【正文】 實(shí)服務(wù)組 1 如郵件系統(tǒng) 實(shí)服務(wù)組 2 如財務(wù)系統(tǒng) 實(shí)服務(wù) 1 實(shí)服務(wù) 2 實(shí)服務(wù) 3 實(shí)服務(wù) 4 虛服務(wù) 1 如郵件系統(tǒng) 虛服務(wù) 2 如財務(wù)系統(tǒng) 虛服務(wù)：負(fù)載均衡設(shè)備對外提供虛擬服務(wù)，并負(fù)責(zé)將用戶請求分發(fā)到實(shí)服務(wù)器；每種虛服務(wù)對應(yīng)一種業(yè)務(wù)。 規(guī)格： 1000種虛服務(wù) /單板 實(shí)服務(wù)組：與虛服務(wù)一一對應(yīng)，包含多個實(shí)服務(wù) 。 規(guī)格： 1000個 /單板 實(shí)服務(wù)：真實(shí)的服務(wù)器或應(yīng)用。 規(guī)格： 16000個 /單板 93 服務(wù)器負(fù)載均衡三大核心技術(shù) Server 1 Server 2 負(fù)載均衡 1 2 3 6 5 4 Server n 服務(wù)器健康檢測技術(shù) 剔除“壞” 服務(wù)器，保留“健康服務(wù)器池” 負(fù)載均衡分發(fā)技術(shù) 高效、正確的分發(fā)流量至“健康”服務(wù)器 持續(xù)性技術(shù) 保證一定時間段內(nèi)某一個用戶會話交給同一服務(wù)器處理（網(wǎng)銀、網(wǎng)購等業(yè)務(wù)要求） 1 2 3 4 5 6 94 服務(wù)器負(fù)載均衡分發(fā)技術(shù) LB 客戶端 1 2 3 4 5 6 是否需進(jìn)一步根據(jù)報文內(nèi)容轉(zhuǎn)發(fā) 靜態(tài)分發(fā)算法 動態(tài)分發(fā)算法 輪轉(zhuǎn) 最小連接 加權(quán)輪轉(zhuǎn) 加權(quán)最小連接 隨機(jī) 最小響應(yīng)時間 加權(quán)隨機(jī) 最小 CPU/內(nèi)存利用率 源地址散列 源地址端口散列 UDP報文凈荷 Hash 負(fù)載均衡分發(fā)流程 LB提取報文 IP/Port，匹配虛 IP 確定負(fù)載均衡調(diào)度算法 95 服務(wù)器負(fù)載均衡分發(fā)技術(shù) 基于內(nèi)容 Request Line HTTP Headers 新聞 圖片 視頻 Status Line HTTP Headers Content Http Request Http Response HTTP Http AcceptEncoding Http Acceptlanguage Http Host 分析 Http RequestMethod Http URLfile Http URLfunction Http Useragent Rstp Rstp URL分析 負(fù)載均衡設(shè)備不僅要根據(jù) IP地址 /80端口來分發(fā)流量，還要根據(jù) HTTP報文頭或內(nèi)容分配到指定服務(wù)器 。 96 服務(wù)器負(fù)載均衡分發(fā)技術(shù)詳解 虛服務(wù) 1（ VSIP1） 虛服務(wù) 2（ VSIP2） 虛服務(wù) 3（ VSIP3） 訪問服務(wù) 3 訪問服務(wù) 2 訪問服務(wù) 1 訪問服務(wù) 4 輪詢 最小連接 源 IP Hash 虛服務(wù) 4（ VSIP4） 新聞組 圖片組 WEB服務(wù) FTP 報稅業(yè)務(wù) 網(wǎng)站系統(tǒng) 先基于內(nèi)容，再輪詢 先基于內(nèi)容，再輪詢 客戶端 負(fù)載均衡 業(yè)務(wù)系統(tǒng) 97 負(fù)載均衡持續(xù)性（會話保持）技術(shù) 負(fù)載均衡設(shè)備 1 2 3 建立持續(xù)性表項，某次業(yè)務(wù)數(shù)據(jù)流后續(xù)報文送到同一實(shí)服務(wù)器 4層持續(xù) 基于源 IP地址 基于源端口地址 基于源 IP＋源端口 7層持續(xù) 基于 Cookie插入 基于 Cookie截取 基于 Cookie重寫 基于 SIP報文 CallID 基于 Radius的 FrameIP和Username 基于 DHCP的硬件地址、業(yè)務(wù) ID 基于 HTTP報文頭 基于報文特定字段的持續(xù)性 98 服務(wù)器健康檢測技術(shù) DNS Radius SSL ICMP TCP HTTP FTP 主機(jī)層面 業(yè)務(wù)層面 應(yīng)用層面 UDP POP3 SMTP IMAP RTSP SIP 應(yīng)用不斷豐富中 根據(jù)響應(yīng)內(nèi)容判斷服務(wù)器狀況 模擬客戶端對應(yīng)用發(fā)送連接或內(nèi)容請求 發(fā)送 ICMP Echo報文 根據(jù)收到 ICMP響應(yīng)判斷服務(wù)器狀況 根據(jù) TCP連接成功否或內(nèi)容判斷服務(wù)器狀況 發(fā)送 TCP連接或請求內(nèi)容 負(fù)載均衡 業(yè)務(wù)系統(tǒng) 99 常見業(yè)務(wù)系統(tǒng)負(fù)載均衡組網(wǎng) 數(shù)據(jù)庫 中間件 WEB ?完成 WEB服務(wù)器的負(fù)載均衡（ 4層或 7層） ?實(shí)現(xiàn)基于源 IP/Cookie/Http頭的持續(xù)性 ?基于 Http的健康檢測 ?基于輪詢等靜態(tài)分發(fā)技術(shù) ?實(shí)現(xiàn)基于源 Port等持續(xù)性 ?基于 TCP的健康檢測 ?數(shù)據(jù)庫系統(tǒng)一般可選部署負(fù)載均衡 ?對實(shí)服務(wù)的配臵不同優(yōu)先級，分發(fā)給高優(yōu)先級服務(wù)器，故障后，分發(fā)至低優(yōu)先級 負(fù)載均衡 負(fù)載均衡 負(fù)載均衡 100 溫暖上線功能 負(fù)載均衡設(shè)備 即將新增的服務(wù)器 服務(wù)器業(yè)務(wù)試運(yùn)行 LB分配少量業(yè)務(wù)流量 供服務(wù)器上線安裝調(diào)試 LB不分配業(yè)務(wù)流量 時間 準(zhǔn)備時間 溫暖上線時間 LB開始向服務(wù)器正常 分配業(yè)務(wù)流量 101 立即停止服務(wù)和慢宕服務(wù)功能 負(fù)載均衡設(shè)備 即將撤下的服務(wù)器 ?立即停止服務(wù) LB立即停止向即將撤下的服務(wù)器分發(fā)任何流量； ?慢宕服務(wù) LB會將會話保持的業(yè)務(wù)繼續(xù)向服務(wù)器分發(fā)，但不再分發(fā)新業(yè)務(wù)流量。 102 負(fù)載均衡模式雙機(jī)熱備 … ?支持主 /備、主 /主模式 ?LB之間啟用 VRRP，并通過心跳線同步 LB會話表項； ?主機(jī)級和會話級備份實(shí)現(xiàn)業(yè)務(wù)無縫切換 103 服務(wù)器負(fù)載均衡部署模式 NAT方式 ?組網(wǎng)說明 負(fù)載均衡使用 NAT技術(shù)對請求、響應(yīng)報文做兩次地址轉(zhuǎn)換，稱之為 NAT方式。 ?技術(shù)優(yōu)勢 組網(wǎng)靈活，對服務(wù)器沒有額外要求，不需要修改服務(wù)器配臵，適用于各種組網(wǎng) 104 服務(wù)器負(fù)載均衡部署模式 DR方式 ?組網(wǎng)說明 負(fù)載均衡設(shè)備通過修改目的 MAC直接路由給服務(wù)器， DR方式因此而得名。 ?技術(shù)優(yōu)勢 單向報文經(jīng)過負(fù)載均衡設(shè)備，負(fù)載均衡設(shè)備負(fù)擔(dān)小，不易成為瓶頸，轉(zhuǎn)發(fā)性能更強(qiáng) 105 H3C負(fù)載均衡 1:N虛擬化 Client Client Client ?管理權(quán)限虛擬化 ?虛服務(wù)虛擬化 ?分發(fā)策略虛擬化 ?持續(xù)性虛擬化 ?健康檢查虛擬化 ?應(yīng)用場景： ?運(yùn)營商 IDC系統(tǒng)增值服務(wù) ?MPLS VPN內(nèi)服務(wù)器前端 LB一虛多 106 H3C負(fù)載均衡 N:1虛擬化 SecBlade LB1 SecBlade LB3 SecBlade LB2 交換機(jī)接口板 （網(wǎng)關(guān)） 多設(shè)備、單 V I P 目的 IP 下一跳 VIP IP1 VIP IP2 VIP IP3 IP1 IP2 IP3 交換機(jī)接口板 （網(wǎng)關(guān)） SNATIP1 SNATIP2 SNATIP3 SIP1 SIP2 SIP3 各 LB對數(shù)據(jù)流做 SNAT，保證服務(wù)器響應(yīng)報文能返回 LB設(shè)備。 Client 107 H3C負(fù)載均衡 — SSL 加速 S75E+LB+SSL VPN HTTPS 流量 Web APP DB HTTP 流量 ?采用專業(yè)的硬件 SSL加速業(yè)務(wù)引擎 ?SSL加速處理處理流程 客戶端發(fā)起 HTTPS連接請求，協(xié)商傳輸?shù)募用芩惴?，確認(rèn)雙方身份，并交換會話密鑰。 負(fù)載均衡對請求的信息進(jìn)行解密，通過 HTTP的方式發(fā)送給后端的服務(wù)器。 服務(wù)器返回處理結(jié)果給負(fù)載均衡設(shè)備。 負(fù)載均衡設(shè)備對請求的結(jié)果進(jìn)行加密，返回給客戶端。 108 H3C服務(wù)器負(fù)載均衡帶來的價值 ?業(yè)務(wù)高性能 通過調(diào)度算法，將客戶端請求合理地均衡到后端各臺服務(wù)器上，消除系統(tǒng)可能存在的瓶頸。 ?業(yè)務(wù)可擴(kuò)展性 當(dāng)服務(wù)的負(fù)載增長時，系統(tǒng)能被擴(kuò)展來滿足需求，且不降低服務(wù)質(zhì)量 ?業(yè)務(wù)高可用性 通過健康性檢查算法，能實(shí)時監(jiān)測應(yīng)用服務(wù)器的狀態(tài)，保證在部分硬件和軟件發(fā)生故障的情況下，整個系統(tǒng)的服務(wù)是 7天 24小時可用的 ?業(yè)務(wù)透明性 高效地與服務(wù)器間松耦合構(gòu)成一個虛擬服務(wù)器；客戶端應(yīng)用程序與服務(wù)系統(tǒng)交互時，就像與一臺高性能、高可用的服務(wù)器交互一樣，客戶端無須作任何修改。部分服務(wù)器的切入和切出不會中斷服務(wù)，這對用戶也是透明的。 109 鏈路負(fù)載均衡之“ 鏈路故障探測” ISP1 ISP2 ISP3 LB通過下列方式探測鏈路故障： ?ICMP：對指定 IP的 ping包探測； ?TCP Half Open：與對端建半開連接 110 出鏈路負(fù)載均衡之“ outbound智能選路功能” ISP1 ISP1表項 ISP2表項 ISP3表項 ISP2 ISP3 目的 IP 目的 IP 目的 IP 未知目的 IP ISP表項匹配 靜態(tài)分發(fā) 輪詢 /隨機(jī)、加權(quán)輪詢 /隨機(jī) 源 IP/Port Hash、目的 IP Hash 動態(tài)分發(fā) （加權(quán)）最小連接、最大剩余帶寬 就近性探測（生成就進(jìn)行表項） 鏈路可用帶寬、鏈路延遲時間（ RTT） 鏈路成本、路由跳數(shù)（ TTL） 內(nèi)網(wǎng)用戶 負(fù)載均衡 互聯(lián)網(wǎng) 111 入方向鏈路負(fù)載均衡之“ 智能 DNS功能” ISP1 ISP2 ISP3 匹配，返回對應(yīng) ISP的 DNSIP 負(fù)載均衡 IP1 IP2 IP2 Client 客戶端訪問網(wǎng)站系統(tǒng)時如何請求到最快的域名 IP地址？ 用戶源 IP是否匹配某 ISP表項？ 就近探測最優(yōu)鏈路 不匹配 返回最優(yōu) ISP的 DNSIP H3C網(wǎng)站 DNS請求邏輯圖 112 鏈路負(fù)載均衡之“ 鏈路保護(hù)機(jī)制” ISP1 ISP2 ISP3 鏈路保護(hù)機(jī)制 每條 ISP設(shè)臵閾值，鏈路數(shù)據(jù)流達(dá)到閾值后， LB不再向該鏈路發(fā)送數(shù)據(jù)流。 113 出口鏈路負(fù)載均衡 +NAT組網(wǎng)方案 ISP1 ISP2 傳統(tǒng)方案 LB+NAT ?負(fù)載均衡設(shè)備做 NAT的缺陷： ?NAT功能為非核心功能 ?不具備豐富完善的 ALG ?單 IP受限 6萬個并發(fā)連接的限制 ?輸出 NAT日志，性能急劇下降（ 82號令） ISP1 ISP2 FW+LB ISP1 ISP2 虛擬 FW LB H3C出口一體化方案 ?H3C一體化出口方案特色： ?LB實(shí)現(xiàn)鏈路均衡， FW被動做 NAT ?FW啟用虛擬 FW與多個 ISP連接 ?NAT由專業(yè)的高性能 FW做 NAT ?開啟 NAT日志發(fā)送， FW性能不下降 ?LB可隨出口帶寬增長平滑擴(kuò)容 114 H3C鏈路負(fù)載均衡帶來的價值 ?出口鏈路高可靠 動態(tài)探測出口鏈路的硬件、軟件故障，鏈路保護(hù)機(jī)制避免擁塞丟包 ?出口鏈路利用率高 根據(jù)出口鏈路帶寬，動態(tài)的進(jìn)行數(shù)據(jù)流分發(fā)，提高鏈路利用率 ?提升對外業(yè)務(wù)的用戶體驗 智能 DNS功能讓對外業(yè)務(wù)訪問速度最快，提升用戶的體驗。 115 北京國稅網(wǎng)上報稅系統(tǒng) 項目情況： ?為滿足北京國稅網(wǎng)上服務(wù)平臺的發(fā)展需要，實(shí)現(xiàn)數(shù)十萬納稅人的網(wǎng)上報稅，通過部署十多臺 H3C負(fù)載均衡設(shè)備實(shí)現(xiàn)網(wǎng)上服務(wù)平臺的性能提升。 項目亮點(diǎn)： ?在 WEB服務(wù)器區(qū)通過實(shí)現(xiàn)高性能負(fù)載均衡和 SSL卸載，大大減輕服務(wù)器處理負(fù)荷，提升了網(wǎng)上報稅的處理速度 ?在一臺交換機(jī)上通過部署LB/FW/IPS和 SSL卸載模塊，改變原來的串行結(jié)構(gòu)，簡化網(wǎng)絡(luò)結(jié)構(gòu)層次，減少故障節(jié)點(diǎn)，提高了報稅系統(tǒng)的可靠性和可管理性。 116 OA網(wǎng) MBOSS 服務(wù)器區(qū) 認(rèn)證 服務(wù)器區(qū) 廣東電信 MBOSS系統(tǒng)業(yè)務(wù)區(qū) 廣東電信 MBOSS系統(tǒng) MBOSS 服務(wù)器區(qū) MBOSS 服務(wù)器區(qū) DCN網(wǎng) 項目情況： ?廣東電信 MBOSS系統(tǒng)承載了全省電信用戶的用戶業(yè)務(wù)供應(yīng)能力、客戶管理和計費(fèi)管理等大量業(yè)務(wù)。 項目亮點(diǎn)： ?H3C負(fù)載均衡交換機(jī)針對不同的業(yè)務(wù)類型（如用戶管理系統(tǒng)，在線計費(fèi)系統(tǒng)，預(yù)付費(fèi)系統(tǒng)等）采取不同的健康檢測和負(fù)載均衡算法，提升 MBOSS系統(tǒng)處理能力。 ?H3C負(fù)載均衡交換機(jī)的雙機(jī)熱備的高可靠性以及狀態(tài)備份功能，保證了 MBOSS系統(tǒng)的高可靠和高可用性。 H3C負(fù)載均衡交換機(jī) 117 ? 第一章 安全產(chǎn)品基礎(chǔ)理論 ? 第二章 全系列安全產(chǎn)品綜述 ? 第三章 SecPath防火墻 /VPN/UTM產(chǎn)品系列 ? 第四章 SecPath IPS產(chǎn)品系列 ? 第五章 H3C 應(yīng)用控制產(chǎn)品系列 ? 第六章 H3C 負(fù)載均衡交換機(jī)產(chǎn)品系列 ? 第七章 H3C SecBlade安全模塊系列 ? 第八章 H3C SecCenter管理中心 ? 第九章 三大場景安全解決方案 ? 第十章 12年主推五大解決方案 目錄 118 解決方案模型 網(wǎng)絡(luò) +