防火墙负载均衡原理by dw.docVIP

防火墙负载均衡原理 F5 Bigip应用交换机实现防火墙负载均衡标准结构及阐述 Prepared By F5 Networks Inc, David Wang 2004-11-30  第一篇、 防火墙负载均衡原理 2 第二篇、 F5 Bigip应用交换机实现防火墙负载均衡标准结构及阐述 10  防火墙负载均衡原理 一、为什么需要对防火墙进行负载均衡？ 消除性能瓶井： 单台防火墙性能不够；随着网络流量的增加，单台防火墙可能成为网络的瓶井。通过实现防火墙的负载均衡，横加增加防火墙的数量，又保护了原有投资。 提高设备利用率： 处于Active/Standy双机模式的防火墙可以转换成Active/Active方式。 提高系统的扩展性： 采用负载均衡器对防火墙进行负载均衡，系统的扩展性大大增加，可以随着网络流量的增加，横加增加防火墙的数量，而且新增加的防火墙并不局限在同一型号。 二、防火墙负载均衡的典型网络架构： 对一进一出的二路防火墙，一般采用如下图的防火墙三明治结构（在实际应用环境中，为了防止网络中出现单点故障，负载均衡器往往会采用双机结构，具体的网络拓扑结构设计请参考＜＜F5 Bigip应用交换机实现防火墙负载均衡标准结构及阐述＞＞)： 如果是采用Untrust, Trust, DMZ的三路防火墙，则防火墙负载均衡的典型拓扑结构如下： 对于三路防火墙的负载均衡，在一个无单点故障的网络设计中要采用六台负载均衡器。另外在三路防火墙负载均衡的设计中，针对防火墙的健康检查要特别当心、精心设计。 三、为什么需要防火墙负载均衡需要采用三明治的结构？ 目前的绝大多数防火墙都是基于连接状态检测的防火墙，也即是说对于构成完整用户会话的双向数据流进行监控，以确定数据流的合法性。当采用多台防火墙对网络流量进行负载均衡时，如果数据流处理不当，可能出现的情况是对构成同一个用户会话的双向数据包，在多台防火墙上进行处理，而每一个防火墙上都看到到完整的用户会话信息。而防火墙如果看不到完整的用户会话信息，就会将该数据包当作非法访问而抛弃掉。 只有采用三明治结构，通过在防火墙的两端都设置四层交换机，四层交换机可以在作流量分发的同时，维持用户会话的完整性，使对某一用户的同一会话产生的双向数据包始终都由同一台防火墙来处理，而使防火墙得于在负载均衡环境下还可以正常工作。 四、F5　Bigip应用交换机对防火墙作负载均衡时所用到的主要功能： 利用F5　Bigip应用交换机对防火墙作负载均衡时，与用F5　Bigip应用交换机对服务器作负载均衡时类似，都是需要将防火墙放在一个Pool里面，然后根据Pool的负载均衡算法在防火墙之间进行流量分发。 但为了支持防火墙负载均衡器上，F5　Bigip应用交换机有以下几个功能是区别于服务器负载均衡的： Last Hop功能 Bigip上的Last Hop功能，又叫基于连接的路由(Per Conneciton Routing)，是用于当回应的路据包需要经由相邻的传输最初发起访问数据包的网络设备时。如下图： 当一个客户发起到内网服务器访问，假设他是经由防火墙1进来（如褐色线条所示），当服务器接受到这次访问而产生回应时，回应的数据包首先到达内网的负载均衡器，这时负载均衡器即可以将加应的数据包经回防火墙1发出去，也可以经由防火墙2发出去。根据基于状态防火墙的工作特点，对于同一连接的双向数据须经由同一防火墙处理。 而Bigig的Last Hop功能是可以实现这一点，当内网的负载均衡器首次接收到用户的访问请求时，它就会在它的连接表中创建一条Last Hop记录，记录本次连接发起请求是由哪个设备传送过来的(俗称最后一跳记录，实际上就是该设备的MAC地址，本例中就是防火墙1内网卡的MAC地址)。当它收到服务器回应的数据包时，它可以识别出这个回应数据包所属的连接，并查找出这一连接所对应的Last Hop记录，并将服务器回应包发给那台设备――防火墙1。 如果用户再次发起一个新的连接，假设这一次，外网的负载均衡器将它负载均衡到了防火墙2上（如蓝色线条所示），这时能过内网的负载均衡器的Last Hop功能，由服务器对本次连接请求所回应的数据包将都由防火墙2出去。 注：如果对负载均衡器的四层连接表有疑问，请对考服务器负载均衡工作原理。 Transparent健康检查功能 Bigip Transparent健康检查功能是指Bigip对某一非相邻节点(非相邻节点是指与Bgip的SelfIP不在同一网段的某一节点)进行健康检查的数据包，需要经由某一指定相邻节点进行发送。 Transparent健康检查方法可以实现对某一网络通路或路径(Path)的连通性检查。 在对防火墙负载均衡时，负载均衡需要不断地检查防火墙的健康，当某一防火墙发生故障时， 负载均衡器不应该再将网络