GB SFP 1x 300 GB HD + 8GB CF 8 GB memory SSL @ 15K TPS / 3.8 Gb bulk 3.8 Gbps max softwac
F5负载均衡器双机切换机制及配置
F5负载均衡器双机切换触发机制及配置1 F5双机的切换触发机制1.1 F5双机的通信机制F5负载均衡器的主备机之间的心跳信息可以通过以下两种方式进行交互：●通过F5 failover 串口线交换心跳信息(电压信号不断地由一方送到另外一方)处于Standby的系统不断监控Failover上的电平，一旦发现电平降低，Standby Unit会立即变成Active，会发生切换(Failover)。
通过串口监控电平信号引起的切换可以在一秒中以内完成(大概200~300ms)。
四层交换机在系统启动的时候也会监控Failover线缆的电平以决定系统是处于Active状态还是Standby状态。
在串口Failover线缆上不传输任何数据信息。
●Failover线缆也可以不采用串口线，而直接采用网络线。
(但F5不建议这样做，因为网络层故障就可能会两台负载均衡器都处于Active状态)。
如果采用网络层监控实现Failover, Bigip将通过1027与1028端口交换心跳信息。
经验证明：两台F5之间一定要用failover cable连接起来，不连接failover cable而直接采用网络线连接在一起不可靠，而且造成了网上事故。
F5双机之间的数据信息是通过网络来完成的。
因此运行于HA方式的两台F5设备在网络层必须是相通的。
(可以用网线将两台F5设备直接相连起来，也可以通过其它的二层设备将两台F5设备相连，使F5设备在网络上可以连通对端的Failover IP地址)。
两台运行于HA方式的四层交换机之间通过网络层交互的信息主要包括：●用于配置同步的信息：通过手工执行config sync会引起Active到Standby系统的配置信息传输。
●用于在发生Failover时连接维持的信息：如果设置了Connection Mirroring,处于Active的四层交换机会将连接表每十秒中发送一次到Standby的系统。
F5负载均衡设备参数_图文(精)
硬件及功能指标F5 1500F5 1600F5 3400F5 3410F5 3600F5 3900 CPU1×CPU(单核2.5GInter Celeron 1×CPU(双核1.8GSingle IntelCore2Duo E21601×CPU(单核2.8GSingle Pentium IV1×CPU(单核2.8GSingle Pentium IV1×CPU(双核2.13GSingle IntelCore2Duo E64001×CPU(四核One Quad-CoreAMD Opte ron™内存Cache2G4G2G2G4G8G存储介质80 Gigabyte HardDisk 160 Gigabyte HardDisk512 MB flash with80 Gigabyte HardDisk512 MB flash with80 Gigabyte HardDisk8G flash with 160Gigabyte Hard Disk8G flash with 300Gigabyte Hard Disk10000总端口数6610101012 10/100/1000 BASE-T448_88 SFP-GBIC (FiberGE22210(标配424 10G Fiber______4层ASIC芯片无_Packet VelocityASIC™ 2Packet VelocityASIC™ 2__VLAN数409640964096409640964096 Virtual ServerSupport40,00040,00040,00040,00040,00040,000 Real Server Support无限制无限制无限制无限制无限制无限制Policy Filters无限制无限制无限制无限制无限制无限制并发会话数4M8M4M4M8M8M7层性能(Requests/sec55K100K120K120K135K400K 4层性能(Connections/sec30K60K110K110K115K175K 流量吞吐量500Mbps1Gbps1Gbps1Gbps2Gbps4Gbps 交换背板14Gbps14Gbps22Gbps22Gbps24Gbps34Gbps集成SSL加速 (tps.有,缺省100,最大可以达到2,000TPS 有,缺省500,最大可以达到5,000TPS有,缺省100,最大可以达到5,000TPS有,缺省100,最大可以达到5,000TPS有,缺省500,最大可以达到10,000TPS有,缺省500,最大可以达到15,000TPS集成SSL加速(bulk有,支持对称加解密算法有,支持对称加解密算法有,支持对称加解密算法有,支持对称加解密算法有,支持对称加解密算法有,支持对称加解密算法SSL对称加密支持能力500M1Gbps1G1G2Gbps 2.4GbpsSSL 并发访问100,0001,000,000200,000200,0001,000,0001,000,000最短切换时间200ms200ms200ms200ms200ms200ms支持基本网络协议802.1q,Trunk,Spanning Tree支持支持支持支持支持支持是否提供API接口提供提供提供提供提供提供广域网优化有,TCP Express有,TCP Express有,TCP Express有,TCP Express 有,TCP Express有,TCP Express 内存Cache支持支持支持支持支持支持HTTP压缩(内置支持支持支持支持支持50M-3.8GIPv6支持支持支持支持支持支持高可用(支持双机热备:支持基于串口、网络两种冗余切换方式, 专有Wacthdog芯片、可以实现内存同步,双机切换时间少于200ms支持支持支持支持支持支持分析工具(内置tcpdump抓包分析工具,能够快速准确的进行故障诊断支持支持支持支持支持支持支持支持支持支持支持支持应用健康检查(支持ECV、EAV的高级健康检查方法支持支持支持支持支持支持应用交换(可编程控制、导向或转换应用流量简单管理(LCD显示当前状态支持支持支持支持支持支持F5 6400F5 6800F5 6900F5 8400F5 8800F5 89002×CPU(单核2.0G AMD Opteron™ 2462×CPU(单核2.4GAMD Opteron™2×CPU(双核 2.2GTwo Dual-Core AMDOpteron™2×CPU(单核2.6GTwo AMDOpteron™ 2522×CPU(双核2.6GTwo Dual-Core AMDOpteron™2×CPU(四核Two Quad-CoreAMD Op teron™4G4G8G4G4G16G512 MB flash with 80 Gigabyte Hard Disk 512 MB flash with 80 Gigabyte HardDisk8G flash with2*320 GigabyteHard Disk(RAID1512 MB flash with80 Gigabyte HardDisk512 MB flash with160 Gigabyte HardDisk8G flash with2*320 GigabyteHard Disk(RAID1202024262626 16161612(与光口共用12(与光口共用164(标配24(标配28(标配412(标配612(标配68(标配4 ___2(选配2(选配2(选配Packet Velocity ASIC™ 2Packet VelocityASIC™ 2_Packet VelocityASIC™ 10 (PVA 10Packet VelocityASIC™ 10 (PVA 10_409640964096409640964096 40,00040,00040,00040,00040,00040,000无限制无限制无限制无限制无限制无限制无限制无限制无限制无限制无限制无限制8M8M8M8M8M8M260K380K600K420K800K1200K 220K220K220K270K270K400K2Gbps4Gbps6Gbps6Gbps7.5Gbps12Gbps44Gbps44Gbps68Gbps80Gbps88Gbps112Gbps有,缺省100,最大可以达到15,000TPS 有,缺省100,最大可以达到20,000TPS有,缺省500,最大可以达到25,000TPS有,缺省100,最大可以达到35,000TPS有,缺省100,最大可以达到48,000TPS有,缺省500,最大可以达到58,000TPS有,支持对称加解密算法有,支持对称加解密算法有,支持对称加解密算法有,支持对称加解密算法有,支持对称加解密算法有,支持对称加解密算法2Gbps2Gbps4Gbps3Gbps6Gbps9.6Gbps500,000500,0001,000,0001,000,0001,000,0001,000,000200ms200ms200ms200ms200ms200ms支持支持支持支持支持支持提供提供提供提供提供提供有,TCP Express有,TCP Express有,TCP Express有,TCP Express有,TCP Express 有,TCP Express 支持支持支持支持支持支持支持支持50M-5G支持支持50M-8G支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持支持。
F5负载均衡简明配置
F5简明配置负载均衡器通常称为四层交换机或七层交换机。
四层交换机主要分析IP层及TCP/UDP层，实现四层流量负载均衡。
七层交换机除了支持四层负载均衡以外，还有分析应用层的信息，如HTTP协议URI或信息。
一、F5配置步骤：1、F5组网规划(1)组网拓朴图（具体到网络设备物理端口的分配和连接，服务器网卡的分配与连接）(2)IP地址的分配（具体到网络设备和服务器网卡的IP地址的分配）(3)F5上业务的VIP、成员池、节点、负载均衡算法、策略保持方法的确定2、F5配置前的准备工作(1)版本检查f5-portal-1:~# b versionKernel:BIG-IP Kernel 4.5PTF-07 Build18(2)时间检查－－如不正确，请到单用户模式下进行修改f5-portal-1:~# dateThu May 20 15:05:10 CST 2004(3)申请license－－现场用的F5都需要自己到F5网站上申请license3、F5 的通用配置(1)在安全要求允许的情况下，在setup菜单中可以打开telnet及ftp功能，便于以后方便维护(2)配置vlan unique_mac选项，此选项是保证F5上不同的vlan 的MAC地址不一样。
在缺省情况下，F5的各个vlan的MAC地址是一样的，建议在配置时，把此项统一选择上。
可用命令ifconfig –a来较验具体是system/Advanced Properties/vlan unique_mac(3)配置snat any_ip选项选项，此选项为了保证内网的机器做了snat后，可以对ping的数据流作转换。
Ping是第三层的数据包，缺省情况下F5是不对ping的数据包作转换，也就是internal vlan的主机无法ping external vlan的机器。
（注意：还可以采用telnet来验证。
）具体是system/Advanced Properties/snat any_ip4、F5 的初始化配置建议在对F5进行初始时都用命令行方式来进行初始化（用Web页面初始化的方式有时会有问题）。
F5链路负载均衡解决方案
F5链路负载均衡解决方案F5是一个网络解决方案提供商，提供了一系列的负载均衡产品和服务。
F5链路负载均衡解决方案被广泛用于大型企业和服务提供商的网络中，用来分发和平衡网络流量，提高网络的性能、可用性和安全性。
1.工作原理-DNS负载均衡：通过在DNS服务器上配置多个A记录，将流量分发到多个服务器上。
-IP负载均衡：通过在F5设备上配置虚拟IP地址，将流量分发到多个服务器上。
-基于内容的负载均衡：通过分析请求的内容，将流量分发到最合适的服务器上。
F5设备上还提供了一些高级功能，用来进一步优化负载均衡效果，如会话持久性、HTTP压缩、SSL加速等。
2.特点-高性能：F5设备使用硬件加速器来提高负载均衡的性能，能够处理大量的网络流量。
-高可用性：F5设备具有冗余和故障转移的功能，当一个设备出现故障时，其他设备能够接管其工作，保证服务的连续性。
-灵活性：F5设备具有高度可配置的参数，可以根据实际需求进行灵活的配置和调整。
-可扩展性：F5设备支持横向扩展，可以通过增加设备来处理更大的流量负载。
-安全性：F5设备提供了一系列的安全功能，如SSL加速、认证和授权等，可以保护网络免受恶意攻击。
3.应用场景-互联网应用：由于互联网应用的访问量通常非常大，需要将流量平衡地分发到多个服务器上才能达到高性能的要求。
-数据中心：数据中心通常具有多个服务器，并且需要在它们之间平衡流量，以提供高可用性和性能。
-电子商务网站：电子商务网站通常需要处理大量的网络流量，将流量均衡分发到多个服务器上，可以确保网站的可用性和性能。
-应用服务器集群：应用服务器集群通常包括多个服务器，通过使用F5设备进行负载均衡，可以实现应用服务器的高可用性和性能。
-服务提供商网络：服务提供商通常需要处理大量的网络流量，并提供高可用性和性能的服务。
使用F5链路负载均衡解决方案，可以将流量分发到多个服务器和数据中心上，以实现这些要求。
总结起来，F5链路负载均衡解决方案是通过将网络流量分发到多个服务器上，实现负载均衡和高可用性的一种解决方案。
F5负载均衡-配置指导手册（含IPv6）
F5负载均衡-配置指导⼿册（含IPv6）F5负载均衡-配置⼿册设备概况图形化界⾯通过⽹络形式访问F5任⼀接⼝地址，打开浏览器输⼊https://⽹络接⼝地址；或pc机直连F5的MGMT带外管理⼝，打开浏览器，输⼊（MGMT地址在设备液晶⾯板查看）将进⼊F5的图形管理界⾯。
该界⾯适合进⾏设备的基础以及⾼级调试，是管理员常⽤的管理界⾯。
默认⽤户名/密码：admin/admin命令⾏界⾯通过console线直连F5的console⼝，或通过securecrt等⼯具以SSH2的形式访问F5任⼀接⼝地址，将进⼊命令⾏模式。
该界⾯适合进⾏底层操作系统的调试以及排错。
默认⽤户名/密码： root/defaultF5接⼝⽰意图如上图所⽰，F5同时部署在三个⽹段中，其接⼝⽰意如下：⽹络配置创建vlan进⼊"Network"-"VLANs"选项，点击"create"创建新vlan，如下图：名称处填写该vlan名称，如vlan_170。
再将相应的接⼝划⼊该vlan中，如1.3⼝。
如该vlan需要同交换⽹络中的vlan tag对应，则在tag处填写id，并将接⼝划⼊tagged栏，否则⼀律划⼊untagged。
点击"Finish"完成。
创建self ip进⼊"Network"-"self ips"进⾏F5设备的地址配置，点击"create"新建地址，如下图：填写相应地址和掩码，如192.170.1.202,掩码：255.255.255.0，在vlan处下拉选择之前创建好的vlan_170，将该地址与vlan_170绑定，即ip地址与接⼝做成了对应关系。
在双机部署下，浮动地址的创建需要点击Floating IP的勾，并选择unit ID 为1或2（主备区分）,点击"Finish"完成创建。
(整理)F5负载均衡器双机切换机制及配置.
F5负载均衡器双机切换触发机制及配置1 F5双机的切换触发机制1.1 F5双机的通信机制F5负载均衡器的主备机之间的心跳信息可以通过以下两种方式进行交互：●通过F5 failover 串口线交换心跳信息(电压信号不断地由一方送到另外一方)处于Standby的系统不断监控Failover上的电平，一旦发现电平降低，Standby Unit会立即变成Active，会发生切换(Failover)。
通过串口监控电平信号引起的切换可以在一秒中以内完成(大概200~300ms)。
四层交换机在系统启动的时候也会监控Failover线缆的电平以决定系统是处于Active状态还是Standby状态。
在串口Failover线缆上不传输任何数据信息。
●Failover线缆也可以不采用串口线，而直接采用网络线。
(但F5不建议这样做，因为网络层故障就可能会两台负载均衡器都处于Active状态)。
如果采用网络层监控实现Failover, Bigip将通过1027与1028端口交换心跳信息。
经验证明：两台F5之间一定要用failover cable连接起来，不连接failover cable而直接采用网络线连接在一起不可靠，而且造成了网上事故。
F5双机之间的数据信息是通过网络来完成的。
因此运行于HA方式的两台F5设备在网络层必须是相通的。
(可以用网线将两台F5设备直接相连起来，也可以通过其它的二层设备将两台F5设备相连，使F5设备在网络上可以连通对端的Failover IP地址)。
两台运行于HA方式的四层交换机之间通过网络层交互的信息主要包括：●用于配置同步的信息：通过手工执行config sync会引起Active到Standby系统的配置信息传输。
●用于在发生Failover时连接维持的信息：如果设置了Connection Mirroring,处于Active的四层交换机会将连接表每十秒中发送一次到Standby的系统。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
WAN广域网链路负载均衡测试项目测试项目背景：
测试环境描述
1.1 需求描述
XX股份领导反应：通过互联网采用SSL VPN方式，访问青岛总部内网的OA系统速度慢。
为了解决此问题，目前采用三种测试方案：
1、CITRIX；
2、新增加一台JUNIPER SA4000；
3、增加一台F5 BIGIP LC设备和两条分别为青岛联通、青岛移动的100M 链路结合进行WAN链路负载均衡测试。
第二种测试方案目前已做完，效果不理想，当前准备执行第三套测试方案。
F5 BIGIP LC以及如何在使用GTM一张静态的表单（er）来实现Topology计算。
由于LC只能解析A记录，无法解析SOA 、MX、PTR记录，所以LC只能做一台DNS的子域，无法取代客户的DNS服务器（）。
测试要求：解决电信和网通的南北互连互通问题，用户有二条链路，（一条网通线路，一条电信线路）。
测试规则如下：
1.访问CNC网站走CNC线路
2.访问CT网站走CT的线路
3.访问本地域名（）CNC用户从CNC线路过来访问
4.访问本地域名（）CT用户从CT线路访问
测试环境描述
2测试设备配置步骤
2.1 基础配置
2.1.1进入管理界面，激活license。
注意事项：激活LC设备的license后，一定要完全重新启动一次
(Full_box_reboot)。
系统会自动生成相关的文件和启动相应的服务。
2.1.2Platform相关设置
由于是部分授权，所以LC将作为的子域的Nameserver Hostname：使用NS 的
提醒：上线测试Root和admin密码一定要修改，不可以使用默认的。
2.2 Network的配置
2.2.1创建VLAN
建立三个vlan，电信网通各建一个vlan，内部建立一个vlan
Address：就是NS记录的IP地址
做完network设置，建议测试网络连通性，并且检查Interface属性，判断端口自协商是否成功。
2.2.2route配置
路由分为对外的路由和对内的路由。
对外的路由关联pool_default_gateway(下面会建立这个pool) 。
如果内网有多个网段，需要建立多条回指路由，
建立对外的路由如图
2.3 LC outbound配置
2.3.1创建monitor
二个Monitor 都是检查远端的一台路由器
2.3.2pool的设置
local Traffic->pool
pool member是与LC上层互联地址（就是CNC和CT的上层网关）。
（1）建立一个default gateway pool
(2) 建pool_cnc
Name: pool_cnc
Priorty Group Activation : less than 1
Address : 61.0.0.2 priority 1
202.0.0.2 priority 10
在创建POOL时没有指定Monitor,需要对每个Member单独指定Monitor 如图（3）建pool_ct
Name pool_ct
Priorty Group Activation : less than 1 Address : 61.0.0.2 priority 10
202.0.0.2priority 1
关联monitor与上面pool_cnc的方式一样，2.3.3导入LC地址库
在local Traffic->iRules->Date Groups List
Type：address
在这里只填写一个name 点击Finshed 在/config/bigip.conf文件里就会建立如图所示
把地址库导入到/config/bigip.conf文件里，如图所示：
把所有地址库都导入完成后，保存，一定要b load 加载地址库2.3.4编写iRules
local Traffic->iRules
2.3.5创建Virtual Server
创建一个0.0.0.0：0的网络的VS，只关联iRules (iRules_outbound)，不关联任何Pool，并保持address translation和port translation 没有启用
如果要是有FTP的请求(访问外网的FTP服务器)，那就建一个0.0.0.0：21的host的VS，并关联FTP Profile，如图
2.3.6创建SNAT
建议做一个全局的SNAT，只对internal Vlan 做SNAT
Vlan traffic：enabled on
VLAN List：internal
注：当给定一个转换的IP或SNAT pool，当转换IP或SNAT pool 与接口self IP不在同一网段时，要在接口启用第二个IP，这个第二个IP与转换的IP要在同一网段，以保证数据包走到指定的端口2.4 LC inbound 配置
2.4.1创建Pool
local Traffic->Pool
Pool member：真实的服务器的IP地址
Pool member：真实的服务器的IP地址
Health Monitors ：tcp (接客户要求修改)
2.4.2创建virtual server
local Traffic->virtual server
VS的地址就是DNS上的A记录（一个CNC的A记录，一个CT的A记录），二个VS对应同一个POOL
2.4.3创建linteners
Listener的地址与Self IP必须相同，否则只能做动态解析，也就是WideIP解析
2.4.4创建Link
Link的地址就是上层网关的地址（Pool_CNC里面的member）
2.4.5创建WideIP
这里的二个Member，是上面创建_cnc 和_ct 的二个VS的IP
2.4.6导入er
A.将已经收集好的er上传到/conifg/gtm 目录下
B.要使新的user region生效，在命令行下输入: gtmload 并检测执行
结果是否为Success。
2.4.7创建topolog
Wideip的算法如使用topology 一定要将IP的集合设置满。
如果只添加一条网通用户都指向网通的202.0.0.0/24的话。
没有在地址库里的地址，就会选择第二种算法，
2.4.8上层DNS授权
提前几天让客户把他的DNS的TTL时间改小一般改为30S，
CNAME
NS
NS
A 202.0.0.1
A 61.0.0.1
总结
到些LC就配置完成了，做完了不要先做DNS授权，先在本地测试一下，如果没有问题，可以先切过来一个域名，如果没有问题，在切别的域名
23
24。