Την προηγούμενη φορά μιλήσαμε για τις δυνατότητες του NSX Edge σε επίπεδο στατικής και δυναμικής δρομολόγησης και σήμερα θα ασχοληθούμε με το load balancer.
Πριν ξεκινήσουμε τη ρύθμιση, θα ήθελα να σας υπενθυμίσω εν συντομία τους κύριους τύπους ζυγοστάθμισης.
Θεωρία
Όλες οι σημερινές λύσεις εξισορρόπησης ωφέλιμου φορτίου χωρίζονται συχνότερα σε δύο κατηγορίες: ζυγοστάθμιση στο τέταρτο (μεταφορά) και έβδομο (εφαρμογή) επίπεδο του μοντέλου . Το μοντέλο OSI δεν είναι το καλύτερο σημείο αναφοράς κατά την περιγραφή των μεθόδων εξισορρόπησης. Για παράδειγμα, εάν ένας εξισορροπητής L4 υποστηρίζει επίσης τερματισμό TLS, γίνεται τότε ένας εξισορροπητής L7; Αλλά είναι αυτό που είναι.
- Ισορροπητής L4 τις περισσότερες φορές είναι ένας μεσαίος διακομιστής μεσολάβησης που βρίσκεται ανάμεσα στον πελάτη και ένα σύνολο διαθέσιμων backend, το οποίο τερματίζει τις συνδέσεις TCP (δηλαδή, ανταποκρίνεται ανεξάρτητα στο SYN), επιλέγει ένα backend και ξεκινά μια νέα συνεδρία TCP προς την κατεύθυνσή του, στέλνοντας ανεξάρτητα SYN. Αυτός ο τύπος είναι ένας από τους βασικούς· είναι δυνατές και άλλες επιλογές.
- Ισορροπητής L7 κατανέμει την κυκλοφορία στα διαθέσιμα backend "πιο εξελιγμένα" από το L4 balancer. Μπορεί να αποφασίσει ποιο backend θα επιλέξει με βάση, για παράδειγμα, τα περιεχόμενα του μηνύματος HTTP (URL, cookie, κ.λπ.).
Ανεξάρτητα από τον τύπο, ο εξισορροπητής μπορεί να υποστηρίξει τις ακόλουθες λειτουργίες:
- Η ανακάλυψη υπηρεσίας είναι η διαδικασία προσδιορισμού του συνόλου των διαθέσιμων backends (Static, DNS, Consul, Etcd, κ.λπ.).
- Έλεγχος της λειτουργικότητας των ανιχνευόμενων backends (ενεργό «ping» του backend με χρήση αιτήματος HTTP, παθητικός εντοπισμός προβλημάτων στις συνδέσεις TCP, παρουσία αρκετών 503 κωδικών HTTP στη σειρά σε απαντήσεις κ.λπ.).
- Η ίδια η εξισορρόπηση (round robin, τυχαία επιλογή, κατακερματισμός IP πηγής, URI).
- Τερματισμός TLS και επαλήθευση πιστοποιητικού.
- Επιλογές που σχετίζονται με την ασφάλεια (έλεγχος ταυτότητας, αποτροπή επιθέσεων DoS, περιορισμός ταχύτητας) και πολλά άλλα.
Το NSX Edge προσφέρει υποστήριξη για δύο λειτουργίες ανάπτυξης εξισορρόπησης φορτίου:
Λειτουργία διακομιστή μεσολάβησης ή με ένα χέρι. Σε αυτήν τη λειτουργία, το NSX Edge χρησιμοποιεί τη διεύθυνση IP του ως διεύθυνση πηγής όταν στέλνει ένα αίτημα σε ένα από τα backend. Έτσι, ο εξισορροπητής εκτελεί ταυτόχρονα τις λειτουργίες του ΝΑΤ πηγής και προορισμού. Το backend βλέπει όλη την κίνηση όπως αποστέλλεται από τον εξισορροπητή και ανταποκρίνεται απευθείας σε αυτό. Σε ένα τέτοιο σχήμα, ο εξισορροπητής πρέπει να βρίσκεται στο ίδιο τμήμα δικτύου με τους εσωτερικούς διακομιστές.
Να πώς πάει:
1. Ο χρήστης στέλνει ένα αίτημα στη διεύθυνση VIP (διεύθυνση εξισορρόπησης) που έχει διαμορφωθεί στο Edge.
2. Το Edge επιλέγει ένα από τα backend και εκτελεί NAT προορισμού, αντικαθιστώντας τη διεύθυνση VIP με τη διεύθυνση του επιλεγμένου backend.
3. Το Edge εκτελεί NAT πηγής, αντικαθιστώντας τη διεύθυνση του χρήστη που έστειλε το αίτημα με τη δική του.
4. Το πακέτο αποστέλλεται στο επιλεγμένο backend.
5. Το backend δεν ανταποκρίνεται απευθείας στον χρήστη, αλλά στο Edge, αφού η αρχική διεύθυνση του χρήστη έχει αλλάξει στη διεύθυνση του balancer.
6. Το Edge μεταδίδει την απάντηση του διακομιστή στον χρήστη.
Το διάγραμμα είναι παρακάτω.
Διαφανής ή ενσωματωμένη λειτουργία. Σε αυτό το σενάριο, ο εξισορροπητής έχει διεπαφές στα εσωτερικά και εξωτερικά δίκτυα. Ταυτόχρονα, δεν υπάρχει άμεση πρόσβαση στο εσωτερικό δίκτυο από το εξωτερικό. Το ενσωματωμένο πρόγραμμα εξισορρόπησης φορτίου λειτουργεί ως πύλη NAT για εικονικές μηχανές στο εσωτερικό δίκτυο.
Ο μηχανισμός έχει ως εξής:
1. Ο χρήστης στέλνει ένα αίτημα στη διεύθυνση VIP (διεύθυνση εξισορρόπησης) που έχει διαμορφωθεί στο Edge.
2. Το Edge επιλέγει ένα από τα backend και εκτελεί NAT προορισμού, αντικαθιστώντας τη διεύθυνση VIP με τη διεύθυνση του επιλεγμένου backend.
3. Το πακέτο αποστέλλεται στο επιλεγμένο backend.
4. Το backend λαμβάνει ένα αίτημα με την αρχική διεύθυνση του χρήστη (η πηγή NAT δεν εκτελέστηκε) και απαντά απευθείας σε αυτό.
5. Η κίνηση γίνεται και πάλι αποδεκτή από τον εξισορροπητή φορτίου, αφού σε ένα ενσωματωμένο σχήμα συνήθως λειτουργεί ως η προεπιλεγμένη πύλη για το σύμπλεγμα διακομιστών.
6. Ο Edge εκτελεί NAT πηγής για να στείλει κίνηση στον χρήστη, χρησιμοποιώντας το VIP του ως διεύθυνση IP πηγής.
Το διάγραμμα είναι παρακάτω.
Πρακτική
Ο πάγκος δοκιμών μου έχει 3 διακομιστές που εκτελούν Apache, ο οποίος έχει ρυθμιστεί να λειτουργεί μέσω HTTPS. Ο Edge θα εκτελέσει εξισορρόπηση των αιτημάτων HTTPS, μεταφέροντας κάθε νέο αίτημα σε έναν νέο διακομιστή.
Ας αρχίσουμε.
Δημιουργία πιστοποιητικού SSL που θα χρησιμοποιηθεί από το NSX Edge
Μπορείτε να εισαγάγετε ένα έγκυρο πιστοποιητικό CA ή να χρησιμοποιήσετε ένα αυτο-υπογεγραμμένο. Για αυτό το τεστ θα χρησιμοποιήσω την αυτο-υπογραφή.
- Στη διεπαφή vCloud Director, μεταβείτε στις ρυθμίσεις υπηρεσιών Edge.
- Μεταβείτε στην καρτέλα Πιστοποιητικά. Από τη λίστα ενεργειών, επιλέξτε προσθήκη νέου CSR.
- Συμπληρώστε τα απαιτούμενα πεδία και κάντε κλικ στο Διατήρηση.
- Επιλέξτε το νέο CSR και επιλέξτε την επιλογή αυτο-υπογραφή CSR.
- Επιλέξτε την περίοδο ισχύος του πιστοποιητικού και κάντε κλικ στην επιλογή Διατήρηση
- Το αυτο-υπογεγραμμένο πιστοποιητικό εμφανίζεται στη λίστα με τα διαθέσιμα.
Ρύθμιση προφίλ εφαρμογής
Τα προφίλ εφαρμογών σάς δίνουν πληρέστερο έλεγχο της κυκλοφορίας του δικτύου και καθιστούν τη διαχείρισή του απλή και αποτελεσματική. Μπορούν να χρησιμοποιηθούν για τον καθορισμό συμπεριφοράς για συγκεκριμένους τύπους κίνησης.
- Μεταβείτε στην καρτέλα Load Balancer και ενεργοποιήστε το balancer. Η επιλογή Acceleration enabled εδώ επιτρέπει στον εξισορροπητή να χρησιμοποιεί ταχύτερη εξισορρόπηση L4 αντί για L7.
- Μεταβείτε στην καρτέλα Προφίλ εφαρμογής για να ορίσετε το προφίλ εφαρμογής. Κάντε κλικ στο +.
- Ορίστε το όνομα του προφίλ και επιλέξτε τον τύπο κίνησης για τον οποίο θα εφαρμοστεί το προφίλ. Επιτρέψτε μου να εξηγήσω μερικές παραμέτρους.
Επιμονή – αποθηκεύει και παρακολουθεί δεδομένα συνεδρίας, για παράδειγμα: ποιος συγκεκριμένος διακομιστής στο χώρο συγκέντρωσης εξυπηρετεί το αίτημα χρήστη. Αυτό διασφαλίζει ότι τα αιτήματα των χρηστών δρομολογούνται στο ίδιο μέλος του pool για τη διάρκεια ζωής της περιόδου σύνδεσης ή των επόμενων περιόδων σύνδεσης.
Ενεργοποίηση διέλευσης SSL – Όταν είναι επιλεγμένη αυτή η επιλογή, το NSX Edge σταματά να τερματίζει το SSL. Αντίθετα, ο τερματισμός πραγματοποιείται απευθείας στους διακομιστές που εξισορροπούνται.
Εισαγάγετε την κεφαλίδα X-Forwarded-For HTTP – σας επιτρέπει να προσδιορίσετε τη διεύθυνση IP προέλευσης του προγράμματος-πελάτη που συνδέεται με τον διακομιστή web μέσω του εξισορροπητή φορτίου.
Ενεργοποίηση Pool Side SSL – σας επιτρέπει να καθορίσετε ότι το επιλεγμένο pool αποτελείται από διακομιστές HTTPS.
- Εφόσον θα εξισορροπώ την κυκλοφορία HTTPS, πρέπει να ενεργοποιήσω το Pool Side SSL και να επιλέξω το πιστοποιητικό που δημιουργήθηκε προηγουμένως στην καρτέλα Πιστοποιητικά εικονικού διακομιστή -> Πιστοποιητικό υπηρεσίας.
- Ομοίως για Πιστοποιητικά Pool -> Πιστοποιητικό υπηρεσίας.
Δημιουργούμε μια δεξαμενή διακομιστών, η κίνηση στους οποίους θα είναι εξισορροπημένη Pools
- Μεταβείτε στην καρτέλα Πισίνες. Κάντε κλικ στο +.
- Ρυθμίζουμε το όνομα του pool, επιλέγουμε τον αλγόριθμο (θα χρησιμοποιήσω round robin) και τον τύπο παρακολούθησης για το backend του υγειονομικού ελέγχου Η επιλογή Transparent υποδεικνύει εάν οι αρχικές IP προέλευσης των πελατών είναι ορατές στους εσωτερικούς διακομιστές.
- Εάν η επιλογή είναι απενεργοποιημένη, η κίνηση για εσωτερικούς διακομιστές προέρχεται από την IP πηγής του εξισορροπητή.
- Εάν η επιλογή είναι ενεργοποιημένη, οι εσωτερικοί διακομιστές βλέπουν την IP πηγής των πελατών. Σε αυτήν τη διαμόρφωση, το NSX Edge πρέπει να λειτουργεί ως η προεπιλεγμένη πύλη για να διασφαλίσει ότι τα επιστρεφόμενα πακέτα περνούν μέσω του NSX Edge.
Το NSX υποστηρίζει τους ακόλουθους αλγόριθμους εξισορρόπησης:
- IP_HASH – επιλογή διακομιστή με βάση τα αποτελέσματα μιας συνάρτησης κατακερματισμού για την IP προέλευσης και προορισμού κάθε πακέτου.
- LEASTCONN – εξισορρόπηση των εισερχόμενων συνδέσεων, ανάλογα με τον αριθμό που είναι ήδη διαθέσιμος σε έναν συγκεκριμένο διακομιστή. Οι νέες συνδέσεις θα κατευθυνθούν στον διακομιστή με τις λιγότερες συνδέσεις.
- ROUND_ROBIN – νέες συνδέσεις αποστέλλονται σε κάθε διακομιστή με τη σειρά τους, σύμφωνα με το βάρος που του έχει ανατεθεί.
- URI – το αριστερό μέρος του URI (πριν από το ερωτηματικό) κατακερματίζεται και διαιρείται με το συνολικό βάρος των διακομιστών στη συγκέντρωση. Το αποτέλεσμα υποδεικνύει ποιος διακομιστής λαμβάνει το αίτημα, διασφαλίζοντας ότι το αίτημα δρομολογείται πάντα στον ίδιο διακομιστή, εφόσον όλοι οι διακομιστές παραμένουν διαθέσιμοι.
- HTTPHEADER – εξισορρόπηση με βάση μια συγκεκριμένη κεφαλίδα HTTP, η οποία μπορεί να καθοριστεί ως παράμετρος. Εάν η κεφαλίδα λείπει ή δεν έχει καμία τιμή, εφαρμόζεται ο αλγόριθμος ROUND_ROBIN.
- URL – Κάθε αίτημα HTTP GET αναζητά την παράμετρο URL που καθορίζεται ως όρισμα. Εάν η παράμετρος ακολουθείται από ένα σύμβολο ίσου και μια τιμή, τότε η τιμή κατακερματίζεται και διαιρείται με το συνολικό βάρος των διακομιστών που εκτελούνται. Το αποτέλεσμα υποδεικνύει ποιος διακομιστής λαμβάνει το αίτημα. Αυτή η διαδικασία χρησιμοποιείται για την παρακολούθηση των αναγνωριστικών χρηστών στα αιτήματα και για τη διασφάλιση ότι το ίδιο αναγνωριστικό χρήστη αποστέλλεται πάντα στον ίδιο διακομιστή, εφόσον όλοι οι διακομιστές παραμένουν διαθέσιμοι.
- Στο μπλοκ Μέλη, κάντε κλικ στο + για να προσθέσετε διακομιστές στο χώρο συγκέντρωσης.
Εδώ πρέπει να υποδείξετε:- όνομα διακομιστή;
- Διεύθυνση IP διακομιστή.
- τη θύρα στην οποία ο διακομιστής θα λάβει κίνηση·
- λιμάνι για έλεγχο υγείας (Monitor healthcheck).
- βάρος – χρησιμοποιώντας αυτήν την παράμετρο μπορείτε να προσαρμόσετε την αναλογική ποσότητα κίνησης που λαμβάνεται για ένα συγκεκριμένο μέλος της πισίνας.
- Μέγιστες συνδέσεις – μέγιστος αριθμός συνδέσεων στον διακομιστή.
- Ελάχιστες συνδέσεις – ο ελάχιστος αριθμός συνδέσεων που πρέπει να επεξεργαστεί ο διακομιστής πριν προωθηθεί η κίνηση στο επόμενο μέλος του pool.
Έτσι μοιάζει η τελική ομάδα τριών διακομιστών.
Προσθήκη εικονικού διακομιστή
- Μεταβείτε στην καρτέλα Virtual Servers. Κάντε κλικ στο +.
- Ενεργοποιούμε τον εικονικό διακομιστή χρησιμοποιώντας το Enable Virtual Server.
Του δίνουμε ένα όνομα, επιλέγουμε το Προφίλ Εφαρμογής που δημιουργήθηκε προηγουμένως, το Pool και υποδεικνύουμε τη διεύθυνση IP στην οποία ο Εικονικός Διακομιστής θα λαμβάνει αιτήματα από έξω. Καθορίζουμε το πρωτόκολλο HTTPS και τη θύρα 443.
Προαιρετικές παράμετροι εδώ:
Όριο σύνδεσης – ο μέγιστος αριθμός ταυτόχρονων συνδέσεων που μπορεί να επεξεργαστεί ο εικονικός διακομιστής.
Όριο ρυθμού σύνδεσης (CPS) – ο μέγιστος αριθμός νέων εισερχόμενων αιτημάτων ανά δευτερόλεπτο.
Αυτό ολοκληρώνει τη διαμόρφωση του εξισορροπητή· μπορείτε να ελέγξετε τη λειτουργικότητά του. Οι διακομιστές έχουν μια απλή διαμόρφωση που σας επιτρέπει να κατανοήσετε ποιος διακομιστής από το pool επεξεργάστηκε το αίτημα. Κατά τη ρύθμιση, επιλέξαμε τον αλγόριθμο εξισορρόπησης Round Robin και η παράμετρος Weight για κάθε διακομιστή είναι ίση με ένα, επομένως κάθε επόμενο αίτημα θα υποβάλλεται σε επεξεργασία από τον επόμενο διακομιστή από το pool.
Εισάγουμε την εξωτερική διεύθυνση του balancer στο πρόγραμμα περιήγησης και βλέπουμε:
Μετά την ανανέωση της σελίδας, το αίτημα θα υποβληθεί σε επεξεργασία από τον ακόλουθο διακομιστή:
Και πάλι - για να ελέγξετε τον τρίτο διακομιστή από την πισίνα:
Κατά τον έλεγχο, μπορείτε να δείτε ότι το πιστοποιητικό που μας στέλνει ο Edge είναι το ίδιο που δημιουργήσαμε στην αρχή.
Έλεγχος της κατάστασης του εξισορροπητή από την κονσόλα πύλης Edge. Για να το κάνετε αυτό, εισάγετε εμφάνιση πισίνας loadbalancer service.
Ρύθμιση παραμέτρων του Service Monitor για έλεγχο της κατάστασης των διακομιστών στο pool
Χρησιμοποιώντας το Service Monitor μπορούμε να παρακολουθούμε την κατάσταση των διακομιστών στο backend pool. Εάν η απάντηση σε ένα αίτημα δεν είναι η αναμενόμενη, ο διακομιστής μπορεί να αφαιρεθεί από το pool έτσι ώστε να μην λαμβάνει νέα αιτήματα.
Από προεπιλογή, διαμορφώνονται τρεις μέθοδοι επαλήθευσης:
- οθόνη TCP,
- Οθόνη HTTP,
- HTTPS-οθόνη.
Ας δημιουργήσουμε ένα νέο.
- Μεταβείτε στην καρτέλα Παρακολούθηση υπηρεσιών, κάντε κλικ στο +.
- Επιλέγω:
- όνομα για τη νέα μέθοδο.
- το διάστημα στο οποίο θα αποστέλλονται τα αιτήματα,
- timeout περιμένοντας απάντηση,
- τύπος παρακολούθησης – αίτημα HTTPS με χρήση της μεθόδου GET, κωδικός αναμενόμενης κατάστασης – 200(OK) και διεύθυνση URL αιτήματος.
- Αυτό ολοκληρώνει τη ρύθμιση του νέου Service Monitor· τώρα μπορούμε να το χρησιμοποιήσουμε κατά τη δημιουργία ενός pool.
Ρύθμιση κανόνων εφαρμογής
Οι Κανόνες Εφαρμογής είναι ένας τρόπος χειρισμού της κυκλοφορίας με βάση συγκεκριμένους κανόνες. Με αυτό το εργαλείο μπορούμε να δημιουργήσουμε προηγμένους κανόνες εξισορρόπησης φορτίου που ενδέχεται να μην είναι δυνατοί μέσω των προφίλ εφαρμογών ή άλλων υπηρεσιών που είναι διαθέσιμες στο Edge Gateway.
- Για να δημιουργήσετε έναν κανόνα, μεταβείτε στην καρτέλα Κανόνες εφαρμογής του εξισορροπητή.
- Επιλέξτε ένα όνομα, ένα σενάριο που θα χρησιμοποιεί τον κανόνα και κάντε κλικ στο Διατήρηση.
- Αφού δημιουργηθεί ο κανόνας, πρέπει να επεξεργαστούμε τον ήδη διαμορφωμένο Virtual Server.
- Στην καρτέλα Για προχωρημένους, προσθέστε τον κανόνα που δημιουργήσαμε.
Στο παραπάνω παράδειγμα ενεργοποιήσαμε την υποστήριξη tlsv1.
Κάποια ακόμη παραδείγματα:
Ανακατεύθυνση της κυκλοφορίας σε άλλη πισίνα.
Με αυτό το σενάριο μπορούμε να ανακατευθύνουμε την κυκλοφορία σε μια άλλη ομάδα εξισορρόπησης εάν η κύρια πισίνα είναι εκτός λειτουργίας. Για να λειτουργήσει ο κανόνας, πρέπει να διαμορφωθούν πολλαπλές ομάδες στον εξισορροπητή και όλα τα μέλη της κύριας δεξαμενής πρέπει να βρίσκονται σε κατάσταση λειτουργίας. Πρέπει να καθορίσετε το όνομα της πισίνας και όχι το αναγνωριστικό της.
acl pool_down nbsrv(PRIMARY_POOL_NAME) eq 0
use_backend SECONDARY_POOL_NAME if PRIMARY_POOL_NAME
Ανακατεύθυνση της κυκλοφορίας σε έναν εξωτερικό πόρο.
Εδώ ανακατευθύνουμε την επισκεψιμότητα στον εξωτερικό ιστότοπο, εάν όλα τα μέλη του main pool είναι εκτός λειτουργίας.
acl pool_down nbsrv(NAME_OF_POOL) eq 0
redirect location http://www.example.com if pool_down
Ακόμα περισσότερα παραδείγματα .
Αυτό είναι όλο για μένα για τον εξισορροπητή. Εάν έχετε οποιεσδήποτε ερωτήσεις, ρωτήστε, είμαι έτοιμος να απαντήσω.
Πηγή: www.habr.com