深信服应用交付(负载均衡)解决方案
信服云_应用交付概述和介绍V1
四层虚拟化服务
四层：纯转发。不解析协议，不修改包内容；前端（PC-AD）和后端（AD-SRV）是同一条连接，类似端口映射，只 做NAT。抓包分析时：转发前后TCP层的tcp.id、tcp.seq和tcp.ack都不会变化，所以很容易通过这几个字段找到相对 应的前后端连接。
第10页
七层虚拟化服务
第13页
SSL卸载
SSL卸载技术是通过将应用访问过程中SSL的加解密过程转到深信服AD设备之上，从而减少服务器端的性能压力，提升客 户端的访问响应速度。深信服AD设备具有强劲的SSL处理能力，不但能够实现端到端的SSL加密，同时支持全面的加密算 法配置，并可管理服务器证书。如下图所示。深信服AD设备通过对服务器的SSL卸载处理，在减少服务器性能消耗的同 时，节省应用系统服务器数量，降低了业务系统的硬件投资，并大幅度缩短用户请求的响应时间从而极大提升了用户的 访问体验。
第14页
SSL加密
为了保证做了SSL卸载后的内网数据安全或代理访问加密的SSL应用，我们可以配置[SSL加密策略]对访问该虚拟服务的流 量做SSL加密处理后再和节点进行通信 仅TCP文流量经AD后做SSL加密成加密流量去访问服务器端
第15页
第19页
HTTP改写策略
改写类型：配置改写的类型，可选请求改写或应答改写。 源IP范围：配置访问虚拟服务的用户来源IP地址，可选所有地址、IP地址（单个IP、子网或地址范围）、用户地址集。 高级匹配条件：配置匹配HTTP请求行、请求头部、应答行、应答头部或请求的证书变 量的匹配条件，匹配上则执行相应的动作。 若[高级匹配条件]选择请求行，则可选的字段包括 URI、METHOD 和 VERSION。 [URI]字段可设置条件是否等于、是否包含、是否通配符和是否正则匹配等，并设 置相应的值；[METHOD]字段可设置条件为 GET 或者 POST；[VERSION]字段 可设置条件为 HTTP/1.0 或者 HTTP/1.1。 若[高级条件匹配]选择请求头部，则可选的字段包括 HOST、COOKIE、 USER_x0002_AGENT 和自定义。[HOST]、[COOKIE]、[USER-AGENT]和自定义字段，均可设 置条件等于、包含、通配符和正则匹配，并设置相应的值。 若[高级条件匹配]选择证书变量，则可选的字段包括 Version、Issuer、Subject、Common Name、EmailAddress、 Organization、Organizational Unit、Locality、State or Province、Country，其中[VERSION]字段可设置条件为 V1、 V2 或 V3
负载均衡---SANGFOR_AD与radware、F5产品对比
国内外主流负载均衡产品对比分析负载均衡设备厂家对比分析厂商名称深信服radware F5公司介绍深信服科技目前是中国成长最快、创新能力最强的前沿网络设备供应商，致力于通过创新和技术领先的网络产品，帮助用户提升网络带宽的价值。
目前其产品已经应用于1万4千多家客户，主要在政府单位和大型企业中应用，其中包括公安部在内，近200家省厅及国家部委单位。
深信服的VPN产品国内市场占有率第一，是国家VPN加密标准的起草单位。
Radware 是以色列一家领先的智能化解决方案供应商，致力于确保在IP上快速、可靠而安全地交付网络或基于Web的应用程序。
产品系列中包括为满足IP应用服务器、防火墙、cache 服务器和W AN 链接而开发和设计的产品。
其在国内的客户主要集中在运营商、金融、电子商务企业。
F5是美国著名的应用交付设备厂家，致力于帮助客户在整个企业范围发挥虚拟化的威力，提高业务水平。
解决方案可以优化网络、服务器、以及存储环境。
目前其在国内主要的客户群主要包括了金融、大型企业集团、网站等。
服务介绍深信服是总部设于深圳的中国企业，在全国有30多个办事处。
设有中国负载均衡行业最大的CTI呼叫中心，拥有坐席70人，提供7*24小时服务。
而在河南郑州设有直属办事处，以及一个服务中心，有专业产品工程师5人。
Radware 目前在国内有4个办事处，分别位于上海、广州、北京、成都。
为所有用户提供5*8小时本地电话及在线支持服务。
目前在河南还没有建立直属办事处，售后服务主要由其代理商负责。
F5 目前在国内有4个办事处，分别位于上海、广州、北京、成都。
为所有用户提供5*8小时本地电话及在线支持服务。
目前在河南还没有建立直属办事处，售后服务主要由其代理商的认证工程师负责。
提供收费的原厂售后支持服务。
产品介绍深信服的负载均衡是目前国内唯一的专业负载均衡设备厂家，其设备专注在为用户提供高性价比的负载均衡解决方案，实现把应用负载和链路负载二合一的功能。
深信服负载均衡AD彩页解决方案
深信服应用交付AD深信服，作为中国最大最有竞争力的前沿网络设备供应商，为3万多家客户提供了稳定可靠的访问，每秒钟经过深信服AD处理的业务交易量高达数千万笔，在中国入选世界500强的企业中，85%以上企业都是深信服的客户。
中国第一品牌全球知名分析机构Frost & Sullivan发布的《2013年中国应用交付产品（ADC）市场分析报告》显示：深信服应用交付AD在2013年依然保持强劲增长，在中国市场占比中，超越Radware，升至第二，与F5再次缩小距离，并继续保持国产厂商第一的领导地位。
④报告数据显示，Sangfor（深信服）2013年在中国地区应用交付市场的份额达到14.1%，排名升至第二位。
④自2009年推出到市场上以来，深信服AD产品由第九名一跃进入三甲，在国产厂商中名列前茅。
AD产品广泛应用于国家部委单位的核心系统与电信运营商的生产网。
④优异的市场表现，也促使深信服成为唯一入选Gartner应用交付魔力象限的国产厂商，分析师对深信服产品的安全性评价尤为突出。
面向未来的应用交付产品随着大数据时代的来临，即便是当前强劲的10Gbps性能设备在面对数十G业务量的并发处理时，也难免也会捉襟见肘。
顺应网络发展的趋势，深信服AD系列产品采取基于原生64位系统的软硬架构设计，在确保高性能处理能力的同时，提供电信级的设备可靠性。
深信服AD可帮助用户有效提升✓应用系统的处理性能与高可用性✓多条ISP出口线路的访问通畅、均衡利用✓分布式数据中心的全局调度、业务永续✓业务应用的安全发布与高效访问④兼顾高性能与高稳定性的架构设计，原生64位内核OS，数据面与控制面相分离，确保软件系统的稳定高效。
④非对称多处理架构发挥出多核硬件平台的极致性能，实现高达60Gbps的单机性能处理性能。
④提供100Gbps 以上业务量的性能扩容方案，以满足运营商和金融行业对于扩展性与高可用性的追求。
典型客户案例国家税务总局：SSL加速确保全国网上报税的安全发布国家税务总局所建设的的金税三期工程，面对全国纳税人提供7x24小时便捷网上报税服务。
深信服上网行为及负载均衡技术方案
技术方案本方案包含两个部分，上网行为管理技术方案和负载均衡技术方案一、上网行为管理技术方案1、需求概述背景介绍随着互联网技术的发展，组织的业务模式和员工的工作模式、行为习惯都在不断发生改变：⏹网上业务：组织建设了更多的网上业务平台，通过互联网来开展业务；⏹沟通桥梁：内部员工也更加依赖互联网与外部的合作伙伴、人员进行沟通和交流，提升工作效率，获取资讯和知识，维系人脉关系；⏹移动互联网：移动互联网的消费化趋势也逐渐影响到组织内部的IT系统，员工更喜欢通过WLAN、移动终端类开展工作；因此，在员工的日常工作中，ISD需要针对互联网出口平台的如下上网行为管理、上网安全防护需求进行改造，提供一个更安全、更高效的上网环境。
上网行为管理需求员工访问互联网的习惯正在发生变化，从最早使用PC、有线局域网，到更多使用移动终端、WLAN来进行办公，如果过度开放的上网环境会带来以下问题：工作效率低下网络的普及改变了传统的办公方式，而内网中总有部分用户在上班时间有意无意的做与工作无关的网络行为，比如聊天、炒股、玩网游、看视频、网购等，而且越来越多的员工正在通过企业无线网络来使用移动APP版的淘宝、陌陌。
这严重影响工作效率，从而导致企业竞争力的下降。
所以，组织需要针对PC、移动终端等各种应用、APP进行更有效的识别和管控。
带宽滥用和浪费互联网中充斥着P2P下载、在线视频、游戏、在线小说等耗费带宽的非关键业务应用，用户在使用这些应用的过程中必然会占用大量的带宽，而关键的业务应用、关键人员角色则得不到足够的资源。
此外，传统的带宽管理策略都是静态的，当带宽空闲时，依然会限制用户的流量，带宽价值被大大浪费。
所以，IT部门需要针对各种应用类型、用户角色、带宽占用情况等，提供更加灵活、细致、动态的带宽管理策略，提升用户上网体验。
BYOD难管理随着移动终端的普及，员工往往会采用PC、智能手机、Pad等多种终端，通过有线和无线网络，在不同的位置（办公座位、会议室等），接入企业IT系统。
SANGFOR_AD应用负载产品介绍
CPU 应用吞吐量 最大并发会话数 四层处理能力（/秒） 七层处理能力（/秒） 内存实配（单位M) 存储介质（单位M） SSL卸载和加速 SSL对称加密吞吐量
双核/2.0 GHz
6.0Gbps 8,000,000 220,000 600,000 8G 320G 缺省500TPS 未知
6.0Gbps 8,000,000 230,000 660,000 16G 500G 缺省6500TPS 1.3Gbps
英文界面
服务器性能优化 / 压力卸载
TCP连接复用－减少服务器的性能开销，从而提高服务器的处理能力 Cache缓存－降低服务器的负载压力，提升用户请求的响应速度 HTTP压缩－减少网络中实际传输数据量，改善用户的访问体验 SSL卸载－从服务器端卸除SSL处理计算负荷，解决业务系统性能问题
型号对比
TCP 单边加速
Hale Waihona Puke SANGFOR AD加速广域网上的业务交付
• 跨国、跨运营商、移劢互联网访问存在丢包、延迟在存在丢包延迟网 络，传统TCP协议效率低下，影响用户访问速度 • TCP单边加速改进拥塞控制算法和丢包重传机制，提升TCP协议效率 • 服务器端单边部署，客户端零安装，对用户透明 网络传输效率提升至少30%以上
深信服应用交付解决方案
——SANGFOR AD应用交付产品
2011年大中华区应用交付产品市场份额
SANGFOR AD特色技术
服务器健康检查
应用级健康检查
SANGFOR AD提供应用级服务器检查机制 • 提供四、七层健康监测，尤其是针对七层应用层的健康监测功能，有 效防止服务器正常但应用出问题的情况（四层健康监测无法识别该情 形），全面保障业务系统的稳定性、提高负载均衡的效率 减少宕机时间，实现业务级高可用
深信服智能DNS全局负载均衡解决方案
深信服智能DNS全局负载均衡解决⽅案智能DNS全局负载均衡解决⽅案——深信服AD系列应⽤交付产品背景介绍在数据⼤集中的趋势下，多数组织机构都建⽴了统⼀运维的数据中⼼。
考虑到单⼀数据中⼼在遭遇到不抗拒的因素（如⽕灾、断电、地震）时，业务系统就很有可能⽴即瘫痪，继⽽造成重⼤损失，因此很多具有前瞻性的组织机构都在建设多数据中⼼以实现容灾。
那么如何充分利⽤多个数据中⼼的资源才能避免资源浪费？如何在⼀个数据出现故障时，将⽤户引导⾄正常的数据中⼼？在多个数据中⼼都健康的情况下如何为⽤户选择最佳的数据中⼼？问题分析随着组织的规模扩⼤，⽤户群体和分⽀机构分布全国乃⾄全球，这⼀过程中组织对信息化应⽤系统的依赖性越来越强。
对于企事业单位⽽⾔，要实现业务完整、快速的交付，关键在于如何在⽤户和应⽤之间构建的⾼可⽤性的访问途径。
跨运营商访问延迟－由于运营商之间的互连互通⼀直存在着瓶颈问题，企业在兴建应⽤服务器时，若只采⽤单⼀运营商的链路来发布业务应⽤，势必会造成其他运营商的⽤户接⼊访问⾮常缓慢。
在互联⽹链路的稳定性⽇益重要的今天，通过部署多条运营商链路，有助于保证应⽤服务的可⽤性和可靠性。
多数据中⼼容灾－考虑到单数据中⼼伴随的业务中断风险，以及⽤户跨地域、跨运营商访问的速度问题，越来越多组织选择部署同城/异地多数据中⼼。
借助多数据中⼼之间的冗余和就近接⼊机制，以保障关键业务系统的快速、持续、稳定的运⾏。
深信服解决⽅案智能DNS全局负载均衡解决⽅案，旨在通过同步多台深信服AD系列应⽤交付设备，以唯⼀域名的⽅式将多个数据中⼼对外发布出去，并根据灵活的负载策略为访问⽤户选择最佳的数据中⼼⼊⼝。
⽤户就近访问④⽀持静态和动态两种就近性判断⽅法，保障⽤户在访问资源时被引导⾄最合适的数据中⼼④通过对⽤户到各站点之间的距离、延时、以及当前数据中⼼的负荷等众多因素进⾏分析判断④内置实时更新的全球IP地址库，进⼀步提⾼⽤户请求就近分配的准确性，避免遭遇跨运营商访问站点健康检查④对所有数据中⼼发布的虚拟服务进⾏监控，全⾯检查虚拟服务在IP、TCP、UDP、应⽤和内容等所有协议层上的⼯作状态④实时监控各个数据中⼼的运⾏状况，及时发现故障站点，并相应地将后续的⽤户访问请求都调度到其他的健康的数据中⼼⼊站流量管理④⽀持轮询、加权轮询、⾸个可⽤、哈希、加权最⼩连接、加权最少流量、动态就近性、静态就近性等多种负载均衡算法，为⽤户访问提供灵活的⼊站链路调度机制④⼀旦某条链路中断仍可通过其它链路提供访问接⼊，实现数据中⼼的多条出⼝链路冗余⽅案价值④合理地调度来⾃不同⽤户的⼊站访问，提升对外发布应⽤系统的稳定性和⽤户访问体验④多个数据中⼼之间形成站点冗余，保障业务的⾼可⽤性，并提升各站点的资源利⽤率④充分利⽤多条运营商链路带来的可靠性保障，提升⽤户访问的稳定性和持续性。
2020年深信服负载均衡解决方案
负载均衡
多台服务器运行同一业务系统 分配哪个服务器？
多种算法，最佳分配 健康检查，及时调整
负载均衡
多个数据中心发布同一业务 去哪个数据中心？
数据中心A
数据中心B
负载均衡可根据用户访问位置 分配数据中心 数据中心故障时，可自动切换
负载均衡
通过健康检查，判断链 路或者服务器是否已出 现故障
健康 检查
的 问
上网流量选路的链路负载均衡（2）
销售引导话术： 1.目前咱们网络有几条出口？分别用的是哪家运行商的呢？ 带宽是多少？ 2. 咱们的链路做主备使用，是不是出现过其中某条链路带 宽利用率很高，而另外一条链路却基本没什么流量呢？ 3.有没有内网的用户提意见说访问某些网站的时候特别的 慢和不流畅呢？
典型业务场景
解决方案类型汇总
性能优化 单边加速
入站链路 负载均衡
AD
全局负载 均衡
出站链路 负载均衡
服务器负 载均衡
面向用户的销售场景 ➢ 业务系统升级，互联网出口改造（已
有网络要改造，有一定销售难度） ➢ 替换竞争对手（竞争对手产品服务到
期，需更新设备，销售难度小） ➢ 新建业务系统（从头规划开始建设，
主要功能 链路负载均衡 服务器负载均衡 全局负载均衡 服务器性能优化
简单介绍 内网用户上网和外网用户接入选择最佳访问链路 链路冗余，访问速度快、质量好 通过L4/L7层算法，选择不同的服务器 服务器资源利用率提升，服务器冗余 通过算法智能引导用户访问合适的数据中心 智能分流，智能引导，提供数据中心应用级冗余 通过SSL卸载、TCP连接复用等技术，减轻服务器业务压力 释放服务器性能压力，提升服务器处理能力，减少硬件投入
场景举例练习：互联网出口的链路负载
深信服应用交付AD(负载均衡)幻灯片
选择最佳计算资源，分担任务处理
七层内容交换
c.jsp a.gif index.htm
c.jsp
JSP server
a.gif index.htm
GIF server HTML server
ISP 1 ISP 2
SANGFOR AD提供链路健康检查机制
• SANGFOR AD通过多个Internet站点的可达性，来共同判断一条链路的状况 • 内置多种协议TCP、UDP、ICMP、HTTP等 • 支持用户自定义，基于内容的链路健康检测机制 • 一旦链路出现问题，立即切换。
SANGFOR AD实现出站访问的链路负载均衡
• SANGFOR AD接收到内网的访问流量后，通过预先设定链路负载策略将用户访问流量分配到不同 的互联网链路之上。
• 静态就近性：根据目标网络进行NAT，内置全球地址库，实时动态更新 • 动态就近性：通过综合考虑与目标网络之间的网络延迟（Latency）和链路的实时负载（Load），
SANGFOR AD提供全面的七层调度策略
• 分析HTTP请求，基于URI、Cookies、HOST、HTTP-Head进行调度 • 将不同的HTTP请求交给不同的或多个服务器来响应以分担负载 • 支持HTTP请求改写和应答改写，以及页面跳转和丢弃
实现业务架构灵活配置和扩展
会话保持（Session Persistence）
深信服应用交付解决方案
——SANGFOR AD系列应用交付产品
目录
Sangfor AD 功能介绍 Sangfor AD 特色技术介绍 Sangfor AD 业务场景介绍
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
服务器
数据库
Database Database Database
Database Database Database
物理架构
&
WEB层
APP层
数据库
Database Database Database
Database Database Database
虚拟化 OpenStack管理
链路负载解决方案
SSL加密和SSL卸载
支持SSL加密技术，能够通 过加密算法实现端到端的加 密，同时通过SSL卸载减轻
后端服务器压力。
证书透传
支持证书字段的信息透传与过滤 （HTTP Header、Cookie、URL
等方式），保持认证一致性
安全
RSA算法和国密算法
支持国际通用密码算法（RSA算 法），支持国家商用密码算法 SM1-SM4, 并拥有国家密码管理 局批准的《商用密码产品型号证 书》
重要信息被监听和 窃取
应用访问慢，影响 用户体验
影响网络和应用高பைடு நூலகம்量交付因素
客户端
Data
ISP
SEVER
base
链路故障，应用不可用 跨运营访问，访问体验差
应用受到哪些威胁 服务器故障，应用不可用
服务器故障，服务器不响应
应用假死，应用无响应
数据库故障，应用无响应
HTTP访问，应用不安全
写入压力大，应用响应慢
应用交付价值:提升应用访问的高效性
灵活的算法
通过各种灵活的算法保障 在大流量、高并发的场景 下也能合理分配，提升访
问的高效性。
TCP连接复用
加快了客户端与后台服务 器之间的连接处理速度， 提高应用系统的处理能
HTTP压缩
缩短用户下载内容的等待时 间，减轻Web服务器的压力，
提升用户的访问体验
应用交付价值:提升应用访问的安全性
双活/多活数据中心解决方案
解决方案：
✓ 智能DNS，帮助用户选择最优的接入数据中心和最 优的接入线路
✓ 跨数据中心会话保持，保证业务访问的连续性；
✓ 灵活的算法调度和故障切换机制，保证能够快速进 行跨数据中心的调度或切换；
✓ 灵活应对突发业务，当一个数据中心资源不足时， 可通过调度使用另一个数据中心资源
（带宽足）
动态选路：其他访问由电信和移动线路承载，动态探测响应速度，哪条线路快就
走哪条线路
链路状态可视：通过首页的大屏显示直观展示各个链路应用分配情况 高可用：实时探测链路状态，故障自动引流；双机部署+会话镜像，保障自身高
可用，故障切换不中断访问
国外网站专线访问：启用内置的国外域名库匹配，所有访问国外域名的流量，
深信服应用交付技术优势：硬件层面稳定
RAID 1
全线AD产品升级Intel DC 系列企业级SSD 我们的AD将升级Intel数据 中心企业级SSD（Intel DC S4600），整体寿命、可靠 性将远远超过企业级机械盘。 有了SSD，整个系统在IO方 面的更加流畅。
高端型号支持RAID1双硬盘 确保整个系统都稳定可靠，即 使是非常小概率的SSD损坏， 依然能保持业务连续。
DDOS攻击，应用不可用
Data Center
数据中心故障，应用不可用
交付过程
APP
应用
02
网络和应用建设分析
应用交付价值:提升网络访问体验
灵活多变的算法，保证流量合理均匀调 度，避免线路分配不均的问题。
智能的应用选路，保障重要应用带宽 得到保障，提升访问的体验。
全面的地址库保障用户的访问可以根据 地址库选择最优的运营商线路，避免跨 运营商访问。
电信 500M
移动 1G
解决方案：
智能选路：按运营商选路，访问电信地址走电信，反之亦然；全网地址 库更新，保证选路准确性；访问非电信联通地址，按照动态探测结果选 路，哪条线路快就走哪条线路； DNS透明代理：拦截用户的DNS请求，重新按策略分发给各个线路的运 营商DNS服务器； 应用选路：按应用进行选路，游戏、网银走电信（质量好），视频、下载走移动
深信服应用交付
（负载均衡）
解决方案
目录
01 传统网络和应用面临的挑战 02 网络和应用建设分析 03 深信服应用交付解决方案
01
传统网络和应用面临的挑战
网络面临的挑战
访问体验差
线路故障频发
应用带宽抢占
跨运营商互访体 验差
上网访问中断
线路调度不均
应用面临的挑战 稳定
安全
高效
出现访问不可达， 影响收入
灵敏准确的探测方式保障即使出现故障 也能够及时切换，避免访问中断。
应用交付价值:提高应用访问稳定性
准确灵敏的探测方式
应用级健康检查，准确发 现异常故障；
合理的调度机制
多种算法适应多种不同的应用 场景，即使某服务器故障也能 通过调度机制在其他服务器合 理分配，做到用户无感知。
灵活的会话保持
多种灵活的会话保持机制， 保证在不同场景下用户访问 的连贯性；
灵活的加密套件强度设置
支持设置限制加密套件强度，可手动 调整不同加密套件优先级，可指定客 户端证书最小秘钥长度，可拒绝加密 强度低的不安全算法
03
深信服应用交付解决方案
应用交付为应用构建稳定、安全、高效交付平台
链路 全局
C/S架构
ISP1
ISP2
用户
B/S架构
ISP1
SIP2
WEB APP DB 多DC
都走专线；
服务器负载解决方案
解决方案：
✓ 应用级健康监控，准确发现业务状态 ✓ L4/L7负载均衡，构建高可用可扩展的业务架构 ✓ 性能优化技术，减少服务器压力，提升访问速度 ✓ iPro可编程接口，提供定制化的流量处理方式； ✓ 多种调度算法，满足应用快速访问；
SSL卸载解决方案
✓ 支持国密1.1、TLS 1.0、TLS 1.1 、TLS1.2等协议标 ； ✓ 持国密SSL算法的单向和双向认证，支持RSA和国密SM2、SM3、SM4算法； ✓ 支持SNI拓展特性，可在单个应用上启用多张证书，并可对请求Host校验，防止非法访问； ✓ 支持LDAP、HTTP、FTP等方式同步CRL证书吊销列表,单个CRL吊销列表文件最大支持2G。
高端型号支持IPMI带外管理 满足高端客户对异常故障的担 忧。即使设备发生故障，整个 系统卡死，一样可以通过IPMI 登录第二小系统，对整个设备 进行重启。
深信服应用交付技术优势：软件架构稳定
基于应用层架构：F5、深信服
基于内核Netfilter架构：迪XX、华XX