数据中心的防火墙板卡与负载分担板卡部署最佳实践.pdfVIP

文档名称 文档密级 数据中心的防火墙板卡与负载分担板卡部署最佳实践 1 概述 在数据中心服务器区网络拓扑中，汇聚层为多个服务器接入层模块（交换机）提供流量 汇聚功能，汇聚层的一个重要的角色是做为各种服务器的网关。对于采用“核心 — 边缘” 架构的数据中心网络而言，汇聚层部署防火墙可做为整个服务群区域的安全边界，实现其它 功能区域到为本服务区的安全访问控制。另外，网络汇聚层作为网络接入层的流量会集点和 服务网关，可以通过部署应用优化设备和安全设备（服务负载分担、SSL VPN、IPS等）以减 轻服务器的处理负担、提供深度安全防护等功能。 在服务器区网络汇聚层采用集成在机架式交换机上的安全业务板卡，可简化数据中心机 架布线、提高系统高可用性、降低设备整体功耗、简化设备配置，如图：。 本文将向您介绍一种数据中心服务区网络汇聚层的防火墙（FW）板卡与服务器负载分担 板卡（LB）的集成组网部署最佳实践。 2007-04-27 H3C 机密，未经许可不得扩散 第 1 页, 共 5 页 文档名称 文档密级 2 服务器区FW+LB的典型组网 图1 数据中心FW+LB板卡最佳实践组网 3 服务器区FW+LB部署要点 核心交换机(Switch9500) 汇聚交换机(Switch9500/75E)集成业务板卡 核心、汇聚交换机之间配置OSPF协议 FW（防火墙板卡）作为Server的网关。FW配置静态路由，缺省网关指向汇聚交换机。 两个FW之间运行VRRP，保证HA或是负载均衡 LB（负载均衡板卡） 单臂旁挂，配置静态路由，缺省网关指向汇聚交换机。两个 LB之间运营VRRP，保证HA或是负载均衡 接入交换机(S55EI)做二层接入 2007-04-27 H3C 机密，未经许可不得扩散 第 2 页, 共 5 页 文档名称 文档密级 4 服务器区FW+LB组网特点 优点： 结构简单 FW保证服务器之间的安全隔离 缺点： LB没有安全保护，容易受到安全冲击 适用场景： 中型数据中心，服务器数量较多 安全要求高，对成本不是很敏感 流量很大，并发连接/新建连接数很高 可用性要求较高 5 服务器区FW+LB流量路径 图2 数据中心FW+LB板卡最佳实践流量路径 2007-04-27 H3C 机密，未经许可不得扩散 第 3 页, 共 5 页 文档名称 文档密级 C-S方向（紫色流量） 1、数据流从核心交换机经过V1000进入汇聚交换机 2、汇聚交换机根据目的(LB的VIP)将数据通过V100转发到LB 3、LB作为代理终结报文。替换源地址(2.2.2.1)和目的地(4.4.4.2)之后通过V300 返回汇聚交换机，下一跳是汇聚交换机(2.2.2.2) 4、汇聚交换机继续进行三层转发到FW 5、FW转发报文到V400的服务器(