F5服务器负载均衡器常见问题解答

F5 Networks 服务器负载均衡器常见问题简答(转)

Q1: 什么叫服务器负载均衡器（Server Load Balanc in g）？什么叫SLB 与GSLB？

A：服务器负载均衡器是指设置在一组功能相同或相似的服务器前端，对到达服务器组的流量进行合理分发，并在其中某一台服务器故障时，能将访问请求转移到其它可以正常工作的服务器的软件或网络设备。

SLB 是服务器负载均衡(Server Load Balancing)的简称。服务器负载均衡又可以分为局域网服务器负载均衡与广域网服务器负载均衡(Global Server Load Balancing)。狭义的SLB 是指局域网服务器负载均衡，与广域网服务器负载均衡（GSLB）相对。

Q2: 为什么需要服务器负载均衡？采用服务器负载均衡器有什么优点？

A：原有的系统只部署了一台服务器，随着访问量的增加，一台服务器已经不能满足应用的需要，而需要增加更多的服务器。当部署了两台以上的服务器时，就可能会需要用到负载均衡器。通过服务器负均衡器，对流量进行合理分配，可以带来以下好处：

负载均衡器优化了访问请求在服务器组之间的分配，消除了服务器之间的负载不平衡，从而提高了系统的反应速度与总体性能；

负载均衡器可以对服务器的运行状况进行监控，及时发现运行异常的服务器，并将访问请求转移到其它可以正常工作的服务器上，从而提高服务器组的可靠性 采用了负均衡器器以后，可以根据业务量的发展情况灵活增加服务器，系统的扩展能力得到提高，同时简化了管理。

Q3: 服务器负载均衡有哪些实现方法？

A：实现服务器负载均衡有多种方法，常见的方法有：

基于DNS 轮询的方法：即在DNS 服务器中对同一域名设置多条DNS A 记录，通过DNS 的轮询机制实现服务器负载均衡。

基于服务器集群的方法；基于应用软件的实现方法，在应用软件设计中就考虑了多服务器之间的协同工作

与任务调度。这种方法一般会有一台服务器作为中枢对访问请求进行调度，同时 要求在应用层支持访问重定向或任务调度、跳转机制。

采用专门的L4/L7 层交换机来实现，也即我们常说的负载均衡器。一般都是通过在L4/L7 层交换机作地址转换（NAT）来实现。

基于代理方式的负载均衡算法。

Q4: 目前华为公司哪些应用系统采用了服务器负载均衡设备？

A:目前华为公司业务与软件产品线中的ICD3.0、动感地带、彩铃、MMS、WAP 网

关产品现在都开始使用F5 公司的L4/L7 层交换机作服务器负载均衡。

Q5: F5 Net works 公司的服务器负载均衡器由什么名字，有哪些系列？

A：F5 Networks 公司的局域网服务器负载均衡的产品叫Big ip 应用交换机(App lication Switch)，或叫Layer4-7 层交换机。目前Bigip 应用交换机系统有Bigip1000、 Bigip2400、Bigip 5000 三个型号。

三个型号的配置如下：

BigIP 1000 BigIP 2400 BigIP 5000

（5100/5110）

最大连接数 4,000,000 4,000,000 4,000,000

空间占用 2U 2U 2U

冗余电源 支持 支持 支持

网络接口 1x1000 BASE-SX

8x10/100 BASETX

2x1000 BASE-SX

16x10/100 BASETX

4x1000 BASE-SX

24x10/100 BASETX

CPU PIII 1.0 GHz x 1 PIII 1.26 GHz x 1 PIII 1.26 GHz x 2

MEM (STD/MAX) 512 M/2G 512 M/2G 1G/2G

Storage 512 MB

Com pact Flash

512 MB Compact

Flash

512 MB Compact

Flash

SSL 芯片 1x SSL chip 1x SSL chip 2x SSL chip

免费SSL hand-shakes per

sec ond

100 TPS 100 TPS 100TPS

软件模块升级 支持 支持 支持

BIG-IP 2400

2400

D44 Plat for m

MRA II

16 10/100

2 Fiber GB

1 x 1.26 GHz PIII

512 MB Memory

512 Flash

1 SSL Chip (up to

2000 TPS)

PM C slot for FIPS

SSL

BIG-IP 1000

1000

D39 Platform

8 10/100

1 Gb

1 x 1 GHz

512 MB Memory

512 Flash

1 SSL Chip (up to

2000 TPS)

0 TPS @ factory

BIG-IP 5100 &

5110

5100

D51 Platform

2Gb/s

2x 1.26 Ghz PIII

24 10/100

4 Fiber GB

1 GB Memory

512 Flash

1 SSL Chips* (up

to 4,000 TPS)

PMC slot for FIPS

5110

Everything the

5100 has except

4 Copper GB

replace Fiber GB

Q6: 请简单介绍F5 Networks 公司？

A：F5 Networks, Inc.是一家专注于IP 网络流量和内容管理(iTCM）领域的厂商，总部在美国西雅图，成立于1996 年，1999 年在Nasdac 上市，目前全球有500 多员工。F5 Networks 是全球领先的Layer4-7 层交换机厂商、SSL 集成加速产品供应商。目前F5 Networks 在全球独立式Layer4-7 层交换机市场、SSL 集成加速产品市场的市场份额都是处于第一位。其中Layer4-7 层独立式交换机在日本更是占有了超过60%以上的市场份额。

Q7: F5 Networks 公司除了服务器负载均衡器之外，还有哪些产品？

A：

Q8: 请简单介绍F5 L4/L7 层交换机对服务器作负载均衡的工作过程。

A：F5 L4/L7 层交换机对服务器作负载均衡时主要包括以下几个过程：

· 截获和检查分析流量：保证只有合适的数据包才能通过

· 服务器监控和健康检查：随时了解服务器群的可用性状态

· 负载均衡和应用交换功能：通过各种策略或负载均衡算法将访问请求导向到 合适的服务器，这一过程包括目标服务器的选择及地址转换（NAT）过程。 · 会话的保持(Persistence)：通过会话保持，保证一系列相关连的会话不会被 负载均衡到不同的服务器上。

Blade Controller

Switch

Appliance

对广域网络多数据中心的高可用性和负载均衡技术及动态冗灾解决方案

针对多链路出口的网络的高可用性和链路控制技术解决方案局域网络高可用性

和负载均衡,应用交换技术及SSL加速解决方案.监控和管理软件

5000/2000/1000/500 Link Controller

系列Global Load Balancer

针对刀片式服务器和应用的高可用性, 可扩展性, 安全性和性能.控制管理层 SSL VPN Gate远程访问解决方案，IPSEC VPN的替代方案

Q9: F5 L4/L7 层交换机对服务器作负载均衡时是怎样做地址转换的（NAT）。

A：F5 L4/L7 层交换机对服务器作负载均衡是采用基于网络地址转换(NAT)的负 载均衡技术 。下图所示是一个典型的F5 L4/L7 层交换机对服务器作负载均衡

的网络拓扑：负载均衡器后面的一组服务器10.1.1.4:80、10.1.1.5:80、

10.1.1.6:80 对外构成一台虚拟的服务器（Virtual Server）192.168.101.1:80，对外提供服务。当一个访问虚拟服务器192.168.101.1:80 的请求到达负载均衡

器以后，负载均衡器根据预先设定的负载均衡算法从服务器pool(WEB_POOL)中

挑选一台服务器来服务该请求，例如选定的是10.1.1.4:80；然后通过网络地址

转换（NAT）将访问请求包的目的地址与端口转换成10.1.1.4:80，并将数据包

发给10.1.1.4。服务器10.1.1.4 处理访问请求，并作出回应。回应的包必须返

回到负载均衡器上，由负载均衡器将回应包的源地址与端口转换回虚拟服务器的

地址与端口，并返回给客户。这样完成一次访问过程。

Q10: 什么叫会话保持(Persistence)?

A: 会话保持(persistence)是负载均衡中一个特定而重要的概念。

Bigip 2400

Web/APP Server Web/APP

Server

Cisco6009

virtual server

192.168.101.1:80

pool

(name=WEB_POOL)

member

(server=10.1.1.6:80)

member

(server=10.1.1.5:80)

member

(server=10.1.1.4:80)

Incoming request

Load

Bala

ncing

一个客户与服务器经常经过好几次的交互过程才能完成一笔交易。由于这几次交互过程是密切相关的，服务器在进行这些交互过程的某一个交互步骤时，往往需要了解上一次交互过程的处理结果，这就要求所有这些相关的交互过程都由一台服务器完成，而不能被负载均衡器分散到不同的服务器上。而这一系列的相关的交互过程可能是由客户到服务器的一个连接的多次会话完成，也可能是在客户与服务器之间的多个不同连接里的多次会话完成。不同连接的多次会话，最典型 的例子就是基于http 的访问，一个客户完成一笔交易可能需多次点击，而一个新的点击产生的请求，可能会重用上一次点击建立起来的连接，也可能是一个新建的连接。会话保持就是指在负载均衡器上有这么一种机制，可以识别做客户与服务器之间交互过程的关连性，在作负载均衡的同时，还保证一系列相关连的访问请求会保持分配到一台服务器上。

Q11: 基于Layer 4 的负载均衡与基于Layer 7 的负载均衡有什么区别？

A：基于Layer 4 的负载均衡在截取数据流以后，对数据包要检查与分析的部份仅仅限于IP 报头及TCP/UDP 报头，而不关心TCP 或UDP 包内部信息。而基于Layer7 的负载均衡，则要求负载均衡器除了支持Layer4 负载均衡以外，还要理解数据包中4 层以上的信息，也即应用层的信息。例如，可以理解分析http 协议，从数据包中提取出http uri 或cookie 信息。基于Layer4 与基于Layer7 负载均衡或交换对数据包检查的深度不一样，基于Layer4 的交换偏重的是网络层，而Layer7 偏重的是应用层，与应用结合很紧密。负载均衡器在作这两种方式的负载均衡时的性能也不一样。

Q12: 为什么需要基于Layer7 的负载均衡？

A：简单来说，之所以需要基于Layer7 的负载均衡，有以下原因：

会话保持(Persistence)的需要：在很多应用中，单靠Layer4 层的信息，也即IP 地址与端口的信息，是不足以分辨出会话的相关性。这样要实现会话保持，就必须依靠于Layer7 交换。

应用安全的需要：要做到应用级的安全，负载均衡器必须能检查、分析应用层的信息，并以此作为流量分发、访问控制的依据。

服务器、应用健康检查的需求：如前面所述，负载均衡器还有一个重要任务就是要及时发现服务器上的异常情况，这种异常情况不仅仅限于网络故障，还包

括服务或应用能不能对访问请求作出正确的响应。这也是要通过对数据包的应用层进行分析才能实现。

Q13: 对Lay4-7 层交换机或应用交换机一般要关注、了解哪些方面？

A：一般来说，对Lay4-7 层交换机或应用交换机，一般会提到以下几个因素： 支持的负载均衡算法

支持的服务器健康检查的方法

如何保持客户端和服务器的会话

速度/性能指标

安全性与可靠性

端口数量

Q14: F5 Bigip 负载均衡器支持哪些负载均衡算法？

A: F5 Bigip 负载均衡器支持的负载均衡算法包括：

? 轮询（RoundRobin）：顺序循环将请求一次顺序循环地连接每个服务器。当其中某个服务器发生第二到第7 层的故障，BIG/IP 就把其从顺序循环队列中拿出，不参加下一次的轮询，直到其恢复正常。

?比率（Ratio）：给每个服务器分配一个加权值为比例，根椐这个比例，把用户的请求分配到每个服务器。当其中某个服务器发生第二到第7 层的故障，BIG/IP 就把其从服务器队列中拿出，不参加下一次的用户请求的分配，直到其恢复正常。

?优先权（Priority）：给所有服务器分组，给每个组定义优先权，BIG/IP 用户的请求，分配给优先级最高的服务器组（在同一组内，采用轮询或比率算法，分配用户的请求）；当最高优先级中所有服务器出现故障，BIG/IP 才将请求送给次优先级的服务器组。这种方式，实际为用户提供一种热备份的方式。

?最小的连接数（L ea stConnection）：传递新的连接给那些进行最少连接处理的服务器。当其中某个服务器发生第二到第7 层的故障，BIG/IP 就把其从服务器队列中拿出，不参加下一次的用户请求的分配，直到其恢复正常。

?最快模式（Fastest）：传递连接给那些响应最快的服务器。当其中某个服务器发生第二到第7层的故障，BIG/IP 就把其从服务器队列中拿出，不参加下一次的用户请求的分配，直到其恢复正常。

?观察模式（Observed）：连接数目和响应时间以这两项的最佳平衡为依据为新的请求选择服务器。当其中某个服务器发生第二到第7 层的故障，BIG/IP 就把其从服务器队列中拿出，不参加下一次的用户请求的分配，直到其恢复正常。

?预测模式（Predictive）：BIG/IP 利用收集到的服务器当前的性能指标，进行预测分析，选择一台服务器在下一个时间片内，其性能将达到最佳的服务器相应用户的请求。(被big/ip 进行检测)

? 规则模式（iRule）：针对不同的数据流设置导向规则，用户可自行编辑流量分配规则，BIG/IP利用这些规则对通过的数据流实施导向控制。

Q15: F5 Bigip 负载均衡器支持哪些服务器健康检查方法？

A：F5 Bigip 负载均衡器支持以下的服务器健康检查方法：

服务器 (Node) - Ping (ICMP)

服务 (Port) － Connect

可扩展的应用验证 (EAV) :不仅仅检查服务器上指定服务的端口是否处于监听状态，还要检查该服务端口能否对应用访问请求作出回应，例如可以检查对http 请求或对数据库的查询能否作出回应。

可扩展的内容验证 (ECV)：Bigip 除了可以通过EAV 对服务进行检查，还可以通过ECV 对服务器的响应作进一步分析，通过分析读取服务器回应中的指定内容来判断服务器上服务的运行情况。上述检查方法的检查频度（e.g. 10 seconds）与检查响应Timeout 时间（ e.g. 5seconds）都可以根据应用情况进行灵活定制。对于ECV、EAV，在Bigip 中已经包含了一些常见应用的检查与内容验证的方法，例如http 的检查、Ldap、SQL Server 等。如果碰到一些应用、Bigip 上没有提供相应的检查方法，Bigip 还提供了一个扩展的接口，用户只需要编写相应的应用检查脚本或程序并加载到Bigip 就可实现对该应用的检查或内容验证。

Q16: F5 Bigip 支持哪些会话保持方法？

A：

· 简单会话保持

– 根据客户端源IP 地址保持客户会话的技术

· HTTP Header

– 根据HTTP 包头信息保持会话的技术

· SSL ID 会话保持

– 根据SSL ID 保持客户/服务器连接的技术

· HTTP Cookie 会话保持

– 插入模式,改写模式, 被动模式, 散列模式(Cookie Hash)

· SIP ID 会话保持

· Cache 设备的专用会话保持

· i-Mode 移动应用的会话保持技术

· i-Rules 客户定制的会话保持方法

Q17: 请问基于客户端源地址的会话保持（Persistence）方法有什么优缺点？A：所谓基于源地址的会话保持（在Bigip 应用交换机中，又叫作simple persistence 方法）

是指负载均衡器在作负载均衡时是根据访问请求的源地址作为判断关连会话的依据。对来自同一IP 地址的所有访问请求在作负载均时都会被保持到一台服务器上去。基于原地址的会话保持实现起来简单，只需要根据数据包三、四层的信息就可以实现，效率也比较高。存在的问题就在于当多个客户是通过代理或地址转换的方式来访问服务器时，由于都分配到同一台服务器上，会导致服务器之间的负载严重失衡。另外一种情况上客户机数量很少，但每个客户机都会产生多个

并发访问，对这些必发访问也要求通过负均均衡器分配到多个服器上，这时基于客户端源地址的会话保持方法也会导致负载均衡失效。在上述情况只能采用应用层的会话保持技术，例如基于http 的cookie, URI, SSLID 或TCP、UDP 包内某一指定字段。

Q18: Lay4-7 层交换机或应用交换机有哪些速度、性能指标比较重要？

A:

· Session/Second :

– 每秒处理的会话数量,有Lay4 和Lay7 的区别

· Maximum connection :

– 最多能够保持的连接数量,即最多能够保持多少个并发的会话连接

· Throughput : 吞吐率 (bps)

– 有Lay4 和Lay7 的区别

· VIP Maximum Number :(支持的虚拟服务器个数)

– 最多同时多少应用可以做负载均衡

Q19: F5 Bigip 应用交换机支持的最大连接数是多少？

A：F5 Bigip 应用交换机对客户到服务器之间的每一条连接都要维护一条记录，当连接开始建立时，Bigip 会根据负载均衡算法将客户的请求分配到一台服务器上。连接建立以后，对这个连接内的所有会话将不再需要通过负载均衡算法来选择服务器，而是根据系统中原有的连接表直接进行地址转换及交换。如果连接没有被主动关闭，即使连接处于闲置状态，应用交换机中的相应的连接表也会保持一段时间，直到Timeout 为止。F5 Bigip 应用交换机采用的是共享内存与中央CPU 的体系结构，系统支持的最大连接数只与系统配置的内存数量有关。一般来说：

当系统配置的内存是512M 时，支持的最大连接数是100 万；

当系统配置的内存是1G 时，支持的最大连接数是200 万；

当系统配置的内存是2G 时，支持的最大连接数是400 万；

上述参数适用于Bigip1000、 Bigip 2400、Bigip 5000 三个型号。至于随着Bigip 上连接数的增加，系统处理会话的速度会不会下降，由于Bigip 对连接表的查询是采用的hash 算法，查询速度与连接表的数量没有关系。

Q20: F5 Bigip 应用交换机每秒会话处理能力是多少？

A：在应用交换机中Layer4 的每秒会话处理能力与Layer7 的每秒会话处理能力是不一样的。另外每秒会话处理能力还与数据包的大小有关系。每秒会话处理能力反应了应用交换机对数据包或会话的处理能力，与系统的负载均衡算法、地址转换能力有关。Lyaer4 的交换可以通过ASCI 芯片硬件来处理，所以性能会高一些。而Layer7 的会话处理过程必须通过CPU 进行，更多的依赖于CPU 的处理能力。在F5 Bigip 产品系列中，Bigip2400 采用了最新的Layer4 ASCI 芯片，所以Layer4 的每秒会话处理能力最强；而Bigip5000 采用了两个CPU，所以Layer 7 的每秒会话处理能力最强。F5 Bigip2400 的Layer4 最大会话处理能力是：125000 Layer 4 sessions per second at a data return

file size of 64 bytes。F5 Bigip5000 的Layer7 最大会话处理能力是：19000 sessions per second。

Q21: F5 Bigip 的优势在哪？

A：

· 最多的负载均衡模式(12 种)

– 其中观察模式,预测模式是F5 的专利

· 会话保持技术最多(8 种)

– 其中Cookie 会话保持技术向所有的竞争对手收取专利费

· 服务器健康检查最彻底

– 专有的EAV、ECV 健康检查模式

· 性能最好,速度最快: 125000 S/S Lay4(Bigip 2400); 19000 S/S Lay7(Bigip 5000);1.8Gbps;

· 会话保持数量第一达到:400 万

· 支持最多的VIP : 4 万个

· 唯一交换机厂商有开放的API, iControl

Q22: 请解释Bigip 上的SSL 加速功能？

A： Bigip SSL 加速功能是指通过在Bigip 上的专用的SSL 处理芯片，作为SSL 的代理，将来自客户端的SSL 请求终结在Bigip 上，以此来卸载服务器上的SSL （安全套接层）处理对服务器CPU 资源的消耗，以提高其性能，同时大幅度缩短响应时间并增强客户交易流量管理。SSL 加速技术可以提高电子商务服务器的性能，并在关键业务在线交易过程中提供安全性、高速度和流量管理，所有这一切都是从同一地点进行的，无需费钱费力地在每台服务器上安装额外的硬

件或软件。通过Bigip SSL 加速，可以

· 集中化的 SSL 处理方式

– 不需每个服务器安装公司SSL 卡

– 使服务器提供最好的服务响应,而不必处理 SSL 的令人头疼问题

· 集中化的认证管理

– 不需每个服务器进行认证

目前Bigip 1000、2400、5000 标准配置已经包含了100TPS 的SSL 支持，通过额外购买License，可以扩展到400、800、1200。

注：TPS 是指每秒的交易数量

Q23: Bigip 的安全性如何？

A：F5 Bigip 上通过以下机制提高系统的安全性：

? 缺省拒绝(Default deny)、Port Lockdown 机制

? BIG-IP 用监察资料交易的起点，目的或入口来过滤封包和限制或拒绝双向的流量

? 远端管理，使用SSH 命令列或以SSL 来做浏览器介面管理

? 能把无用的连接关掉(阻挡拒绝服务攻击)

? 能找起点路线(阻挡IP spoofing)

? Syncookie 机制抵制SYN floods 攻击

? 阻挡teardrop 和陆地攻击

? 阻碍ICMP(网络控制讯息协议)攻击，保护它自己和其他服务器

? 不使用SMTPd，FTP d，Telnetd，或其它可攻击的恶魔

? 可发现、记录D OS 攻击情况，能发现任何试图非法存取的服务和端口：

企图率：企图多少次

端口：哪些端口被攻击

IP 地址：攻击者的IP 地址

Q24: Bigip 的可靠性如何？

A：通过配置双机运行于Redundant 模式，BIG-IP 提供支持99.999%的正常运行时间。

BigiBigip p

Web/APP Server Web/APP Server

Router

Q25: Bigip 双机是如何工作的？

A：F5 Bigip 双机即支持Active-Standby 方式也支持Active-Active 方式。如果是Active-Active 方式，采用的是路由分担的模式。

运行于HA 方式的两台四层交换机通过Failover 串口线交换心跳信息(电压信号不断地由一方送到另外一方)。处于Standby 的系统不断监控Failover 上的电平，一旦发现电平降低，Standby Unit 会立即变成Active,会发生切换(Failover).通过串口监控电平信号引起的切换可以在一秒中以内完成(大概

200~300ms).四层交换机在系统启动的时候也会监控Failover 线缆的电平以决定系统是处于Active 状态还是Standby 状态。Failover 线缆也可以不采用串口线，而直接采用网络线。(但F5 不建议这样做，因为网络层故障就可能会两台负载均衡器都处于Active 状态)。如果采用网络层监控实现Failover,

Bigip 将通过1027 与1028 端口交换心跳信息。在串口Failover 线缆上不传输任何数据信息。数据信息的传输通过网络来完成。因此运行于HA 方式的两台四层交换机在网络层必须是相通的。(可以用网线将两台四层交换机直接相连起来，也可以通过其它的二层设备将两台四层交换机相连，使四层交换机在网络上可以连通对端的Failover IP 地址)。两台运行于HA 方式的四层交换机之间通过网络层交互的信息主要包括：

用于配置同步的信息：通过手工执行config sync 会引起Active 到Standby 系统的配置信息传输。用于在发生Failover 时连接维持的信息： 如果设置了Connection Mirroring,处于Active 的四层交换机会将连接表每十秒中发送一次到Standby 的系统。（Thefollowing TCP Connections can be mirrored:TCP、UDP、SNAT、FTP、Telnet ）如果设置了Stateful Failover,Persistence 信息也会被发送到Standby 系统。（Thefollowing persistence info rmation for the virtual servers (VIPs) can be mirrored:SSL persistence、Sticky persistence、iRules Persistence )一般来说，对于长连接的应用如ftp,telnet 才需要将连接状态进行同步，而一些短连接应用如http,并不需要进行连接状态同步。

Q26: 在Bigip 双机处于一主一备的运行模式中，后台的服务器通过双网卡与两台Bigip 相连，是不是一个网卡down 掉或网卡所连的链路断掉，就会引起Bigip 进行切换？

A：Bigip 支持对某一VLAN 上所连链路状态的检测，但当配置双网卡的服务器有一链路或网卡故障时，并不需要Bigip 进行切换，而只需要通过网卡的链路切换来保证服务器的连通性。对Intel、Broadcom 等服务器网卡，都有相应的驱动程序实验同一服务器上多网卡的failover 或负载均衡，而在SUN 服务器上solaris 操作系统已经带了IP Multipathing 功能实现多网卡的互为备用及负载均衡。

Q27: 什么是iControl?

A：iControl 是F5 的内部通信协议，它实现了产品间的安全网络通信，用于对F5 设备进行配置、监控、测量、管理并进行数据传输。F5 是业内第一个免费开发内部通信协议接口与开发包的网络设备厂商。iControl

? 包含一个基于安全版CORBA/IIOPS 的内部API

? 提供SOAP/XML 方式的外部API

? 轻松、快速地将应用与F5 Networks 设备进行集成

? 通过在API 级与F5 Networks 设备进行集成而最大限度地降低维护成本,确保未来可操作性