2防火墙服务器负载均衡技术白皮书.pdfVIP

Hillstone 防火墙服务器负载均衡技术白皮书 范围：市场类技术文档，面向售前工程师发布，作为售前工程师向客户传递产品功能原理及 使用场景的素材文档，并可向有需要的客户直接提供。 关键词：防火墙，服务器负载均衡。 摘要：本文介绍了服务器负载均衡功能的需求背景、Hillstone 防火墙服务器负载均衡功能的 详细介绍以及典型客户场景。 缩略语： 缩略语 英文全称 中文解释 FW Firewall 防火墙 SLB Server Load Balance 服务器负载均衡 1. 防火墙支持服务器负载均衡的必要性 1.1 传统防火墙服务器负载均衡部署方案存在的问题 过去，防火墙和服务器负载均衡设备是互相独立的，通常把防火墙部署在互联网出 口，而服务器负载均衡则部署在贴近服务器的位置，作为需要做负载均衡的服务器的网 关。此时，防火墙仅能对外部访问服务器公网地址做安全防护，由于中间隔了服务器负 载均衡设备，看不到内部网络，也就无法对内部网络间的互访进行访问控制。这样的部 署方案不仅成本高，而且无法使防火墙物尽其用。 图1 传统防火墙服务器负载均衡部署方案 1.2 在防火墙上增加服务器负载均衡能力是大势所趋 防火墙直接支持服务器负载均衡特性是一种合适的解决方案。这样，防火墙就不仅 能对外部访问服务器公网地址做安全防护，又能看到内部网络，对内部网络间的互访也 可以进行访问控制。同时，由于减少了独立的服务器负载均衡设备，使得用户投资的成 本大大降低。 图2 现代防火墙服务器负载均衡部署方案 2. Hillstone 防火墙服务器负载均衡技术 2.1 在目的地址转换基础上实现 服务器负载均衡通常都是在目的地址转换功能基础上实现的，Hillstone 防火墙也不 例外。外部访问服务器的公网地址时，在防火墙向内网地址进行目的地址转换的过程中， 辅以各种负载分担算法，便能达到外部访问在多台服务器间负载均衡的效果。 图3 Hillstone 防火墙服务器负载均衡策略配置 2.2 支持多种负载分担算法  加权散列 按源 IP 地址加权哈希计算，选择新建会话去往的需要负载均衡的服务器地址池中 的IP 地址，强制使用同源同宿。  加权最小连接数 按各服务器当前的并发会话数加权哈希计算，选择选择新建会话去往的需要负载均 衡的服务器地址池中的IP 地址，可选使用同源同宿。  加权轮询 按各服务器当前的权值哈希计算，选择选择新建会话去往的需要负载均衡的服务器 地址池中的IP 地址，可选使用同源同宿。 图4 Hillstone 防火墙服务器负载均衡支持的负载分担算法 2.3 支持限制服务器并发连接数 Hillstone 防火墙服务器负载均衡功能在运行过程中，可以对每台服务器都进行最大 并发连接数限制，以便服务器承受压力达到上限时，防火墙不再向该服务器上建立连接， 服务请求不会因为服务器性能不够而丢弃。 图5 Hillstone 防火墙服务器负载均衡支持限制服务器并发连接数 2.4 支持同源同宿 同源同宿即保证同一个源 IP 地址的访问分配到同一个服务器上处理，这样能够保 护用户业务的连续性。 图6 Hillstone 防火墙服务器负载均衡支持同源同宿 2.5 支持服务器状态探测 服务器状态探测能够保证负载均衡的准确性，使出现故障的服务器不再参与负载均 衡的计算，当前支持PING、TCP 、UDP 三种探测方式。 图7 Hillstone 防火墙服务器负载均衡支持服务器状态探测 3. 服务器负载均衡典型客户场景 3.1 Hillstone 防火墙作为服务器的网关使用 Hillstone 防火墙部署在互联网出口，同时作为需要负载均衡的服务器的网关