छोटों के लिए VMware NSX। भाग 5: लोड बैलेंसर को कॉन्फ़िगर करना

एक भाग। पृष्ठभूमि
भाग दो। फ़ायरवॉल और NAT नियमों को कॉन्फ़िगर करना
भाग तीन। डीएचसीपी को कॉन्फ़िगर करना
भाग चार. रूटिंग सेटअप

पिछली बार हमने स्थिर और गतिशील रूटिंग के संदर्भ में एनएसएक्स एज की क्षमताओं के बारे में बात की थी, और आज हम लोड बैलेंसर से निपटेंगे।
इससे पहले कि हम सेटअप करना शुरू करें, मैं आपको संक्षेप में संतुलन के मुख्य प्रकारों के बारे में याद दिलाना चाहूँगा।

Теория

आज के सभी पेलोड संतुलन समाधानों को अक्सर दो श्रेणियों में विभाजित किया जाता है: मॉडल के चौथे (परिवहन) और सातवें (अनुप्रयोग) स्तरों पर संतुलन। ओएसआई. संतुलन विधियों का वर्णन करते समय ओएसआई मॉडल सबसे अच्छा संदर्भ बिंदु नहीं है। उदाहरण के लिए, यदि L4 बैलेंसर भी TLS समाप्ति का समर्थन करता है, तो क्या यह L7 बैलेंसर बन जाता है? पर अब जो है वो है।

• बैलेंसर L4 अक्सर यह क्लाइंट और उपलब्ध बैकएंड के सेट के बीच खड़ा एक मध्य प्रॉक्सी होता है, जो टीसीपी कनेक्शन को समाप्त करता है (यानी, स्वतंत्र रूप से SYN पर प्रतिक्रिया करता है), एक बैकएंड का चयन करता है और स्वतंत्र रूप से SYN भेजकर अपनी दिशा में एक नया टीसीपी सत्र शुरू करता है। यह प्रकार बुनियादी प्रकारों में से एक है; अन्य विकल्प भी संभव हैं।
• बैलेंसर L7 उपलब्ध बैकएंड पर ट्रैफ़िक को L4 बैलेंसर की तुलना में "अधिक परिष्कृत" वितरित करता है। यह तय कर सकता है कि कौन सा बैकएंड चुनना है, उदाहरण के लिए, HTTP संदेश की सामग्री (यूआरएल, कुकी, आदि) के आधार पर।

प्रकार के बावजूद, बैलेंसर निम्नलिखित कार्यों का समर्थन कर सकता है:

• सेवा खोज उपलब्ध बैकएंड (स्टेटिक, डीएनएस, कॉन्सल, आदि) के सेट को निर्धारित करने की प्रक्रिया है।
• पता लगाए गए बैकएंड की कार्यक्षमता की जाँच करना (HTTP अनुरोध का उपयोग करके बैकएंड का सक्रिय "पिंग", टीसीपी कनेक्शन में समस्याओं का निष्क्रिय पता लगाना, प्रतिक्रियाओं में कई 503 HTTP कोड की उपस्थिति, आदि)।
• संतुलन स्वयं (राउंड रॉबिन, यादृच्छिक चयन, स्रोत आईपी हैश, यूआरआई)।
• टीएलएस समाप्ति और प्रमाणपत्र सत्यापन।
• सुरक्षा-संबंधी विकल्प (प्रमाणीकरण, DoS हमले की रोकथाम, गति सीमित करना) और भी बहुत कुछ।

एनएसएक्स एज दो लोड बैलेंसर परिनियोजन मोड के लिए समर्थन प्रदान करता है:

प्रॉक्सी मोड, या एक-हाथ. इस मोड में, एनएसएक्स एज किसी बैकएंड पर अनुरोध भेजते समय अपने आईपी पते को स्रोत पते के रूप में उपयोग करता है। इस प्रकार, बैलेंसर एक साथ स्रोत और गंतव्य NAT के कार्य करता है। बैकएंड बैलेंसर से भेजे गए सभी ट्रैफ़िक को देखता है और सीधे उस पर प्रतिक्रिया करता है। ऐसी योजना में, बैलेंसर को आंतरिक सर्वर के साथ एक ही नेटवर्क सेगमेंट में होना चाहिए।

यहां बताया गया है कि यह कैसे होता है:
1. उपयोगकर्ता वीआईपी पते (बैलेंसर पते) पर एक अनुरोध भेजता है जो एज पर कॉन्फ़िगर किया गया है।
2. एज बैकएंड में से एक का चयन करता है और गंतव्य NAT निष्पादित करता है, वीआईपी पते को चयनित बैकएंड के पते से बदल देता है।
3. एज स्रोत NAT निष्पादित करता है, अनुरोध भेजने वाले उपयोगकर्ता के पते को अपने पते से बदल देता है।
4. पैकेज चयनित बैकएंड पर भेजा जाता है।
5. बैकएंड सीधे उपयोगकर्ता को नहीं, बल्कि एज को जवाब देता है, क्योंकि उपयोगकर्ता का मूल पता बैलेंसर के पते में बदल दिया गया है।
6. एज सर्वर की प्रतिक्रिया को उपयोगकर्ता तक पहुंचाता है।
आरेख नीचे है.


पारदर्शी, या इनलाइन, मोड। इस परिदृश्य में, बैलेंसर के पास आंतरिक और बाहरी नेटवर्क पर इंटरफेस हैं। साथ ही, बाहरी से आंतरिक नेटवर्क तक कोई सीधी पहुंच नहीं है। अंतर्निहित लोड बैलेंसर आंतरिक नेटवर्क पर वर्चुअल मशीनों के लिए NAT गेटवे के रूप में कार्य करता है।

तंत्र इस प्रकार है:
1. उपयोगकर्ता वीआईपी पते (बैलेंसर पते) पर एक अनुरोध भेजता है जो एज पर कॉन्फ़िगर किया गया है।
2. एज बैकएंड में से एक का चयन करता है और गंतव्य NAT निष्पादित करता है, वीआईपी पते को चयनित बैकएंड के पते से बदल देता है।
3. पैकेज चयनित बैकएंड पर भेजा जाता है।
4. बैकएंड को उपयोगकर्ता के मूल पते के साथ एक अनुरोध प्राप्त होता है (स्रोत NAT निष्पादित नहीं किया गया था) और सीधे इसका जवाब देता है।
5. ट्रैफ़िक को फिर से लोड बैलेंसर द्वारा स्वीकार किया जाता है, क्योंकि इनलाइन स्कीम में यह आमतौर पर सर्वर फ़ार्म के लिए डिफ़ॉल्ट गेटवे के रूप में कार्य करता है।
6. एज अपने वीआईपी को स्रोत आईपी पते के रूप में उपयोग करके उपयोगकर्ता को ट्रैफ़िक भेजने के लिए स्रोत NAT निष्पादित करता है।
आरेख नीचे है.

अभ्यास

मेरी परीक्षण बेंच में अपाचे चलाने वाले 3 सर्वर हैं, जिन्हें HTTPS पर काम करने के लिए कॉन्फ़िगर किया गया है। एज HTTPS अनुरोधों का राउंड रॉबिन संतुलन बनाएगा, प्रत्येक नए अनुरोध को एक नए सर्वर पर प्रॉक्सी करेगा।
चलिए शुरू करते हैं

एक एसएसएल प्रमाणपत्र तैयार करना जिसका उपयोग एनएसएक्स एज द्वारा किया जाएगा
आप एक वैध सीए प्रमाणपत्र आयात कर सकते हैं या स्व-हस्ताक्षरित प्रमाणपत्र का उपयोग कर सकते हैं। इस परीक्षण के लिए मैं स्व-हस्ताक्षरित का उपयोग करूंगा।

1. vCloud निदेशक इंटरफ़ेस में, एज सेवा सेटिंग्स पर जाएँ।
   
2. प्रमाणपत्र टैब पर जाएं. कार्रवाइयों की सूची से, एक नया सीएसआर जोड़ना चुनें।
   
3. आवश्यक फ़ील्ड भरें और रखें पर क्लिक करें।
   
4. नव निर्मित सीएसआर का चयन करें और स्व-हस्ताक्षरित सीएसआर विकल्प का चयन करें।
   
5. प्रमाणपत्र की वैधता अवधि चुनें और रखें पर क्लिक करें
   
6. स्व-हस्ताक्षरित प्रमाणपत्र उपलब्ध प्रमाणपत्रों की सूची में दिखाई देता है।
   

एप्लिकेशन प्रोफ़ाइल सेट करना
एप्लिकेशन प्रोफ़ाइल आपको नेटवर्क ट्रैफ़िक पर अधिक संपूर्ण नियंत्रण प्रदान करती है और इसे प्रबंधित करना सरल और प्रभावी बनाती है। उनका उपयोग विशिष्ट प्रकार के ट्रैफ़िक के लिए व्यवहार को परिभाषित करने के लिए किया जा सकता है।

1. लोड बैलेंसर टैब पर जाएं और बैलेंसर को सक्षम करें। यहां एक्सेलेरेशन सक्षम विकल्प बैलेंसर को L4 के बजाय तेज़ L7 संतुलन का उपयोग करने की अनुमति देता है।
   
2. एप्लिकेशन प्रोफ़ाइल सेट करने के लिए एप्लिकेशन प्रोफ़ाइल टैब पर जाएं। + पर क्लिक करें.
   
3. प्रोफ़ाइल का नाम सेट करें और ट्रैफ़िक का प्रकार चुनें जिसके लिए प्रोफ़ाइल लागू की जाएगी। मुझे कुछ पैरामीटर समझाने दीजिए.
   हठ - सत्र डेटा को संग्रहीत और ट्रैक करता है, उदाहरण के लिए: पूल में कौन सा विशिष्ट सर्वर उपयोगकर्ता के अनुरोध को पूरा कर रहा है। यह सुनिश्चित करता है कि उपयोगकर्ता अनुरोध सत्र के जीवनकाल या उसके बाद के सत्रों के लिए उसी पूल सदस्य को रूट किए जाते हैं।
   एसएसएल पासथ्रू सक्षम करें - जब यह विकल्प चुना जाता है, तो एनएसएक्स एज एसएसएल को समाप्त करना बंद कर देता है। इसके बजाय, समाप्ति सीधे उन सर्वरों पर होती है जिन्हें संतुलित किया जा रहा है।
   HTTP हेडर के लिए X-फ़ॉरवर्डेड-इन्सर्ट करें - आपको लोड बैलेंसर के माध्यम से वेब सर्वर से कनेक्ट होने वाले क्लाइंट का स्रोत आईपी पता निर्धारित करने की अनुमति देता है।
   पूल साइड एसएसएल सक्षम करें - आपको यह निर्दिष्ट करने की अनुमति देता है कि चयनित पूल में HTTPS सर्वर शामिल हैं।
   
4. चूंकि मैं HTTPS ट्रैफ़िक को संतुलित करूंगा, इसलिए मुझे पूल साइड एसएसएल को सक्षम करना होगा और वर्चुअल सर्वर सर्टिफिकेट -> सर्विस सर्टिफिकेट टैब में पहले से जेनरेट किए गए सर्टिफिकेट का चयन करना होगा।
   
5. इसी प्रकार पूल प्रमाणपत्र के लिए -> सेवा प्रमाणपत्र।
   

हम सर्वरों का एक पूल बनाते हैं, जिस पर ट्रैफ़िक संतुलित पूल होगा

1. पूल टैब पर जाएँ. + पर क्लिक करें.
   
2. हम पूल का नाम सेट करते हैं, एल्गोरिदम का चयन करते हैं (मैं राउंड रॉबिन का उपयोग करूंगा) और स्वास्थ्य जांच बैकएंड के लिए निगरानी के प्रकार का चयन करता हूं। पारदर्शी विकल्प इंगित करता है कि ग्राहकों के प्रारंभिक स्रोत आईपी आंतरिक सर्वर पर दिखाई दे रहे हैं या नहीं।
   • यदि विकल्प अक्षम है, तो आंतरिक सर्वर के लिए ट्रैफ़िक बैलेंसर के स्रोत आईपी से आता है।
   • यदि विकल्प सक्षम है, तो आंतरिक सर्वर क्लाइंट का स्रोत आईपी देखते हैं। इस कॉन्फ़िगरेशन में, NSX Edge को यह सुनिश्चित करने के लिए डिफ़ॉल्ट गेटवे के रूप में कार्य करना चाहिए कि लौटाए गए पैकेट NSX Edge से होकर गुजरें।

   NSX निम्नलिखित संतुलन एल्गोरिदम का समर्थन करता है:

   • आईपी_हैश - प्रत्येक पैकेट के स्रोत और गंतव्य आईपी के लिए हैश फ़ंक्शन के परिणामों के आधार पर सर्वर चयन।
   • LESTCONN - किसी विशेष सर्वर पर पहले से उपलब्ध संख्या के आधार पर आने वाले कनेक्शनों का संतुलन। नए कनेक्शन सबसे कम कनेक्शन वाले सर्वर पर निर्देशित किए जाएंगे।
   • राउंड रोबिन - नए कनेक्शन प्रत्येक सर्वर को दिए गए वजन के अनुसार बारी-बारी से भेजे जाते हैं।
   • यूआरआइ - यूआरआई का बायां हिस्सा (प्रश्न चिह्न से पहले) हैश किया गया है और पूल में सर्वर के कुल वजन से विभाजित किया गया है। परिणाम इंगित करता है कि कौन सा सर्वर अनुरोध प्राप्त करता है, यह सुनिश्चित करता है कि अनुरोध हमेशा एक ही सर्वर पर रूट किया जाता है, जब तक कि सभी सर्वर उपलब्ध रहते हैं।
   • HTTPheader - एक विशिष्ट HTTP हेडर के आधार पर संतुलन, जिसे एक पैरामीटर के रूप में निर्दिष्ट किया जा सकता है। यदि हेडर गायब है या उसका कोई मूल्य नहीं है, तो ROUND_ROBIN एल्गोरिदम लागू किया जाता है।
   • यूआरएल - प्रत्येक HTTP GET अनुरोध एक तर्क के रूप में निर्दिष्ट URL पैरामीटर की खोज करता है। यदि पैरामीटर के बाद एक समान चिह्न और एक मान आता है, तो मान को हैश किया जाता है और चल रहे सर्वर के कुल भार से विभाजित किया जाता है। परिणाम इंगित करता है कि कौन सा सर्वर अनुरोध प्राप्त करता है। इस प्रक्रिया का उपयोग अनुरोधों में उपयोगकर्ता आईडी का ट्रैक रखने और यह सुनिश्चित करने के लिए किया जाता है कि एक ही उपयोगकर्ता आईडी हमेशा एक ही सर्वर पर भेजी जाती है, जब तक कि सभी सर्वर उपलब्ध रहते हैं।

   

3. सदस्य ब्लॉक में, पूल में सर्वर जोड़ने के लिए + पर क्लिक करें।
   
   
   यहां आपको यह बताना होगा:
   • सर्वर का नाम;
   • सर्वर आईपी पता;
   • वह पोर्ट जिस पर सर्वर को ट्रैफ़िक प्राप्त होगा;
   • स्वास्थ्य जांच के लिए बंदरगाह (मॉनिटर हेल्थचेक);
   • वजन - इस पैरामीटर का उपयोग करके आप किसी विशिष्ट पूल सदस्य के लिए प्राप्त ट्रैफ़िक की आनुपातिक मात्रा को समायोजित कर सकते हैं;
   • अधिकतम कनेक्शन - सर्वर से कनेक्शन की अधिकतम संख्या;
   • न्यूनतम कनेक्शन - कनेक्शन की न्यूनतम संख्या जिसे सर्वर को अगले पूल सदस्य को ट्रैफ़िक अग्रेषित करने से पहले संसाधित करना होगा।

   
   
   तीन सर्वरों का अंतिम पूल इस तरह दिखता है।
   

वर्चुअल सर्वर जोड़ना

1. वर्चुअल सर्वर टैब पर जाएं. + पर क्लिक करें.
   
2. हम वर्चुअल सर्वर सक्षम करें का उपयोग करके वर्चुअल सर्वर को सक्रिय करते हैं।
   हम इसे एक नाम देते हैं, पहले से बनाए गए एप्लिकेशन प्रोफ़ाइल, पूल का चयन करते हैं और उस आईपी पते को इंगित करते हैं जिस पर वर्चुअल सर्वर बाहर से अनुरोध प्राप्त करेगा। हम HTTPS प्रोटोकॉल और पोर्ट 443 निर्दिष्ट करते हैं।
   यहां वैकल्पिक पैरामीटर:
   कनेक्शन सीमा - एक साथ कनेक्शन की अधिकतम संख्या जिसे वर्चुअल सर्वर संसाधित कर सकता है;
   कनेक्शन दर सीमा (सीपीएस) - प्रति सेकंड नए आने वाले अनुरोधों की अधिकतम संख्या।
   

यह बैलेंसर का कॉन्फ़िगरेशन पूरा करता है; आप इसकी कार्यक्षमता की जांच कर सकते हैं। सर्वर में एक सरल कॉन्फ़िगरेशन है जो आपको यह समझने की अनुमति देता है कि पूल से किस सर्वर ने अनुरोध संसाधित किया है। सेटअप के दौरान, हमने राउंड रॉबिन बैलेंसिंग एल्गोरिदम चुना, और प्रत्येक सर्वर के लिए वजन पैरामीटर एक के बराबर है, इसलिए प्रत्येक बाद के अनुरोध को पूल से अगले सर्वर द्वारा संसाधित किया जाएगा।
हम ब्राउज़र में बैलेंसर का बाहरी पता दर्ज करते हैं और देखते हैं:


पृष्ठ को ताज़ा करने के बाद, अनुरोध निम्नलिखित सर्वर द्वारा संसाधित किया जाएगा:


और फिर - पूल से तीसरे सर्वर की जाँच करने के लिए:


जाँच करते समय, आप देख सकते हैं कि एज ने हमें जो प्रमाणपत्र भेजा है वह वही है जो हमने शुरुआत में तैयार किया था।

एज गेटवे कंसोल से बैलेंसर स्थिति की जाँच करना। ऐसा करने के लिए, दर्ज करें सर्विस लोडबैलेंसर पूल दिखाएं.


पूल में सर्वर की स्थिति की जांच करने के लिए सर्विस मॉनिटर को कॉन्फ़िगर करना
सर्विस मॉनिटर का उपयोग करके हम बैकएंड पूल में सर्वर की स्थिति की निगरानी कर सकते हैं। यदि किसी अनुरोध का जवाब अपेक्षित नहीं है, तो सर्वर को पूल से बाहर निकाला जा सकता है ताकि उसे कोई नया अनुरोध प्राप्त न हो।
डिफ़ॉल्ट रूप से, तीन सत्यापन विधियाँ कॉन्फ़िगर की गई हैं:

• टीसीपी-मॉनीटर,
• HTTP मॉनिटर,
• HTTPS-मॉनिटर।

आइए एक नया बनाएं.

1. सर्विस मॉनिटरिंग टैब पर जाएं, + पर क्लिक करें।
   
2. चुनना:
   • नई विधि का नाम;
   • वह अंतराल जिस पर अनुरोध भेजे जाएंगे,
   • प्रतिक्रिया की प्रतीक्षा में समय समाप्त,
   • निगरानी प्रकार - GET विधि का उपयोग करके HTTPS अनुरोध, अपेक्षित स्थिति कोड - 200 (ओके) और अनुरोध URL।
3. यह नए सर्विस मॉनिटर का सेटअप पूरा करता है; अब हम पूल बनाते समय इसका उपयोग कर सकते हैं।
   

आवेदन नियम स्थापित करना

एप्लिकेशन नियम कुछ ट्रिगर्स के आधार पर ट्रैफ़िक में हेरफेर करने का एक तरीका है। इस टूल से हम उन्नत लोड संतुलन नियम बना सकते हैं जो एज गेटवे पर उपलब्ध एप्लिकेशन प्रोफाइल या अन्य सेवाओं के माध्यम से संभव नहीं हो सकता है।

1. नियम बनाने के लिए, बैलेंसर के एप्लिकेशन रूल्स टैब पर जाएं।
   
2. एक नाम, एक स्क्रिप्ट चुनें जो नियम का उपयोग करेगा, और रखें पर क्लिक करें।
   
3. नियम बनने के बाद, हमें पहले से कॉन्फ़िगर वर्चुअल सर्वर को संपादित करना होगा।
   
4. उन्नत टैब में, हमारे द्वारा बनाया गया नियम जोड़ें।
   

उपरोक्त उदाहरण में हमने tlsv1 समर्थन सक्षम किया है।

कुछ और उदाहरण:

ट्रैफ़िक को दूसरे पूल पर पुनर्निर्देशित करें।
यदि मुख्य पूल नीचे है तो इस स्क्रिप्ट के साथ हम ट्रैफ़िक को दूसरे बैलेंसिंग पूल पर पुनर्निर्देशित कर सकते हैं। नियम को काम करने के लिए, कई पूलों को बैलेंसर पर कॉन्फ़िगर किया जाना चाहिए और मुख्य पूल के सभी सदस्यों को डाउन स्थिति में होना चाहिए। आपको पूल का नाम निर्दिष्ट करना होगा, न कि उसकी आईडी।

acl pool_down nbsrv(PRIMARY_POOL_NAME) eq 0
use_backend SECONDARY_POOL_NAME if PRIMARY_POOL_NAME


ट्रैफ़िक को किसी बाहरी संसाधन पर पुनर्निर्देशित करें।
यदि मुख्य पूल के सभी सदस्य नीचे हैं तो यहां हम ट्रैफ़िक को बाहरी वेबसाइट पर पुनर्निर्देशित करते हैं।

acl pool_down nbsrv(NAME_OF_POOL) eq 0
redirect location http://www.example.com if pool_down

और भी उदाहरण यहां.

मेरे लिए बैलेंसर के बारे में बस इतना ही। यदि आपके कोई प्रश्न हों तो पूछें, मैं उत्तर देने के लिए तैयार हूं।

स्रोत: www.habr.com