Algemene instellingen voor L4xNAT-bedrijfsprofiel #

Het L4xNAT-farmprofiel creëert laag 4 LSLB-farms met uitzonderlijke prestaties en ondersteunt meer gelijktijdige verbindingen vergeleken met laag 7 load balancer-kernen. Deze verbeterde prestaties op laag 4 staan ​​in contrast met de geavanceerde mogelijkheden voor inhoudsverwerking van laag 7-boerderijprofielen.

In tegenstelling tot laag 7-farmprofielen, die doorgaans alleen poorten 80 en 443 ondersteunen, kan het L4xNAT-farmprofiel meerdere poorten gebruiken, inclusief poortbereiken.

Deze sectie biedt gedetailleerde instructies voor het configureren van een L4xNAT-farmprofiel, waarbij de nadruk wordt gelegd op het gebruik van Farmguardian voor backend-monitoring, aangezien dit profiel geen ingebouwde functionaliteit voor gezondheidscontrole heeft.

Let op de statusindicator en het gedeelte 'Acties' in de rechterbovenhoek. Met de acties in dit gedeelte kunt u bewerkingen uitvoeren zoals het herstarten , starten of stoppen van de farm.

Dit zijn de statuskleurindicatoren en hun betekenis:

Groen: Middelen UP. De farm is actief en alle backends zijn UP of de omleiding is geconfigureerd.
Rood: Middelen DOWN. De boerderij is gestopt.
Zwart: Middelen KRITISCHE. De farm is UP, maar er is geen backend beschikbaar, of alle backends bevinden zich in de onderhoudsmodus.
Blauw: Middelen PROBLEEM. De farm draait, maar minstens één backend is niet beschikbaar.
Oranje: Middelen ONDERHOUD. De farm is actief, maar ten minste één backend bevindt zich in de onderhoudsmodus.

Deze kleurcodes zijn overal in de grafische gebruikersinterface hetzelfde. Een uitgebreide uitleg over deze kleurcodes vindt u in het LSLB Farms-gedeelte.

Basis configuratie #

Dit zijn de parameters voor het L4xNAT-profiel.

Naam . Een label waarmee een farmservice eenvoudig kan worden geïdentificeerd. Om deze waarde te wijzigen, moet u de farm eerst stoppen. Zorg ervoor dat de nieuwe farmnaam nog niet in gebruik is, anders verschijnt er een foutmelding.

Virtueel IP-adres en poort . Deze velden specificeren het adres en de poort waarop de farm intern binnen het apparaat luistert. Als u deze velden wilt wijzigen, zorg er dan voor dat het nieuwe virtuele IP-adres en de virtuele poorten niet al door een andere farm in gebruik zijn. Nadat u de wijzigingen hebt aangebracht, slaat u ze op. De farmservice wordt dan automatisch opnieuw gestart.

Om een ​​enkele poort of een reeks virtuele poorten in het L4xNAT-farmprofiel te selecteren, is een protocoltype verplicht. Als het protocol is ingesteld op ALL , luistert de farm naar alle poorten van het virtuele IP-adres. De virtuele poort is niet bewerkbaar en wordt aangegeven met een asterisk (*).

Zodra TCP, UDP of een ander protocol is geselecteerd, kunt u hiermee een poort, een lijst met poorten (gescheiden door een komma, bijvoorbeeld '20,21,22') of poortbereiken (gescheiden door een dubbele punt, bijvoorbeeld '80:89') opgeven.

Geavanceerde configuratie #

Protocol Type #

In dit veld worden alle ondersteunde protocollen van de load balancer weergegeven. Standaard gebruikt de farm het TCP- protocol.

ALLE . De farm luistert via alle protocollen naar inkomende verbindingen met het huidige virtuele IP-adres en poort(en). Als u deze optie heeft geselecteerd, verandert de virtuele poort naar de standaard “*', en je zult het niet bewerken. De boerderij luistert dus via alle poorten.
TCP. Als u deze optie inschakelt, kan de farm luisteren naar inkomende TCP-verbindingen met het huidige virtuele IP-adres en poort(en).
UDP. Als u deze optie inschakelt, kan de farm luisteren naar inkomende UDP-verbindingen met het huidige virtuele IP-adres en poort(en).
SCTP. Als u deze optie inschakelt, kan de farm luisteren naar inkomende SCTP-verbindingen met het huidige virtuele IP-adres.
SIP. Als u deze optie inschakelt, kan de farm luisteren naar inkomende UDP-pakketten naar het virtuele IP-adres en de standaardpoort, 5060. De farm parseert vervolgens de SIP-headers van elk pakket, zodat deze correct naar de backends worden gedistribueerd.
FTP. Als u deze optie inschakelt, kan de farm luisteren naar inkomende TCP-verbindingen met het huidige virtuele IP-adres en de standaardpoort 21. De farm parseert vervolgens de FTP-headers van elk pakket, zodat deze correct naar de backends worden gedistribueerd. Er worden twee modi ondersteund: de actieve en de passieve modus.
TFTP. Als u deze optie inschakelt, kan de farm luisteren naar inkomende UDP-pakketten naar het huidige virtuele IP-adres en de standaardpoort 69. De farm parseert vervolgens de TFTP-headers van elk pakket om correct naar de backends te worden gedistribueerd.
PPTP. Als u deze optie inschakelt, kan de farm luisteren naar inkomende TCP-verbindingen met het huidige virtuele IP-adres en de huidige poort. De farm parseert vervolgens de PPTP-headers van elk pakket, zodat deze correct naar de backends worden gedistribueerd.
SNMP. Als u deze optie inschakelt, kan de farm luisteren naar inkomende UDP-pakketten naar het huidige virtuele IP-adres en de huidige poort. De farm parseert vervolgens de SNMP-headers van elk pakket, zodat deze correct naar de backends worden gedistribueerd.

NAT Type #

De NAT Type-functionaliteit binnen het apparaat regelt alle laag 4-bewerkingen. Het kiezen van de juiste optie voor uw infrastructuur hangt af van de specifieke netwerkarchitectuur die in uw omgeving is gedefinieerd.

sNAT / standaard NAT-modus #

De NAT-modus of SNAT (bron-NAT) gebruikt het virtuele IP-adres van de farm als het bron-IP-adres om verbinding te maken met de backend-servers. Daarom mogen de backend-servers het oorspronkelijke bron-IP-adres van een webclient op TCP, UDP of een ander Layer 4-protocol niet kennen. Op deze manier reageert de backend op de load balancer, waarna de load balancer reageert op de client. Deze topologie maakt de inzet mogelijk van een eenarmige load-balancer (load-balancing met 1 netwerkinterface).

dNAT-modus #

In de DNAT-modus (Destination NAT) gebruiken we het IP-adres van de client om verbinding te maken met een backend-server. Als gevolg hiervan zal de backend direct reageren op het client-IP. In dit geval moet het IP-adres van de load balancer worden geconfigureerd als de standaardgateway van de backend, waardoor het backendnetwerk effectief wordt gescheiden van het clientservicenetwerk. Deze topologie zorgt voor transparantie tussen clients en backends.

DSR-modus #

In de DSR-modus maakt de client verbinding met het virtuele IP-adres (VIP) van de load balancer. De load balancer wijzigt vervolgens het doel-MAC-adres door dit te wijzigen in dat van een backend-server zonder enig IP-adres te wijzigen. Alle backendservers moeten zich echter op hetzelfde netwerk bevinden als de load balancer. Wanneer een backend-server het verzoek ontvangt en verwerkt, reageert deze direct op de client, waarbij de load balancer wordt omzeild.

Vereisten voor DSR:

1. De VIP en backends moet zich in hetzelfde netwerk bevinden
2. De Virtuele poort en de backend poorten moet hetzelfde zijn
3. Men moet de loopback-interfaces van de backends hiermee configureren IP-adres de VIP geconfigureerd in de load balancer en uitschakelen ARP in deze interface.

Linux-backends

root:~# ifconfig lo:0 192.168.0.99 netmask 255.255.255.255 -arp up

Ongeldige ARP-reacties in de backend uitschakelen.

root:~# echo 1 > /proc/sys/net/ipv4/conf/all/arp_ignore
root:~# echo 2 > /proc/sys/net/ipv4/conf/all/arp_announce

Windows-backends

1. Start > settings > control panel > Netwerk- en inbelverbindingen.
2. Klik met de rechtermuisknop op uw netwerkadapter en klik Aanbod
3. Alleen Internet Protocol moet worden geselecteerd (verwijder de selectie van “Client voor MS-netwerken” en “Bestands- en printerdeling”)
4. TCP/IP-eigenschappen > Voer IP-adres in van de VIP-in RELIANOID ADC-boerderij. De standaardgateway is niet vereist en het masker is 255.255.255.255
5. Stel Interface Metric in op 254. Deze configuratie is vereist om te voorkomen dat er een ARP-reactie op de VIP wordt beantwoord
6. Media OK en sla de wijzigingen op.

Configureer eerst het sterke hostbeveiligingsmodel om verkeersontvangst mogelijk te maken RELIANOID ADC op de NIC-interface. Bovendien toestaan RELIANOID ADC om verkeer te verzenden en te ontvangen via de standaard NIC-interface. Open de opdrachtprompt als beheerder en voer de drie meegeleverde opdrachten uit.

netsh interface ipv4 set interface NIC weakhostreceive=enabled
netsh interface ipv4 set interface loopback weakhostreceive=enabled
netsh interface ipv4 set interface loopback weakhostsend=enabled

Opmerking: Wijzig de NIC en loopback naar de standaard interfacenamen van uw Windows-computer.

Staatloze dNAT-modus #

Met Stateless DNAT wijzigt de load balancer het bestemmingsadres naar het backend-adres en geeft dit door zonder verbindingsgegevens bij te houden. Deze aanpak vermindert de belasting van het systeem, omdat deze vroeg in de dataflow wordt geïmplementeerd. Het is het meest geschikt voor laag 4-protocollen met veel verkeer en voor protocollen die niet gericht zijn op het onderhouden van verbindingen of streams, zoals RTP of SYSLOG UDP- modus.

Logboeken . Om details over de ontvangen verbindingen op de farm op te slaan, schakelt u de opdracht 'Log' in . Dit wordt alleen aanbevolen voor debug- of monitoringdoeleinden, omdat het de door de load balancer verwerkte verkeerssnelheid kan vertragen.

Service-instellingen #

De service die in de L4-laag is gemaakt, biedt de volgende configuratieopties voor het beheren van de gegevenspaden en het verbindingsgedrag.

Planner voor taakverdeling #

In dit veld wordt het load balancing-algoritme gespecificeerd dat gebruikt moet worden om de backend-server te bepalen. Standaard is het load balancing-algoritme ' Weight: connection linear dispatching by weight'.

Gewicht: aansluiting lineaire verzending op gewicht. Brengt de verbindingen in evenwicht, afhankelijk van de gewichtswaarde die aan elke backend is toegewezen. De verzoeken worden geleverd met behulp van een probabilistisch algoritme met behulp van het gedefinieerde gewicht.
Bron-hash: Hash per bron-IP en bronpoort. Brengt de pakketten die overeenkomen met hetzelfde bron-IP en dezelfde poort naar dezelfde backend in evenwicht met behulp van een hash-planner.
Eenvoudige bron-hash: alleen hash per bron-IP. Brengt de pakketten die overeenkomen met hetzelfde bron-IP in evenwicht met dezelfde backend met behulp van een hash-planner.
Symmetrische hash: Round trip-hash per IP en poort. Brengt de pakketten in evenwicht die overeenkomen met hetzelfde bron-IP en poort, en het doel-IP en poort. Het kan dus op beide manieren een verbinding hashen (tijdens inkomend en uitgaand).
Round Robin: Sequentiële backend-selectie. Het balanceert elke inkomende verbinding met een backend en schakelt opeenvolgend tussen backends.
Minste verbindingen: verbinding altijd met de minste verbindingsserver. Selecteert de backend met het minste aantal actieve verbindingen om ervoor te zorgen dat de verkeersbelasting van de actieve verzoeken in evenwicht is met de verkeersbelasting van de meest verbonden beschikbare echte server.

Volharding #

Dit veld bepaalt of persistentie moet worden gebruikt in de geconfigureerde farm. Standaard wordt geen persistentie gebruikt.

Geen doorzettingsvermogen. De farm maakt geen gebruik van persistentie tussen de client en de backend.
IP: Bron-IP. Met deze optie wijst de farm dezelfde backend toe voor elke inkomende verbinding, afhankelijk van de bron IP-adres alleen.
Poort: Bronpoort. Met deze optie wijst de farm dezelfde backend toe voor elke inkomende verbinding, afhankelijk van de bron poort alleen.
MAC: Bron-MAC. Met deze optie wijst de farm dezelfde backend toe voor elke inkomende verbinding, afhankelijk van de linklaag MAC-adres van het pakket.
Bron-IP en bronpoort. Met deze optie wijst de farm dezelfde backend toe voor elke inkomende verbinding, afhankelijk van beide, bron-IP en bron poort.
Bron-IP en bestemmingspoort. Met deze optie wijst de farm dezelfde backend toe voor elke inkomende verbinding, afhankelijk van beide, bron-IP en haven van bestemming.

Boerenbewaker #

L4xNAT-farms beschikken niet over ingebouwde health checks voor backends, waardoor het noodzakelijk is om Farmguardian voor deze virtuele service te configureren.

Je kunt aan deze service zowel de standaard als de gepersonaliseerde geavanceerde gezondheidscontroles toewijzen vanuit elke bestaande FarmGuardian -controle.

Voor meer informatie over Farmguardian kunt u terecht in het gedeelte Monitoring > Farmguardian.

Let op: nadat je de boerderijbeheerder hebt geselecteerd , wordt deze automatisch op de boerderij toegepast.

backends #

In deze sectie kunt u de configuraties van backends wijzigen of nieuwe toevoegen aan een bepaalde farm.

Backend aanmaken . Deze knop toont het formulier 'Backend toevoegen' wanneer erop geklikt wordt. De configuraties zijn bedoeld om een ​​nieuwe backend aan een bepaalde farm toe te voegen.

• Alias. Dit veld toont de vervolgkeuzelijst met alle beschikbare backend-aliassen.
• IP. Het netwerklaag-IP-adres dat moet worden gebruikt bij het doorsturen van verkeer naar de backend.
• Haven. De poort die moet worden gebruikt bij het doorsturen van verkeer naar de backend.
• Prioriteit. De prioriteitswaarde voor de huidige echte server. Lagere waarden hebben een hogere prioriteit. De standaard serviceprioriteitwaarde is 1. Wanneer een backend faalt, wordt de serviceprioriteit met 1 verhoogd. Wanneer de backend weer live gaat, wordt de serviceprioriteitwaarde met 1 verlaagd. Actieve backends bevatten prioriteitswaarden kleiner dan of gelijk aan de dienst prioriteit.
• Max. Conn. Het aantal verbindingen dat verbinding mag maken met de backend. Als de limiet wordt bereikt, worden de nieuwe verbindingen verwijderd.
• Gewicht. Het backendgewicht voor verkeerbalancering wanneer het gewichtsalgoritme is ingesteld. Dit gewicht bepaalt hoe verkieslijk de backend is ten opzichte van andere backends. In dit veld zijn gehele waarden toegestaan ​​die hoger zijn dan of gelijk zijn aan 1 (laagste waarde).

Bulkacties . Aan de rechterkant van 'Backend aanmaken' ziet u de volgende acties die voor één of meerdere backends tegelijk kunnen worden uitgevoerd.

Acties: Dit zijn de acties voor het configureren van de backends.

• Onderhoud inschakelen. Deze actie is beschikbaar als de backend actief is. Het zet een echte backend-server in onderhoudsmodus. Daarom worden er geen nieuwe verbindingen naartoe omgeleid. Er zijn twee methoden om de onderhoudsmodus in te schakelen:
  • Afvoermodus. Behoudt de bestaande verbindingen en persistentie indien ingeschakeld, maar accepteert geen nieuwe verbindingen.
  • Snijmodus. Verbreekt direct alle actieve verbindingen met de backend, waardoor elke verbinding tussen de backend en clients wordt verbroken
• Edit. Opent het bewerkingsformulier, hetzelfde als het toevoegformulier, om eventuele backend-waarden te wijzigen.
• Schakel onderhoud uit. Deze actie is alleen beschikbaar als de backend zich in de onderhoudsmodus bevindt. Het zorgt ervoor dat nieuwe verbindingen weer naar de backend-server kunnen worden doorgestuurd.
• Verwijdering . Verwijder de backend-server van de virtuele service. Als de backend een alias heeft, wordt de alias niet verwijderd.

Backends . Deze tabel toont alle backends die al op de farm geconfigureerd zijn.

• Alias. Een backend-alias als er eerder één alias is gedefinieerd voor de backend.
• IP. Het IP-adres van de backend waar de verbindingen naartoe worden doorgestuurd.
• Haven. De poort waarnaar de verbindingen aan de backend worden omgeleid. Als een blanco spatie of een asterisk'*' is ingesteld, worden verbindingen omgeleid naar dezelfde poort die is ontvangen.
• Prioriteit. De prioriteitswaarde voor de back-endserver. De geaccepteerde waarde is een geheel getal groter dan of gelijk aan 1. Een lagere waarde geeft een hogere prioriteit aan voor de huidige echte server. Standaard wordt een prioriteitswaarde van 1 ingesteld.
• Gewicht. De gewichtswaarde voor de huidige echte server. Een hogere waarde geeft aan dat er meer verbindingen zijn geleverd aan de huidige backend. Standaard wordt een gewichtswaarde van 1 ingesteld.
• Max. Conn. Deze waarde is het maximale aantal stromen of tot stand gebrachte verbindingen met een bepaalde backend. Als de limiet van het aantal clients dat op een bepaalde backend is aangesloten, is bereikt, accepteert de backend geen verkeer meer. De client zal opnieuw verbinding maken met een andere geschikte backend. De standaardwaarde is 0, wat onbeperkt betekent.

IPDS-regels voor L4xNAT-farms #

In dit gedeelte kunt u IPDS-regels inschakelen. De lijst toont verschillende soorten beveiliging met een selectievakje om ze in te schakelen. Raadpleeg voor meer informatie de specifieke documentatie voor IPDS > Blacklist-regels , IPDS > DoS-regels , IPDS > RBL-regels of IPDS > WAF-regels.

Voor elk van de vier typen IPDS-regels —Blacklist, DoS, WAF en RBL— zijn er twee lijsten: Beschikbaar en Ingeschakeld . Er is ook een kettingpictogram aanwezig. In de lijst Beschikbaar ziet u alle regels van hetzelfde type die op een bepaalde farm kunnen worden toegepast. In de lijst Ingeschakeld ziet u de regels van hetzelfde type die momenteel op de geselecteerde farm zijn toegepast. Elke regel heeft een statussymbool dat aangeeft of de regel is gestopt (rood) of actief (groen).

Om een ​​regel te wijzigen, klikt u op het bewerkingspictogram. Hiermee kunt u de regelparameters aanpassen of de regel starten/stoppen. Houd er rekening mee dat u in deze farmweergave geen nieuwe regel kunt aanmaken; dit moet u doen via het IPDS- gedeelte.

Om een ​​regel toe te voegen, klikt u op de gewenste regel en klikt u vervolgens op de pijl naar rechts. U kunt ook meerdere regels selecteren door de Shift-toets ingedrukt te houden terwijl u de regels selecteert die u wilt toevoegen, en vervolgens op de pijl naar rechts te klikken. Om alle beschikbare zwarte lijsten toe te voegen, klikt u op de dubbele pijl naar rechts.

Om een ​​of meer regels te verwijderen, selecteert u ze en klikt u op de pijl-links, of klikt u op de dubbele pijl om ze allemaal te verwijderen.