1、SANGFOR AD鏈路負(fù)載與服務(wù)器負(fù)載高級(jí)功能應(yīng)用培訓(xùn)內(nèi)容培訓(xùn)目標(biāo)虛擬服務(wù)前置調(diào)度策略掌握前置調(diào)度策略的原理及配置虛擬服務(wù)優(yōu)化策略了解虛擬服務(wù)優(yōu)化策略的使用虛擬服務(wù)SSL策略1.了解SSL策略的認(rèn)證流程2.掌握SSL策略的配置鏈路負(fù)載前置調(diào)度策略（DNS代理）1.掌握DNS代理的前置調(diào)度配置2.掌握內(nèi)網(wǎng)DNS的應(yīng)用場(chǎng)景及配置虛擬服務(wù)優(yōu)化策略深信服公司簡(jiǎn)介鏈路負(fù)載前置調(diào)度策略（DNS代理）SANGFOR AD虛擬服務(wù)前置調(diào)度策略虛擬服務(wù)SSL策略虛擬服務(wù)前置調(diào)度策略 虛擬服務(wù)前置調(diào)度策略1.虛擬服務(wù)前置調(diào)度策略功能介紹前置調(diào)度策略用于符合設(shè)定條件的請(qǐng)求始終調(diào)度到某一臺(tái)或者多臺(tái)服務(wù)器上。前置調(diào)度

2、策略優(yōu)先于虛擬服務(wù)關(guān)聯(lián)的節(jié)點(diǎn)池調(diào)度策略。發(fā)起訪問1.新建前置調(diào)度策略，源IP為5發(fā)起的會(huì)話始終調(diào)度到服務(wù)器A。2.新建虛擬服務(wù)，節(jié)點(diǎn)池使用輪詢調(diào)度算法。關(guān)聯(lián)前置調(diào)度策略。服務(wù)器A服務(wù)器B服務(wù)器C5首先匹配到虛擬服務(wù)IP組，發(fā)現(xiàn)需要調(diào)度，然后會(huì)匹配到前置調(diào)度策略，調(diào)度到服務(wù)器A只要是5發(fā)起的訪問都調(diào)度到服務(wù)器A虛擬服務(wù)前置調(diào)度策略2.虛擬服務(wù)前置調(diào)度策略應(yīng)用案例網(wǎng)絡(luò)環(huán)境與需求：客戶拓?fù)淙缬覉D，AD旁路部署，客戶內(nèi)網(wǎng)有四個(gè)不同的HTTP服務(wù)，都是80端口提供服務(wù)。但是公網(wǎng)只有電信和聯(lián)通兩個(gè)公網(wǎng)IP，需要實(shí)現(xiàn)四個(gè)域名分別訪問到4個(gè)服務(wù)，每個(gè)服務(wù)有兩臺(tái)服務(wù)器。外網(wǎng)用戶自動(dòng)選擇最快線路訪問到內(nèi)網(wǎng)服務(wù)器，

3、也就是需要實(shí)現(xiàn)入站鏈路負(fù)載。域名與IP對(duì)應(yīng)關(guān)系如下： .cn-00和01 .cn-02和03 .cn-04和05 .cn-06和07內(nèi)網(wǎng)用戶 電信5聯(lián)通5AD旁路部署WAN：9GW：WEB服務(wù)器群虛擬服務(wù)前置調(diào)度策略2.虛擬服務(wù)前置調(diào)度策略應(yīng)用案例AD解決方案思路分析：1.由于客戶出口只有兩個(gè)公網(wǎng)IP，但是內(nèi)網(wǎng)有四個(gè)HTTP服務(wù)需要發(fā)布，而且每個(gè)服務(wù)有兩臺(tái)服務(wù)器。使用端口映射肯定無法滿足需求。通過新建四個(gè)虛擬服務(wù)是否可以滿足需求？不可以?？蛻舻乃呐_(tái)服務(wù)器端口都是80，一個(gè)虛擬服務(wù)占用了80，另外一個(gè)虛擬服務(wù)則不能再使用80端口。沖突提示如下：2.最好的方法是使用虛擬服務(wù)前置調(diào)度策略來實(shí)現(xiàn)，新建

4、一個(gè)虛擬服務(wù)，然后通過關(guān)聯(lián)前置調(diào)度策略，將不同的HOST調(diào)度到不同的節(jié)點(diǎn)。虛擬服務(wù)前置調(diào)度策略2.虛擬服務(wù)前置調(diào)度策略應(yīng)用案例配置思路：1.首先配置智能DNS入站鏈路負(fù)載策略。（略）2.新建四個(gè)節(jié)點(diǎn)池，配置調(diào)度算法，會(huì)話保持等信息。3.新建四個(gè)前置調(diào)度策略。設(shè)置條件，不同的HOST調(diào)度到不同的節(jié)點(diǎn)池。4.配置虛擬服務(wù)，關(guān)聯(lián)四個(gè)前置調(diào)度策略。虛擬服務(wù)前置調(diào)度策略配置方法與截圖：新建四個(gè)會(huì)話保持用于四個(gè)節(jié)點(diǎn)池調(diào)用新建四個(gè)節(jié)點(diǎn)池一般情況下http頭部的HOST字段為域名，可以用httpwatch抓包軟件查看，事例。訪問百度網(wǎng)頁的HTTP頭部HOST字段mail2的前置調(diào)度策略mail3的前置調(diào)度策略

5、mail4的前置調(diào)度策略一共新建四個(gè)前置調(diào)度策略選擇四個(gè)前置調(diào)度策略節(jié)點(diǎn)池可任意選擇一個(gè)，因?yàn)槠ヅ涞搅饲爸谜{(diào)度策略就不會(huì)再調(diào)度到此處的節(jié)點(diǎn)池。虛擬服務(wù)優(yōu)化策略 虛擬服務(wù)優(yōu)化策略1.TCP單邊加速通過優(yōu)化TCP協(xié)議，解決一些TCP協(xié)議本身的缺陷，來實(shí)現(xiàn)加速的效果。主要用于丟包大的情況下，效果十分明顯。該功能僅針對(duì)TCP協(xié)議生效。1.虛擬服務(wù)優(yōu)化功能介紹發(fā)起訪問網(wǎng)絡(luò)丟包嚴(yán)重啟用單邊加速虛擬服務(wù)優(yōu)化策略1.虛擬服務(wù)優(yōu)化功能介紹2.HTTP連接池在服務(wù)器端保持一定數(shù)量的HTTP連接處于活動(dòng)狀態(tài)，同一個(gè)連接可發(fā)多個(gè)請(qǐng)求，提高服務(wù)器的響應(yīng)效率。減少服務(wù)器新建連接，能有效降低服務(wù)器CPU負(fù)載。注意：由于第二

6、次訪問是復(fù)用之前的會(huì)話，所以服務(wù)器看到的源IP是第一次發(fā)起訪問的客戶端IP。第一個(gè)用戶發(fā)起訪問中斷會(huì)話會(huì)話不中斷，加入連接池 第二個(gè)用戶 發(fā)起訪問不需要重新建立會(huì)話，直接復(fù)用連接池AB C虛擬服務(wù)優(yōu)化策略1.虛擬服務(wù)優(yōu)化功能介紹3.HTTP緩存設(shè)備內(nèi)置HTTP緩存，能減輕大量重復(fù)請(qǐng)求對(duì)服務(wù)器的壓力。該緩存保存于內(nèi)存中，重啟設(shè)備將被清除。第一個(gè)用戶發(fā)起訪問AB CAD檢查數(shù)據(jù)包，可以緩存，則添加到設(shè)備緩存。第二個(gè)用戶發(fā)起訪問AD檢查緩存，可以匹配，則直接返回緩存給客戶端。如發(fā)現(xiàn)頁面過期，則向服務(wù)器發(fā)起更新請(qǐng)求更新緩存。虛擬服務(wù)優(yōu)化策略1.虛擬服務(wù)優(yōu)化功能介紹4.HTTP壓縮客戶端請(qǐng)求頁面，AD設(shè)

7、備返回緩存內(nèi)容或者服務(wù)器返回內(nèi)容給客戶端時(shí)，AD設(shè)備對(duì)HTTP響應(yīng)進(jìn)行壓縮編碼，降低數(shù)據(jù)量，從而減少數(shù)據(jù)在網(wǎng)絡(luò)上的傳輸時(shí)間。發(fā)起HTTP 訪問對(duì)HTTP響應(yīng)進(jìn)行壓縮編碼后，返回給客戶端。虛擬服務(wù)優(yōu)化策略1.虛擬服務(wù)優(yōu)化功能介紹5.傳輸客戶端IP至后臺(tái)服務(wù)器在設(shè)備旁路部署情況下， wan口做snat將所有訪問數(shù)據(jù)源IP轉(zhuǎn)換成wan口IP，服務(wù)器無法統(tǒng)計(jì)到客戶端的真實(shí)源IP，此時(shí)如果客戶服務(wù)器是HTTP服務(wù)器，可以使用該功能讓服務(wù)器查看到客戶端的真實(shí)源IP。注意：服務(wù)器必須是通過檢查http頭部的方式做源IP統(tǒng)計(jì)才有效，不適用于服務(wù)器直接檢查數(shù)據(jù)包IP層的源IP做統(tǒng)計(jì)。5看不到真實(shí)源IP！啟用該功

8、能前數(shù)據(jù)包傳輸過程虛擬服務(wù)優(yōu)化策略1.虛擬服務(wù)優(yōu)化功能介紹5.傳輸客戶端IP至后臺(tái)服務(wù)器5啟用該功能后數(shù)據(jù)包傳輸過程http頭部插入X-Forwarded-For：5讀取http頭部X-Forwarded-For：5虛擬服務(wù)優(yōu)化策略2.虛擬服務(wù)優(yōu)化功能配置界面介紹一條優(yōu)化策略可以同時(shí)開啟多種優(yōu)化功能虛擬服務(wù)關(guān)聯(lián)優(yōu)化策略即可單邊加速直接啟用即可虛擬服務(wù)優(yōu)化策略3.虛擬服務(wù)優(yōu)化功能應(yīng)用案例網(wǎng)絡(luò)環(huán)境：外網(wǎng)一條聯(lián)通線路，有電信和移動(dòng)用戶需要訪問到內(nèi)部的WEB應(yīng)用系統(tǒng)?？蛻粢呀?jīng)旁路模式部署了一臺(tái)AD設(shè)備實(shí)現(xiàn)了負(fù)載?？蛻粜枨螅弘娦庞脩粼L問業(yè)務(wù)系統(tǒng)的時(shí)候很慢，希望AD能夠解決跨運(yùn)營(yíng)商訪問慢的問題。雖然已經(jīng)有

9、兩臺(tái)服務(wù)器做負(fù)載，但是由于業(yè)務(wù)量很大，并發(fā)很高，希望有功能可以夠減輕HTTP服務(wù)器部分壓力。由于客戶的服務(wù)器需要統(tǒng)計(jì)源IP地址訪問，統(tǒng)計(jì)全國(guó)各省的訪問量，要求服務(wù)器能夠查看到訪問的真實(shí)源IP。內(nèi)網(wǎng)用戶WEB業(yè)務(wù)系統(tǒng)AD旁路部署 聯(lián)通虛擬服務(wù)優(yōu)化策略3.虛擬服務(wù)優(yōu)化功能應(yīng)用案例AD解決方案：客戶端訪問的用戶跨運(yùn)營(yíng)商，跨運(yùn)營(yíng)商慢的原因很大一部分是丟包造成的，因此可以考慮用TCP單邊加速解決該問題?？蛻粝Ｍ麥p輕服務(wù)器的壓力，由于客戶的服務(wù)器是HTTP應(yīng)用，因此可以考慮啟用HTTP連接池、HTTP緩存和HTTP壓縮來實(shí)現(xiàn)客戶需求。客戶的服務(wù)器需要統(tǒng)計(jì)真實(shí)的源IP地址，由于旁路部署，AD做了SNAT，因

10、此可以通過“傳輸客戶端IP至服務(wù)器”功能來滿足客戶要求。虛擬服務(wù)優(yōu)化策略3.虛擬服務(wù)優(yōu)化功能應(yīng)用案例配置思路：根據(jù)客戶需求配置好IP組，節(jié)點(diǎn)池，虛擬服務(wù)等基礎(chǔ)信息。參考初級(jí)培訓(xùn)PPT對(duì)應(yīng)章節(jié)。【應(yīng)用負(fù)載】-【策略】-【優(yōu)化策略】，新建一條優(yōu)化策略，設(shè)置好HTTP連接池、HTTP緩存、HTTP壓縮、傳輸客戶端IP至后臺(tái)服務(wù)器。虛擬服務(wù)啟用優(yōu)化策略，并且選擇2中新建的策略名稱，啟用單邊加速。應(yīng)用負(fù)載優(yōu)化策略3.虛擬服務(wù)優(yōu)化功能應(yīng)用案例配置方法與截圖1.配置服務(wù)、IP組、會(huì)話保持、節(jié)點(diǎn)池、虛擬服務(wù)2.新建優(yōu)化策略并且配置好連接池大小：用于設(shè)置保持的最大連接數(shù)老化時(shí)間：用于設(shè)置連接池中連接池被釋放之前

11、的空閑時(shí)間。一般使用默認(rèn)值即可。HTTP頁面一般具有緩存時(shí)間，如果沒有則以此時(shí)間為準(zhǔn)。超過這個(gè)文件大小的頁面不會(huì)緩存一些要求實(shí)時(shí)請(qǐng)求的URL，可以做排除。排除后設(shè)備不會(huì)做緩存填入緩存的URL必須要啟用HTTP緩存才能勾選緩存壓縮方式。一些HTTP服務(wù)器本身已經(jīng)有HTTP壓縮，則可以讓服務(wù)器不壓縮，AD設(shè)備來進(jìn)行壓縮，減輕服務(wù)器壓力。應(yīng)用負(fù)載優(yōu)化策略3.虛擬服務(wù)優(yōu)化功能應(yīng)用案例配置方法與截圖3.虛擬服務(wù)關(guān)聯(lián)優(yōu)化策略關(guān)聯(lián)新建好的優(yōu)化策略啟用單邊加速SSL策略1.SSL策略功能介紹2.SSL策略典型應(yīng)用案例SSL策略1.SSL策略功能介紹情景一：客戶服務(wù)器使用HTTPS提供服務(wù)，由于加解密會(huì)損耗服務(wù)

12、器的性能。此時(shí)可以使用SSL卸載功能，將HTTPS加密解密的過程在AD設(shè)備上實(shí)現(xiàn)，從而減輕服務(wù)器性能壓力，服務(wù)器使用HTTPS后的性能是HTTP的30%。該情況下如果需要使用SSL卸載功能，服務(wù)器需要改成HTTP提供服務(wù)。兩種情況下需要使用到SSL策略功能情景二：客戶服務(wù)器使用HTTP提供服務(wù)，可以使用SSL卸載功能在客戶端與AD設(shè)備之間通過SSL進(jìn)行加密，保證數(shù)據(jù)傳輸?shù)陌踩?、單向認(rèn)證，即類似以前舊版本的SSL證書卸載，設(shè)備只需要將SSL證書提交給客戶端，客戶端對(duì)服務(wù)器的證書進(jìn)行驗(yàn)證。常見案例可用于，后臺(tái)節(jié)點(diǎn)為http服務(wù)，通過AD ssl卸載功能，發(fā)布https虛擬服務(wù)，客戶端訪問時(shí)僅對(duì)

13、服務(wù)器證書進(jìn)行驗(yàn)證，AD不對(duì)客戶端證書進(jìn)行驗(yàn)證。其訪問流程圖如下：SSL策略SSL認(rèn)證流程SSL認(rèn)證流程2、雙向認(rèn)證，即在單向認(rèn)證的基礎(chǔ)上，要求對(duì)客戶端訪問進(jìn)行認(rèn)證，客戶端也需要提交證書給AD設(shè)備進(jìn)行驗(yàn)證。常見案例是，https/ssl類型虛擬服務(wù)，不僅對(duì)服務(wù)器證書進(jìn)行認(rèn)證，AD還要對(duì)訪問的證書進(jìn)行認(rèn)證。其訪問流程圖如下：SSL策略SSL策略1.SSL策略單向認(rèn)證應(yīng)用案例網(wǎng)絡(luò)環(huán)境與需求：客戶內(nèi)網(wǎng)有兩臺(tái)web服務(wù)器，使用 訪問。需要使用AD來進(jìn)行負(fù)載均衡，并且由于內(nèi)部服務(wù)器采用http協(xié)議。要求外網(wǎng)訪問保證安全性，通過AD來建立SSL隧道加密，使得外網(wǎng)訪問時(shí)采用 。SSL策略1.SSL策略典型應(yīng)

14、用案例配置思路：網(wǎng)絡(luò)配置：接口IP和代理上網(wǎng)，保證外網(wǎng)可以訪問到AD接口，且其訪問數(shù)據(jù)經(jīng)過AD后轉(zhuǎn)換為AD接口IP，從而保證調(diào)度非AD IP為網(wǎng)關(guān)的服務(wù)器可以正常返回?cái)?shù)據(jù)包。應(yīng)用負(fù)載：配置好服務(wù)，IP組，使得外網(wǎng)訪問的數(shù)據(jù)包匹配上。然后配置節(jié)點(diǎn)池及會(huì)話保持方式。設(shè)置SSL策略，保證訪問時(shí)使用SSL隧道。最后設(shè)置虛擬服務(wù)，將以上要素全部關(guān)聯(lián)起來。SSL策略1.SSL策略典型應(yīng)用案例配置方法與截圖：1.網(wǎng)絡(luò)接口2.源地址轉(zhuǎn)換3.服務(wù)4. IP組5.會(huì)話保持6.節(jié)點(diǎn)池7.節(jié)點(diǎn)SSL策略1.SSL典型應(yīng)用案例配置方法與截圖：8. SSL-服務(wù)器證書9. 策略-SSL策略10.應(yīng)用負(fù)載-虛擬服務(wù)SSL策

15、略實(shí)現(xiàn)效果圖如果啟用了http自動(dòng)跳轉(zhuǎn)，則在瀏覽器上輸入 ，即會(huì)跳轉(zhuǎn)到 該證書為AD設(shè)備提供。 SSL策略2.SSL策略雙向認(rèn)證應(yīng)用案例 雙向認(rèn)證跟單向認(rèn)證配置相比多了SSL設(shè)置時(shí)需要設(shè)置客戶端證書部分。而且要求客戶端PC導(dǎo)入客戶端證書，該客戶端證書是由AD設(shè)備里面設(shè)置的CA證書簽發(fā)的證書，或者被其證書鏈信任的證書，以提供服務(wù)器端AD驗(yàn)證。基本設(shè)置、SSL服務(wù)器證書設(shè)置、虛擬服務(wù)配置同單向認(rèn)證，此處不在復(fù)述。SSL策略2.SSL策略雙向認(rèn)證應(yīng)用案例配置方法與截圖：2.應(yīng)用負(fù)載-SSL-CA證書3.應(yīng)用負(fù)載-策略4.客戶端導(dǎo)入證書1.基本設(shè)置、SSL服務(wù)器證書設(shè)置、虛擬服務(wù)配置同單向認(rèn)證，此處不

16、在復(fù)述。SSL策略實(shí)現(xiàn)效果圖1.首先AD提交證書給客戶端PC2、接著AD要求客戶端提供證書進(jìn)行驗(yàn)證SSL策略注意事項(xiàng)1.部分WEB頁面里嵌套的HTTP請(qǐng)求無法打開，請(qǐng)?jiān)谂渲锰摂M服務(wù)的時(shí)候啟用HTTP自動(dòng)跳轉(zhuǎn)到HTTPS。如AD設(shè)備是旁路模式部署在內(nèi)網(wǎng)并且需要把服務(wù)發(fā)布到互聯(lián)網(wǎng)，為保證HTTP到HTTPS跳轉(zhuǎn)功能生效，前置防火墻設(shè)備還需映射80到AD設(shè)備WAN口。 2.部分頁面嵌套HTTP，成功發(fā)布HTTPS后，打開時(shí)IE會(huì)出現(xiàn)“此網(wǎng)頁包含的內(nèi)容將不使用安全的HTTPS連接傳送，可能危及到整個(gè)網(wǎng)頁的安全。”的警告。解決辦法：一，每次點(diǎn)“否”繼續(xù)瀏覽，二，每臺(tái)電腦更改IE設(shè)置，更改方式：工具 In

17、ternet選項(xiàng) 安全 Internet 自定義級(jí)別 顯示混合內(nèi)容= 啟用，三，聯(lián)系WEB開發(fā)人員，取消頁面嵌套的HTTP連接。3.AD設(shè)備可以支持申請(qǐng)服務(wù)器證書導(dǎo)入功能，如果客戶本身就有CA，則可以生成證書請(qǐng)求請(qǐng)求設(shè)備證書導(dǎo)入設(shè)備進(jìn)行加密。DNS代理高級(jí)應(yīng)用1.前置調(diào)度策略2.內(nèi)網(wǎng)DNS記錄DNS代理高級(jí)應(yīng)用1.前置調(diào)度策略1.1.前置調(diào)度策略功能介紹使用場(chǎng)景：AD設(shè)備設(shè)置了DNS代理后，內(nèi)網(wǎng)用戶的DNS請(qǐng)求會(huì)根據(jù)調(diào)度算法將DNS請(qǐng)求分配到不同的DNS服務(wù)器進(jìn)行解析。某些域名本身做了限制，必須通過某一個(gè)DNS才能解析，此時(shí)需要使用前置調(diào)度策略將解析該域名的請(qǐng)求始終分發(fā)給固定的DNS服務(wù)器。D

18、NS1DNS3DNS2 根據(jù)DNS代理選擇策略調(diào)度到DNS1服務(wù)器解析解析不到我才能解析 啟用DNS代理前置調(diào)度策略前的數(shù)據(jù)流DNS代理高級(jí)應(yīng)用1.前置調(diào)度策略1.1.前置調(diào)度策略功能介紹DNS1DNS3DNS2 根據(jù)DNS前置調(diào)度策略調(diào)度到DNS2服務(wù)器5我才能解析 啟用DNS代理前置調(diào)度策略后的數(shù)據(jù)流DNS代理高級(jí)應(yīng)用1.前置調(diào)度策略1.2.前置調(diào)度策略應(yīng)用案例內(nèi)網(wǎng)用戶 電信WAN1:5 教育網(wǎng)WAN2: 5LAN:/30/30/24網(wǎng)絡(luò)環(huán)境與需求：某客戶拓?fù)淙缬覉D，AD設(shè)備網(wǎng)關(guān)模式部署。電信DNS為，教育網(wǎng)DNS為。1.需要實(shí)現(xiàn)出站鏈路負(fù)載代理內(nèi)網(wǎng)用戶上網(wǎng)。2.需要實(shí)現(xiàn)DNS代理功能，內(nèi)

19、網(wǎng)用戶DNS需要設(shè)置成可以自動(dòng)選擇走電信或者教育網(wǎng)解析域名。3.有一個(gè)域名 必須走教育網(wǎng)的DNS才能解析到，因此要求該域名必須從教育網(wǎng)DNS解析。AD應(yīng)用交付三層交換DNS代理高級(jí)應(yīng)用1.前置調(diào)度策略1.2.前置調(diào)度策略應(yīng)用案例配置思路：1.基礎(chǔ)網(wǎng)絡(luò)配置：配置LAN口、WAN1、WAN2口IP地址，配置代理上網(wǎng)，配置靜態(tài)路由。2.出站鏈路負(fù)載配置：配置智能路由策略。3.配置DNS代理功能：?jiǎn)⒂肈NS透明代理。4.啟用前置調(diào)度策略，設(shè)置 域名走進(jìn)行解析。DNS代理高級(jí)應(yīng)用1.前置調(diào)度策略1.2.前置調(diào)度策略應(yīng)用案例配置方法與截圖：基礎(chǔ)網(wǎng)絡(luò)配置、出站鏈路負(fù)載請(qǐng)參考初級(jí)認(rèn)證PPT1.DNS代理配置2.前置調(diào)度策略配置內(nèi)網(wǎng)用戶DNS指向LAN口地址，則必須填寫LAN地址到此處設(shè)置 僅通過教育網(wǎng)解析DNS代理高級(jí)應(yīng)用2.內(nèi)網(wǎng)DNS記錄內(nèi)網(wǎng)DNS記錄使用場(chǎng)景： AD做鏈路負(fù)載，