江蘇蘇美達(dá)集團(tuán)有限公司案 IP地址毒化問題解決方 INTERNET出口需求描 多Internet鏈路出口NAT轉(zhuǎn)換的問 美國(guó)A10Networks解決方案總 NAT地址映 雙機(jī)HA熱備 江蘇蘇美達(dá)集團(tuán)有限公司案例挑戰(zhàn)江蘇蘇美達(dá)集團(tuán)有限公司在未實(shí)施A10江蘇蘇美達(dá)集團(tuán)有限公司案例挑戰(zhàn)江蘇蘇美達(dá)集團(tuán)有限公司在未實(shí)施A10鏈路負(fù)載均衡解決方案前，出口為三條電信鏈路。出口鏈路選擇基于靜態(tài)路由完成，存在如下問題：?jiǎn)螚l鏈路出現(xiàn)故障時(shí)，流量無法切換至其他鏈路；三條鏈路流量分配不均勻；無法基于域名優(yōu)化選路A10可幫助您智能鏈路選擇鏈路使用優(yōu)化解決方案解決方案在實(shí)施A10鏈路負(fù)載均衡解決方案后，出口鏈路由三條增加到五條。其中四條為國(guó)內(nèi)線路（包括：電信動(dòng)態(tài)地址鏈路、電信靜態(tài)地址鏈路、聯(lián)通鏈路兩條），用來優(yōu)化聯(lián)通和電信網(wǎng)絡(luò)資源的訪問，并且增強(qiáng)鏈路冗余性；國(guó)外專線（聯(lián)通精品線路），用解決國(guó)外網(wǎng)站無法訪問問題。結(jié)合A10的鏈路負(fù)載均衡解決方案，提供了如下功能：無需修改DNS，智能實(shí)現(xiàn)DNS代理；根據(jù)具體應(yīng)用鏈路帶寬使用的智能調(diào)整NATSTICKY和靈活的NAT日志格式應(yīng)用層健康檢查多級(jí)冗余備份地址表定期實(shí)時(shí)更新動(dòng)態(tài)探測(cè)可根據(jù)需求靈活部署基于域名選擇鏈路IP地址毒化問題解決方案挑戰(zhàn)IP地址毒化問題解決方案挑戰(zhàn)防火長(zhǎng)城（英語：GREATFIREWALLOCHINA，常用簡(jiǎn)稱：GFW，中文也稱中國(guó)國(guó)家防火墻或防火長(zhǎng)城）采用了高效的路由擴(kuò)散技術(shù)封鎖特定IP地址。防火長(zhǎng)城的路由擴(kuò)散技術(shù)中使用錯(cuò)誤的路由，把本來是發(fā)往某個(gè)IP地址的數(shù)據(jù)包統(tǒng)統(tǒng)引導(dǎo)到一個(gè)“黑洞服務(wù)器”上，而不是把它們轉(zhuǎn)發(fā)到正確目的地。A10可幫助您智能鏈路選擇優(yōu)化網(wǎng)絡(luò)資源優(yōu)化用戶體驗(yàn)解決方案可以使用解決方案可以使用A10應(yīng)用交付設(shè)備內(nèi)置的鏈路負(fù)載均衡功能模塊，智能的判斷目的地址所屬運(yùn)營(yíng)商，選擇正確的出口鏈路。例如目的地址為國(guó)內(nèi)運(yùn)營(yíng)商所屬，則選擇國(guó)內(nèi)出口鏈路進(jìn)行轉(zhuǎn)發(fā)；目的地址為為國(guó)外運(yùn)營(yíng)商所屬，則選擇國(guó)外出口鏈路進(jìn)行轉(zhuǎn)發(fā)。并且A10設(shè)備可以自動(dòng)定期更新地址庫，確保目的地址判斷的準(zhǔn)確性。NETNETORKSInternetA10NetworksA10NetworksSSMPCPU系統(tǒng)和內(nèi)存共享方面利用特有的專利技術(shù)，提供極其優(yōu)異的性能，尤其適用于高端用戶和對(duì)性能要求較高的場(chǎng)景。在多個(gè)運(yùn)營(yíng)商，Web2.0巨頭，電子商務(wù)，政府網(wǎng)站等有諸多部署。例如在實(shí)際部署的案例中，AX250010KCPU202.5Gbps。而AX3000產(chǎn)品在一個(gè)運(yùn)營(yíng)商地市出口處每秒新建超過20K，在4層，7層應(yīng)用和腳本方式混合使用的情況下，CPU~60%8～9Gbps1設(shè)備整體吞吐量4層新建會(huì)話數(shù)(按照TCP測(cè)試，是考核負(fù)載均衡的處理速度)；設(shè)備最大并發(fā)會(huì)話數(shù)目(考核負(fù)載均衡的容量)。A104Gbps吞吐量起，一直到上百A10產(chǎn)品內(nèi)置了多種功能，可以將鏈路負(fù)載，服務(wù)器負(fù)載，應(yīng)用加速以及多站點(diǎn)全局負(fù)載均衡功能集于一體。在具路策略；或者可以根據(jù)七層的域名指定鏈路；甚至不同的應(yīng)用使用不同的鏈路，A10設(shè)備都可以靈活的實(shí)現(xiàn)。A10A10產(chǎn)品無功能模塊和License的限制，所有功能一體化提供（Allinone），無需額外購(gòu)置功能擴(kuò)展模塊；同時(shí)A10產(chǎn)品無任何性能License限制，所有性能指標(biāo)(例如SSL參數(shù))均完全開放，提供最高性能。其一可以降低用戶INTERNET近年來，Internet在政府，企事業(yè)，網(wǎng)站和各種商業(yè)機(jī)構(gòu)中得到了廣泛的應(yīng)用，并在日常業(yè)務(wù)活動(dòng)中發(fā)揮越來越重INTERNET近年來，Internet在政府，企事業(yè)，網(wǎng)站和各種商業(yè)機(jī)構(gòu)中得到了廣泛的應(yīng)用，并在日常業(yè)務(wù)活動(dòng)中發(fā)揮越來越重域網(wǎng)絡(luò)均采用租用ISP鏈路的方式接入Internet，在業(yè)務(wù)系統(tǒng)穩(wěn)定性和安全性的要求之下，廣域網(wǎng)鏈路的運(yùn)營(yíng)和管理成為IT和網(wǎng)絡(luò)管理人員無法回避的挑戰(zhàn)。因此，越來越多的組織開始采用廣域網(wǎng)的一些優(yōu)化技術(shù)，以確保關(guān)鍵Internet上運(yùn)行時(shí)的穩(wěn)定性和安全性。同時(shí)，通過這些技術(shù)的運(yùn)用，降低廣域網(wǎng)上的運(yùn)營(yíng)成本，提高整傳統(tǒng)上，用戶一般采用單一鏈路的方式接入Internet。由于南北電信和聯(lián)通之間的互聯(lián)互通一直存在很大的問題，下表為在同一城市(福州)IP(湖南長(zhǎng)沙電信)17ms；而聯(lián)通到電信則需要67ms，延遲是電信鏈路的四倍！這是國(guó)內(nèi)不同運(yùn)營(yíng)商之間互連互通帶來的實(shí)際問題。因此，采用InternetNATInternetNATBGPInternetNAT轉(zhuǎn)換的方式來解決的，由此帶來了日志和NATIPIPIPNATIP地址。要實(shí)NATIPNATNATIPIP歸屬表是經(jīng)常變化的，如果需要每次手工的更新配置等會(huì)給管理員帶來繁瑣的維護(hù)負(fù)擔(dān)。另外在某些情況下，除了靜態(tài)IP的歸IPIPNETORKSA10NetworksNETORKSA10NetworksIPNAT轉(zhuǎn)換。一般不考慮用戶的DNS解析。圖八采用A10DNS返回的域名解析結(jié)果，發(fā)起對(duì)外部服務(wù)器的訪問請(qǐng)需 A10解決方 優(yōu)用戶訪問流量引 智能DNS解析 內(nèi)置功能，無需額外收鏈路使用率不均 多個(gè)技術(shù)手段實(shí) 出向的智能DNS/不同應(yīng)用的策略/根據(jù)帶NAT轉(zhuǎn)換問題 NATSticky和靈活的NAT日志格式 平均使用NATIP;確保應(yīng)用正常根據(jù)用戶需求定制化的NAT日志鏈路可用性和冗余備 自定義鏈路檢查和靈活的冗余機(jī)鏈路出口靜態(tài)地址表維護(hù) 地址表定期實(shí)時(shí)更 地址表更新無需管理員登錄和修改配置動(dòng)態(tài)探測(cè)算 動(dòng)態(tài)探測(cè)可根據(jù)需求靈活部 自動(dòng)實(shí)A10智能鏈路控制器收到用戶的訪問請(qǐng)求后，根據(jù)鏈路選擇算法，選擇一條最佳的鏈路發(fā)送訪問請(qǐng)求。并根據(jù)該鏈NATA10智能鏈路控制器收到用戶的訪問請(qǐng)求后，根據(jù)鏈路選擇算法，選擇一條最佳的鏈路發(fā)送訪問請(qǐng)求。并根據(jù)該鏈NATNATInternetWeb服務(wù)器收到請(qǐng)求后，對(duì)其進(jìn)行處理，并將結(jié)果返回給A10智能鏈路控制器，A10器對(duì)收到的數(shù)據(jù)包進(jìn)行轉(zhuǎn)換為內(nèi)部地址DNS為解決這些問題，可以啟用出向的透明DNS攔截和解析的部署。無論用戶的DNSDNS服務(wù)器，均可DNSDNS以獲取對(duì)用戶訪問圖九采用A10智能鏈路控制器+DNSNATIP圖十A10圖十一A10圖十A10圖十一A10圖十二A10A10A10A10A10智能鏈路控制器確保網(wǎng)銀A10智能鏈路控制器確保網(wǎng)銀/NATA10NATNETORKSNETORKSAX/THUNDERacl，使用源地址或者目標(biāo)地址等手段將內(nèi)網(wǎng)用戶有效隔離，分別設(shè)置出向策略和對(duì)應(yīng)NATAX/THUNDERNATNAT轉(zhuǎn)換地址，對(duì)網(wǎng)銀應(yīng)用，以及NAT地址的應(yīng)用(部分網(wǎng)游，和其他網(wǎng)站，例如網(wǎng)上醫(yī)院預(yù)約網(wǎng)站)可以避免地址漂移引起的訪問故障。AX/THUNDER系列支持靜態(tài)映射(主要應(yīng)用于DMZ區(qū)的服務(wù)器)和動(dòng)態(tài)映射（主要應(yīng)用于一般內(nèi)網(wǎng)用戶的Internet訪問需求)AX/THUNDER47GUI配置，也有對(duì)高級(jí)用戶和復(fù)雜應(yīng)用使用的aflex腳本功能。AX/THUNDER系列同時(shí)提供應(yīng)用優(yōu)化和加速功能，提高內(nèi)網(wǎng)應(yīng)用發(fā)布的有HAAX/THUNDERVRRPHA接口，可以做到毫秒級(jí)的設(shè)備切換。AX/THUNDERHA切換，所有客