【導(dǎo)讀】神州數(shù)碼增值網(wǎng)絡(luò)事業(yè)部電話：010-82705891郵件：。人民醫(yī)院多鏈路以及服務(wù)器。負(fù)載均衡解決方案

　　

【正文】 要的。 ? 擴(kuò)展應(yīng)用查證 (EAV: Extended Application Verification)EAV 是另一種服務(wù)檢查，用于確認(rèn)運(yùn)行在某個(gè)服務(wù)器上的應(yīng)用能否對(duì)客 戶請(qǐng)求作出響應(yīng)。為完成這種檢查， BIGIP 控制器使用一個(gè)被稱作外部服務(wù)檢查者的客戶程序，該程序?yàn)锽IGIP提供完全客戶化的服務(wù)檢查功能，但它位于 BIGIP 控制器的外部。例如，該外部服務(wù)檢查者可以查證一個(gè)從后臺(tái)數(shù)據(jù)庫中取出數(shù)據(jù)的應(yīng)用能否正常工作。EAV 是 BIGIP 提供的非常獨(dú)特的功能，它提供管理者將 BIGIP 客戶化后訪問各種各樣應(yīng)用的能力，該功能使 BIGIP 在提供標(biāo)準(zhǔn)的可用性查證之外能獲得服務(wù)器、應(yīng)用及內(nèi)容可用性等最重要的反饋。該功能對(duì)于提高系統(tǒng)可靠性至關(guān)重要，它用于從客戶的角度測(cè)試您的站點(diǎn)。例如，您可以模擬 客戶完成交易所需的所有步驟－連接到前置服務(wù)器或中間件服務(wù)器、從目錄中選擇項(xiàng)目以及驗(yàn)證交易使用的信用卡。一旦 BIGIP 掌握了該“可用性”信息，即可利用負(fù)載平衡使資源達(dá)到最高的可用性。 BIGIP 已經(jīng)為測(cè)試多種服務(wù)的健康情況和狀態(tài)，預(yù)定義了擴(kuò)展應(yīng)用驗(yàn)證 (EAV)，如： FTP、 NNTP、 SMTP、 POP3 和 MSSQL 等，用戶還可依據(jù)實(shí)際應(yīng)用，自行編輯 EAV腳本。 5. “擴(kuò)展”不便 隨著物理和應(yīng)用的集中，前置服務(wù)器上所要處理的數(shù)據(jù)量（ traffic）增大，客戶交易產(chǎn)生的同時(shí)連接（ concurrentconnection）數(shù)量會(huì)越來越多。 神州數(shù)碼 聯(lián)系電話： 01082705891 郵件： 24 ? 若處理資源不夠，在未超出系統(tǒng)容量時(shí)，往往是客戶的請(qǐng)求回應(yīng)越來越慢，可容納的同時(shí)連接數(shù)量逐漸減小，系統(tǒng)性能嚴(yán)重下降。 ? 當(dāng)超出系統(tǒng)容量后，系統(tǒng)“死機(jī)”，銀行業(yè)務(wù)中斷。 為應(yīng)對(duì)日益增多的業(yè)務(wù)量，系統(tǒng)的擴(kuò)展性尤為重要。當(dāng)前所采用的擴(kuò)展方式多為利用 CLUSTER 的方式。但這時(shí)，需要配置 CLUSTER 卡和 CLUSTER 集線器。 這些硬件設(shè)備成本高，投資大。 CLUSTER 對(duì)硬件系統(tǒng)存在限制。 CLUSTER 的容量有限。 所有這些都會(huì)使系統(tǒng)“擴(kuò)展”不便。 F5“擴(kuò)展”靈活 根據(jù)系統(tǒng)的發(fā)展、業(yè)務(wù)的增長(zhǎng)，進(jìn)行靈活的擴(kuò)充，是不可避免的。這不僅要顧及到數(shù)量的增長(zhǎng)，同時(shí)也要考慮到軟硬件類型的區(qū)別。 BIGIP對(duì)系統(tǒng)的擴(kuò)充是非常靈活的。 ? BIGIP對(duì)所連接的服務(wù)器群的數(shù)量沒有限制，同時(shí)對(duì)服務(wù)器的軟、硬件類型也沒有任何限制。 ? BIGIP可最大同時(shí)容納多達(dá) 4 百萬個(gè)會(huì)話業(yè)務(wù)。 ? BIGIP的高可靠性連接和對(duì)多條鏈路的負(fù)載均衡都是非常成熟應(yīng)用 . 6. “免疫力”差 由于系統(tǒng)服務(wù)器“裸露”于網(wǎng)絡(luò)連接中，而防火墻的安置又多在網(wǎng)絡(luò)總?cè)肟谔?，所以服?wù)器很容易受到來自各方面的“惡意性”或“無意”地攻擊 。 為每臺(tái)或每組服務(wù)器單獨(dú)設(shè)置防火墻，又會(huì)使系統(tǒng)投資加大，維護(hù)量大幅提高。 F5“免疫力”強(qiáng) 在圖中我們可以看到，前置服務(wù)器群或中間件服務(wù)器群在邏輯上位于 BIGIP 之后，所有的數(shù)據(jù)流，包括“攻擊性”數(shù)據(jù)流都要經(jīng)過 BIGIP 才能夠流至服務(wù)器。 BIGIP 具有以下優(yōu)秀的安全特性，對(duì)系統(tǒng)進(jìn)行保護(hù)： ? 訪問控制列表 ? IP 包過濾 ? 加密（ SSL）的管理信息傳遞 ? 口令保護(hù) ? 拒絕“ DoS”攻擊 ? 免疫“ Ping of Death”攻擊 ? 不用 Ack 緩沖應(yīng)答未確認(rèn)的 SYN，防止 SYN 風(fēng)暴 ? 通過對(duì)無效連接的管理來防止使用沒有開放 的服務(wù)進(jìn)行攻擊 ? 源路由檢查，防止 IP 欺騙 ? NAT/SNAT。通過設(shè)置， BIGIP174?？梢詫⒁粋€(gè)端口映射到多個(gè)端口上。許多知名的端口是，如 80， 443， 20， 21 可以被映射到服務(wù)器上的任何一個(gè)端口上。此外，BIGIP174?？梢詫⑽挥谒竺娴姆?wù)器的地址翻譯為那些對(duì)外公布的地址。這個(gè)安全特性為網(wǎng)絡(luò)帶來了以下幾種好處： ? 入侵者無法確定哪些服務(wù)運(yùn)行在哪些端口上，因而增加了攻擊的難度； 神州數(shù)碼 聯(lián)系電話： 01082705891 郵件： 25 ? 使用非公開的路由地址、 BIGIP174?？梢怨?jié)省客戶的 IP 地址，降低客戶的成本； ? 可以隱藏 BIGIP174。背后的服務(wù)器地址，避免這些服務(wù)器暴露到外部 世界，從而減少了黑客攻擊這些服務(wù)器的機(jī)會(huì) ? 利用虛擬 IP 地址隱藏服務(wù)器實(shí)際地址。 同時(shí)，在 BIGIP174。的安全管理報(bào)告中通過監(jiān)視下列參數(shù)， BIGIP174?？梢栽诎踩珗?bào)告中列出那些服務(wù)和端口受到了非法的訪問嘗試： ? IP 地址：攻擊者的源 IP地址 ? 頻率：攻擊者嘗試攻擊的數(shù)量 ? 端口：哪個(gè)端口受到攻擊 這些信息可以幫助管理員發(fā)現(xiàn)他們網(wǎng)絡(luò)中存在的安全漏洞，并且可以判定哪些人是潛在的攻擊者。 7. “容災(zāi)” 隨著數(shù)據(jù)中心的集中，數(shù)據(jù)中心的冗余或容錯(cuò)顯得尤為重要。當(dāng)建立備份中心或數(shù)據(jù)中心間形成備份后，在它們之間提供動(dòng)態(tài)的、靈 活的容錯(cuò)機(jī)制顯得尤為突出。 F5提供 “容災(zāi)” 功能 數(shù)據(jù)中心的冗余設(shè)置常被用來提供數(shù)據(jù)中心的“容災(zāi)”。 BIGIP 與 3DNS 的結(jié)合，可以靈活的提供“容災(zāi)”保障。 BIGIP可以通過設(shè)置“備份中心”，保證在主數(shù)據(jù)中心負(fù)載過重或發(fā)生故障，無法正常提供服務(wù)時(shí)，自動(dòng)啟用“備份中心”，繼續(xù)為客戶提供服務(wù)。 3DNS 可以幫助客戶在系統(tǒng)尋找過程中，智能地找尋到合適的數(shù)據(jù)中心。并且 3DNS 還可以動(dòng)態(tài)監(jiān)測(cè)數(shù)據(jù)中心的狀態(tài)，一旦主數(shù)據(jù)中心發(fā)生故障，無法正常提供服務(wù)， 3DNS 可以自動(dòng)將流量立即傳送到備份“備份中心”。 BIGIP與 3DNS 的結(jié)合應(yīng)用，可以保證在局域和廣域連接中為系統(tǒng)提供靈活的“容災(zāi)”策略。 8. 應(yīng)用與網(wǎng)絡(luò)脫節(jié) 系統(tǒng)的變化隨時(shí)隨地都會(huì)發(fā)生，完全靠人工的方式去調(diào)整網(wǎng)絡(luò)與之適應(yīng)，已經(jīng)顯出了其“非時(shí)時(shí)地”、“不靈活的”缺陷。如何使應(yīng)用的變化動(dòng)態(tài)地反映到網(wǎng)絡(luò)的調(diào)整，已經(jīng)成為現(xiàn)代化應(yīng)用系統(tǒng)的一個(gè)新的課題。 F5 網(wǎng)絡(luò)感知應(yīng)用，應(yīng)用控制網(wǎng)絡(luò) 在系統(tǒng)的運(yùn)行過程中，各種各樣的變化是不可避免的，靠人工的方法畢竟不是一個(gè)靈活的、智能的方式。“ iControl”可幫助系統(tǒng)成為一個(gè)“自適應(yīng)”的系統(tǒng)，使“網(wǎng)絡(luò)真正感知應(yīng)用，應(yīng)用控制網(wǎng)絡(luò)”。 另外，利用 BIGIP、 3DNS 和 iControl,還可以幫助系統(tǒng)提供增值應(yīng)用： 神州數(shù)碼 聯(lián)系電話： 01082705891 郵件： 26 ? 配置靈活。 BIGIP 的放置非常靈活，即可放置在服務(wù)器群與網(wǎng)絡(luò)的中間，也可與服務(wù)器群以平行的方式接入網(wǎng)絡(luò)。 ? BIGIP可根據(jù)服務(wù)器的運(yùn)行狀態(tài)，如“ CPU 性能”、“內(nèi)存利用率”、“磁盤空間利用率”等服務(wù)器軟、硬件狀態(tài)，自動(dòng)調(diào)整流量的分配。 ? BIGIP的高可靠性連接，提高了系統(tǒng)的可靠度。 BIGIP 之間可互相備份，并且，提供“客戶連接狀態(tài)”的備份，提供“冗余”操作。它們可工作與兩種狀態(tài)： ? Active/Standby ? Active/Active ? 可基于所有 TCP/IP 協(xié)議進(jìn)行流量分發(fā)、管理和控制。 ? 可對(duì)所有基于 IP的設(shè)備提供流量的分發(fā)、管理和控制，包括防火墻、路由器、 VPN路由器等網(wǎng)絡(luò)設(shè)備。 ? Npath?性能。 BIGIP174。包括稱作 nPath 的可選模式。該模式允許服務(wù)器繞過 BIGIP174。直接將信息返回給客戶。例如，涉及下載流式媒體的企業(yè)可以選擇采用該功能。BIGIP174。僅對(duì)用戶的請(qǐng)求（即進(jìn)入的流量）進(jìn)行管理。 ? SSL加速加密套接字 (Secure Socket)層交易的廣泛采用和總體網(wǎng)絡(luò)負(fù)載減緩了服務(wù)器的執(zhí)行速度。 SSL Gateway為 SSL交易加速。 神州數(shù)碼 聯(lián)系電話： 01082705891 郵件： 27 七、 服服 務(wù)務(wù) 器器 負(fù)負(fù) 載載 均均 衡衡 解解 決決 方方 案案 優(yōu)優(yōu) 勢(shì)勢(shì) 1. 拓?fù)浣Y(jié)構(gòu)的優(yōu)點(diǎn) （ 1) 全冗余連接方法 , 絕對(duì)保證網(wǎng)絡(luò)沒有單點(diǎn)故障的存在 （ 2) 所有 服務(wù)器 都是直接連接到 F5 BIGIP 上，不需要 Switch 進(jìn)行端口擴(kuò)展 , 減少網(wǎng)絡(luò)層次和避免新的單點(diǎn)故障， （ 3) 采用負(fù)載均衡方式處理網(wǎng)絡(luò)流量 , 提高網(wǎng)絡(luò)服務(wù)能力和投資回報(bào)率 . （ 4) 比較少的網(wǎng)絡(luò)層次 , 避免運(yùn)行維護(hù)時(shí)面對(duì)的大批網(wǎng)絡(luò)設(shè)備 （ 5) 靈活的擴(kuò)展空間 , 用戶可以根據(jù)實(shí)際的網(wǎng)絡(luò)流量和壓力增加鏈路帶寬 , 添加防火墻或增加服務(wù)器來提高整體的服務(wù)水平 2. 安全機(jī)制方面 （ 1） HTTPS,SSH 等加密的網(wǎng)絡(luò)管理 , 避免明碼通訊對(duì)網(wǎng)絡(luò)設(shè)備控制時(shí)的安全隱患 （ 2） F5 的 VIP 一旦規(guī)定成功 ,服務(wù)的 TCP/UDP 端口也就同時(shí)確認(rèn) ,除特定服務(wù)外 ,其他的端口就全部被封閉了 ,保護(hù)服務(wù)器避免被端口掃描 . （ 3） 在防止 DOS 攻擊方面 ,F5 提供免費(fèi)的防護(hù) , 特別對(duì)于 Ping of Death , F5 的 VIP一旦規(guī)定成功就對(duì) Ping包做中繼處理 , 避免攻擊對(duì)服務(wù)器的壓力 . 3. 與應(yīng)用的結(jié)合方面 （ 1） F5 可以通過 ECV, EAV 對(duì)后臺(tái)的多層結(jié)構(gòu)的服務(wù)器進(jìn)行健康檢查 , 確保用戶的正常訪問 . （ 2） F5 可以 通過 Insert Cookies 和 Sample persistence 等方式和 Web Logic 實(shí)現(xiàn)無縫集合的各種切換 , 詳見附錄 . （ 2） F5 的 iControl 是一套全球唯一的網(wǎng)絡(luò)產(chǎn)品提供的 API/SDK, 可以允許用戶根據(jù)自己的要求控制網(wǎng)絡(luò)設(shè)備 . 神州數(shù)碼 聯(lián)系電話： 01082705891 郵件： 28 八、 相相 關(guān)關(guān) 產(chǎn)產(chǎn) 品品 介介 紹紹 1. F5 LinkController 1000 （ 1) 關(guān)鍵特性與優(yōu)勢(shì) 為擁有多條鏈路和多家 ISP 提供商的站點(diǎn)提供高可用性； 全方位鏈路監(jiān)視，提供實(shí)時(shí)的鏈路狀況和容量信息； 消除帶有 BGP 的多 ISP 的部署障礙； 采用高級(jí)分組交換技術(shù)； 對(duì)用戶和 ISP 提供商透明； 把用戶導(dǎo)向速度最快的鏈路； 平衡流量以最大限度地利用鏈路資源和吞吐量； 鏈接成本負(fù)載平衡功能把流量導(dǎo)向花費(fèi)最低的鏈路，以實(shí)現(xiàn)最低的帶寬成本； 提供無縫的鏈路歸并，以實(shí)現(xiàn)靈活的帶寬可擴(kuò)充性和降低成本； 服務(wù)質(zhì)量（ QoS）為滿足各種業(yè)務(wù)需求提供個(gè)性化的流量控制； 提供安全網(wǎng)絡(luò)地址轉(zhuǎn)換（ SNAT）和智能 DNS，從而實(shí)現(xiàn)雙向流量控制； 實(shí)時(shí)性能監(jiān)視和數(shù)據(jù)統(tǒng)計(jì)以評(píng)估鏈路性能； 集成的防 火墻負(fù)載平衡； 為所有基于 TCP 和 UDP 的流量及其它 IP 流量提供鏈路負(fù)載平衡； 通過 Web 瀏覽器和 CLI 提供安全與遠(yuǎn)程管理 增設(shè)鏈路控制器（ Link Controller）提供完全冗余，以進(jìn)行二級(jí)故障切換保護(hù)； 支持 iControl－為 F5 的 IP 流量和內(nèi)容管理產(chǎn)品系列提供的業(yè)界首款開放應(yīng)用編程接口（ API）。 （ 2) 多 ISP網(wǎng)絡(luò)的高可用性和鏈路控制 神州數(shù)碼 聯(lián)系電話： 01082705891 郵件： 29 隨著企業(yè)逐漸采用互聯(lián)網(wǎng)傳送關(guān)鍵任務(wù)應(yīng)用，只與公共網(wǎng)絡(luò)保持一個(gè)鏈路就意味著單點(diǎn)故障和嚴(yán)重的網(wǎng)絡(luò)隱患。 F5 BIGIP Link Controller： 提供可靠的網(wǎng)絡(luò)連接 管理多個(gè)鏈路上的入站 /出站流量 通過最佳性能鏈路發(fā)送流量 提高鏈接的可擴(kuò)充性和吞吐量 實(shí)現(xiàn)最大的企業(yè)連接投資回報(bào)率 消除帶有 BGP 的多 ISP 的部署障礙和成本 （ 3) 確?？煽康木W(wǎng)絡(luò)連接 高可用性 BIGIP Link Controller 可檢測(cè)整個(gè)鏈路所出現(xiàn)的錯(cuò)誤，從而提供可靠的端到端連接。它負(fù)責(zé)監(jiān)視每個(gè)連接的狀況和可用性以及檢測(cè)鏈路或 ISP 是否發(fā)生故障。如果出現(xiàn)故障，流量將被動(dòng)態(tài)透明地導(dǎo)向其它可用鏈路，以確?？煽康臄?shù)據(jù)中心連接。 全方位鏈路監(jiān)視 BIGIP Link Controller 通過網(wǎng)關(guān)路由器提供鏈路工作狀況和吞吐量的全景圖，確保鏈路的可用性并提供關(guān)于任何指定鏈路帶寬及容量的詳細(xì)信息。 Link Controller 也可檢測(cè)出由 ISP 配置錯(cuò)誤或其它手工操作錯(cuò)誤引起的故障。 （ 4) 最大限度地?cái)U(kuò)