【文章內(nèi)容簡(jiǎn)介】 緩沖確認(rèn)的 SYN 防止 SYN 攻擊；拒絕 teartop 和 land 攻擊；保護(hù)自己和服務(wù)器免受 ICMP攻擊；不運(yùn)行 SMTP、 FTP、 TELNET或其它易受攻擊的后臺(tái)程序。 BIGIP 的 Dynamic Reaping特性可以高效刪除 各類(lèi)網(wǎng)絡(luò) DoS 攻擊中的空閑連接，這可以保護(hù) BIGIP 不會(huì)因流量過(guò)多而癱瘓。 BIGIP 可以隨著攻擊量的增加而加快連接切斷速率，從而提供一種具有極強(qiáng)適應(yīng)能力、能夠防御最大攻擊量的解決方案。 廣州市欣德信息技術(shù)有限公司 BIGIP 的 Delay Binding技術(shù)可以為部署在 BIGIP 后面的服務(wù)器提供全面地SYN Flood 保護(hù)。此時(shí)， BIGIP 設(shè)備作為安全代理來(lái)有效保護(hù)整個(gè)網(wǎng)絡(luò)。 BIGIP 可以和其它安全設(shè)備配合，構(gòu)建動(dòng)態(tài)安全防御體系。 BIGIP 可以根據(jù)用戶單位時(shí)間內(nèi)的連接數(shù)生成控制訪問(wèn)列表，將 該列表加載到其它安全設(shè)備上，有效控制攻擊流量。 系統(tǒng)管理 BIGIP 提供 HTTPS、 SSH、 Tel、 SNMP 等多種管理方式，用戶客戶端只需操作系統(tǒng)自帶的瀏覽器軟件即可，不需安裝其它軟件?？梢酝ㄟ^(guò)支持命令行的SSH或支持瀏覽器管理的 SSL方便、安全的進(jìn)行遠(yuǎn)程管理。直觀易用的 Web 圖形用戶界面大服務(wù)降低了多歸屬基礎(chǔ)設(shè)施的實(shí)施成本和日常維護(hù)費(fèi)用。 BIGIP 包含詳盡的實(shí)時(shí)報(bào)告和歷史紀(jì)錄報(bào)告，可供評(píng)測(cè)站點(diǎn)流量、相關(guān) ISP 性能和預(yù)計(jì)帶寬計(jì)費(fèi)周期。管理員可以通過(guò)全面地報(bào)告功能充分掌握帶 寬資源的利用狀況。 另外，通過(guò) F5 的 iControl 開(kāi)發(fā)包，目前國(guó)內(nèi)已有基于 iControl開(kāi)發(fā)的網(wǎng)管軟件 xcontrol, 可以定制針對(duì)系統(tǒng)服務(wù)特點(diǎn)的監(jiān)控系統(tǒng) ,比如服務(wù)的流量情況、各種服務(wù)連接數(shù)、訪問(wèn)情況、節(jié)點(diǎn)的健康狀況等等，進(jìn)行可視化顯示。 告警方式可以提供 syslog、 snmp trap、 mail等方式。 其它 BIGIP 內(nèi)置 iControl SDK 二次開(kāi)發(fā)包，可以通過(guò) API 接口方便的取得各種流量統(tǒng)計(jì)信息，作為計(jì)費(fèi)的依據(jù)。在 Web 用戶界面上面也可以方便的查看各種流 量統(tǒng)計(jì)信息，如果需要按照流量計(jì)費(fèi)，可以使用以上兩種方式取得流量的統(tǒng)計(jì)信息。 F5 NETWORKS 免費(fèi)提供安裝在服務(wù)器端、動(dòng)態(tài)獲取服務(wù)器信息的 agent軟件，將其安裝在服務(wù)器端以后，就可以動(dòng)態(tài)獲取服務(wù)器當(dāng)前運(yùn)行狀態(tài)。 升級(jí)能力 ： F5 所有設(shè)備均可通過(guò)軟件方式升級(jí)，在服務(wù)有效期內(nèi)，升級(jí)軟件包由F5 公司提供。 廣州市欣德信息技術(shù)有限公司 IP地址過(guò)濾和帶寬控制 ： BIGIP 可以根據(jù)訪問(wèn)控制列表對(duì)數(shù)據(jù)包進(jìn)行過(guò)濾，并且針對(duì)某一關(guān)鍵應(yīng)用進(jìn)行帶寬控制，確保關(guān)鍵應(yīng)用的穩(wěn)定運(yùn)行。 配置管理及系統(tǒng)報(bào)告 ： F5 BIGIP 提供 WEB 界面配置方式和命令行 方式進(jìn)行配置管理，并在其中提供了豐富的系統(tǒng)報(bào)告，更可通過(guò) iControl自行開(kāi)發(fā)復(fù)雜的配置及報(bào)告生成。 服務(wù) ：在 F5 的體系中，擁有代理商、廠商等多級(jí)服務(wù)與支持體系，可以保證用戶購(gòu)買(mǎi)的產(chǎn)品得到優(yōu)異的售后服務(wù)支持， 可通過(guò) 。 四．方案設(shè)計(jì) 網(wǎng)絡(luò)拓?fù)鋱D 此方案設(shè)計(jì)中采用的拓?fù)鋱D如下所示： 鏈路負(fù)載均衡網(wǎng)絡(luò)拓?fù)鋱D 方案設(shè)計(jì) 描述 此方案設(shè)計(jì)網(wǎng)絡(luò)圖為邏輯網(wǎng)絡(luò)連接圖。 電信路由器 INTERNET 聯(lián)通路由器 內(nèi)部以太網(wǎng)絡(luò) 內(nèi)部用戶群 廣州市欣德信息技術(shù)有限公司 方 案設(shè)計(jì)總體描述 本方案設(shè)計(jì)采用 F5 Networks 公司負(fù)載均衡設(shè)備 F5BIGLTM1600+LC 模塊來(lái)實(shí)現(xiàn) Outbound（內(nèi)部客戶端發(fā)起對(duì) Inter 的訪問(wèn)） 方向負(fù)載均衡 ； 系統(tǒng)采用冗余網(wǎng)絡(luò)連接方式設(shè)計(jì)，來(lái)保證系統(tǒng)的高可用性和高可靠性 ，同時(shí)使用 F5 特有的 IRULE功能智能 控制訪問(wèn) 流量的選路。 方案具體實(shí)現(xiàn)方式如下： 1． 對(duì)于 inbound 流量 內(nèi)部 發(fā)布 業(yè)務(wù) 使用 F5 智能 DNS 解析 ， 將 業(yè)務(wù) 發(fā)布 在 電信和聯(lián)通地址 上 ，F(xiàn)5 根據(jù)用戶的 LDNS 做判斷。電信用戶訪問(wèn)業(yè)務(wù)時(shí)，先通過(guò) LDNS 查詢，然后 F5返回電信 ip 給用戶訪問(wèn)資源；聯(lián)通用戶訪問(wèn)業(yè)務(wù)時(shí)，也先通過(guò) LDNS 查詢，然后F5 返回聯(lián)通 ip 給用戶訪問(wèn)資源。 2． 對(duì)于 outbound 流量 內(nèi)網(wǎng)用戶訪問(wèn)公網(wǎng)業(yè)務(wù)和服務(wù)器，使用 F5 特有的 IRULE功能智能判斷目標(biāo)地址所屬運(yùn)營(yíng)商，然后將訪問(wèn)流量分配到相應(yīng)運(yùn)營(yíng)商接口出去 ，判斷好將流量分配到哪條鏈路之后將數(shù)據(jù)包的源地址轉(zhuǎn)換成相應(yīng) ISP 網(wǎng)段的公網(wǎng)地址 (SNAT)后將該數(shù)據(jù)包發(fā)出 。 如目標(biāo)地址是聯(lián)通地址，流量從聯(lián)通鏈路出去， 其他流量走電信鏈路出去。 鏈路負(fù)載均衡及冗余 兩臺(tái) LinkController 以 ActiveBackup 方式實(shí)現(xiàn)網(wǎng)絡(luò)中兩 條鏈路的負(fù)載均衡及冗余。 LinkController 可以根據(jù)相應(yīng)的鏈路負(fù)載均衡算法和 iRules 規(guī)則來(lái)實(shí)現(xiàn) 快速訪問(wèn)的智能引導(dǎo)，比如將訪問(wèn)電信的用戶引導(dǎo)至電信鏈路，訪問(wèn)聯(lián)通 的用戶引導(dǎo)至聯(lián) 通鏈路，解決了不同 ISP 之間的互連互通問(wèn)題，保證了最好的訪問(wèn)速度和最高的訪問(wèn)效率。同時(shí)， LinkController 的健康檢查機(jī)制實(shí)現(xiàn)對(duì)鏈路健康狀況的實(shí)時(shí)監(jiān)控，當(dāng)有鏈路出現(xiàn)故障時(shí) LinkController 會(huì)屏蔽故障鏈路，并自動(dòng)將流量切向其它正常工作的備份鏈路，實(shí)現(xiàn)了鏈路的高可用性。 廣州市欣德信息技術(shù)有限公司 服務(wù)器負(fù)載均衡及冗余 服務(wù)器負(fù)載均衡包括三個(gè)方面，其一是將用戶訪問(wèn)流量均衡分配到各臺(tái)服務(wù)器，使服務(wù)器資源得到充分利用，提高服務(wù)器群整體的性能；其二是對(duì)服務(wù)器節(jié)點(diǎn)的健康檢查，保證流量被負(fù)載均衡到正常工作的服務(wù)器；第三是對(duì)于需要定位到某臺(tái)服務(wù)器進(jìn)行訪問(wèn)的用戶來(lái)說(shuō)，采用會(huì)話保持技術(shù)來(lái)保證用戶會(huì)話的持續(xù)性。 對(duì)于本系統(tǒng)中用到的服務(wù)器集群， BIGIP 可以運(yùn)用多種靜態(tài)或動(dòng)態(tài)的負(fù)載均衡算法，來(lái)實(shí)現(xiàn)智能 分配負(fù)載，確保客戶最大限度發(fā)揮其服務(wù)器投資價(jià)值。同時(shí)，BIGIP 可以利用 EAV/ECV（擴(kuò)展應(yīng)用查證 /擴(kuò)展內(nèi)容查證）等精確的檢測(cè)方法監(jiān)視服務(wù)器的可用性和性能，將用戶的請(qǐng)求導(dǎo)向到集群中最符合要求的服務(wù)器，當(dāng)某臺(tái)服務(wù)器故障時(shí)，能從集群中被隔離出來(lái)，直到故障服務(wù)器恢復(fù)后自動(dòng)加入服務(wù)器集群，不影響用戶的正常訪問(wèn)，從而實(shí)現(xiàn)服務(wù)器的負(fù)載均衡及冗余特性。同時(shí)，BIGIP 可利用其會(huì)話保持功能進(jìn)行智能的流量分配和處理，保證用戶訪問(wèn)的持續(xù)性和完整性。 設(shè)備自身冗余性 BIGIP 設(shè)備以 ActiveBackup 的冗余方式方連接，處于 Backup 的設(shè)備采用“心跳線”監(jiān)測(cè) Active 的設(shè)備的狀態(tài)，當(dāng)檢測(cè)出設(shè)備故障時(shí)，兩臺(tái)設(shè)備就會(huì)產(chǎn)生ms 級(jí)切換， Backup 設(shè)備會(huì)切換為 Active，為用戶提供服務(wù)，保證了系統(tǒng)的高可用性。 易于管理性 BIGIP 產(chǎn)品不僅提供 的安全 Web 界面管理，本地基于 Serial Console的管理和 SSH 安全遠(yuǎn)程命令行管理，還有基于中文網(wǎng)管軟件 XControl 的管理，靈活多樣的管理方式使日常的維護(hù)和 Troubleshooting 更加方便快捷。 XControl 是北 京信諾瑞得信息技術(shù)有限公司 基于 F5 開(kāi)放 API接口 iControl 和SDK 開(kāi)發(fā)包 開(kāi)發(fā)出來(lái)的，針對(duì) F5 設(shè)備進(jìn)行監(jiān)控管理的軟件產(chǎn)品。 廣州市欣德信息技術(shù)有限公司 五．關(guān)鍵技術(shù)介紹 LinkController 工作原理 Link Controller 的工作原理可以分成兩部分介紹： Inbound 流量 (Inter 用戶訪問(wèn)內(nèi)網(wǎng)服務(wù)器及 DNS 查詢的流量 )和 Outbound 流量 (內(nèi)網(wǎng)用戶主動(dòng)發(fā)起的訪問(wèn)Inter服務(wù)器的流量 )，下面從這兩方面介紹 Link Controller 的工作原理。 1． Inbound 流量 Inbound 流量包括內(nèi)部服務(wù)器域名的 DNS 查詢請(qǐng)求以及對(duì)內(nèi)部服務(wù)器進(jìn)行訪問(wèn)的流量。有兩條鏈路接入，分別對(duì)應(yīng)不同的 IP 地址段。內(nèi)部每一種服務(wù)在 Link Controller 上面的不同網(wǎng)段分別對(duì)應(yīng)一個(gè) IP地址， Link Controller 通過(guò)對(duì)不同的LDNS 解析不同的地址來(lái)實(shí)現(xiàn) Inbound 流量在多條鏈路上面的負(fù)載均衡。假定現(xiàn)在外部公網(wǎng)一個(gè)用戶發(fā)起對(duì) Web 服務(wù)器 ， Link Controller 負(fù)責(zé)處理該域名最終的 A