어린이를 위한 VMware NSX. 5부: 로드 밸런서 구성

1 부. 입문
두 번째 부분. 방화벽 및 NAT 규칙 구성
XNUMX부. DHCP 구성
XNUMX부. 라우팅 설정

지난번에는 정적 및 동적 라우팅 측면에서 NSX Edge의 기능에 대해 이야기했으며 오늘은 로드 밸런서를 다루겠습니다.
설정을 시작하기 전에 주요 밸런싱 유형에 대해 간략하게 상기시켜 드리겠습니다.

Теория

오늘날의 모든 페이로드 밸런싱 솔루션은 대부분 모델의 네 번째(전송) 및 일곱 번째(애플리케이션) 수준에서의 밸런싱이라는 두 가지 범주로 나뉩니다. OSI. OSI 모델은 균형 조정 방법을 설명할 때 가장 좋은 참조점이 아닙니다. 예를 들어 L4 밸런서가 TLS 종료도 지원하는 경우 L7 밸런서가 되나요? 그러나 그것이 바로 그것입니다.

• 밸런서 L4 대부분 클라이언트와 사용 가능한 백엔드 집합 사이에 있는 중간 프록시입니다. 이 프록시는 TCP 연결을 종료하고(즉, SYN에 독립적으로 응답) 백엔드를 선택하고 해당 방향으로 새 TCP 세션을 시작하여 독립적으로 SYN을 보냅니다. 이 유형은 기본 유형 중 하나이며 다른 옵션도 가능합니다.
• 밸런서 L7 L4 밸런서보다 "더 정교하게" 사용 가능한 백엔드에 트래픽을 분산합니다. 예를 들어 HTTP 메시지의 내용(URL, 쿠키 등)을 기반으로 선택할 백엔드를 결정할 수 있습니다.

유형에 관계없이 밸런서는 다음 기능을 지원할 수 있습니다.

• 서비스 검색은 사용 가능한 백엔드 세트(Static, DNS, Consul, Etcd 등)를 결정하는 프로세스입니다.
• 감지된 백엔드의 기능을 확인합니다(HTTP 요청을 사용한 백엔드의 활성 "핑", TCP 연결 문제의 수동 감지, 응답에 여러 503 HTTP 코드 존재 등).
• 균형 자체(라운드 로빈, 무작위 선택, 소스 IP 해시, URI).
• TLS 종료 및 인증서 확인.
• 보안 관련 옵션(인증, DoS 공격 방지, 속도 제한) 등이 있습니다.

NSX Edge는 두 가지 로드 밸런서 배포 모드를 지원합니다.

프록시 모드 또는 단일 암. 이 모드에서 NSX Edge는 백엔드 중 하나로 요청을 보낼 때 해당 IP 주소를 소스 주소로 사용합니다. 따라서 밸런서는 소스 및 대상 NAT 기능을 동시에 수행합니다. 백엔드는 밸런서에서 전송된 모든 트래픽을 확인하고 이에 직접 응답합니다. 이러한 구성에서는 밸런서가 내부 서버와 동일한 네트워크 세그먼트에 있어야 합니다.

방법은 다음과 같습니다.
1. 사용자는 Edge에 구성된 VIP 주소(밸런서 주소)로 요청을 보냅니다.
2. Edge는 백엔드 중 하나를 선택하고 대상 NAT를 수행하여 VIP 주소를 선택한 백엔드의 주소로 바꿉니다.
3. Edge는 소스 NAT를 수행하여 요청을 보낸 사용자의 주소를 자체 주소로 바꿉니다.
4. 패키지가 선택한 백엔드로 전송됩니다.
5. 백엔드는 사용자에게 직접 응답하지 않고 Edge에 응답합니다. 사용자의 원래 주소가 밸런서의 주소로 변경되었기 때문입니다.
6. Edge는 서버의 응답을 사용자에게 전송합니다.
다이어그램은 아래와 같습니다.


투명 또는 인라인 모드. 이 시나리오에서 밸런서는 내부 및 외부 네트워크에 대한 인터페이스를 갖습니다. 동시에 외부 네트워크에서 내부 네트워크에 직접 액세스할 수는 없습니다. 기본 제공 부하 분산 장치는 내부 네트워크의 가상 머신에 대한 NAT 게이트웨이 역할을 합니다.

메커니즘은 다음과 같습니다.
1. 사용자는 Edge에 구성된 VIP 주소(밸런서 주소)로 요청을 보냅니다.
2. Edge는 백엔드 중 하나를 선택하고 대상 NAT를 수행하여 VIP 주소를 선택한 백엔드의 주소로 바꿉니다.
3. 패키지가 선택한 백엔드로 전송됩니다.
4. 백엔드는 사용자의 원래 주소(소스 NAT가 수행되지 않음)로 요청을 수신하고 이에 직접 응답합니다.
5. 인라인 구성에서는 일반적으로 서버 팜의 기본 게이트웨이 역할을 하므로 트래픽이 로드 밸런서에서 다시 허용됩니다.
6. Edge는 VIP를 소스 IP 주소로 사용하여 소스 NAT를 수행하여 사용자에게 트래픽을 보냅니다.
다이어그램은 아래와 같습니다.

연습

내 테스트 벤치에는 HTTPS를 통해 작동하도록 구성된 Apache를 실행하는 3개의 서버가 있습니다. Edge는 HTTPS 요청의 라운드 로빈 밸런싱을 수행하여 각각의 새 요청을 새 서버로 프록시 처리합니다.
시작하자.

NSX Edge에서 사용할 SSL 인증서 생성
유효한 CA 인증서를 가져오거나 자체 서명된 인증서를 사용할 수 있습니다. 이 테스트에서는 자체 서명을 사용하겠습니다.

1. vCloud Director 인터페이스에서 Edge 서비스 설정으로 이동합니다.
   
2. 인증서 탭으로 이동합니다. 작업 목록에서 새 CSR 추가를 선택합니다.
   
3. 필수 항목을 입력하고 유지를 클릭하세요.
   
4. 새로 생성된 CSR을 선택하고 자체 서명 CSR 옵션을 선택합니다.
   
5. 인증서 유효기간을 선택하고 유지를 클릭하세요.
   
6. 자체 서명된 인증서가 사용 가능한 인증서 목록에 나타납니다.
   

애플리케이션 프로필 설정
애플리케이션 프로필을 사용하면 네트워크 트래픽을 더욱 완벽하게 제어할 수 있으며 이를 간단하고 효과적으로 관리할 수 있습니다. 특정 유형의 트래픽에 대한 동작을 정의하는 데 사용할 수 있습니다.

1. Load Balancer 탭으로 이동하여 밸런서를 활성화합니다. 여기에서 가속 활성화 옵션을 사용하면 밸런서가 L4 대신 더 빠른 L7 밸런싱을 사용할 수 있습니다.
   
2. 애플리케이션 프로필 탭으로 이동하여 애플리케이션 프로필을 설정합니다. +를 클릭합니다.
   
3. 프로필 이름을 설정하고 프로필을 적용할 트래픽 유형을 선택합니다. 몇 가지 매개변수를 설명하겠습니다.
   고집 – 세션 데이터(예: 풀의 어떤 특정 서버가 사용자 요청을 서비스하고 있는지)를 저장하고 추적합니다. 이렇게 하면 세션 또는 후속 세션의 수명 동안 사용자 요청이 동일한 풀 멤버로 라우팅됩니다.
   SSL 패스스루 활성화 – 이 옵션을 선택하면 NSX Edge가 SSL 종료를 중지합니다. 대신 균형 조정 중인 서버에서 직접 종료가 발생합니다.
   X-Forwarded-For HTTP 헤더 삽입 – 로드 밸런서를 통해 웹 서버에 연결하는 클라이언트의 소스 IP 주소를 확인할 수 있습니다.
   풀사이드 SSL 활성화 – 선택한 풀이 HTTPS 서버로 구성되도록 지정할 수 있습니다.
   
4. HTTPS 트래픽의 균형을 조정할 것이므로 풀사이드 SSL을 활성화하고 가상 서버 인증서 -> 서비스 인증서 탭에서 이전에 생성된 인증서를 선택해야 합니다.
   
5. 풀 인증서 -> 서비스 인증서의 경우에도 마찬가지입니다.
   

우리는 트래픽이 균형을 이룰 서버 풀을 만듭니다.

1. 풀 탭으로 이동합니다. +를 클릭합니다.
   
2. 풀 이름을 설정하고 알고리즘(라운드 로빈을 사용하겠습니다)과 상태 확인 백엔드에 대한 모니터링 유형을 선택합니다. 투명 옵션은 클라이언트의 초기 소스 IP가 내부 서버에 표시되는지 여부를 나타냅니다.
   • 옵션이 비활성화된 경우 내부 서버에 대한 트래픽은 밸런서의 소스 IP에서 나옵니다.
   • 옵션이 활성화되면 내부 서버는 클라이언트의 소스 IP를 확인합니다. 이 구성에서 NSX Edge는 반환된 패킷이 NSX Edge를 통과하도록 보장하기 위해 기본 게이트웨이 역할을 해야 합니다.

   NSX는 다음과 같은 균형 조정 알고리즘을 지원합니다.

   • IP_HASH – 각 패킷의 소스 및 대상 IP에 대한 해시 함수 결과를 기반으로 하는 서버 선택.
   • 최소콘 – 특정 서버에서 이미 사용 가능한 수에 따라 들어오는 연결의 균형을 조정합니다. 새 연결은 연결 수가 가장 적은 서버로 전달됩니다.
   • 라운드 로빈 – 할당된 가중치에 따라 새 연결이 각 서버에 차례로 전송됩니다.
   • URI – URI의 왼쪽 부분(물음표 앞)은 해시되어 풀에 있는 서버의 총 가중치로 나뉩니다. 결과는 어떤 서버가 요청을 수신하는지 나타내므로 모든 서버가 사용 가능한 한 요청이 항상 동일한 서버로 라우팅됩니다.
   • HTTP헤더 – 매개변수로 지정할 수 있는 특정 HTTP 헤더를 기반으로 밸런싱합니다. 헤더가 없거나 값이 없으면 ROUND_ROBIN 알고리즘이 적용됩니다.
   • URL – 각 HTTP GET 요청은 인수로 지정된 URL 매개변수를 검색합니다. 매개 변수 뒤에 등호와 값이 오면 값이 해시되어 실행 중인 서버의 총 가중치로 나뉩니다. 결과는 어느 서버가 요청을 수신하는지 나타냅니다. 이 프로세스는 요청에서 사용자 ID를 추적하고 모든 서버가 사용 가능한 한 동일한 사용자 ID가 항상 동일한 서버로 전송되도록 하는 데 사용됩니다.

   

3. 구성원 블록에서 +를 클릭하여 풀에 서버를 추가합니다.
   
   
   여기에 다음을 표시해야 합니다.
   • 서버 이름;
   • 서버 IP 주소
   • 서버가 트래픽을 수신할 포트입니다.
   • 상태 확인용 포트(상태 확인 모니터링)
   • 가중치 - 이 매개변수를 사용하면 특정 풀 구성원에 대해 수신되는 트래픽의 비례적인 양을 조정할 수 있습니다.
   • 최대 연결 – 서버에 대한 최대 연결 수입니다.
   • 최소 연결 – 트래픽이 다음 풀 멤버로 전달되기 전에 서버가 처리해야 하는 최소 연결 수입니다.

   
   
   XNUMX개 서버의 최종 풀은 다음과 같습니다.
   

가상 서버 추가

1. 가상 서버 탭으로 이동합니다. +를 클릭합니다.
   
2. Enable Virtual Server를 사용하여 가상 서버를 활성화합니다.
   이름을 지정하고 이전에 생성된 애플리케이션 프로필인 풀을 선택하고 가상 서버가 외부에서 요청을 받을 IP 주소를 나타냅니다. HTTPS 프로토콜과 포트 443을 지정합니다.
   선택적 매개변수는 다음과 같습니다.
   연결 제한 – 가상 서버가 처리할 수 있는 최대 동시 연결 수
   연결 속도 제한(CPS) – 초당 새로 들어오는 요청의 최대 수입니다.
   

이로써 밸런서 구성이 완료되었으며 기능을 확인할 수 있습니다. 서버에는 풀의 어떤 서버가 요청을 처리했는지 이해할 수 있는 간단한 구성이 있습니다. 설정 중에 라운드 로빈 밸런싱 알고리즘을 선택했으며 각 서버의 Weight 매개변수가 XNUMX이므로 각 후속 요청은 풀의 다음 서버에서 처리됩니다.
브라우저에 밸런서의 외부 주소를 입력하고 다음을 확인합니다.


페이지를 새로 고치면 다음 서버에서 요청이 처리됩니다.


그리고 다시 - 풀에서 세 번째 서버를 확인하려면:


확인해보면 Edge가 우리에게 보내는 인증서가 맨 처음에 생성한 것과 동일한 것을 알 수 있습니다.

Edge 게이트웨이 콘솔에서 밸런서 상태를 확인합니다. 이렇게 하려면 다음을 입력하십시오. 서비스 로드 밸런서 풀 표시.


풀에 있는 서버의 상태를 확인하도록 Service Monitor 구성
Service Monitor를 사용하면 백 엔드 풀의 서버 상태를 모니터링할 수 있습니다. 요청에 대한 응답이 예상과 다른 경우 서버는 새 요청을 수신하지 않도록 풀에서 제거될 수 있습니다.
기본적으로 세 가지 확인 방법이 구성됩니다.

• TCP 모니터,
• HTTP 모니터,
• HTTPS 모니터.

새로운 것을 만들어 보겠습니다.

1. 서비스 모니터링 탭으로 이동하여 +를 클릭합니다.
   
2. 선택하다:
   • 새 메서드의 이름입니다.
   • 요청이 전송되는 간격,
   • 응답을 기다리는 동안 시간이 초과되었습니다.
   • 모니터링 유형 – GET 메서드를 사용한 HTTPS 요청, 예상 상태 코드 – 200(OK) 및 요청 URL.
3. 이로써 새 서비스 모니터 설정이 완료되었습니다. 이제 풀을 생성할 때 이를 사용할 수 있습니다.
   

응용 프로그램 규칙 설정

애플리케이션 규칙은 특정 트리거를 기반으로 트래픽을 조작하는 방법입니다. 이 도구를 사용하면 Edge Gateway에서 사용 가능한 애플리케이션 프로필이나 기타 서비스를 통해서는 불가능할 수 있는 고급 로드 밸런싱 규칙을 생성할 수 있습니다.

1. 규칙을 생성하려면 밸런서의 애플리케이션 규칙 탭으로 이동하세요.
   
2. 규칙을 사용할 스크립트와 이름을 선택하고 유지를 클릭합니다.
   
3. 규칙이 생성된 후에는 이미 구성된 가상 서버를 편집해야 합니다.
   
4. 고급 탭에서 우리가 만든 규칙을 추가합니다.
   

위의 예에서는 tlsv1 지원을 활성화했습니다.

몇 가지 추가 예:

트래픽을 다른 풀로 리디렉션합니다.
이 스크립트를 사용하면 기본 풀이 다운된 경우 트래픽을 다른 밸런싱 풀로 리디렉션할 수 있습니다. 규칙이 작동하려면 밸런서에 여러 풀이 구성되어 있어야 하며 기본 풀의 모든 구성원이 작동 중지 상태여야 합니다. ID가 아닌 풀의 이름을 지정해야 합니다.

acl pool_down nbsrv(PRIMARY_POOL_NAME) eq 0
use_backend SECONDARY_POOL_NAME if PRIMARY_POOL_NAME


트래픽을 외부 리소스로 리디렉션합니다.
여기에서는 기본 풀의 모든 구성원이 다운된 경우 트래픽을 외부 웹 사이트로 리디렉션합니다.

acl pool_down nbsrv(NAME_OF_POOL) eq 0
redirect location http://www.example.com if pool_down

더 많은 예 여기에.

이것이 밸런서에 관한 전부입니다. 궁금한 점이 있으면 물어보세요. 답변해 드리겠습니다.

출처 : habr.com