Өнгөрсөн удаад бид NSX Edge-ийн статик болон динамик чиглүүлэлтийн чадамжийн талаар ярилцсан бөгөөд өнөөдөр ачааллын тэнцвэржүүлэгчтэй ажиллах болно.
Бид тохируулж эхлэхээсээ өмнө тэнцвэржүүлэх үндсэн төрлүүдийн талаар товчхон сануулахыг хүсч байна.
Онол
Өнөөгийн бүх ачааллыг тэнцвэржүүлэх шийдлүүдийг ихэвчлэн хоёр ангилалд хуваадаг: загварын дөрөв дэх (тээврийн) болон долоо дахь (хэрэглээний) түвшинд тэнцвэржүүлэх. . OSI загвар нь тэнцвэржүүлэх аргуудыг тайлбарлахдаа хамгийн сайн лавлах цэг биш юм. Жишээлбэл, хэрэв L4 тэнцвэржүүлэгч нь TLS дуусгавар болгохыг дэмждэг бол энэ нь L7 тэнцвэржүүлэгч болох уу? Гэхдээ энэ нь байгаа зүйл юм.
- Тэнцвэржүүлэгч L4 Ихэнхдээ энэ нь үйлчлүүлэгч болон боломжтой backends-ийн хооронд байрлах дунд прокси бөгөөд TCP холболтыг зогсоож (өөрөөр хэлбэл SYN-д бие даан хариу үйлдэл үзүүлдэг), арын хэсгийг сонгож, SYN-г бие даан илгээж, өөрийн чиглэлд шинэ TCP сесс эхлүүлдэг. Энэ төрөл нь үндсэн төрлүүдийн нэг бөгөөд бусад сонголтууд боломжтой.
- Тэнцвэржүүлэгч L7 L4 тэнцвэржүүлэгчээс "илүү боловсронгуй" байгаа арын хэсэгт урсгалыг хуваарилдаг. Энэ нь жишээлбэл, HTTP мессежийн агуулга (URL, күүки гэх мэт) дээр үндэслэн аль арын хэсгийг сонгохоо шийдэж болно.
Тэнцвэржүүлэгч нь төрлөөс үл хамааран дараахь функцийг дэмжиж чадна.
- Үйлчилгээний нээлт нь боломжтой backends багцыг (Статик, DNS, Консул, гэх мэт) тодорхойлох үйл явц юм.
- Илэрсэн арын хэсгийн ажиллагааг шалгах (HTTP хүсэлтийг ашиглан арын хэсгийн идэвхтэй "ping", TCP холболт дахь асуудлыг идэвхгүй илрүүлэх, хариултуудад хэд хэдэн 503 HTTP код байгаа эсэх гэх мэт).
- Тэнцвэржүүлэх нь өөрөө (дугуй эргэлт, санамсаргүй сонголт, эх сурвалжийн IP хэш, URI).
- TLS дуусгавар болох ба гэрчилгээний баталгаажуулалт.
- Аюулгүй байдалтай холбоотой сонголтууд (баталгаажуулалт, DoS халдлагаас урьдчилан сэргийлэх, хурдыг хязгаарлах) болон бусад зүйлс.
NSX Edge нь ачааллын тэнцвэржүүлэгчийг байрлуулах хоёр горимд дэмжлэг үзүүлдэг:
Прокси горим, эсвэл нэг гар. Энэ горимд NSX Edge нь ар талын аль нэгэнд хүсэлт илгээхдээ өөрийн IP хаягийг эх хаяг болгон ашигладаг. Тиймээс тэнцвэржүүлэгч нь эх сурвалж болон очих NAT функцийг нэгэн зэрэг гүйцэтгэдэг. Ар тал нь тэнцвэржүүлэгчээс илгээсэн бүх урсгалыг харж, түүнд шууд хариу үйлдэл үзүүлдэг. Ийм схемд тэнцвэржүүлэгч нь дотоод серверүүдтэй нэг сүлжээний сегментэд байх ёстой.
Энэ нь дараах байдалтай байна.
1. Хэрэглэгч Edge дээр тохируулагдсан VIP хаяг (тэнцвэржүүлэгч хаяг) руу хүсэлт илгээдэг.
2. Edge нь backends-ийн аль нэгийг сонгож, VIP хаягийг сонгосон backend-ийн хаягаар солих NAT-г гүйцэтгэнэ.
3. Edge нь хүсэлт илгээсэн хэрэглэгчийн хаягийг өөрийн хаягаар сольж NAT эх үүсвэрийг гүйцэтгэдэг.
4. Багцыг сонгосон backend руу илгээнэ.
5. Хэрэглэгчийн анхны хаягийг тэнцвэржүүлэгчийн хаяг болгон өөрчилсөн тул backend нь хэрэглэгч рүү шууд хариу өгөхгүй, харин Edge рүү хариу үйлдэл үзүүлдэг.
6. Edge нь серверийн хариуг хэрэглэгч рүү дамжуулдаг.
Диаграмыг доор харуулав.
Ил тод, эсвэл шугаман горим. Энэ тохиолдолд тэнцвэржүүлэгч нь дотоод болон гадаад сүлжээнд интерфейстэй байдаг. Үүний зэрэгцээ гадаад сүлжээнээс дотоод сүлжээнд шууд нэвтрэх боломжгүй. Суурилуулсан ачаалал тэнцвэржүүлэгч нь дотоод сүлжээн дэх виртуал машинуудын NAT гарц болж ажилладаг.
Механизм нь дараах байдалтай байна.
1. Хэрэглэгч Edge дээр тохируулагдсан VIP хаяг (тэнцвэржүүлэгч хаяг) руу хүсэлт илгээдэг.
2. Edge нь backends-ийн аль нэгийг сонгож, VIP хаягийг сонгосон backend-ийн хаягаар солих NAT-г гүйцэтгэнэ.
3. Багцыг сонгосон backend руу илгээнэ.
4. Backend нь хэрэглэгчийн анхны хаягтай хүсэлтийг хүлээн авч (NAT эх үүсвэрийг гүйцэтгээгүй) түүнд шууд хариу өгдөг.
5. Дотор схемд энэ нь ихэвчлэн серверийн фермийн анхдагч гарц болж ажилладаг тул ачааллыг тэнцвэржүүлэгч дахин хүлээн авдаг.
6. Edge нь өөрийн VIP хаягийг эх IP хаяг болгон ашиглан хэрэглэгч рүү траффик илгээхийн тулд NAT эх үүсвэрийг гүйцэтгэдэг.
Диаграмыг доор харуулав.
Практик
Миний туршилтын сандал HTTPS дээр ажиллахаар тохируулагдсан Apache-г ажиллуулдаг 3 сервертэй. Edge нь HTTPS хүсэлтийг тэнцвэржүүлж, шинэ хүсэлт бүрийг шинэ сервер рүү прокси хийх болно.
Эхлээд эхэлье.
NSX Edge-д ашиглах SSL сертификат үүсгэж байна
Та хүчинтэй CA гэрчилгээг импортлох эсвэл өөрөө гарын үсэг зурсан гэрчилгээг ашиглаж болно. Энэ тестийн хувьд би өөрөө гарын үсэг зурахыг ашиглах болно.
- vCloud Director интерфейсээс Edge үйлчилгээний тохиргоо руу очно уу.
- Сертификат таб руу очно уу. Үйлдлүүдийн жагсаалтаас шинэ CSR нэмэхийг сонгоно уу.
- Шаардлагатай талбаруудыг бөглөж, Keep дээр дарна уу.
- Шинээр үүсгэсэн CSR-г сонгоод өөрөө гарын үсэг зурах CSR сонголтыг сонгоно уу.
- Сертификат хүчинтэй байх хугацааг сонгоод "Хадгалах" дээр дарна уу
- Өөрөө гарын үсэг зурсан гэрчилгээ нь боломжтой хүмүүсийн жагсаалтад гарч ирнэ.
Програмын профайлыг тохируулж байна
Хэрэглээний профайл нь танд сүлжээний траффикийг бүрэн хянах боломжийг олгож, түүнийг удирдах ажлыг энгийн бөгөөд үр дүнтэй болгоно. Тэдгээрийг замын хөдөлгөөний тодорхой төрлүүдийн зан төлөвийг тодорхойлоход ашиглаж болно.
- Ачаалал тэнцвэржүүлэгч таб руу очиж тэнцвэржүүлэгчийг идэвхжүүлнэ үү. Энд байгаа Acceleration-г идэвхжүүлсэн сонголт нь тэнцвэржүүлэгчид L4-ийн оронд илүү хурдан L7 балансыг ашиглах боломжийг олгоно.
- Програмын профайлыг тохируулахын тулд Програмын профайл таб руу очно уу. + дээр дарна уу.
- Профайлын нэрийг тохируулж, профайлыг ашиглах хөдөлгөөний төрлийг сонгоно уу. Зарим параметрүүдийг тайлбарлая.
Тэвчээртэй – сессийн өгөгдлийг хадгалж, хянадаг, жишээлбэл: усан сангийн аль сервер хэрэглэгчийн хүсэлтэд үйлчилж байна. Энэ нь хэрэглэгчийн хүсэлтийг тухайн сешн эсвэл дараагийн сессүүдийн туршид нэг усан сангийн гишүүн рүү чиглүүлэхийг баталгаажуулдаг.
SSL дамжуулалтыг идэвхжүүлнэ үү – Энэ сонголтыг сонгосон үед NSX Edge нь SSL-г зогсоохыг зогсооно. Үүний оронд цуцлалт нь тэнцвэржүүлж буй серверүүд дээр шууд тохиолддог.
X-Forwarded-For HTTP толгой хэсгийг оруулна уу – ачааллын тэнцвэржүүлэгчээр дамжуулан вэб серверт холбогдож буй үйлчлүүлэгчийн эх IP хаягийг тодорхойлох боломжийг танд олгоно.
Pool Side SSL-г идэвхжүүлнэ үү – сонгосон сан нь HTTPS серверүүдээс бүрдэхийг зааж өгөх боломжийг танд олгоно.
- Би HTTPS урсгалыг тэнцвэржүүлэх тул Pool Side SSL-г идэвхжүүлж, Виртуал Серверийн Сертификатууд -> Үйлчилгээний гэрчилгээ таб дээрээс өмнө нь үүсгэсэн сертификатыг сонгох хэрэгтэй.
- Үүнтэй адилаар Усан сангийн гэрчилгээ -> Үйлчилгээний гэрчилгээ.
Бид серверүүдийн нөөцийг бий болгодог бөгөөд тэдгээрийн урсгал нь тэнцвэртэй Pools байх болно
- Pools таб руу очно уу. + дээр дарна уу.
- Бид усан сангийн нэрийг тохируулж, алгоритмыг (би дугуй ашиглах болно) болон эрүүл мэндийг шалгах арын хэсгийн хяналтын төрлийг сонгоно.Ил тод сонголт нь үйлчлүүлэгчдийн анхны эх сурвалжийн IP-г дотоод серверүүдэд харагдах эсэхийг заана.
- Хэрэв сонголтыг идэвхгүй болгосон бол дотоод серверүүдийн траффик тэнцвэржүүлэгчийн эх IP-ээс ирдэг.
- Хэрэв сонголтыг идэвхжүүлсэн бол дотоод серверүүд үйлчлүүлэгчдийн эх IP хаягийг хардаг. Энэ тохиргоонд NSX Edge нь буцаж ирсэн пакетууд NSX Edge-ээр дамждаг эсэхийг баталгаажуулахын тулд анхдагч гарц болж ажиллах ёстой.
NSX нь дараах тэнцвэржүүлэх алгоритмуудыг дэмждэг:
- IP_HASH – пакет бүрийн эх сурвалж болон очих IP-ийн хэш функцийн үр дүнд үндэслэн серверийн сонголт.
- LEASTCONN – тодорхой сервер дээр байгаа тооноос хамаарч ирж буй холболтыг тэнцвэржүүлэх. Шинэ холболтууд нь хамгийн цөөн холболттой сервер рүү чиглэгдэх болно.
- ТОЙРОН ЭРГЭХ – шинэ холболтуудыг сервер бүрт хуваарилагдсан жингийн дагуу ээлжлэн илгээдэг.
- URI – URI-ийн зүүн хэсгийг (асуултын тэмдгийн өмнө) хэш хийж, усан сан дахь серверүүдийн нийт жинд хуваана. Үр дүн нь хүсэлтийг аль сервер хүлээн авахыг зааж өгч, бүх серверүүд боломжтой хэвээр байх үед хүсэлтийг үргэлж нэг сервер рүү чиглүүлдэг.
- HTTPHEADER – параметр болгон зааж өгч болох тусгай HTTP толгой дээр тулгуурлан тэнцвэржүүлэх. Хэрэв толгой хэсэг байхгүй эсвэл утгагүй байвал ROUND_ROBIN алгоритмыг ашиглана.
- URL – HTTP GET хүсэлт бүр аргумент хэлбэрээр заасан URL параметрийг хайдаг. Хэрэв параметрийн дараа тэнцүү тэмдэг болон утга байвал утгыг хэш хийж, ажиллаж байгаа серверүүдийн нийт жинд хуваана. Үр дүн нь ямар сервер хүсэлтийг хүлээн авахыг заана. Энэ процесс нь хүсэлтэд байгаа хэрэглэгчийн ID-г бүртгэж, бүх серверүүд боломжтой хэвээр байх үед ижил хэрэглэгчийн ID-г нэг сервер рүү илгээж байхыг баталгаажуулахад ашиглагддаг.
- Гишүүдийн блок дахь + товчийг дарж усан санд сервер нэмнэ.
Энд та зааж өгөх хэрэгтэй:- серверийн нэр;
- Серверийн IP хаяг;
- сервер траффик хүлээн авах порт;
- эрүүл мэндийн үзлэг хийх порт (эрүүл мэндийн үзлэгийг хянах);
- жин - энэ параметрийг ашиглан та усан сангийн тодорхой гишүүнд хүлээн авсан урсгалын пропорциональ хэмжээг тохируулах боломжтой;
- Хамгийн их холболтууд - серверт холбогдох хамгийн их тоо;
- Хамгийн бага холболтууд – урсгалыг дараагийн усан сангийн гишүүн рүү дамжуулахаас өмнө сервер боловсруулах ёстой холболтын хамгийн бага тоо.
Гурван серверийн эцсийн сан ийм харагдаж байна.
Виртуал сервер нэмж байна
- Виртуал серверүүд таб руу очно уу. + дээр дарна уу.
- Бид виртуал серверийг идэвхжүүлэхийг ашиглан виртуал серверийг идэвхжүүлдэг.
Бид түүнд нэр өгч, өмнө нь үүсгэсэн Програмын профайл, Pool-ыг сонгоод Виртуал сервер гаднаас хүсэлт хүлээн авах IP хаягийг зааж өгнө. Бид HTTPS протокол болон 443 портыг зааж өгдөг.
Нэмэлт параметрүүд энд байна:
Холболтын хязгаар – виртуал серверийн боловсруулж чадах нэгэн зэрэг холболтын хамгийн их тоо;
Холболтын хурдны хязгаар (CPS) – секундэд ирж буй шинэ хүсэлтийн дээд тоо.
Энэ нь тэнцвэржүүлэгчийн тохиргоог дуусгах бөгөөд та түүний ажиллагааг шалгаж болно. Серверүүд нь цөөрмийн аль сервер хүсэлтийг боловсруулсныг ойлгох боломжийг олгодог энгийн тохиргоотой. Тохируулах явцад бид Round Robin тэнцвэржүүлэх алгоритмыг сонгосон бөгөөд сервер бүрийн Жин параметр нь нэгтэй тэнцүү тул дараагийн хүсэлт бүрийг усан сангийн дараагийн сервер боловсруулах болно.
Бид хөтөч дээр тэнцвэржүүлэгчийн гадаад хаягийг оруулаад:
Хуудсыг шинэчилсний дараа хүсэлтийг дараах сервер боловсруулна.
Мөн дахин - гурав дахь серверийг усан сангаас шалгахын тулд:
Шалгахдаа Edge-ийн бидэнд илгээсэн гэрчилгээ нь бидний эхэнд үүсгэсэн гэрчилгээтэй ижил болохыг харж болно.
Edge гарцын консолоос тэнцвэржүүлэгчийн төлөвийг шалгаж байна. Үүнийг хийхийн тулд оруулна уу үйлчилгээний ачааллыг тэнцвэржүүлэгчийн санг харуулах.
Усан сан дахь серверүүдийн статусыг шалгахын тулд Service Monitor-ийг тохируулж байна
Үйлчилгээний хяналтыг ашигласнаар бид арын сан дахь серверүүдийн төлөвийг хянах боломжтой. Хэрэв хүсэлтийн хариу хүлээгдэж буй шиг биш бол серверийг ямар ч шинэ хүсэлт хүлээн авахгүйн тулд усан сангаас гаргаж болно.
Анхдагч байдлаар гурван баталгаажуулах аргыг тохируулсан болно:
- TCP-монитор,
- HTTP монитор,
- HTTPS-монитор.
Шинээр бүтээцгээе.
- Үйлчилгээний мониторинг таб руу очоод + дээр дарна уу.
- Сонгох:
- шинэ аргын нэр;
- хүсэлт илгээх интервал,
- хариу хүлээх хугацаа хэтэрсэн,
- хяналтын төрөл – GET аргыг ашиглан HTTPS хүсэлт, хүлээгдэж буй төлөвийн код – 200(OK) болон хүсэлтийн URL.
- Энэ нь шинэ Үйлчилгээний мониторын тохиргоог дуусгаж байна; одоо бид үүнийг сан үүсгэх үед ашиглах боломжтой.
Хэрэглээний дүрмийг тохируулах
Хэрэглээний дүрмүүд нь тодорхой өдөөгч хүчин зүйл дээр үндэслэн замын хөдөлгөөнийг удирдах арга юм. Энэ хэрэгслээр бид Edge Gateway дээр байгаа Аппликэйшн профайл эсвэл бусад үйлчилгээгээр дамжуулан боломжгүй байж болох ачааллыг тэнцвэржүүлэх дэвшилтэт дүрмийг бий болгож чадна.
- Дүрэм үүсгэхийн тулд тэнцвэржүүлэгчийн Хэрэглээний дүрмүүд таб руу очно уу.
- Дүрмийг ашиглах нэр, скриптийг сонгоод Keep дээр дарна уу.
- Дүрмийг үүсгэсний дараа бид аль хэдийн тохируулсан Виртуал Серверийг засах хэрэгтэй.
- Нарийвчилсан таб дээр бидний үүсгэсэн дүрмийг нэмнэ үү.
Дээрх жишээнд бид tlsv1 дэмжлэгийг идэвхжүүлсэн.
Өөр хэдэн жишээ:
Замын хөдөлгөөнийг өөр усан сан руу чиглүүлэх.
Энэ скриптийн тусламжтайгаар бид гол цөөрөм унтарсан тохиолдолд траффикийг өөр тэнцвэржүүлэх сан руу чиглүүлж болно. Дүрмийг ажиллуулахын тулд тэнцвэржүүлэгч дээр олон тооны сан тохируулагдсан байх ёстой бөгөөд үндсэн бассейны бүх гишүүд доош төлөвт байх ёстой. Та ID-г биш харин усан сангийн нэрийг зааж өгөх хэрэгтэй.
acl pool_down nbsrv(PRIMARY_POOL_NAME) eq 0
use_backend SECONDARY_POOL_NAME if PRIMARY_POOL_NAME
Гадаад нөөц рүү урсгалыг дахин чиглүүлэх.
Энд бид үндсэн цөөрмийн бүх гишүүд ажиллахаа больсон тохиолдолд гадаад вэбсайт руу урсгалыг дахин чиглүүлдэг.
acl pool_down nbsrv(NAME_OF_POOL) eq 0
redirect location http://www.example.com if pool_down
Илүү олон жишээ .
Энэ бол миний хувьд тэнцвэржүүлэгчийн тухай юм. Хэрэв танд асуулт байвал асуугаарай, би хариулахад бэлэн байна.
Эх сурвалж: www.habr.com