F5 BIGIP LinkController V10 配置指南v1

Click to edit Master title style,Click to edit Master text styles,Second level,Third level,43,F5 Networks BIGIP LinkController,配置指南,(V10,版,),初始化设备,安装,V10,的最新版本，下载链接：,配置管理地址,如果使用默认地址，管理口为,192.168.1.245/24,如果需要使用其他地址，可通过,config,命令在命令行配置界面下进行设置,激活,License,设置正确的时区,(,在命令行下使用,date,命令修改日期）,双机时间相差不要超过,30,秒，且修改完成后用,hwclock systohc,将时间写入芯片。,设定管理员密码,如果不熟悉,BIG-IP,V10,的,基本设置，请参考,BIG-IP LTM,的相关文档。,LinkController,实施前的准备,确定网络结构图！,确定网络结构图！,确定网络结构图！,确定应用的访问流程！,确定应用的访问流程！,确定应用的访问流程！,典型网络拓扑,电信,网通,内,网,防火墙,VLAN CT_Link,VLAN Internal,VPN,WEB,DMZ,区,服务器区：,wideips: CNCip/CTCip,F5 BIG-IP LC,EMAIL,VLAN CNC_Link,ISP #1,ISP #2,Link Controller,的主要功能,Internet,Load Balance Servers,LB Inbound Links,LB Outbound Links,处理,3,种负载均衡流量,Link Controller,基本网络设置,LC,测试网络拓扑结构图,配置,VLAN,：,LinkController V10,基本网络配置,配置,Self IP,：,LinkController V10,基本网络配置,在开始配置,GTM/LC,部分时，请先确认一下你的,gtmd,是否启动了？,如果不是通过,wizard,配置网络，初始时由于没有网络地址，,gtmd,并不会启动。当配置完网络,ip,和路由后，必须重启机器或者,restart gtmd,将,gtmd,启动。否则的话，尽管图形界面上,GTM/LC,的配置存在，但是,wideip.conf,文件并没有创建，所有配置重启后均丢失！,可以在命令行下面输入,bigstart status gtmd,查看,gtmd,是否启动。,LinkController V,10,Outbound,配置步骤,建立一个,Default_Gateway_Pool,：,LinkController V10 Outbound,配置步骤,Outbound,流量以轮询的方式在两个,ISP,链路之间分发,当,LC,检测到链路,Down,时会变为红色，如链路正常为绿色，如是蓝色则表示没有设置健康检查方式。,链路健康检查,网关健康检查，,gateway_icmp,的,monitor,，以实现链路故障切换,链路全,路径,检查设置,全路,径,检查一般是配置网关的下一跳的,IP,地址,Gateway Pool,属性的设置,在轮询方式下记住将,Action On Service Down,改为,Reject,配置,Link Controller,的缺省路由：,1,、需要先建立一个,Default_Gateway_Pool,2,、在,networkroute,中进行配置,Outbound,配置步骤,配置,Outbound,的,VS,：,0.0.0.0:0,Type：,Performance(Layer 4),Protocol：,All Protocols,Outbound,配置步骤,配置,Outbound FTP,的,VS,：,0.0.0.0:ftp,。,Outbound,配置步骤,为什么要对,FTP,作特殊处理：,Performance Layer4,不修改应用层数据；,FTP,会将协商好的端口放在应用层报文中。,FTP,主动模式：,client,高端口连接,server 21,端口然后,client,使用,port,命令如,192,168,1,15,18,119,就是,client,告诉,server,往这个地址和端口号传输数据,IP:192.168.1.15port number,：,18*256+119=4727,这个时候,client,在监听这个端口，同时,server,使用,20,号端口来连接,client 4727,端口来传输数据。,的作用,：,BIG-IP,会监测,client,端连接,server,的,21,端口，在控制命令中的,ip,和端口都做了相应的修改。把,client,的,ip,修改成映射后的地址，同时打开相应的端口,在,0.0.0.0,的,virtual Server,上设置源地址转换,SNAT,的相关设置,:,通过在,Virtual Server,上设置,SNAT Auto Map,可以让,Outbound,流量从,哪,个,ISP,链路出去，就用,LC,上哪个,ISP,链路相应,VLAN,的,SelfIP,作为转换后的,IP,地址出去。,如果,LC,是采用双机配置，则,SNAT Auto Map,将采用,LC,双机的,Floating IP,作为转换后的地址。,Outbound,配置步骤,这样，基本的,Outbound,负载均衡的配置就结束了，内部的用户，可以通过轮询的方式在两条线路之间进行选择来访问外面了。,下面我们要继续进一步讨论如何优化,Outbound,负载均衡的策略和满足一些特殊的需求：,根据运营商选择线路，主要是通过,Rules,来实现的。,有选择性地进行,SNAT,对,Outbound,流量进行带宽限制,Outbound,配置步骤,Outbound,的高级配置根据运营商选择线路,需求：,对于去往中国电信的访问，走电信的线路,CT_Pool,，当电信的线路故障时，走网通的线路，对于去往中国网通的访问，走网通的线路,CNC_Pool,，当网通的线路故障时，走电信的线路，其他的访问在中国电信和中国网通之间负载均衡,Default_Gateway_Pool,。,Outbound,的高级配置根据运营商选择线路,建立,CT_first_pool:,由于当电信的线路故障,时候需要用网通的线路,做备份，所以在,CT_first_pool,里面启用了,”Priority Group,Activation”,，把电信线路,的,Priority,设置高一些，,而网通线路的,Priority,设置低一些。,Outbound,的高级配置根据运营商选择线路,建立,CNC_first_pool:,由于当网通的线路故障,时候需要用电信的线路,做备份，所以在,CNC_first_pool,里面启用了,”Priority Group,Activation”,，把网通线路,的,Priority,设置高一些，,而电信线路的,Priority,设置低一些。,Outbound,的高级配置根据运营商选择线路,所有的,Pool,设定好以后如下：,Outbound,的高级配置根据运营商选择线路,设定好,Pool,以后，我们需要定义中国电信和中国网通地址段的,Class,，然后在,Rules,中根据,class,来识别用户去往那个运营商。,V10,版本的,Class,格式和,V9,版本的,Class,有些不一样。,V9,版本,V10,版本,Outbound,的高级配置根据运营商选择线路,为了提高地址的添加速度，我们可以手动编辑,bigip.conf,文件，按照上页,V10,版,class,所示添加地址，再,b load,一下即可。,Outbound,的高级配置根据运营商选择线路,根据去往不同的运营商,(,目的地址,),进行选择不同线路的,Rules,rule Rule.Destination_Base_Route ,timing on,when CLIENT_ACCEPTED ,if matchclass IP:local_addr equals $:ct_class,pool CT_Pool, elseif matchclass IP:local_addr equals $:cnc_class,pool CNC_Pool, else ,pool Default_Gateway_Pool,IP,：,local_addr,代表的是内网要访问的目的地址,Outbound,的高级配置根据运营商选择线路,把,irule,和,vs,绑定,Outbound,常用,Rules,参考,对指定源,IP,地址设定,SNAT Pool,规则。根据到不同的运营商选定不,同,的,NAT_Pool,的,Rules,rule DNS_Outbound_Snat_Rules ,when LB_SELECTED ,if matchclass IP:remote_addr equals $:dns_class ,if IP:addr LB:server addr equals 219.1.1.1 ,snatpool DNS_SNAT_CT_Pool,elseif IP:addr LB:server addr equals 211.1.1.1 ,snatpool DNS_SNAT_CNC_Pool,else snat automap,IP,：,remote_addr,代表的是内网客户端的,IP,地址,对于某些内网是公网地址不需要做,NAT,的,Rules,when CLIENT_ACCEPTED ,if matchclass IP:local_addr equals $:cernet_add ,if matchclass IP:remote_addr equals $:donot_snat_cernet ,pool cernet_donot_snat_pool,else ,pool cernetnat_pool,else ,pool tel_pool,Outbound,常用,Rules,参考,Outbound,常用,Rules,参考,when CLIENT_ACCEPTED ,if matchclass IP:local_addr equals $:ip_ct ,pool ct_pool,snat automap,elseif matchclass IP:local_addr equals $:ip_cnc ,pool cnc_pool,snat automap,else ,pool cnc_pool,snat automap,LinkController,V10,Inbound,配置步骤,添加,link,分别为,ct,和,cnc,链路添加,link,并配置,monitor,Router Address,即链路的网关地址,添加,listener,每一条链路都需要配置一个,listener,设定,Server Pool,，,Pool,是,用来代表服务器的，,Virtual Server,将通过,调用,Pool,来把请求转到真实,的服务器上。,Inbound,配置步骤,设定完,Server Pool,，,接下来要针对每一条线路,设定一个,Virtual Server,，,每个,Virtual Server,都会,调用相同的,Pool,。,LinkController V10 Inbound,配置步骤,同样方法建立一个,VS_CT_web,的,Virtual Server,。,Virtual Server,列表如下：,LinkController V10 Inbound,配置步骤,LinkController V10 Inbound,配置步骤,VS,创建完成后，点击创建的,vs,可以发现，前面建立的,link,会自动和,vs,创建关联,如果出现关联不对的情况下，,可,以手动修改,wideip.conf,文件，将正确的关联关系修改。,VS,的特别说明,VIP,可以是一个,Forwarding IP,类型，这样如果内网用的是公网地址，可以在,LC,上配置一个相同,IP,地址的,Forwarding Virtual server,，利用,LC,上的静态路由,Forward,到真实服务器上。（前提是不需要用,LC,来实现服务器负载均衡）。这在,LC,测试时，不想修改服务器地址时比较有用。,关键的,wideip,部分,LinkController V10 Inbound,配置步骤,推荐的,Wideip,的,LB,算法为,Topology,None,GA,添加,Topology,记录,创建各,ISP,的,Region,创建,Topology,记录,关于,Weight,的值,Weight,的值不要设置成一样大小,LinkController,V10,DNS,迁移指南,修改之前的,DNS,设置（以,.cn,为例）：, NS , NS ,A 202.99.8.1,修改之后的,DNS,设置（以为例） ：, NS , NS ,CNAME ., NS , NS , A 58.248.186.191, A 61.140.186.22,LinkController,V10 DNS,迁移指南,