1、F5负载均衡器配置文档(图文并茂)

美河学习在线F5 BIGP负载均衡器配置指导书美河学习在线目录一、网络结构与IP地址规划4二、配置BIGIP3400负我均衡设备811旁路/直连的选择821 1路由/直连模式的介绍811.2旁路模式的介绍82.1.3路由/直连模式同旁路模式的比较912设宣负載均衡器管理网【I地址112.3登录BIGIP的 WEB管理界面122.4 激活 License 132.5初始化设置142.5.1BIG-IP 1上的平台(Platform)通用属性设置142.5.2修改系统时间162.53设置缺省管理权限策略16254重新启动bigip172.6配置网络层1726 1 划分 vlan172 6.2定义IP地址182.6.3配置路由202.7 配置双机设置(High Availability)212.7 1 配置 Redundant Pair 的 IP 地址212.7.2配置双机自动切换机制Failsafe配置222.8配宣服务器负載均衡232.8.1 配置 Monitor24282 配置 Profile252.7.3配置负載均衡Pool262.8 4创建iRule负我均衡控制规则以根据源地址选择服务器272.8.5建立Virtual server,实现对服务器的负载均衡2828 5 设置 SNAT302.9两台BIGIP配置同步332.10备份配置34三、系统运行状态检查及维护353.1 检 系统 I 1 志彳s 353.2检査Node状态353.3查看流量信息363.4査看系统当前性能参数373.5密码的更改373.6添加“只读”权限的管理员帐号383.7如何査询设备的序列号：383.8如何采集信息提供他人进行故障诊断393.8对某一 Virtual Server用TCPDUMP命令无法抓到包如何处理？ 40美河学习在线美河学习在线SPn移动两套梦网网关组网CMnet防火fftN204ExternalInternal VLAN光紆防火HiN208光纤SWtch 6503SMSCn1*SCn2 SMSC2n 网络结构与IP地址规划本于册以移动WAP/彩信网关为例网络拓扑结构如下图所示：整个数据网络设备，采用两台防火墙、两台BIG-IP 3400负我均衡器、及两台交换机.网 络设备都采用主、备设备，以实现设备、链路的冗余备份，以消除单点故障。这里部暑负载均衡器的目的主要是为了增加服务器的数童，以提升系统的处理能力。但对 外仍然是一个IP地址.相关的IP地址规划如2注：以上的IP地址规划是测试环境的IP地址设置，需要根据现网环境中的IP地址规划进 行修改。BIG-IP 3400-1VIP110.10.3.108对外的虚拟IP地址SNATIP110.10.3.108SNAT地址（指向PORTAL）External Share IP10.10.3.3/24同第一层防火墙trust同一 VLANExter vlan self IP10.10.3.1/24同第一层防火墙trust同一 VLANInternal Share IP1192.168.20.103/24同第二层防火墙Untrust 一 VLANInternal vlan self ip 1192.168.20.101/24同第二层防火墙Untrust 一 VLANBIG-IP 3400-2VIP110.10.3.108SNATIP110.10.3.108External vlan Share ip10.10.3.3/24External vlan self ip10.10.3.2/24Internal Share IP192.168.20.1103/24Internal vlan self ip192.168.20.1101/24矣河学习在钱mvwcanhe cti注，it议现场工程师先填写以下规抵轧项日F 5-3100-1F5-3100-2 tti建议值為注系统数主机名root用户密玛defaultdefaultAdmin用户密码ackninadmin氏b连按方式HTTPSHTTPS命令行连按方式SSH/consoleSSH/console网管眼务器IP系统诗理IP系统骨理IP地址掩码网关端口參数Ethernet 2 1 瑞 口描述 trunk)Ethernet 2 2 端口 描述 (trunk)Admin带外管理瑞口播述trunk 式Trunk fiCHTrunk0Tnmk_301%火燜互联lan 号10矣河学习在钱wwwcnhe 5 KA加翌力代ActiveStandbyF5 Fail-Safe H式VLA1T Fail-safetatewy Fail-safe 式分别由两台设备 监溉VLAH发现TUI失效时进行切换.F5 Fail-safe ActionFail Ovex邊行主备切换S1UT地址S114T后地址路由设負Dtfaulf Qatemy（Juxuptr防火墙地址）美河学习在线配置BIGIP3400负载均衡设备本章将主要描述BIGIP3400负載均衡设备的配置方法及配置内容。2.1旁路/直连的选择2.1.1路由/宜连模式的介绍网络连接的物理结构如下结构:典型的结构-路由/直连Server PoolIp规划说明：图中bigip为负载均衡交换机,bigip上面使用公开的ip地址，bigip下面 同负载均衡的服务器使用不公开的甲地址。但对外提供服务则使用公开的ipo2.1.2旁路模式的介绍网络连接的物理结构如下结构:美河学习在线典型的结构旁路美河学习在线美河学习在线Ip规划说明：图中blglp为负载均衡交换机.blglp和负载均衡的服务器均使用公开的ip 地址。2.1.3路由/直连模式同旁路模式的比较（1）流量走向不一样:路由/直连模式的流最走向如卜:直连结构下正常流量走向Server PoolSwitchBigip2美河学习在线美河学习在线如上图，bigip同客户端的流量在bigip的上联接II, bigip同服务器的流量在下而的接美河学习在线旁路模式的流最走向如卜：旁路结构下正常流量走向Server PoolBigipSwitch1Bigip如上图，bigip无论同客户端还是同服务器的通讯流最均在bigip的一个接门ho（2）接【I流量压力不一样见21图：路由/直连情况下，bigip同客户端的流量在bigip的上联接【I, bigip同服务器的流量在 下联的接I，故bigip单一接口压力较小。在旁路模式，bigip无论同客户端还是同服务器的通讯流量均在bigip的一个接门上故 b培ip单一接II压力较人。为解决此问题町以在bigip和交换机Z间釆用链路聚合技术，即 端II捆绑，以避免接II成为网络瓶颈。（3）网络结构的安全性不一样路由/直连情况下，町以不公布服务器使用的真实ip地址，只需要公布提供负载均衡的 虚拟地址即町，而在旁路情况卜，则客户端町以得知服务器的真实地址，在此模式I*为保 证服务器的安全性.服务器的网关指向bigip,可以使用bigip上的包过滤（防火墙）功能来 保护服务器。（4）对后端服务器的管理方便性不一样路由/直连情况卜，因服务器的真实地址町以隐含故管理起来需要在bigip上启用地址 翻译（NAT）功能，相对会复杂一些。而旁路模式则不需要地址翻译的配置。（5）前者不支持npath模式（见后图），后者支持npath模式，启用该模式可见少F5设备的 压力美河学习在线旁路结构npath模式下流量走向Server PoolSwitchBigip美河学习在线美河学习在线见上图，在旁路模式K使用npath的流最处理方式所有服务器回应的流呈町以不通 过bigip.这样可以人人减少流量的压力。但npath的流最处理方式不能工作路由/直连的模式。（6）在对原启系统做负载均衡技术改造时，两种模式的工作复杂程度不一样如果对原有没冇负栽均衡技术的系统进行负载均衡技术的改造，那么，在路由/直连情 况卜需要修改服务器的ip地址同时网络结构也要做调整（将服务器调到bigip后端）同 时相关联的应用也要改动，需要进行严格的测试才能上线运行：然而，在旁路模式卞，仅仅 需要改动一卜服务器的网关原有系统的其它部分（包括网络结构）基本不需要做改动.故. 前者对系统改动较人，后者则改动较小。对于电信项目来讲，由II连改为旁挂方式主要带來以下优点：1增加了网络的灵活性：由于F5采用旁挂的方式，后端服务器的网关指向的为三层交换 机的地址，而不是F5的地址，在对网络设备维护时可以方便的采用修改路由的方式使 设备卜线，便于维护管理。同时，一些特殊的应用也町在核心交换机上采用策略路由的 力式指向特定的网络设备。2、提高了网络整体的町靠性：由于旁路方式的存在，如果F5设备出现问题，町在交换机 上修改路由使用数据流绕过F5,而不会对整个业务系统造成影响。3、针对某些特殊应用.提高了速度：采用旁路的方式后.一些特定的的对速度、时延敏感 的应用数据在进入和离开时可以采用不同的路径，例如：在流入时可经过F5设备，对 其进行检查，负载均衡。而在该数据流离开时，则不经过F5.以提高其速度。2.2设置负载均衡器管理网口地址F5 BIG-IP 3400设备的面板结构:美河学习在线BIG-IP 3400应用交换机具备8个10/100/1000MH适应的网络接口及二个光纤接 口.美河学习在线10/100/1000 interface 8个10/100/1000 M 自适应的网络接口Gigabit fiber interface 2个 1000M 多模光纤接口Serial console port 一个串口命令行管理端口Failover port 一个串 口冗余状态判断端口 Mgint interface 一个 10/100M管 理端口注：互为双机的两台BIG-IP必须用随机附带的Failover线相连起来。BIG-IP上电开机以后，首先需要通过机器前面板右边的LCD旁的按键设置管理网I 1（设备前 面板最左边的网络接丨1）的IP地址。管理网络接【1有一个缺省的LP地址，一般为 192168 1.245。注：管理网络接II的IP地址不能与业务网络在同一网段，根据业务网络的地址划分，相应 的调整管理网络接I I的网络地址。如JK，在SMS中负我均衡I I的externalvlan和internalvlan 己经采用了 192 168 10/24的网段，必须修改管理网II缺省的IP地址到另外一个网段。通过LCD按键修改管理网I丨IP地址的方法如卜：1、按红色X按键进入Options选项；2、在液晶而板上通过按键按以下顺序设置管理网I I的网络地址：Options-System-IPAddress/Netinask-Commit如果通过LCD按键修改完IP地址以后.选择Commit,地址无法成功改变（例如出现IP地 址为全零的情况），很令可能是管理【IIP地址与系统内己经配宣发生冲突。出现这种情况， 关机垂启以后，另选一个IP网段来设置管理网门地址。警告：在设置好网络管理口地址以后，通过网络登陆到BIGIP上进行其它配置更改时，都 要保证网络管理口的网络连接完好。否则有时会出现修改的配置无法被成功加载应用的情 况，因为网络管理口为Down的情况会妨碍配置文件的加载。2.3登录BIGIP的WEB管理界面管理BIGIP有两种方式，一种是基于WEB的https管浬方式.另一种是基于ssh的命令行管 理方式。除特别配置外，采用WEB的管理方式即可.WEB登录方式如下：1. 在管理员的IE地址栏内输入BIGIP设备的IP地址，https/192 168 1 2452. 回车后出现系统警告信息点击Yes然后系统提示输入基于WEB配置的用户名和密码。美河学习在线目前的admin帐号的密码为adinin美河学习在线美河学习在线2.4 激活 License在配置BIG-LP之前，先要激活Licensee从 SystemLicenseReactivate 进入 License 激活 界而:GaneiairiofMia美河学习在线美河学习在线r”E005TP美河学习在线&o、3bX“aerd92 8bOe20e7hb?lbZ9 Wai 703938 C8Sua3“beEdn2S3O4 bc4S t Un33cO6(3(U2ae3bMJ72936(MHO0253Q27CO33C9上errZbL0159717311 ee90O91 bOj?8tgC4ii42jiC丄,*美河学习在线进入 https /activate f5 com/hcense/dossier isp,将产生的 Dossier 复制进以卞页面，产生 License美河学习在线美河学习在线文件：1 丄兰 _ 经Mr 人五,兰 川if /j-j f it林 u u & m 二业14 Activate License (BIG-IP 9 x. FirePass 5 x and TrafflcShieldtUsen.9 pwe to sjbmBaBIOiPvx PePdseVS 0 ar TramcShleto lossteffcf license action ITmj &e attempUnc 1o actre d license for 8lG IP w w or iCWan, pia“ click kmTotvat9FDu ptodud 9X)u vn nedour produd dozaEnter you dossierSelect your doeaPlatform注：主机名用来标识BIG-IP系统自身。主机名必须符合DNS域名标准。主机部分必须以字 母开始，并至少为2个字符。举例：f5-o警告：BIGIP双机系统的主机名必须不一糕否则配置同步会产生错误.町能导致破坏licensee例如负戦均衡器BIGJP1的主机名为ISMGLE01F5, BIGJP2的主机名为ISMGLE02F5oUser AdministrationRoot AccountPassword:Confirm:Actnin AccountPassword:Confirm:Support AccountDisabled-SSH Access0 EnabledSSH IP Allow宸 All Addresses vUpdate Root为命令行帐号，admin为WEB管理的帐号。注：root密码允许用户通过命令行访问BIG-IP系统。建议root密码长度大于6位，但不要 超过32位字节。密码与人小写敏感，建议密码中包含人写/小写字母和数字。如果BIG4P 系纽为兀余系统.两台主备机的root密码必须保持一致。注：如修改密码，请确认正确敲击键盘上的键。（有人敲错了键盘上的键，而导致无法找到 新设置的密码是什么。）BIGJP2上的平台通用属性设亂System Platform GeneralCon figurationGeneral Properties2.5.2修改系统时间1. 用PUTTY或Secure Shell Client等SSH客户端连接BIG-IP的管理网口地址，进入命 令行模式。注：Secure Shell Client可以用以下链接下载: nt-3.25.exe 2. 执行date检查系统时钟。rootZJHZ-PS -MhlS 3 -SW02 Active config # dateThu May 25 16:59:15 CST 20063. 命令格式# date 5“11七0.#date M4DDHHMMYYYY. SS如设宜2009年1月1日中午12： 00： 00#date 010112002007.004. 保存时间到BIOS# hwclock -systohc2.5.3设置缺省管理权限策略在甜令行运行b base list命令，检查初始化设置。如果 b base list 的输出 已经冇 self allow default tcp ssh tcp https udp efs tcp snmp proto ospf udp domain udp snmp tcp 4353 tcp domain udp 4353 一行，则进入到2.44。如果在b base list的输出中发现有self allow default none 一行，则运行以卜两条命令：b self allow default tcp ssh tcp https udp efs tcp snmp proto ospf udp domain udp snmp tcp 4353 tcp domain udp 4353 b base save所后用命令 more /config/bigip_base conf 侖看 bigip_base conf 文件确认 self allow default tcp ssh tcp https udp efs tcp snmp proto ospf udp domain ucp snmp tcp 4353 tcp domain udp 4353 己经保存到文件中。2.5.4重新启动bigJ# reboot2.6配置网络层按照拓扑结构，对F5BIGIP的网络层进行配置，划分vlan,定义IP地址及路由。261 划分 vlan点击左侧的导航条.进入NetworkTVLANS.在右侧町以对vlan进行配置。创建方法如2 点击createGeneial Proprtir*| MifTe2I2012a二 E回；WgfgMMWK 旳応vSore*MHJ(150011 ftepeti 11Name设置这个vlan的名字。Tag:为相应 VLAN 的 VLAN IDInterface定义Available中显示的端I I白选择性的划分到这个vlan中。指定端I 1后，单击上J 选入Untagged栏即可。点击上竺J完成。根据SMS的网络规划，负载均衡器上一共要定义了以下几个VLAN：Network VLANsVLAN ListVLAN Groups | Create NameTagUntagged Interfaces Tagged Interfacesexternal201.1,1.7internal101.2.1 8n etfaiover40941.4注：external.,internal为业务流量VLAN。VLAN ID应与网络规划中的VLAN -嗷。注：netfailover VLAN的14端门为双机网络心跳接I I,网络心跳信号及双机配JI同步信息 都是通过这-网线传输.因此要用网线将双机的14丨I对连起來。VLAN ID 4094为BIGIP 自动生成的。（也可以指定）。注：将1 7和18端I I加入到external VLAN和internal VLAN主要足为了仃时候町以将笔记 本接在相应VLAN进行测试，而不受BIG-IP与交换机之间网络连接的影响。2.6.2定义IP地址在划分完Vian后，即可对每个an进行IP地址的定义。方法如下: 点击左侧导航条中的Networksself IpsNetwork Interfaces 1 t 1 1 t 口 Routes Self IPs Packet FiltersS阿ning TreeTrunksVLANs ARP在右侧町以対Ip地址进行配置。创建方法如卜: 点击 Create:Network Self IPCoitfigui ationCancel Repeat | Fifed |IP address:输入IP地址Netmask输入子网掩码Vian：选择将这个IP地址绑定在哪个vlan上。选择卜拉菜单将显示所有己设置的vlan名。Port Lockdown 保持默认值 Allow DefaultoFloating IP:如果系统为冗余工作方式，需对每台设备的每个vlan均设置两个IP地址。其中 一个是self IP,另一个则为floating IP,即两台设备共用的IP地址。选中此项即代表这个IP地 址为 Floating IPo按照网络的规划，IP地址定义如下：SIS BIG-IP 3400应用交换机VLAI与IP地址规划(BIG-IP 3400-1)NameISIG-LB01.F5VLAN NaneVLANIDSelf IPFloating IPExternal2010.10. 3.1/2410.10. 3. 3/24Internal10192.168. 20.101/24192.168. 20.103/24Netfailover4094192.168. 6.1/24mgmT192.168.1. 245/24(BIG-IP 3400-2)NameISXG-LB02.F5VLAN NameVLANIDSelf IPFloating IPExternal2010.10. 3. 2/2410.10. 3. 3/24Internal10192.168. 20.102/24192.168. 20.103/24Netfailover4094192.168. 6. 2/24m&jn：192.168.1. 246/24其中,MGMT 是 BIG4P 的管理网口, BIG-IP1 的管理网口 IP 地址为 192.168.1. 245, BIG-IP2 管理网口的IP地址192.168.1. 246。BIGIP1的SELF IP配过如下：注：以下拷屏只是展示如何通过VEB界面进行相应的配置，其中的IP地址不一定正确, 请根据实际情况的IP地址划分进行配置。Network SetflPSelf P ListCreate .Routes-Add対路由进行配置PropertiesType定义配豐的是默认网关还是静态路由。Destination定义目标网段Netmask定义目标网段的掩码Resource定义网关地址.Finished | 士 亠点击完成。按照用户的需求.缺省路由是第层防火墙Trust 口的U机共享地址10.10. 3. 254Network Routes Default IPv4PiopertiesTypeDefaut GatewayDestination0.0.0.0Netmask0.00.0ResourceUse Gateway. v 1192.168.1.1Update 另外，还需要增加一个静态路由，即到机房二的数据包的卜一跳指向机房一中第二层防火墙 的Untixist区双机共享地址。Network Routes Defauk IPv4Piopeitiesrypestatic.rQUtcDcotnatwn192.168. 30.0255.255.255. 0RowfzUwXow野v |192 168. 20. 254Update 2.7 配置双机设 V(High Availabili 切High Availability就是双机兀余（Cluster ）r要求两台BIGIP的版本相同。配豐方法如卜:2.7.1 配置 Redundant Pair 的 IP 地址首先，确认BIG-IP已经转换为双机模式。在WEB页而的左侧导航条选择SYSTEMTPlatformSystem Platform GeneralCcnfiguratonGeneral PropertiesUanQjorwnc PertPAddreae:| 1S21SB.10.77Network| 2I5255.25I.0Menajemen： Roue. |Mcst sane| 1500 0esr corrHot IP AedressUse Mansgetnert Port P Address yHign AvaiatityHelindartPair v 匕unt DEH把Hith Availability设置中应选择为Redundant Pair模式。 其中 BIG-IP1 的 Unit ID 为 1, BIG-IP2 的 Unit ID 为 2。 然后，在WEB页面的左侧导航条选择SYSTEM-Hith Availability： BIG-IP 1的设置如卜：System Redundancy PropertiesRwluMancyCcnfij5*High Availability-Fail-safeSystem KeaurxMncy PropertiesReluidancyConfigSyncFaiksafeu SystemGeneral Properties GstewayL 洌FU VLAHS点击“Add”按钮VLAN：选择监控的VLANTimeout:默认值足90秒，一般改为30秒其中Action选用Fail Over方式，而不是缺省的Reboot方式。 设置完后，结果如下：2.8配服务器负载均衡注：服务器负栽均衡器的设置只需要在-台BIG-IP 1上进行设覧 设豐好以后，可以通过双 机配置同步的方式将配置更新到BIG-IP2 o在设置好基础网络，即可对实现服务器负载均衡进行配置。主要涉及以下几个方面：Monitor（不一定需要设.有时候可以采用系统自带Monitor）Monitor踪Pool成员的当前状态或者性能Profile（不一定需要设，有时候可以采用系统自带Profile）Profile包含定义Virtual Servertf为的设置。负载均衡Pool负载均衡Pool包含可以将请求发送到其中进行处理的服务器。iRules负裁均衡控制规则。Virtual ServerVirtual Serve接收客户端的访问请求，然后将请求分发给被负截均衡的服务器上。SNAT在负载均衡器内部的服务器主动向外发起访问时，在负载均衡器上所做的地址映射。访问时2.8.1 配置 MonitoiMonitor町以实现对服务器实施健康检查。以确定服务器足否町以对外提供服务。注：目前并不存在着故障服务器进行切换的需求只是需要根据客户端源地址來选择服务器. 因此并不需要对服务器进行监控。以卜只是用于说明服务器状态检查的配置方式。可以直接 进入到下一步骤。如果需要对检査方法的屈性进行定制.以卞以定制TCP端I I检査为例.方法如卜：点 击左侧导航条中的 Local Traffic-Monitor-Create在 General Piopeities 屮选择 TCPGeneral PropertiesNQTreSelect.I duel Seled.ExternalFTPOotcv/ay IC1/1PHIT?HTTPSICMPIMAPLDAPMSSGllNhTPOraclePOP3RADUS 上b Server ScriptedSIPSMTPShMP DCA ShMPDCA Bos SOAPovtijr(c)xW5 230. F5 MetP&SHdf Cpon美河学习在线Gciieid PiopciticsTypehport Sd1infl5grislj fGpcFast L4 Profile 选择创建美河学习在线LccqI Trartfi ?st L4 ProHy Nev0 L4 P-ila.1Oh noce esN3irCL4 VR! on rrutIP雇 TirtcuTC PPVft AcoM*Gitfi2.7.3配置负载均衡Pool负我均衡Pool是您组合起来接收和处理流最的一组设备.如Web服务器。BIGIP系统将客户机 发往Virtual Server的请求发送到Pool成员中的任服务器上。当创建负我均衡Pool时，将服务器（称作Pool成员）分配到pool中，然后将pool与BIGIP系 统中的Virtual Server相关联然后.BIPIP系统将进AVirtual Server41的流量传输到Pool 成员。单个服务器町隶MT-个或多个pool，这取决于您希望如何管理您的网络流量。创建pool的方法如下：点击左侧 丫航* 中的 Local Traffic-Virtual Servers-Spools-Create:Loci Traffic Pods New PoolResourcesLoad Balancing MethodRound Robin7Priority Group MivatiwDisabledv iNew MembersiRule-Data Group 中选择 CreatetkwCroup.General Procxrt心1I gr2刃RecordsRx： h4iRule 中选择 Create 创建一个 selectjsmg 的 iRule：when CUENT_ACCEPTED if matchclass IP:client_addr equals $ spl_class node 192.168.20 1一一 elseif matchclass IP chent_addr equals $ :sp2_class node 192 168 30 2一- else drop 上述规则的含义是如果源地址在定义的spl_class的data group中，则选择服务器 192.168.20 1如果在sp?_class的datagroup中，则选择192.168.30 lo如果源地址不在这两 个Data Group中，则拒绝访问。2 8.5建立Virtual server,实现对服务器的负载均衡Virtual Server是EIG-IP本地流量管理(ETM)配叠中最重要的组件tBIG-IP收到到Virtual Server的客户请求后，以地址转换的方式，将客户端的诸求发送到Virtual Server相应Pool中的 某个成员服务器上。Virtual Seiver可提高用于处理客户机请求的资源的可用性。创建Virtual Seiver的方法如卜：点击左侧导航条中的 Local Traffic-Virtual ServersCreate:General PropertiesName11DestinationType:G HostNetworkAddress: |Service Port| Select.Stde| Enabled在General Properties部分，需指定该Virtual server的名称，IP地址及服务端I IoConfiguration: | BasicType| Standard二|Protocol:One Connect Profile(NoneHTTP Profile(NoneFTP ProfileIlMone SSL Profile (Client)|None勺SSL Profile (Server)|NoneVLAN Traffic|aII VLANS二I在Configuration部分.用户需跟据该Virtual server的类型，选择相应的配置参数。