【正文】 1 F5 解決方案 吳棟 Presales Consultant F5 Networks 2 議 程 案例介 紹 – BEA Tuxedo應 用 – DNS應 用 – IMS/NGN應 用 – 家庭網(wǎng)關 應 用 – 全球眼 應 用 – IDC增 值應 用 3 關鍵的信息神經(jīng)中樞流轉(zhuǎn)管理 應用 網(wǎng)絡 Routers, L2/L3 switches, firewalls, caches, ISP links Web servers, application servers, databases Microsoft, Oracle, BEA, Citrix, Siebel, SAP 服務器 4 Transaction for UNIX has been Extended for Distributed Operation（被分布式操作 擴 展之后的 UNIX事 務 系 統(tǒng) ） 目前， BEA Tuxedo廣泛 應 用于 銀 行、金融、 電 信、交通、零售、制造、醫(yī) 療 、政府等 領 域， 這些用 戶 的共同特點是具有復 雜 、高端的信息管理系 統(tǒng) ，應 用 環(huán) 境多種多 樣 且系 統(tǒng) 用 戶 在地域上分布很廣，其 應 用通常建立在主機或大 規(guī) 模客 戶 機／服 務 器系 統(tǒng) 之上，且 業(yè)務處理量極大。 Bea Tuxedo 簡介 5 原有 tuxedo 結構和問題的存在 問題 1 單點故障 Client Switch Tuxedo Master Tuxedo node 原有 tuxedo 結構和問題的存在 Master 是一個非常明顯的單點故障 系統(tǒng)的整體服務能力受到Master的瓶頸制約 , 而tuxedo 的多次短連接對Master存在很大壓力 . 6 經(jīng)過抓包分析和應用訪問流程分析 , 每個訪問的 Source IP 是相同的 , 并且每次訪問的 Source Port是隨機的 。 而訪問的目標地址是 VIP, 但第一次的 WSH的訪問是固定的 , 6667。 而WSL連接時的目標端口是服務器通知用戶的 。 原有 tuxedo 結構和問題的存在 問題 2 普通負載均衡產(chǎn)品無法成功建立連接 Source IP: Client IP 。 port : random like 1111 Dest IP : vip 。 port : WSH like 6667 Source IP: server 01 。 port : 6667 Dest IP : Client IP 。 port : 1111 TCP 內(nèi)容通知 Client 可以連接一個 WSL 端口 , 在規(guī)定范圍內(nèi)隨機產(chǎn)生一個 。 例如8888 Client 受到回應后發(fā)起對 WSL的訪問 Source IP: Client IP 。 port : random like 1112 Dest IP : server ip 。 port : WSL 8888 目的 ip與端口 6667不匹配 ,端口不可達 !連接關閉 Source IP: Client IP 。 port : random like 1111 Dest IP : Server 01 。 port : WSH like 6667 Source IP: VIP 。 port : 6667 Dest IP : Client IP 。 port : 1111 TCP 內(nèi)容通知 Client 可以連接一個 WSL 端口, 在規(guī)定范圍內(nèi)隨機產(chǎn)生一個 。 例如 8888 7 Tuxedo 應用訪問流程分析 Client Switch Tuxedo node 經(jīng)過抓包分析和應用訪問流程分析 , 每個訪問的 Source IP 是相同的 , 并且每次訪問的 Source Port是隨機的 。 而訪問的目標地址是 VIP, 但第一次的 WSH的訪問是固定的 , 6667。 而WSL連接時的目標端口是服務器通知用戶的 。 結論 :在網(wǎng)絡層完全無跡可尋 。 負載均衡失敗 F5 BigIP 8 Client Switch Tuxedo node 在很多實際網(wǎng)絡結構中存在一個特別的大機 , 作為所有用戶端訪問的一個代理 . 如果 配置 Source IP 的會話保持方式 ,所有的訪問都會定位到同一臺服務器 , 破壞了負載均衡的處理 。 如果沒有會話保持又會破壞用戶訪問的連接中斷 , 可能跟一個 node WSH后卻和另外一個 node WSL Load balance 原有 tuxedo 結構和問題的存在 問題 3 一般負載均衡方法無法實現(xiàn)負載均衡 9 改變后的結構和標準使用方法 Client Switch Tuxedo node 改變后由 BigIP的 VIP取代原有Master 的功能 在 tuxedo node上配置單獨的 WSH功能 , 為配合原有由 Master提供的WSH功能 , 在每個 node上配置類似防火墻的 NAT后的處理方法 , 保證連接的建立 . 為保證用戶和 Tuxedo node 建立連接后的多次訪問 , 在 BigIP上配置Source IP 的會話保持方式 , 來保證相同的客戶 IP地址都會被定位到同一臺服務器提供服務 . F5 BigIP 10 會話保持的概念 將從一個客戶的后續(xù)的連接送到同一臺服務器 – 與負載均衡的模式相對應 1 2 3 1 2 3 11 服務器監(jiān)控和健康檢查 – 服務器 (Node)Ping(ICMP) – 服務 (Port)Connect – 擴展的應用驗證 (EAV) – 擴展的內(nèi)容驗證 (ECV) – 針對 VOD服務器的專用健康檢查機制 – 針對節(jié)點的檢查頻率和超時頻度 ,應 , 市場現(xiàn)象 : 監(jiān)視行為消耗掉我們流量的 10% 以上 F500 Financial 76% 的用戶在看到一個斷掉的聯(lián)接時 ,會離開該站點 Gomez 互聯(lián)網(wǎng)用戶的忍耐度不超過 20 秒 Gartner 12 應用流量 Authentication SSL Certificate Management Application Servers Databases Web Servers Application Filtering 1. 應用邏輯 2. 安全性 3. 高可用性 4. 外部專家 DoS protection Web Services Security Intelligent Port Mirroring 利用 F5獨有的 irules滿足用戶個性需求 iRules 基于 UIE識別的值，靈活指向，保持，或過濾流量 Universal Inspection Engine (UIE) 識別 TCP/IP包頭或數(shù)據(jù)包中的任何值的能力 . Mobile Applications Web Services QoS Link Management Web Accleration Health Checking LoadBalancing Prioritization Persistence Open API amp。 SDK Security Systems