F5 Solutions Consolidation V1.docx

F5 Solutions Consolidation V1.docx

《F5 Solutions Consolidation V1.docx》由会员分享，可在线阅读，更多相关《F5 Solutions Consolidation V1.docx（19页珍藏版）》请在冰点文库上搜索。

F5SolutionsConsolidationV1

F5解决方案

–关键业务应用交付系统

加快应用交付速度

加固应用整体安全

简化网络架构管理

周辛酉

F5Networks

目录

行业背景1

一、为什么要进行应用交付2

二、什么是应用交付2

需求分析4

使用下列表格，寻找最佳解决方案4

F5解决方案6

一、方案提出6

二、方案说明6

三、设备建议7

F5方案优势7

总结18

行业背景

一、为什么要进行应用交付

随着Internet的普及以及电子商务、电子政务的发展，越来越多的应用系统需要面对更高的访问量和数据量。

同时，企业对在线系统的依赖也越来越高，大量的关键应用需要系统有足够的在线率及高效率。

这些要求使得单一的网络服务设备已经不能满足这些需要，由此需要引入服务器的负载平衡技术，实现客户端同时访问多台同时工作的服务器，一则避免服务器的单点故障，再则提高在线系统的服务处理能力。

从业界环境来说，如下的应用需求更是应用交付发展的推动力：

●业务系统、关键系统需要高可用性。

●应用服务的高负载能力需求。

●集群式服务系统的高可用性和高可靠性需要。

●应用系统大集中的需要。

●数据中心降低成本,提高效率。

●应用级安全防护需求

●高质量的用户体验需求

●云计算时代需求

二、什么是应用交付

应用交付技术在现有网络结构之上提供了一种廉价、有效、透明的方法，来扩展网络设备和服务器的带宽、增加吞吐量、加强网络数据处理能力、提高网络的灵活性和可用性。

它有两方面的含义：

首先，大量的并发访问或数据流量分担到多台节点设备上分别处理，减少用户等待响应的时间；其次，单个重负载的运算分担到多台节点设备上做并行处理，每个节点设备处理结束后，将结果汇总，返回给用户，系统处理能力得到大幅度提高。

同时，在此过程中，对应用数据进行优化处理及应用级安全防护。

BIG/IP利用定义在其上面的虚拟IP地址来为用户的一个或多个应用服务器提供服务。

因此，它能够为大量的基于TCP/IP的网络应用提供服务器应用交付服务。

BIG/IP连续地对目标服务器进行L4到L7（OSI）合理性检查，当用户通过VIP请求目标服务器服务时，BIG/IP根椐目标服务器之间性能和网络健康情况，选择性能最佳的服务器响应用户的请求。

下图描述了一个负载平衡发生的流程：

1.客户发出服务请求到VIP

2.BIGIP接收到请求，将数据包中目的IP地址改为选中的后台服务器IP地址，然后将数据包发出到后台选定的服务器

3.后台服务器收到后，将应答包按照其路由发回到BIGIP

4.BIGIP收到应答包后将其中的源地址改回成VIP的地址，发回客户端，由此就完成了一个标准的服务器负载平衡的流程。

对于所有应用服务器，可以在BIG-IP上配置VirtualServer实现应用交付，同时BIG-IP可持续检查服务器的健康状态，一旦发现故障服务器，则将其从应用交付组中摘除。

需求分析

在当今IT系统各行各业的应用中，面临着各种各样层出不穷的新技术选择，但所有技术选择和系统构建的根本目的从未发生过改变；将业务逻辑通过应用系统实现，再将此应用通过由IT设施搭建管道交付到用户端，在保证业务应用高可用交付的同时，还要保证应用交付过程中的安全保障和最佳用户体验。

以此来面对各种突发事件、灾难及应用安全攻击。

F5的LTM本地流量管理器是一款出色的应用流量管理系统，可提供业内最智能，最具适应性的解决方案来保护、优化和交付应用，高达160G的吞吐能力以及99.999％的可靠性保证业务系统安全稳定高可靠的长期运行。

F5的LTM可以同时最大支持无限制的应用服务器做基于IP协议透明的应用交付，同时独有的ECV、EAV等先进的健康检查机制可以实时的深入检查应用状态是否正常，保证应用组整体的高可用及高可靠。

同时可以基于服务器IP、应用协议包和多种应用交付策略如轮寻、最小连接数、比率等进行各种应用交付组合控制。

内建的安全模块可以完成基于从网络层到应用层的整体攻击防护，保护应用服务器不会因攻击导致数据泄露及服务瘫痪。

基于iRules的高级可编程控制可以根据用户不同需求对通过LTM设备的所有数据进行定制化管理，配合F5FullProxy结构的TMOS卸载掉后台的业务应用逻辑管理功能，优化整体业务逻辑，提高后台应用服务器效率。

基于XML/SOAP协议的iControl开发接口可以和各种管理平台包括云管理平台无缝连接，接受外部管理平台对设备运行逻辑的实时配置。

对SNMP的完美支持和高达每秒20万条自定义内容日志的输出可以和网管及日志管理系统进行完美结合，获得业务级分析报告。

最佳应用交付系统分析（可选）

使用下列表格，寻找最佳解决方案

最佳运行体验

是否在线

Yes

No

硬件级SSL卸载，节约后台服务器计算资源

根据关键任务维护应用服务器

采用应用系统弹性部署方式

应用级服务器健康检查

错误服务器响应自动重定向

服务器等待连接最小化

提供符合PCI合规性的WEB防火墙

无需中断业务的在线维护或增加服务器

为交付数据提供硬件压缩技术

提供原厂级解决方案与应用中间件无缝结合

F5解决方案

一、

方案提出

二、方案说明

方案建议在应用系统入口处各部署F5LTM应用交付设备。

两台或多台LTM采用Active/Standby部署方式或Active/Active/Standby部署方式，避免单点故障。

多台LTM共享FloatingIP，保证在进行毫秒级故障切换时不会影响正常的业务流量。

将Server服务器的网关指向LTM设备的FloatingIP，保证进出的流量经过LTM。

三、设备建议

PartNumber/Description

UnitList

Discount

Total

BIG-IPLTM3900

BIG-IPASMAdd-on

ConsultingService

F5方案优势

1.避免“不平衡”现象

BIG-IP利用VirtualServer虚拟服务器（VS由IP地址和TCP/UDP应用的端口组成）来为用户的一个或多个目标服务器（称为Node：

目标服务器的IP地址和TCP/UDP应用的端口组成，它可以是私网地址）提供服务。

因此，它能够为大量的基于TCP/IP的网络应用提供服务器应用交付服务。

根据服务类型不同分别定义服务器群组，可以根据不同服务端口将流量导向到相应的服务器。

BIG-IP连续地对目标服务器进行L4到L7合理性检查，当用户通过VIP请求目标服务器服务时，BIG-IP根椐目标服务器之间性能和网络健康情况，选择性能最佳的服务器响应用户的请求。

如果能够充分利用所有的服务器资源，将所有流量均衡的分配到各个服务器，我们就可以有效地避免“不平衡”现象的发生。

2.服务器的健康监控和检查

BIG-IPLTM提供了先进的监视器，用于检查设备、应用和内容的可用性，包括适合多种应用的专用监视器（包括多种应用服务器、SQL、SIP、LDAP、XML/SOAP、RTSP、SASP、SMB等），以及用于检查内容和模拟应用调用的定制监视器。

服务器（Node）-Ping（ICMP）

BIGIP可以定期的通过ICMP包对后台服务器的IP地址进行检测，如果在设定的时间内能收到该地址的ICMP的回应，则认为该服务器能提供服务

服务（Port）-Connect

BIGIP可以定期的通过TCP包对后台服务器的服务端口进行检测，如果在设定的时间内能收到该服务器端口的回应，则认为该服务器能提供服务

扩展内容查证（ECV:

ExtendedContentVerification）-ECV

ECV是一种非常复杂的服务检查，主要用于确认应用程序能否对请求返回对应的数据。

如果一个应用对该服务检查作出响应并返回对应的数据，则BIG/IP控制器将该服务器标识为工作良好。

如果服务器不能返回相应的数据，则将该服务器标识为宕机。

宕机一旦修复，BIG/IP就会自动查证应用已能对客户请求作出正确响应并恢复向该服务器传送。

该功能使BIG/IP可以将保护延伸到后端应用如Web内容及数据库。

BIG/ip的ECV功能允许您向Web服务器、防火墙、缓存服务器、代理服务器和其它透明设备发送查询，然后检查返回的响应。

这将有助于确认您为客户提供的内容正是其所需要的。

扩展应用查证（EAV:

ExtendedApplicationVerification）

EAV是另一种服务检查，用于确认运行在某个服务器上的应用能否对客户请求作出响应。

为完成这种检查，BIG/IP控制器使用一个被称作外部服务检查者的客户程序，该程序为BIG/IP提供完全客户化的服务检查功能，但它位于BIG/IP控制器的外部。

例如，该外部服务检查者可以查证一个Internet或Intranet上的从后台数据库中取出数据并在HTML网页上显示的应用能否正常工作。

EAV是BIG/IP提供的非常独特的功能，它提供管理者将BIG/IP客户化后访问各种各样应用的能力，该功能使BIG/IP在提供标准的可用性查证之外能获得服务器、应用及内容可用性等最重要的反馈。

该功能对于电子商务和其它应用至关重要，它用于从客户的角度测试您的站点。

例如，您可以模拟客户完成交易所需的所有步骤－连接到站点、从目录中选择项目以及验证交易使用的信用卡。

一旦BIG/ip掌握了该"可用性"信息，即可利用负载平衡使资源达到最高的可用性。

3.UIE＋iRuels

BIGIP利用UIE+iRules技术，可以将TCP/UDP数据包打开，并搜索其中的特征数据，之后根据搜索到的特征数据作相应的规则处理。

因此可以根据用户访问内容的不同将流量导向到相应的服务器，实现7层的应用交付。

例如：

根据用户访问请求的URL将流量导向到相应的服务器。

主要优势

▪灵活

▪高效

▪Devcentral

BIG-IP提供了一套有针对性的方法来减少服务器压力，降低互联网延迟和客户机连接瓶颈对其应用访问性能所造成的影响。

通过综合采用多种应用优化手段以后，应用访问的性能可以得到显著提高。

与此同时，由于服务器性能的提高，还可以达到减少服务器数量，减少带宽占用从而节省投资的目的。

4.应用级安全防护

随着更多的应用流量通过网络上传输，敏感数据面临着被盗、安全漏洞和攻击的威胁，尤其是在应用层。

F5的BIG-IP®应用安全管理器™（ASM）是一个先进的Web应用防火墙，可显著减少和控制数据、知识产权和Web应用丢失或损坏的风险。

BIG-IPASM通过一个将应用交付与网络和应用加速及优化结合在一起的

主要优势

▪降低成本，实现法规遵从.

▪保证应用安全与可用性

▪增强应用安全和性能

▪更敏捷地应对威胁

平台，提供了无与匹敌的应用和网站防护、完整的攻击专家系统，并且可以满足关键的法规要求。

BIG-IPASM是业内最全面的Web应用安全与应用完整性解决方案。

对于对业务至关重要的应用，屡获殊荣的BIG-IPASM能够使其保持安全性、可用性和高性能，从而保护了您企业的安全，并维护了企业的声誉。

满足安全标准的要求，先进的内置安全防护和远程审计功能可帮助您的企业以经济高效的方式满足行业安全标准的要求，包括PCIDSS、HIPAA、BaselII和SOX，您既不需要购置多个设备，也不需要对应用进行更改或重写。

BIG-IPASM提供了针对新型威胁的高级报告能力，例如第7层服务拒绝攻击（DoS）、暴力攻击和SQL注入攻击等。

通过PCI报告功能，BIG-IPASM列出了PCIDSS1.2所要求的安全措施，并确定是否满足了要求，若未满足要求则详细说明为满足要求所需采取的措施。

此外，BIG-IPASM与WhiteHat、Splunk和Secerno集成，可支持漏洞评估、审计和实时数据库报告功能，从而实现安全违规检查、攻击防护和法规遵从。

5.连接优化

BIGIP通过Oneconnect技术，将所有客户端的TCP连接转移至BIGIP进行处理；而BIGIP与服务器之间仅建立少量的、持续的TCP连接。

使Web服务器从处理大量的并发TCP请求和TCP连接建立/卸载的负担中解脱出来，同时当BIGIP收到用户请求后才发送到服务器，服务器可免于受到客户端和网络异常的影响。

BIGIP还会缓存所有服务器的响应数据包，服务器以LAN速度发送数据到BIGIP，服务器不会受到慢速客户端连接的牵累。

服务器的大量CPU资源被释放来提供数据，而不是管理连接。

BIGIP通过控制容量需求和访问分析优化了服务性能和带宽。

企业也因为增加了更多的计算资源，减少了出口带宽需求而降低服务器和带宽投资，并且减少服务响应延迟和运营成本。

6.HTTP压缩

BIG-IP提供业内最具扩展性，最智能也最灵活的压缩解决方案。

BIG-IP系统通过从服务器中不对称卸载HTTP压缩，降低了服务器开销，并通过实现服务器整合，将服务器总体拥有成本降低了高达65%。

BIG-IP系统充分利用现有浏览器解压缩能力，无需对客户机进行任何修改，亦无需下载任何可能带来入侵威胁的软件。

BIG-IP智能压缩采用已申请专利的方法来测量客户连接延迟，这使带宽使用率降低了60-80%，同时将用户响应时间提高了两倍以上。

BIG-IP是业内首款为企业提供的可扩展式压缩解决方案，具有通过优化硬件及其自适应压缩卸载（AdaptiveCompressionOffload）压缩web流量的可选功能。

BIG-IP系统的智能压缩功能为企业提供了一种针对目标用户进行压缩的方式。

压缩流量不一定要以带宽利用率的降低为代价。

真正的挑战在于把握如何最有效的定位，从而使用户获得最大优势。

例如，由于拨号用户延迟较高，所以，对其进行压缩可使这部分用户获得最大优势。

而由于宽带用户的接收窗口尺寸较大，因此，他们因此获得的优势则微乎其微，这是因为，宽带用户现在需要等待更长的时间来接收数据，这将导致响应时间变慢，因此，压缩的优势被抵消。

BIG-IP采用已申请专利的技术来动态检测客户连接延迟。

BIG-IP系统能够监控TCPRTT（往返时间），以动态计算用户延迟，从而使BIG-IP能更专注于将流量压缩并传送给最需要它们的用户。

7.高速缓存模块

BIG-IP的高速缓存模块可从后台基础设施中卸载对内容的重复请求，从而提高应用和服务器的性能，这种性能改善是以逐个应用为基础，智能进行的。

高速缓存提供出色的灵活性和控制能力，确保企业实现更大的卸载量，为他们的客户基群提供更快捷的服务。

降低服务器利用率

企业可以将服务器负载最多降低至50%，可降低服务器成本，还可加快最终用户对经常访问页面的访问速度。

多存储高速缓存

创建专用的高速缓存存储区，以逐个应用为基础存放高速缓存内容，最大程度地将服务和速度提供至最需要的地方。

预压缩内容

高速缓存模块可存储和提供经过压缩的内容，避免费时费力地进行重新压缩，从而避免与重新压缩有关的性能下降。

静态与动态内容高速缓存

允许企业指定要动态建立（即动态HTML），以便进行高速缓存的内容有条件地更新高速缓存存储区，使内容保持最新状态。

产品模块

产品模块是F5应用产品的软件版本，可运行于现有BIG-IP之上。

这些产品也可作为独立设备使用。

8.Web应用加速技术

企业依赖于Web应用来支持关键任务的业务运作，并带来竞争优势。

尽管在数据中心附近的用户几乎可以即时访问应用，但对移动和远程用户来说，访问应用时需要浪费时间等待页面加载，甚至他们可能会发现应用根本就无法访问。

随着用户对应用的性能失去信心，而且大量支持电话使本已疲于应付的网络管理员的任务更为加重，这造成了工作效率的显著下降。

BIG-IP®WebAccelerator™使您的用户能够即时改进Web应用性能，并帮助您降低成本。

通过减轻网络和服务器的负载，BIG-IPWebAccelerator可帮助您降低购买额外带宽和新硬件的费用。

用户可以快速接入应用，而且您可以更好地将IT资源用于能够推动企业实现业务目标的项目中。

BIG-IPWebAccelerator通过确保最有效的带宽使用，避免向用户提交重复或复制数据，解决了Web内容交付问题，从而提高了对门户网站、CRM、远程学习以及电子商务网站的首次访问和重复访问速度。

因此，用户可以大大地缩短下载时间，减少带宽使用，并降低远程办事处和移动部署使用企业Web应用的成本。

为了实现这一目标，BIG-IPWebAccelerator采用两种重要功能:

动态内容控制和动态数据卸载。

9.动态内容控制

动态内容控制（DCC）是一组能够对用户浏览器行为进行控制的功能，它能够保证对带宽的高效使用，并避免对重复或复制数据进行下载。

通过减少条件请求数量以及浏览器和Web应用之间传输的数据量，动态内容控制可以降低WAN时延和错误的影响。

与差值压缩方法的常见做法不同，动态内容控制不需要安装Java程序或者对浏览器进行更改。

动态内容控制包括三大主要功能:

•智能浏览器参照—通过杜绝对重复数据的下载，并防止浏览器向那些被误认为是动态数据的静态数据发出条件请求，可确保浏览器仅下载真正动态而唯一的内容。

•多连接—能够让浏览器在浏览器与Web应用之间建立更多的并发连接，增强并行数据传输能力。

多连接功能对于卫星网络和移动网络等高时延/高带宽网络来说是一项极其有效的功能。

•动态线性化—能够让用户即时显示PDF页面或者跳转至特定页面，无需等待整个文件下载完毕便可以进行浏览。

10.第7层带宽调整模块

争夺共享带宽通常会降低应用性能，同时企业几乎无法进行控制、以保证高优先级的流量在非优先型流量之前通过。

BIG-IP第7层带宽调整模块新增了精确控制带宽功能，可以更好地管理应用对带宽的使用和流量高峰。

确保应用的性能和可用性

确保关键业务应用不受非优先型流量的影响。

为优先级更高的应用优先分配带宽，提供最佳应用性能。

降低设备成本

为了简化、集中流量管理的能力，消除专用带宽调整产品。

完善的带宽控制

提供灵活的带宽限制、对带宽借用的全面支持、以及流量排队功能（随机平等队列、FIFOToS优先级队列）。

精细流量分级（第2层至第7层）

根据任何一点流量变化控制速率级别；允许在优先级类似的应用之间共享应用带宽，以便更好地共享资源。

速率限制

这是一个具有重要用途的安全功能，用于确保特定类型的应用流量保持在指定的速率范围内。

11.SSL加速模块

SSL加速模块用于从服务器卸载占用大量CPU资源的处理流程，以及将SSL解密移植到设计用来高效处理SSL事务的高性能设备上。

100%SSL

企业现在可以去除安全、以及线速处理的全部瓶颈（并发用户、大吞吐量和每秒新事务），并将所有通信都移植到SSL。

整合

将SSL证书直接整合到BIG-IP上，这样每个证书可以节省数百美元。

集中管理

将证书管理集中到一个单一位置，从而极大地简化管理负荷。

降低成本

不再需要为网络中的每台服务器购买和安装支持SSL的服务器软件。

有选择的内容加密和经过加密的Cookie

针对整体或部分数据，或有条件地对数据进行加密；提供业界最精确的控制能力，而无需将所做更改编码到应用中。

12.应用交付和应用交换功能

BIGIP是一台对流量和内容进行管理分配的设备。

它提供12种灵活的算法将数据流有效地转发到它所连接的服务器群。

而面对用户，只是一台虚拟服务器。

用户此时只须记住一台服务器，即虚拟服务器。

但他们的数据流却被BIGIP灵活地均衡到所有的服务器。

这12种算法包括：

●轮询（RoundRobin）：

顺序循环将请求一次顺序循环地连接每个服务器。

当其中某个服务器发生第二到第7层的故障，BIG/IP就把其从顺序循环队列中拿出，不参加下一次的轮询，直到其恢复正常。

●比率（Ratio）：

给每个服务器分配一个加权值为比例，根椐这个比例，把用户的请求分配到每个服务器。

当其中某个服务器发生第二到第7层的故障，BIG/IP就把其从服务器队列中拿出，不参加下一次的用户请求的分配，直到其恢复正常。

●优先权（Priority）：

给所有服务器分组，给每个组定义优先权，BIG/IP用户的请求，分配给优先级最高的服务器组（在同一组内，采用轮询或比率算法，分配用户的请求）；当最高优先级中所有服务器出现故障，BIG/IP才将请求送给次优先级的服务器组。

这种方式，实际为用户提供一种热备份的方式。

●最少的连接方式（LeastConnection）：

传递新的连接给那些进行最少连接处理的服务器。

当其中某个服务器发生第二到第7层的故障，BIG/IP就把其从服务器队列中拿出，不参加下一次的用户请求的分配，直到其恢复正常。

●最快模式（Fastest）：

传递连接给那些响应最快的服务器。

当其中某个服务器发生第二到第7层的故障，BIG/IP就把其从服务器队列中拿出，不参加下一次的用户请求的分配，直到其恢复正常。

●观察模式（Observed）：

连接数目和响应时间以这两项的最佳平衡为依据为新的请求选择服务器。

当其中某个服务器发生第二到第7层的故障，BIG/IP就把其从服务器队列中拿出，不参加下一次的用户请求的分配，直到其恢复正常。

●预测模式（Predictive）：

BIG/IP利用收集到的服务器当前的性能指标，进行预测分析，选择一台服务器在下一个时间片内，其性能将达到最佳的服务器相应用户的请求。

（被bigip进行检测）

●动态性能分配（DynamicRatio-APM）:

BIG/IP收集到的应用程序和应用服务器的各项性能参数，动态调整流量分配。

●动态服务器补充（DynamicServerAct.）:

当主服务器群中因故障导致数量减少时，动态地将备份服务器补充至主服务器群。

●服务质量（QoS）：

按不同的优先级对数据流进行分配。

●服务类型（ToS）：

按不同的服务类型（在TypeofField中标识）对数据流进行分配。

●规则模式：

针对不同的数据流设置导向规则，用户可自行编辑流量分配规则，BIG/IP利用这些规则对通过的数据流实施导向控制。

13.iApp定制化配置模板

LTM提供基于模板的配置管理服务，将您原来需要几天甚至几个月的应用部署时间缩短到几分钟，设备内置主流应用平台提供商如微软、Oracle、VMware、IBM、SAP等配置模板，同时支持模板定制化，可以为您的自有业务应用定制统一配置模板，并支持中文。

主要优势

▪

▪战略控制点

▪强大的性能

▪Payasyougrow

14.无缝进化至IPv6时代

在IPv4地址资源逐渐枯竭的今天，IPv6作为新一代标准网络协议会逐渐普及。

面对原有数据中心全部由IPv4建设的情况，如何无缝进化至IPv6时代是所有CIO们面临的下一个难题。

F5所有设备同时支持IPv4及IPv6协议，支持两种协议共存。

并在IPv4和IPv6网络之间提供完整的IP转换和负载均衡能力。

它可以支持用户迁移以及建立IPv4和IPv6混合主机资源，并使其易于管理，同时更为经济高效。

总结

主要优势

▪ScaleN

▪保证弹性和扩展性

▪硬件虚拟化

▪强大的性能

F5作为应用交付领域的一贯领导者，在Gartner领导者象限长期占据第一的领导者地位，在国内金融、电信、政府企业等各行各业拥有大量成功案例和行业解决方案。

管理多