F5 负载均衡 How to 实现防火墙负载均衡及各种实现方式.docVIP

防火墙负载均衡的各种实现方式及对比 北京安泰网安网络科技有限公司 广州分公司 刘勇 2006-3-30 方式一：采用network virtual server的方式 逻辑结构及基本配置如下： 原理分析：假设外部有一个client 61.1.1.1发起了对VIP 202.1.2.100的访问。此次访问通过在公网的路由最后会丢到外部F5的外部VLAN上。外部的BIGIP设备起用了network virtual server：202.1.2.0/24，与该virtual server相关的pool的member为防火墙的两个外部接口的IP地址172.16.1.1和172.16.1.2。此配置的作用是将所有目的地址为202.1.2.0/24网络的包按照负载均衡算法丢给两台防火墙中的防火墙1来进行处理，在此过程中，外部F5没有对命中network virtual server的包进行地址转换，即是通过类似路由的方式将包进行转发。那么防火墙1在收到外部F5转发过来的包之后，（外部F5转发过来的包的源地址和目的地址都没有变，即目的地址是202.1.2.0/24，此网段为防火墙内网口直连的网段）将根据防火墙的访问规则来进行处理，如果符合访问规则的话，防火墙1则会根据自己的路由表将包再转发给内部F5的外部VLAN上，最终命中内部F5外部VLAN上面的VIP 202.1.2.100:80，然后内部F5在对此次访问进行负载均衡处理，最终选定内部F5内部VLAN中的某一台服务器来进行服务。 服务器的回包过程：首先通过默认网关将包丢到内部F5的内部VLAN上，内部F5对该包进行一个源地址转换，即将192.168.0.1源地址转换为VIP的地址，该包经过内部F5后，起目的地址不变为61.1.1.1源地址则为202.1.2.100，然后依靠内部F5的auto_lasthop功能，内部F5会将包转发给防火墙1（即是刚才将包发过来的那台防火墙），防火墙1再根据自己的默认网关将此包丢给外部F5的内部VLAN，命中外部F5内部VLAN上的0.0.0.0:0的virtual server，外部F5则将此包丢给该virtual server的member 202.1.1.254:0进行处理（此过程也没有NAT）。从而完成一个完整的会话过程。 此方式的优缺点： 优点：防火墙上不做地址转换，两台防火墙的规则一致，F5的配置也比较简单，实施起来对原来系统的改变比较小。 缺点：需要将外部公网地址通过不同的掩码进行划分，划分为两个网段，一个网段用于和外部路由器互联，另一段公网IP则用做内部F5上面的VIP地址。 方式二：采用三重NAT的方式 逻辑结构及基本配置如下： 原理分析：假设外部有一个client 61.1.1.1发起了对VIP 202.1.1.100的80端口的访问。此次访问通过在公网的路由最后会丢到外部F5的外部VLAN上。外部的BIGIP设备起用了 标准的virtual server：202.1.2.100:80，与该virtual server相关的pool的member为防火墙的两个外部接口的上面的两个NAT地址172.16.1.3和172.16.1.4，外部F5根据负载均衡算法将此访问请求包丢给172.16.1.4，也就是防火墙2上面的NAT的地址，那么这个包在离开外部F5的时候，源地址不变，目的地址由202.1.1.100变成了172.16.1.4。那么防火墙2在收到外部F5转发过来的包之后，防火墙2根据自己的访问控制规则，如果符合访问规则的话，会将此包再进行一次NAT，即源地址还是不变，但是目的地址由172.16.1.4变为172.16.2.100，然后防火墙2则会根据自己的路由表将包再转发给内部F5的外部VLAN上，最终命中内部F5外部VLAN上面的VIP 172.16.2.100:80，然后内部F5在对此次访问进行负载均衡处理，最终选定内部F5内部VLAN中的某一台服务器来进行服务。 服务器的回包过程：首先通过默认网关将包丢到内部F5的内部VLAN上，内部F5对该包进行一个源地址转换，即将192.168.0.1源地址转换为VIP 的地址，该包经过内部F5后，其目的地址不变为61.1.1.1源地址则为172.16.2.100，然后依靠内部F5的auto_lasthop功能，内部F5会将包转发给防火墙2（即是刚才将包发过来的那台防火墙），防火墙2再根据自己的NAT规则，将源地址由172.16.2.100转换为172.16.1.4，目的地址不变，然后将此包丢给外部F5的内部VLAN，外部F5则根据自己的连接状态表，再将源地址由172.16.1.4转为202.1.1.100，然后再根据自己