SANGFORAD技术白皮书.docx
《SANGFORAD技术白皮书.docx》由会员分享，可在线阅读，更多相关《SANGFORAD技术白皮书.docx（50页珍藏版）》请在冰点文库上搜索。
SANGFORAD技术白皮书
深信服应用交付产品技术白皮书
深信服科技有限公司
2013年
版权声明
深圳市深信服电子科技有限公司版权所有，并保留对本文档及本声明的最终解释权和修改权。
本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明外，其着作权或其它相关权利均属于深圳市深信服电子科技有限公司。
未经深圳市深信服电子科技有限公司书面同意，任何人不得以任何方式或形式对本文档内的任何部分进行复制、摘录、备份、修改、传播、翻译成其他语言、将其全部或部分用于商业用途。
免责条款
本文档仅用于为最终用户提供信息，其内容如有更改，恕不另行通知。
深圳市深信服电子科技有限公司在编写本文档的时候已尽最大努力保证其内容准确可靠，但深圳市深信服电子科技有限公司不对本文档中的遗漏、不准确、或错误导致的损失和损害承担责任。
信息反馈
如果您有任何宝贵意见，请反馈：
信箱：
广东省深圳市学苑大道1001号南山智园A1栋邮编：
518055
电话：
9
传真：
9
您也可以访问深信服科技网站：
获得最新技术和产品信息
缩写和约定
英文缩写
英文全称
中文解释
ACL
AccessControlList
访问控制列表
ADC
ApplicationDeliveryController
应用交付设备
BRAS
BroadbandRemoteAccessServer
宽带接入服务器
DNAT
DestinationNAT
目的地址NAT
DNS
DomainNameService
域名服务
DR
DirectRoute
直达路由
FTP
FileTransferProtocol
文件传输协议
HA
HighAvailability
高可用性
HTTP
HypertextTransferProtocol
超文本传输协议
ICMP
InternetControlMessageProtocol
因特网控制报文协议
ISP
InternetServiceProvider
Internet服务提供商
MAC
MediaAccessControl
介质访问控制
NAT
NetworkAddressTranslation
网络地址转换
OSPF
OpenShortestPathFirst
开放最短路径优先
RADIUS
RemoteAuthenticationDialInUserService
远程用户拨号认证系统
RIP
RoutingInformationProtocol
路由信息协议
RTT
RoundTripTime
往返时间
STP
SpanningTreeProtocol
生成树协议
SNAT
SourceNAT
源地址NAT
SNMP
SimpleNetworkManagementProtocol
简单网络管理协议
SOA
ServiceOrientedArchitecture
面向服务架构
SSL
SecureSocketLayer
安全套接层
TCP
TransmissionControlProtocol
传输控制协议
UDP
UserDatagramProtocol
用户数据报协议
URI
UniformResourceIdentifier
统一资源标识符
URL
UniformResourceLocator
统一资源定位符
VLAN
VirtualLocalAreaNetwork
虚拟局域网
第1章应用交付，后负载均衡时代的选择
1.1背景概述
传统的负载均衡技术为用户提供了一种性价比不错的方法，通过扩展网络设备和服务器的带宽及吞吐量，进而提升网络数据处理的稳定性。
而应用交付与负载均衡相比，在强调稳定性的基础上，增加了智能和优化方面的功能特性，以帮助用户应对来自于复杂应用环境中部署并交付服务的挑战。
通过合理地部署应用交付设备，用户不仅能进一步改善其业务应用的性能与安全性，更可提高数据中心的基础设施效率，乃至应对未来部署虚拟化数据中心的趋势。
1.1.1负载均衡专注的领域
服务器负载均衡原先被创造出来用以解决网络方面的问题，例如将访问请求在一组负责特定Web应用交付的服务器之间进行分配。
最初是通过简单的DNS轮询来实现的，但是这种方法有其局限性。
因此市场上出现了特定功能的负载均衡设备，通过分析入站的应用请求，将这些请求动态地映射到可用的服务器之上。
为了应对用户日趋复杂的访问需求，负载均衡方面的革新一直在持续，最初是集中于入站方面的问题，例如动态识别服务器的工作负荷和故障，以及确保用户访问操作不会丢失的会话保持功能。
然而，市场很快又发生了演变，并开始着眼于其他问题，诸如应用和服务器的效率方面，最佳的例子便是SSL卸载技术的采用。
最后，关注点转移到了出站流量方面。
市场上不断涌现出出一系列的技术和功能，用以改善通过网络交付业务应用的效率。
创新点也从专注于基础设施效率的单纯网络技术，转移到了业务应用的性能优化和安全方面，而负载均衡也开始从一个单纯的网络产品发展应用交付这样一个触及网络、服务器、业务应用乃至安全方面的全方位概念。
1.1.2应用交付概念的诞生
先进的应用交付产品（ADC）能帮助用户缓解来自于当今复杂应用环境部署和交付的挑战。
过去的十年，伴随着企业级应用以业务流程和用户生产力为目标，向基于浏览器模式的大量迁移，同时也见证了面向服务架构（SOA）、和现今云计算模型被广泛采用。
基于改善业务应用环境的理念，应用交付产品提供了一系列功能以应付复杂的网络环境。
在业务持久性、终端用户访问体验、数据中心可用性等多个应用领域，均可通过部署应用交付产品予以优化。
此外，应用交付产品能够帮助减少所需部署的服务器数量，提供实时的控制机制助力于数据中心虚拟化，降低数据中心的供电和冷却方面的要求，使用户的业务更好地顺应紧凑、节能、环保的趋势。
1.2快速、智能的应用交付网络
虽然应用交付产品能提供如此丰富的优化功能，可以改善用户的业务应用性能与安全性，但是国内用户在实际使用中还是以传统负载均衡的方面居多。
然而在中国乃至整个亚洲市场，在线上业务和电子商务等方面都逐渐涌现出更复杂的应用交付需求，这对发布业务应用的服务商而言也意味着将面临更多的挑战。
与欧美发达国家相比，国内在宽带普及率和线路质量等方面都还存在一定的差距，因此用户访问体验还存在很大的优化空间。
换言之，应用交付层面的种种性能优化特性，在这种环境中会愈加地凸显出来，甚至被一定程度地放大。
应用交付技术发展至今已经十分成熟，各厂商的产品之间基本上都是大同小异，只是侧重点有所不同；有的走得是集中方案，有的强调整合，有的偏重于安全；而深信服致力于提供快速、智能的应用交付解决方案，在众多功能细节中都体现了深信服对于不同地域、不同用户群市场需求的深刻理解，旨在让客户能获得超出业界同类产品的投资回报，在改善用户访问体验的同时，提升自身的业务竞争力。
第2章深信服应用交付解决方案
2.1方案概述
深信服AD产品作为专业的应用交付设备，能够为用户的应用发布提供包括多数据中心负载均衡、多链路负载均衡、服务器负载均衡的全方位解决方案。
配合性能优化、单边加速以及多重智能管理等技术，实现对各个数据中心、链路以及服务器状态的实时监控，同时根据预设规则将用户的访问请求分配给相应的数据中心、链路以及服务器，进而实现数据流的合理分配，使所有的数据中心、链路和服务器都得到充分的利用。
不仅扩展应用系统的整体处理能力，提高其稳定性，更可切实改善用户的访问体验，降低组织的IT投资成本。
2.2概念介绍
▶负载均衡算法－深信服AD设备根据设定的策略机制将来自业务访问的数据流量调度到不同的真实服务，例如对应服务器负载均衡中的服务器、链路负载均衡中的链路、以及全局负载均衡中的站点，用以调度的策略机制被通称为负载均衡算法。
▶健康检查－深信服AD设备对服务器以及链路进行主动探测，依据不同的健康性检测方法，可以判断服务器或链路的健康状况是否能正常提供服务。
▶就近性－在多链路负载均衡的场景中，深信服AD设备通过访问端的地理位置，链路隶属的运营商，以及实时探测的链路健康状况等因素进行分析比对，并根据判断结果选择最优链路，保证数据流量经由最优链路来传输。
▶虚拟服务－深信服AD设备对外发布的服务被称为虚拟服务。
虚拟服务包含了服务类型（协议）、节点池（一台或多台服务器的IP地址和端口的集合）等配置属性。
客户的访问请求通过网络到达深信服AD设备，并匹配到虚拟服务后，再由AD设备按照设定的负载均衡策略调度到真实服务器。
▶会话保持－深信服AD设备提供有一种称为会话保持（SessionPersistence）的机制，可以识别客户与服务器之间交互过程的关连性，在实现负载均衡的同时，还可保证一系列相关连的访问请求会保持分配到同一台服务器之上。
在这种特定情况下，AD设备将放弃原有的负载均衡算法。
▶IP地址库－深信服AD设备内置的IP地址库收录了不同运营商拥有的ISP地址段信息，以便链路负载均衡可以基于报文的源或目的IP地址查找IP地址库，并得到对应的运营商信息，再根据运营商信息为访问流量选择一条合适的ISP链路。
2.3多链路负载均衡
深信服AD应用交付设备集合出入站智能DNS解析、轮询、加权轮询、静态就近性、动态就近性等算法，解决多链路网络环境中流量分担的问题，充分提高多链路的带宽利用率，节约企事业单位对通信链路的投资；并且通过为用户分配最佳的通信线路，使用户获得绝佳的访问体验。
此外，深信服AD应用交付设备还利用链路健康检查及会话保持技术，实现了在某条链路中断的情况下任然可以提供访问链接能力，充分利用了多条链路带来的可靠性保障，使对于用户的访问达到了最全面的支持。
2.3.1出站流量负载均衡
内网的用户访问互联网访问资源时，深信服AD接收到用户的访问流量后，通过预先设定链路负载策略将用户访问流量分配到不同的互联网链路之上，实现出站流量负载均衡，提升互联网链路带宽利用率。
1.实现方式
深信服AD接收到内网用户访问的流量以后，根据预先设定负载策略将访问电信的资源的出站流量分配到电信的链路之上，并做源地址的NAT，（指定某一合法IP地址进行源地址的NAT，或者用AD设备的接口地址自动映射），保证数据包返回时能够正确接收；同理，其它的访问的流量会通过相应策略会被分配到其它的运营商链路之上。
2.工作流程
出站流量负载均衡的工作流程如下图所示
出站流量负载均衡的流程描述如下
步骤
说明
1
深信服AD设备收到来自内网用户的访问流量
2
深信服AD设备根据预先定义的负载均衡策略来选择出合适的出站链路
3
深信服AD设备按照链路选择的结果将流量分配给选定的出站链路，并做源地址的NAT
4
深信服AD设备收到从外网返回的应答流量
5
深信服AD设备将流量转发给内网用户
2.3.2入站流量负载均衡
当外部用户访问内部资源时，深信服AD通过智能DNS解析技术将一个域名绑定多个运营商的公网地址，负责解析来自不同运营商用户的域名解析请求；深信服AD根据不同负载均衡策略为不同运营商的用户返回最佳的访问地址，实现用户入站流量的负载均衡。
1.实现方式
通过在域名注册提供商处修改域名NS记录，深信服AD设备获得域名解析权，深信服实现一个域名绑定多个运营商的公网地址，负责解析来自多个运营商用户的域名解析请求。
根据实现设定负载策略可以实现，如电信的用户通过电信的线路访问内部资源，联通的用户通过联通的线路访问内部资源；深信服AD还可以通过两条链路做反向查询，根据RTT时间判断链路的好坏，并且综合以上两个参数返回相应的IP地址。
2.工作流程
入站流量负载均衡的工作流程如下图所示
入站流量负载均衡的流程描述如下
步骤
说明
1
外网用户的访问客户端向其本地DNS服务器发出域名解析请求
2
本地DNS服务器首先在本地搜索是否有相应的记录，如果没有就向根DNS服务器发起查询
3
根DNS服务器反馈本地DNS服务器，告知域名解析权授予深信服AD设备
4
本地DNS服务器会再次向深信服AD设备发出域名解析请求
5
深信服AD设备先判断链路的健康状况，再根据预先定义的负载均衡算法来选择出合适的IP地址作为域名解析结果
6
深信服AD设备将域名解析结果反馈给本地DNS服务器
7
本地DNS服务器将得到的域名解析结果转发给客户端
8
客户端根据得到的IP地址发起连接请求，对内网服务器进行访问
2.3.3链路负载算法
深信服AD设备支持如下算法，管理员能够根据自身需求选择相应的链路分配策略，支持更多个性化的链路使用规则。
1.轮询（RoundRobin）
实现机制－将所有网络链路放在一个队列当中，按顺序依次返回给用户队列中下一个网络链路的IP地址。
适用场景－拥有多条同一运营商的互联网链路，各条链路的带宽也相近。
2.加权轮询（WeightedRoundRobin）
实现机制－由于各条互联网链路的吞吐量可能不一，因此可以为各条链路分配不同的加权值。
根据这个比例，把数据用户请求轮询分配到每条链路。
适用场景－拥有多条同一运营商的互联网链路，但各条链路的带宽存在差异。
3.加权最少连接（WeightedLeastConnection）
实现机制－根据事先为各条链路设定的权值，在调度新连接时尽可能地使各链路的已建立连接数和其权值成比例，把新的连接请求分配到当前比例最小的链路上。
适用场景－各条链路的带宽存在差异，并且不同用户发起的连接保存时长差异较大。
4.加权最小流量（WeightedLeastTraffic）
实现机制－根据事先为各条链路设定的权值，在调度新连接时尽可能的使各条链路的实时流量与权值成比例，把新的连接请求分配到当前比例最小的链路上。
适用场景－拥有多条互联网链路，并且各链路之间的带宽差异较大。
5.静态就近性（StaticProximity）
实现机制－按照预先为某个目标定义的静态最佳路径来选择链路，或者根据设备内置的全球IP地址库来判断目标IP属于哪个互联网运营商，进而选择相应的ISP链路。
适用场景－拥有多条不同运营商的互联网链路，业务流量多为入站访问流量。
6.动态就近性（DynamicProximity）
实现机制－在选择链路时，通过综合考虑数据传输的延迟和链路的实时负载，准确计算出最佳路径。
适用场景－拥有多条不同运营商的互联网链路，业务流量多为出站访问流量。
7.带宽比例（BandwidthRatio）
实现机制－由于各条互联网链路的吞吐量可能不一，因此将为各条链路的带宽大小作为权值；根据这个比例（每条链路带宽大小的比值），把数据流量分配到每条链路上。
适用场景－拥有多条同一运营商的互联网链路，但链路之间的带宽差异较大。
8.哈希（Hashing）
实现机制－基于LOCALDNSIP地址的哈希算法，将不同的用户访问调度到不同的链路之上。
适用场景－拥有多条互联网链路，需要保证来自同一个用户的请求分发到同一条链路。
9.主备（Primary/Secondary）
实现机制－即可以为网络设定主备链路，当主链路出现故障时，用户的访问请求才会被调度备用链路之上
适用场景－拥有多条互联网链路，对业务访问的持久性要求较高。
10.首个有效（FirstAvailable）
实现机制－即将用户的请求全部都调度第一条有效无故障的链路之上
适用场景－拥有多条互联网链路，对业务访问的响应时延比较敏感。
2.3.4链路健康检查
深信服AD通过多个Internet站点的可达性，来共同判断一条链路的状况。
例如，通过电信线路检查、、以及的TCP80端口，并对检查结果做“或”运算。
如此，只要其中一个站点可达，即可表明链路状态良好。
该方法即避免了ICMP检查的局限性，也避免了单一站点检查带来的单点失误。
2.4服务器负载均衡
运用多台服务器集群的机制，深信服AD应用交付设备能将所有真实服务器配置成虚拟服务来实现负载均衡，对外直接发布一个虚拟服务IP。
当用户请求到达应用交付设备的时候，根据预先设定的基于多重四、七层负载均衡算法的调度策略，能够合理的将每个连接快速的分配到相应的服务器，从而合理利用服务器资源。
不仅在减少硬件投资成本情况下解决单台服务器性能瓶颈，同时方便后续扩容，为大并发访问量的系统提供性能保障。
通过对服务器健康状况的全面监控，深信服AD应用交付设备能实时地发现故障服务器，并及时将用户的访问请求切换到其他正常服务器之上，实现多台服务器之间冗余。
从而保证关键应用系统的稳定性，不会由于某台服务器故障，造成应用系统的局部访问中断。
近年来随着IPv4地址的逐渐枯竭，以及IPv6对安全性和可靠性的增强，很多用户的网络正在逐渐向IPv6过渡。
为了适应这种趋势，深信服AD应用交付设备不仅能对IPv4协议的应用系统进行负载均衡，也同样支持基于IPv6协议的L4/L7服务器负载均衡，以实现用户对IPv6服务的发布。
2.4.1NAT方式L4服务器负载均衡
1.实现方式
深信服AD设备支持基于IP地址、应用类型和内容等因素实现流量负载。
通过这种方式管理员可以为不同类型的应用类型分配不同的服务器资源。
应用类型调度支持基于不同协议上的多种应用，包括TCP、UDP、IP、DNS、E-mail、FTP、HTTP、RADIUS等等。
在实现L4服务器负载均衡的场景中，AD设备负责将客户端的请求转发给服务器，然后客户端与服务器之间建立TCP连接，此时AD设备所扮演的角色类似于一台路由器。
在NAT方式下，AD设备调度访问请求时，先进行目的IP地址转换，再将访问请求转发给后端的每台服务器。
2.工作流程
NAT方式L4服务器负载均衡的工作流程如下图所示
NAT方式L4服务器负载均衡的流程描述如下
步骤
说明
1
客户端发送服务访问请求，此时的源IP为客户端IP、目的IP为虚拟服务IP
2
深信服AD设备接收到访问请求后，根据预先定义的负载均衡调度算法判断出应该将访问请求分发给哪台服务器
3
深信服AD设备使用DNAT技术分发访问数据，此时的源IP为客户端IP、目的IP为服务器IP
4
服务器处理接收到的访问请求，并回复响应数据，此时的源IP为服务器IP、目的IP为客户端IP
5
深信服AD设备接收响应数据，转换源IP后再转发给客户端，此时的源IP为虚拟服务IP、目的IP为客户端IP
2.4.2DR方式L4服务器负载均衡
1.实现方式
DR方式又称为三角传输模式，在该模式下实现服务器负载均衡，需要后台服务器在环回接口上配置虚拟服务IP。
AD设备在分发访问请求时不改变目的IP地址，而是将目的MAC替换为服务器的MAC后，再将访问请求转发给后端的服务器，服务器的回复会直接通过交换机返回给用户。
由于服务器的响应回复无需经过AD设备转发，从而减少了AD设备的吞吐压力，有效的避免了整个业务系统的性能瓶颈。
2.工作流程
DR方式L4服务器负载均衡的工作流程如下图所示
DR方式L4服务器负载均衡的流程描述如下
步骤
说明
1
客户端发送服务访问请求，此时的源IP为客户端IP、目的IP为虚拟服务IP
2
交换机将访问请求转发给深信服AD设备
3
深信服AD设备接收到访问请求后，根据预先定义的负载均衡调度算法判断出应该将访问请求分发给哪台服务器
4
深信服AD设备向服务器分发访问数据，此时的源IP为客户端IP、目的IP为虚拟服务IP，目的MAC为服务器MAC
5
服务器处理接收到的访问请求，并回复响应数据，此时的源IP为虚拟服务IP、目的IP为客户端IP
6
交换机接收响应数据，直接转发给客户端
2.4.3L7服务器负载均衡
1.实现方式
基于七层内容的调度机制，使得管理员可以通过应用层的内容交换来分配服务器资源，以实现用户请求调度的多元化和个性化，业务应用的场景十分广泛。
例如，基于URI、HOST、COOKIE、USER_AGENT等HTTP头部内容的匹配策略来选择服务器，或者通过对HTTP头部进行请求改写和应答改写，执行页面跳转和丢弃等操作，实现不同业务系统之间的交互联动。
在L7服务器负载均衡的场景中，AD设备先与客户端建立TCP连接，获取到访问请求的报文之后，再根据报文中所带的应用层内容来选择合适的服务器并与之建立TCP连接，此时AD设备所扮演的角色类似于一台代理服务器。
2.工作流程
L7服务器负载均衡的工作流程如下图所示
L7服务器负载均衡的流程描述如下
步骤
说明
1
客户端向深信服AD设备发起TCP连接请求，此时的源IP为客户端IP、目的IP为虚拟服务IP
2
客户端与深信服AD设备之间建立TCP连接
3
客户端发送服务访问请求，此时的源IP为客户端IP、目的IP为虚拟服务IP
4
深信服AD设备收到访问请求后，匹配虚拟服务调度策略，并负载均衡调度算法判断出应该将访问请求分发给哪台服务器，同时缓存该访问请求的数据
5
深信服AD设备向服务器发起TCP连接请求，其SYN序列号为客户端的SYN序列号，此时的源IP为客户端IP、目的IP为服务器IP
6
深信服AD设备与服务器之间建立TCP连接
7
深信服AD设备修改缓存的访问请求数据中的目的IP和TCP序列号，然后发送给服务器
8
服务器处理接收到的访问请求，并回复响应数据，此时的源IP为服务器IP、目的IP为客户端IP
9
深信服AD设备修改响应数据的源IP和TCP序列号，然后转发给客户端，此时的源IP为虚拟服务IP、目的IP为客户端IP
2.4.4服务器负载算法
深信服AD设备支持多重负载均衡算法将所有流量均衡的分配到各个服务器，不仅充分利用所有的服务器资源，而且各个服务器均衡的承担流量处理任务，从而有效地避免服务器处理任务“不平衡”现象的发生。
1.轮询（RoundRobin）
实现机制－按照请求的先后顺序将用户请求循环地分配到每台服务器。
一旦某台服务器出现故障将不在为其分配任务，直至服务器恢复正常。
适用场景－服务器集群中各台服务器的性能相当。
2.加权轮询（WeightedRoundRobin）
实现机制－由于集群中混用了不同规格服务器，因此可以针对各个服务器的处理性能来分配不同的加权值。
根据这个比例，把用户的请求分配到每个服务器。
适用场景－服务器集群中各台服务器的性能差异较大。
3.加权最少连接（WeightedLeastConnection）
实现机制－根据事先为各服务器设定的权值，在调度新连接时尽可能的使服务器的已建立连接数和其权值成比例，AD把新的连接请求分配到当前比例最小的服务器上。
适用场景－各台服务器的性能存在差异，并且不同用户发起的连接保存时长差异较大。
4.最快响应（FastResponse）
实现机制－按照响应时间大小对服务器重新分配权值，响应时间小的服务器权值大，响应时间大的服务器权值小，从而响应时间小的服务器获得更多的连接请求，但又照顾一部分响应时间大的服务器，避免负载倾斜。
适用场景－服务器集群的拓扑分散，访问用户需要就近选择服务器。
5.动态反馈（DynamicFeedback）
实现机制－通过检测服务器的CPU、I/O、M
升级会员 