【導(dǎo)讀】XXXX服務(wù)器負(fù)載均衡

　　

【正文】 必須采用硬件構(gòu)架 ，借助芯片 能力的提升來實(shí)現(xiàn) 。將來可能會把這些功能全部移植到芯片上，徹底提升效率。 3．與多種安全產(chǎn)品聯(lián)動或集成。 由于安全體系是一個整體解決方案，因此必須能夠 通過與各種防病毒、防火墻和 IDS 等安全技術(shù)的聯(lián)動，在最大范圍或程度上防范 DoS/DDoS攻擊。 F5 公司是業(yè)界領(lǐng)先的 L4/L7 交換機(jī)廠商，在不斷完善對各類服務(wù)器應(yīng)用的負(fù)載均衡的同時，也逐步在內(nèi)核中引入安全防御的概念，并且通過 F5 特有的開放系統(tǒng)（提供iController 構(gòu)架下的 API/SDK 開發(fā)標(biāo)準(zhǔn)），聯(lián)合業(yè)界著名的操作系統(tǒng)廠商、防火墻廠商、防病毒廠商、 IDS/IPS 廠商 、應(yīng)用服務(wù)軟件廠商，構(gòu)筑起圍繞服務(wù)器為核心的 動態(tài)攻擊防御系統(tǒng) 。 F5 的 動態(tài)攻擊防御系統(tǒng) 由五大功能模塊構(gòu)成，相互聯(lián)動確保系統(tǒng)安全： 提高服務(wù)器的高可用性 提高自身的高可用性 網(wǎng)絡(luò)流量分配 應(yīng)用安全性 動態(tài)安全策略保護(hù) 提高服務(wù)器的高可用性 F5 在硬件平臺上運(yùn)行的 BIGIP 應(yīng)用流量管理軟件可為所有基于 IP 的應(yīng)用和 Web 服務(wù)提供原來只有 Web 應(yīng)用才能享有的流量管理功能。在任何網(wǎng)絡(luò)環(huán)境下， BIGIP 都能通過其功能強(qiáng)大的通用擴(kuò)展應(yīng)用檢測 EAV 和擴(kuò)展內(nèi)容檢測 ECV 對服務(wù)器進(jìn)行仔細(xì)檢測，自動屏蔽故障服務(wù)器，以便準(zhǔn)確、安全、經(jīng)濟(jì)高效地創(chuàng)建和提供所有基于 IP 的應(yīng)用或Web 服務(wù)。 當(dāng)大數(shù)據(jù)流 DoS/DDoS 攻擊進(jìn)入的時候，服務(wù)器可能由于在瞬間接受超過服務(wù)器吞吐能力的數(shù)據(jù)流而直接導(dǎo)致系統(tǒng)崩潰，甚至導(dǎo)致數(shù)據(jù)丟失或客戶資料遺失。而采用 F5 的BIGIP 保護(hù)服務(wù)器，通過 EAV/ECV 精確探測服務(wù)器的處理能力，從而在服務(wù)器處理能力飽和之前自動屏蔽新建鏈接。超過服務(wù)器吞吐能力的鏈接將在 F5上處于 waiting狀態(tài) ，直至有服務(wù)器空閑或 TCP timeout。 與此同時，為進(jìn)一步防止服務(wù)器遭受攻擊過載， F5 利用“ iControl”技術(shù)可以幫助服務(wù)器通知網(wǎng)絡(luò)，“此時忙，暫停服務(wù)”，然后，網(wǎng)絡(luò)將停止再向它轉(zhuǎn)發(fā)客戶請求，而將客戶請求繼續(xù)轉(zhuǎn)發(fā)至其它服務(wù)器，繼續(xù)對客戶應(yīng)用請求提供服務(wù)。并且，服務(wù)器會同時通知3DNS，這個中心可用服務(wù)器數(shù)量減少一臺，應(yīng)相應(yīng)減少對這個中心的客戶服務(wù)請求量。當(dāng)這臺服務(wù)器完成所有數(shù)據(jù)記錄的備份后，服務(wù)器又會通知 BIGIP 和 3DNS，此時它已恢復(fù)正常，可以提供服務(wù)。這時，系統(tǒng)又恢復(fù)原有的正常狀態(tài)。 在系統(tǒng)的運(yùn)行過程中，各種各樣的變化是不可避免的，靠人工的方法畢竟不是一個靈活的、智能的方式?！?iControl”可幫助系統(tǒng)成為一個“自適應(yīng)”的系統(tǒng)，使“網(wǎng)絡(luò)真正感知應(yīng)用，應(yīng)用控制網(wǎng)絡(luò)”。 同時，對于所有對外提供應(yīng)用的服務(wù)器，由于有 F5 提供負(fù)載均衡，用戶無法直接于服務(wù)器聯(lián)系，必須與 F5 上建立的虛擬服務(wù)器建立鏈接，所以黑客無法獲得服務(wù)器的真實(shí)地址，增加了黑客攻擊的難度。同時，由于虛擬服務(wù)器對外只提供應(yīng)用服務(wù)端口，其余端口 F5 均不響應(yīng)且直接 Drop Packet，從而有效地屏蔽了黑客攻擊的第一步 —— 端口掃描。 甚至 F5 可以將虛擬服務(wù)器的 ARP 響應(yīng)屏蔽，從而使黑客無法 PING 通虛擬服務(wù)器。由于對外只提供必須的應(yīng)用端口，因而可以有效地屏蔽第一章常用黑客攻擊手段的前四種方式，通過加強(qiáng)對應(yīng)用服務(wù)器的 BUG 管理可以有效避免黑客利用系統(tǒng) BUG 攻擊的手段。而對于 DoS/DDoS 攻擊， F5 對于常用的幾種攻擊手段，從內(nèi)核級就予以屏蔽。 提高自身的高可用性 如前所述， DoS 攻擊主要是利用現(xiàn)有系統(tǒng)對外提供的正常業(yè)務(wù)服務(wù)，通過發(fā)送大量的非法數(shù)據(jù)流來達(dá)到阻止業(yè)務(wù)服務(wù)的目的。為了抵御 DoS 攻擊，首先必須大力提升系統(tǒng)自身的吞吐能力 ，至少必須大于可能的 DoS 能力，否則盡管系統(tǒng)能夠抵御攻擊，但性能無法滿足，同樣無法在攻擊下保證正常業(yè)務(wù)，從而使黑客間接達(dá)到攻擊目的。為此， F5通過多年的研發(fā)推出精心打造的全新體系構(gòu)架，大為提升 L4/L7 的吞吐性能，遠(yuǎn)遠(yuǎn)領(lǐng)先業(yè)界其他競爭對手，具體測試數(shù)據(jù)如圖 、 所示： 圖 第三方測試 L4 Sessions 數(shù)據(jù) 圖 第三方測試 L7 Sessions 數(shù)據(jù) 隨著企業(yè)部署更多的應(yīng)用（從 CRM 到 ERP 系統(tǒng)），應(yīng)用流量管理產(chǎn)品必須能夠支持龐大的且不斷增加的流量。 BIGIP 可以做到。它提供了其 它解決方案無法企及的強(qiáng)大處理能力，能夠深層檢查流量。與分布式體系結(jié)構(gòu)不同的是， BIGIP 可以隨時將其全部處理能力集中應(yīng)用于任何端口，以制定最佳決策。 網(wǎng)絡(luò)流量鏡像 抵御黑客攻擊，勢必要用到 IDS/IPS 等入侵檢測 /抵御設(shè)備，而這些設(shè)備均要求旁路在網(wǎng)絡(luò)上并實(shí)時監(jiān)聽所有網(wǎng)絡(luò)流量。為此，必須在 L4/L7 均衡設(shè)備上實(shí)現(xiàn)線性的端口鏡像功能。現(xiàn)今很多設(shè)備在完成端口鏡像的功能時性能較差，常常無法滿足端口線速鏡像，丟包率極高。 F5 采用 Broad 公司最新研發(fā)的 L2 交換芯片，不但可以實(shí)現(xiàn)正 /反連接線自適應(yīng) ，還能夠?qū)崿F(xiàn)線速的端口鏡像，在測試中真正實(shí)現(xiàn) 1000M 流量無一丟包，從而為與 IDS/IPS 的合作打下了堅(jiān)實(shí)的基礎(chǔ)。 同時，考慮到 IDS/IPS 設(shè)備的吞吐性能以及系統(tǒng)今后的擴(kuò)展，避免系統(tǒng)產(chǎn)生單點(diǎn)故障，F(xiàn)5 還支持對 IDS/IPS 設(shè)備的負(fù)載均衡。依據(jù) IDS/IPS 設(shè)備在網(wǎng)絡(luò)的位置以及對數(shù)據(jù)流截取的不同方式， F5 提供了兩種 IDS/IPS 設(shè)備均衡方式： Vlan Mirror 和 Clone Pool。具體連接方式如圖 所示： 圖 Vlan Mirror 和 Clone Pool 的連接方式 應(yīng)用安全 性 F5 的 BIGIP 是唯一可提供政策實(shí)施、防止攻擊和病毒附著，并支持 Web 服務(wù)和應(yīng)用的 SSL 加速的安全解決方案。它消除了設(shè)備自身的安全隱患，針對黑客攻擊、病毒和蠕蟲（如 Code Red）提供了額外的安全保護(hù)，同時還為合法流量提供不間斷的服務(wù)。 BIGIP系統(tǒng)的內(nèi)建 SSL 加速融合了硬件、 SSL 處理、密鑰生成和安全存儲、以及 SSL 證書管理等多項(xiàng)功能，提高了企業(yè)投資回報。此外，客戶還可以通過軟件密鑰按需擴(kuò)展 SSL容量。 在任何網(wǎng)絡(luò)環(huán)境下， BIGIP 都能通過其功能強(qiáng)大的通用檢查引擎（ Universal Inspection Engine）和 iRules 準(zhǔn)確、安全、經(jīng)濟(jì)高效地創(chuàng)建和提供所有基于 IP 的應(yīng)用或 Web 服務(wù)。 主要優(yōu)勢： 根據(jù)報頭或有效負(fù)載的價值對應(yīng)用和 Web 服務(wù)請求進(jìn)行截取、檢查、轉(zhuǎn)換和引導(dǎo)，以確保業(yè)務(wù)連續(xù)性、安全性和出色性能。 唯一可以交換和保存各類 Web 服務(wù)、 IP 流量及其有效負(fù)載的解決方案 支持經(jīng)濟(jì)高效地部署企業(yè)、移動和 Web 服務(wù)應(yīng)用 市場領(lǐng)先的第 4第 7 層性能 提供各級別（從網(wǎng)絡(luò)到應(yīng)用）冗余和可靠性，以確保高可用性 預(yù)定義的定制腳本，可測試和驗(yàn)證應(yīng)用和網(wǎng)絡(luò)的所有構(gòu)成組件的運(yùn)行狀況和可用性 開放架構(gòu)， 支持與第三方應(yīng)用與設(shè)備全面集成 促進(jìn)、加強(qiáng)和加速了應(yīng)用和 Web 服務(wù)的安全交付；通過集成的 SSL 確保應(yīng)用安全，大幅降低了成本和復(fù)雜性 可選軟件模塊提供了更多功能，可為您節(jié)省大筆額外硬件投資 無需購買額外的交換機(jī)，支持全網(wǎng)狀網(wǎng)部署 出色的可擴(kuò)展性、安全性和優(yōu)化的性能 靜態(tài)和動態(tài)負(fù)載平衡方法 冗余系統(tǒng)間保持著狀態(tài)會話 支持 Direct 和 /或網(wǎng)絡(luò)故換障切 獨(dú)一無二的 One Connect?內(nèi)容交換功能可降低高達(dá) 20%的帶寬成本和服務(wù)器開銷 動態(tài)服務(wù)器激活機(jī)制為服務(wù)器群中的服務(wù)器分配不同的優(yōu)先級，從而確保了系統(tǒng)始終可提供最佳資源來處理負(fù)載 實(shí)時性能監(jiān)控和統(tǒng)計(jì)數(shù)據(jù)可以更好地管理和規(guī)劃未來應(yīng)用需求 支持廣泛的硬件平臺，以滿足業(yè)務(wù)和預(yù)算需求 其它解決方案只能為簡單的 Web 應(yīng)用提供可用性，而 BIGIP 卻可以借助其獨(dú)特的通用檢查引擎交換和保存各類 Web 服務(wù)或 IP 流量。它是唯一可以從數(shù)據(jù)包有效負(fù)載級檢查IP 流量的產(chǎn)品。它可以提取相關(guān)信息來制定智能決策，以根據(jù)不同的業(yè)務(wù)政策向各應(yīng)用引導(dǎo)流量。 由于 BIGIP 能夠獨(dú)一無二地讀取各類應(yīng)用，設(shè)置是直接讀取 TCP 包內(nèi)容，因此它可以交換并保存各廠商的應(yīng)用服務(wù)器信息（ BEA、微軟、 Oracle、 IBM、 SUN 等）； Web 服務(wù)應(yīng)用的 XML 數(shù)據(jù)；或針對移動 /無線應(yīng)用的自定義值。全面的數(shù)據(jù)包檢查能力還使BIGIP 能夠識別和過濾應(yīng)用級計(jì)算機(jī)攻擊、病毒附著及其它安全威脅，從而為所有關(guān)鍵業(yè)務(wù)系統(tǒng)和應(yīng)用提供安全保護(hù)。 動態(tài)策略保護(hù) BIGIP 采用動態(tài)安全控制架構(gòu)（ DSCA）來實(shí)施、加強(qiáng)和加速應(yīng)用和 Web 服務(wù)的安全交付。它是第一款能夠自動對不斷變化的安全威脅做出響應(yīng)、采取措施并加強(qiáng)防范的安全解決方案，筑起了一道協(xié)調(diào)統(tǒng)一的安全防線，同時還提高了網(wǎng)絡(luò)中其它安全產(chǎn)品的性能。在基于 F5 開放式平臺 iContol 之上，結(jié)合 F5 在業(yè)界諸多地合作伙伴，使用 F5 的 API/SDK開發(fā)工具，就可以實(shí)現(xiàn) L4/L7 交換機(jī)與入侵檢測 IDS 的互動。由 IDS 實(shí)時檢測攻擊，當(dāng)發(fā)現(xiàn)有黑客攻擊行為時， IDS 通過調(diào)用 iControl 的 API/SDK 動態(tài)調(diào)整 F5 上的 iRules 策略，使得系統(tǒng)能夠屏蔽攻擊數(shù)據(jù)的同時還能讓合法用戶訪問服務(wù)器。 六．產(chǎn)品介紹 產(chǎn)品介紹見附件。 BIGIP 產(chǎn)品介紹。 七． F5 專業(yè)服務(wù)條款 對 F5 專業(yè)服務(wù)內(nèi)容介紹如下： 一． 基本服務(wù)的內(nèi)容： ? 5 8 ? 軟件升級與更新服務(wù)， ? 壞件維修，不提供產(chǎn)品備機(jī)服務(wù)。 ? 遠(yuǎn)程的技 術(shù)支持服務(wù) ? 相關(guān)項(xiàng)目的授權(quán)代理商可以訪問 “” 在線技術(shù)支持與服務(wù) ? 相關(guān)項(xiàng)目的授權(quán)代理商可以享受電話、電子郵件支持 二． 標(biāo)準(zhǔn)服務(wù)的內(nèi)容 ? 5 8 ? 軟件升級與更新服務(wù) ? 壞件的更換及安裝， ? 提供產(chǎn)品備機(jī)服務(wù)。 ? 現(xiàn)場技術(shù)支持 ? “” 在線技術(shù)支持與服務(wù) ? 享受電話、電子郵件支持 三． 優(yōu)先服務(wù)的內(nèi)容： ? 7 24 ? 軟件升級與更新服務(wù) ? 壞件的更換及安裝， ? 提供產(chǎn)品備機(jī)服務(wù)。 ? 現(xiàn)場技術(shù)排錯支持 ? “” 在線技術(shù)支持與服務(wù) ? 享受電話、電子郵件支持 八．設(shè)備清單及報價