F5+負(fù)載均衡實施方案

Internet出口鏈路優(yōu)化

項目實施方案2005-09-28目錄TOC\o"1-5"\h\z\o"CurrentDocument"Chapter1網(wǎng) 絡(luò) 拓 撲 結(jié) 構(gòu)3.網(wǎng)絡(luò)拓?fù)鋱D 3.IP地址規(guī)劃 4\o"CurrentDocument"Chapter2實施過程 4\o"CurrentDocument".實施計劃的完善 4\o"CurrentDocument".F5LinkController的離線配置 4用戶訪問dns的過程 8在dns服務(wù)器上設(shè)置的更改 9\o"CurrentDocument".防火墻配置更改 10A)IP 地 址 分 配10B)路 由 配 置10增加規(guī)則設(shè)置 10.對網(wǎng)絡(luò)結(jié)構(gòu)進(jìn)行調(diào)整、接線、設(shè)備上線 11.修改DNS服務(wù)器設(shè)置 11.業(yè)務(wù)流程檢查 11.配置回滾過程 11\o"CurrentDocument"Chapter3實施時間表 12Chapter1網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)1.1.網(wǎng)絡(luò)拓?fù)鋱DInternet出口鏈路優(yōu)化方案的網(wǎng)絡(luò)拓?fù)鋱D見下圖:IP地址規(guī)劃F5鏈路控制器公網(wǎng)IP地址規(guī)劃：新增F5鏈路控制器在兩條ISP鏈路分配公網(wǎng)ip地址。原來公網(wǎng)ip終結(jié)到F5鏈路控制器上，而F5鏈路控制器的內(nèi)網(wǎng)vlan與防火墻通過私有地址相連。而新增的電信網(wǎng)與F5鏈路控制器電信網(wǎng)vlan相連。F5鏈路控制器私網(wǎng)IP地址規(guī)劃：沿有原有的內(nèi)網(wǎng)地址劃分，地址分配以盡可能少地改動內(nèi)網(wǎng)地址設(shè)置為原則。/27:LinkController內(nèi)網(wǎng)與核心交換機(jī)相連網(wǎng)段使用；Chapter2實施過程項目實施步驟分為以下幾步實施計劃的完善完善本配置計劃中的不完備信息、LinkController以外設(shè)備的配置方案、上線失敗后的回滾計劃是否準(zhǔn)備充分。F5LinkController的離線配置F5硬件自檢、license激活F5vlan劃分、ip地址分配VlanHostNameIPAddress網(wǎng)通（cnc）PortAssignment:Lc1RealIP電信網(wǎng)（telecom）PortAssignment:.14Lc1RealIPInternalPortAssignment:一,L4Switch#1RealIPC）路由配置LinkController默認(rèn)網(wǎng)關(guān)：cnc:telecom:內(nèi)網(wǎng)網(wǎng)關(guān)：/8via （防火墻與F5linkcontroller內(nèi)網(wǎng)相連的地址）內(nèi)網(wǎng)網(wǎng)關(guān)：/8via （防火墻與F5linkcontroller內(nèi)網(wǎng)相連的地址）內(nèi)網(wǎng)網(wǎng)關(guān)：via （防火墻與F5linkcontroller內(nèi)網(wǎng)相連的地址）outbound訪問配置內(nèi)網(wǎng)普通用戶的訪問將按設(shè)定的鏈路選擇辦法（負(fù)載均衡算法）在兩條鏈路上進(jìn)行選擇，并將訪問包的源地址轉(zhuǎn)換成相應(yīng)ISP鏈路的IP地址。InternetMapstoCliInternetPublicIPAddressNetworkAddressTranslationPrivateIPAddressWildCastVirtual服務(wù)器：internal/0配置:Virtual服務(wù)器IP1:ServicePort:0PoolName:Default_GW_PoolLoadBalancingPolicy:RoundRobinPoolMemberAddress:E)特定用戶對internet的訪問某些用戶訪問外網(wǎng)特定的服務(wù)器時，外網(wǎng)的服務(wù)器要對訪問的源地址進(jìn)行限定。因此在LinkController上要對上述用戶的地址轉(zhuǎn)換設(shè)定特定的規(guī)則：SNAT規(guī)則用途源地址要求轉(zhuǎn)換成的地址F) 特定應(yīng)用使用指定的鏈路特定應(yīng)用使用指定鏈路應(yīng)用、服務(wù)、端口指定的鏈路對應(yīng)的GatewayPool

G)虛擬服務(wù)器的配置G)虛擬服務(wù)器的配置VirtualVirtual

ServiceVirtualVirtual

ServiceServer配置示例:Address服務(wù)器IP1:Port:80PoolName:Onlinebank_webLoadBalancingPolicy:RoundRobinPoolMemberAddress:Persistence:EnableSimplePersistenceVirtualSever設(shè)置原始數(shù)據(jù)服務(wù)器功能內(nèi)網(wǎng)地址口端公網(wǎng)地址（cnc）公網(wǎng)地址（telecom）域名用戶訪問dns的過程VirtualServerMapstoNoVirtualServerMapstoNoDNSVirtualServer配置示例：sDNSVirtualSever設(shè)置VIP(IP:Port)PoolNamePoolMember(IP:Port)LoadBalanceMethodPersistence附注（Domain：功能）:53Dns_srv_pool:53--:53Dns_srv_pool:53 在dns服務(wù)器上設(shè)置的更改對外提供服務(wù)的dns是托管在新浪，需要在此dns上做修改以為例www CNAMElcNSNSAedu_netshareipAtel_netshareipH)wideip配置

Firewall:80WidelP的配置：WidelP:ServerPool::80LoadBalancingMethod:QOS->RoundRobinWidelP設(shè)置WIPPoolNamePoolMember(IP:Port)LoadBalanceMethodDomainPersistence1. 上線條件檢查。（發(fā)通知給相關(guān)部門、所有所需設(shè)備、線纜是否準(zhǔn)備充分、相關(guān)工程技術(shù)人員是否到位、DNS記錄修改）防火墻配置更改在配置更改前，現(xiàn)將現(xiàn)有配置進(jìn)行備份，以便恢復(fù)防火墻需要將原網(wǎng)通的untrust區(qū)用私用地址的替換，（因為網(wǎng)通的vlan已經(jīng)終結(jié)在F5linkcontroller上）并更改默認(rèn)的網(wǎng)關(guān)。并且去掉原來的對公網(wǎng)地址的nat規(guī)則，只做安全控制。A）IP地址分配Untrust區(qū)需更改地址為NameIPAddressFw1untrustipaddressFw2untrustipaddressFloatingipaddressB）路由配置默認(rèn)網(wǎng)關(guān):

增加規(guī)則設(shè)置SrcipDstiprules對網(wǎng)絡(luò)結(jié)構(gòu)進(jìn)行調(diào)整、接線、設(shè)備上線修改DNS服務(wù)器設(shè)置參見i)2.6.業(yè)務(wù)流程檢查業(yè)務(wù)流程檢查業(yè)務(wù)名稱檢查結(jié)果所需作的處理/責(zé)任處理結(jié)果配置回滾過程如果出現(xiàn)需要回滾的情況，只需要將保存的防火墻配置恢復(fù)，恢復(fù)原來的連接網(wǎng)線，DNS配置恢復(fù)即可。Chapter3實施時間表實施時間表實施步驟時間(分實施方

鐘）F5離線酉己置F5硬件自檢、license激活120F5F5vlan劃分、i