लहानांसाठी VMware NSX. भाग 5: लोड बॅलन्सर कॉन्फिगर करणे

पहिला भाग. प्रास्ताविक
भाग दुसरा. फायरवॉल आणि NAT नियम कॉन्फिगर करणे
भाग तिसरा. DHCP कॉन्फिगर करत आहे
भाग चार. राउटिंग सेटअप

गेल्या वेळी आम्ही स्टॅटिक आणि डायनॅमिक राउटिंगच्या बाबतीत NSX एजच्या क्षमतांबद्दल बोललो होतो आणि आज आम्ही लोड बॅलन्सरचा सामना करू.
आम्ही सेट करणे सुरू करण्यापूर्वी, मी तुम्हाला मुख्य प्रकारच्या बॅलन्सिंगबद्दल थोडक्यात आठवण करून देऊ इच्छितो.

सिद्धांत

आजचे सर्व पेलोड बॅलन्सिंग सोल्यूशन्स बहुतेकदा दोन श्रेणींमध्ये विभागले जातात: मॉडेलच्या चौथ्या (वाहतूक) आणि सातव्या (अॅप्लिकेशन) स्तरांवर संतुलन ओएसआय. संतुलन पद्धतींचे वर्णन करताना OSI मॉडेल सर्वोत्तम संदर्भ बिंदू नाही. उदाहरणार्थ, जर L4 बॅलन्सर देखील TLS टर्मिनेशनला समर्थन देत असेल, तर तो L7 बॅलन्सर होईल का? पण ते जे आहे ते आहे.

• बॅलन्सर L4 बहुतेकदा तो क्लायंट आणि उपलब्ध बॅकएंड्सच्या संचामध्ये एक मध्यम प्रॉक्सी असतो, जो TCP कनेक्शन बंद करतो (म्हणजे स्वतंत्रपणे SYN ला प्रतिसाद देतो), बॅकएंड निवडतो आणि स्वतंत्रपणे SYN पाठवून त्याच्या दिशेने नवीन TCP सत्र सुरू करतो. हा प्रकार मूलभूत प्रकारांपैकी एक आहे; इतर पर्याय शक्य आहेत.
• बॅलन्सर L7 L4 बॅलन्सरपेक्षा "अधिक अत्याधुनिक" उपलब्ध बॅकएंडवर रहदारी वितरीत करते. हे ठरवू शकते की कोणता बॅकएंड निवडायचा यावर आधारित, उदाहरणार्थ, HTTP संदेशाची सामग्री (URL, कुकी इ.).

प्रकार कोणताही असो, बॅलन्सर खालील कार्यांना समर्थन देऊ शकतो:

• सेवा शोध ही उपलब्ध बॅकएंडचा संच (स्टॅटिक, डीएनएस, कॉन्सुल, इ. इ.) निर्धारित करण्याची प्रक्रिया आहे.
• आढळलेल्या बॅकएंडची कार्यक्षमता तपासत आहे (एचटीटीपी विनंती वापरून बॅकएंडचा सक्रिय “पिंग”, TCP कनेक्शनमधील समस्यांचा निष्क्रिय शोध, प्रतिसादांमध्ये अनेक 503 HTTP कोडची उपस्थिती इ.).
• स्वतः बॅलन्सिंग (राऊंड रॉबिन, यादृच्छिक निवड, स्त्रोत IP हॅश, URI).
• TLS समाप्ती आणि प्रमाणपत्र पडताळणी.
• सुरक्षा-संबंधित पर्याय (प्रमाणीकरण, DoS हल्ला प्रतिबंध, वेग मर्यादा) आणि बरेच काही.

NSX Edge दोन लोड बॅलन्सर डिप्लॉयमेंट मोडसाठी समर्थन देते:

प्रॉक्सी मोड, किंवा एक हात. या मोडमध्ये, बॅकएंडपैकी एकाला विनंती पाठवताना NSX Edge त्याचा IP पत्ता स्त्रोत पत्ता म्हणून वापरते. अशा प्रकारे, बॅलन्सर एकाच वेळी स्त्रोत आणि गंतव्य NAT ची कार्ये करतो. बॅलन्सरकडून पाठवल्याप्रमाणे बॅकएंड सर्व रहदारी पाहतो आणि त्यास थेट प्रतिसाद देतो. अशा योजनेमध्ये, बॅलन्सर अंतर्गत सर्व्हरसह समान नेटवर्क विभागात असणे आवश्यक आहे.

ते कसे होते ते येथे आहे:
1. वापरकर्ता काठावर कॉन्फिगर केलेल्या VIP पत्त्यावर (बॅलन्सर पत्ता) विनंती पाठवतो.
2. एज बॅकएंडपैकी एक निवडतो आणि निवडलेल्या बॅकएंडच्या पत्त्यासह VIP पत्ता बदलून गंतव्य NAT करते.
3. एज स्त्रोत NAT करते, ज्याने विनंती पाठवली त्या वापरकर्त्याचा पत्ता त्याच्या स्वतःच्या पत्त्याने बदलून.
4. पॅकेज निवडलेल्या बॅकएंडवर पाठवले जाते.
5. बॅकएंड थेट वापरकर्त्याला प्रतिसाद देत नाही, परंतु एजला, कारण वापरकर्त्याचा मूळ पत्ता बॅलन्सरच्या पत्त्यावर बदलला गेला आहे.
6. एज सर्व्हरचा प्रतिसाद वापरकर्त्यास प्रसारित करते.
आकृती खाली आहे.


पारदर्शक, किंवा इनलाइन, मोड. या परिस्थितीत, बॅलन्सरमध्ये अंतर्गत आणि बाह्य नेटवर्कवर इंटरफेस आहेत. त्याच वेळी, बाह्य नेटवर्कमधून अंतर्गत नेटवर्कमध्ये थेट प्रवेश नाही. अंगभूत लोड बॅलन्सर अंतर्गत नेटवर्कवरील आभासी मशीनसाठी NAT गेटवे म्हणून कार्य करते.

यंत्रणा खालीलप्रमाणे आहे.
1. वापरकर्ता काठावर कॉन्फिगर केलेल्या VIP पत्त्यावर (बॅलन्सर पत्ता) विनंती पाठवतो.
2. एज बॅकएंडपैकी एक निवडतो आणि निवडलेल्या बॅकएंडच्या पत्त्यासह VIP पत्ता बदलून गंतव्य NAT करते.
3. पॅकेज निवडलेल्या बॅकएंडवर पाठवले जाते.
4. बॅकएंडला वापरकर्त्याच्या मूळ पत्त्यासह विनंती प्राप्त होते (स्रोत NAT केले गेले नाही) आणि त्यास थेट प्रतिसाद देते.
5. लोड बॅलन्सरद्वारे ट्रॅफिक पुन्हा स्वीकारले जाते, कारण इनलाइन स्कीममध्ये ते सहसा सर्व्हर फार्मसाठी डीफॉल्ट गेटवे म्हणून कार्य करते.
6. एज वापरकर्त्याला ट्रॅफिक पाठवण्यासाठी स्त्रोत NAT करते, त्याचा VIP स्त्रोत IP पत्ता म्हणून वापरतो.
आकृती खाली आहे.

सराव

माझ्या चाचणी बेंचमध्ये Apache चालणारे 3 सर्व्हर आहेत, जे HTTPS वर कार्य करण्यासाठी कॉन्फिगर केलेले आहेत. एज HTTPS विनंत्यांचे राउंड रॉबिन बॅलन्सिंग करेल, प्रत्येक नवीन विनंती नवीन सर्व्हरवर प्रॉक्सी करेल.
चला सुरू करुया.

NSX Edge द्वारे वापरले जाणारे SSL प्रमाणपत्र व्युत्पन्न करत आहे
तुम्ही वैध CA प्रमाणपत्र आयात करू शकता किंवा स्व-स्वाक्षरी केलेले वापरू शकता. या चाचणीसाठी मी स्व-स्वाक्षरीचा वापर करेन.

1. vCloud डायरेक्टर इंटरफेसमध्ये, एज सर्व्हिसेस सेटिंग्जवर जा.
   
2. प्रमाणपत्रे टॅबवर जा. क्रियांच्या सूचीमधून, नवीन CSR जोडणे निवडा.
   
3. आवश्यक फील्ड भरा आणि Keep वर क्लिक करा.
   
4. नवीन तयार केलेला CSR निवडा आणि सेल्फ-साइन CSR पर्याय निवडा.
   
5. प्रमाणपत्राचा वैधता कालावधी निवडा आणि Keep वर क्लिक करा
   
6. स्व-स्वाक्षरी केलेले प्रमाणपत्र उपलब्ध असलेल्या सूचीमध्ये दिसते.
   

ऍप्लिकेशन प्रोफाइल सेट करत आहे
ऍप्लिकेशन प्रोफाइल तुम्हाला नेटवर्क ट्रॅफिकवर अधिक संपूर्ण नियंत्रण देतात आणि ते व्यवस्थापित करणे सोपे आणि प्रभावी बनवतात. ते विशिष्ट प्रकारच्या रहदारीसाठी वर्तन परिभाषित करण्यासाठी वापरले जाऊ शकतात.

1. लोड बॅलन्सर टॅबवर जा आणि बॅलन्सर सक्षम करा. येथे प्रवेग सक्षम पर्याय बॅलन्सरला L4 ऐवजी जलद L7 बॅलन्सिंग वापरण्याची परवानगी देतो.
   
2. अॅप्लिकेशन प्रोफाइल सेट करण्यासाठी अॅप्लिकेशन प्रोफाइल टॅबवर जा. + वर क्लिक करा.
   
3. प्रोफाइलचे नाव सेट करा आणि ट्रॅफिकचा प्रकार निवडा ज्यासाठी प्रोफाइल लागू केले जाईल. मी काही पॅरामीटर्स स्पष्ट करू.
   चिकाटी - सत्र डेटा संचयित आणि ट्रॅक करते, उदाहरणार्थ: पूलमधील कोणता विशिष्ट सर्व्हर वापरकर्त्याच्या विनंतीची सेवा करत आहे. हे सुनिश्चित करते की वापरकर्त्याच्या विनंत्या सत्राच्या आजीवन किंवा त्यानंतरच्या सत्रांसाठी त्याच पूल सदस्याकडे पाठवल्या जातात.
   SSL पासथ्रू सक्षम करा – हा पर्याय निवडल्यावर, NSX Edge SSL बंद करणे थांबवते. त्याऐवजी, समतोल असलेल्या सर्व्हरवर समाप्ती थेट होते.
   X-Forwarded-For HTTP हेडर घाला - तुम्हाला लोड बॅलन्सरद्वारे वेब सर्व्हरशी कनेक्ट करणार्‍या क्लायंटचा स्त्रोत IP पत्ता निर्धारित करण्यास अनुमती देते.
   पूल साइड SSL सक्षम करा - निवडलेल्या पूलमध्ये HTTPS सर्व्हर आहेत हे निर्दिष्ट करण्यास तुम्हाला अनुमती देते.
   
4. मी HTTPS रहदारी संतुलित करत असल्याने, मला पूल साइड SSL सक्षम करणे आवश्यक आहे आणि व्हर्च्युअल सर्व्हर प्रमाणपत्रे -> सेवा प्रमाणपत्र टॅबमध्ये पूर्वी व्युत्पन्न केलेले प्रमाणपत्र निवडावे लागेल.
   
5. त्याचप्रमाणे पूल प्रमाणपत्रांसाठी -> सेवा प्रमाणपत्र.
   

आम्ही सर्व्हरचा एक पूल तयार करतो, ज्यावरील रहदारी संतुलित पूल असेल

1. पूल टॅबवर जा. + वर क्लिक करा.
   
2. आम्ही पूलचे नाव सेट करतो, अल्गोरिदम (मी राऊंड रॉबिन वापरतो) आणि आरोग्य तपासणी बॅकएंडसाठी मॉनिटरिंगचा प्रकार निवडतो. पारदर्शक पर्याय क्लायंटचे प्रारंभिक स्त्रोत IP अंतर्गत सर्व्हरसाठी दृश्यमान आहेत की नाही हे सूचित करतो.
   • पर्याय अक्षम केल्यास, अंतर्गत सर्व्हरसाठी रहदारी बॅलन्सरच्या स्त्रोत IP वरून येते.
   • पर्याय सक्षम असल्यास, अंतर्गत सर्व्हर क्लायंटचा स्त्रोत IP पाहू शकतात. या कॉन्फिगरेशनमध्ये, NSX Edge ने डिफॉल्ट गेटवे म्हणून काम करणे आवश्यक आहे याची खात्री करण्यासाठी की परत आलेले पॅकेट NSX Edge मधून जातात.

   NSX खालील बॅलेंसिंग अल्गोरिदमला समर्थन देते:

   • IP_HASH - प्रत्येक पॅकेटच्या स्त्रोत आणि गंतव्य IP साठी हॅश फंक्शनच्या परिणामांवर आधारित सर्व्हर निवड.
   • LEASTCONN - विशिष्ट सर्व्हरवर आधीपासूनच उपलब्ध असलेल्या संख्येवर अवलंबून, इनकमिंग कनेक्शनचे संतुलन. नवीन कनेक्शन सर्वात कमी कनेक्शनसह सर्व्हरकडे निर्देशित केले जातील.
   • ROUND_ROBIN - प्रत्येक सर्व्हरला नियुक्त केलेल्या वजनानुसार नवीन कनेक्शन पाठवले जातात.
   • यूआरआय – URI चा डावा भाग (प्रश्नचिन्हाच्या आधी) हॅश केला जातो आणि पूलमधील सर्व्हरच्या एकूण वजनाने विभागला जातो. जोपर्यंत सर्व सर्व्हर उपलब्ध राहतील तोपर्यंत विनंती नेहमी त्याच सर्व्हरकडे राउट केली जाईल याची खात्री करून कोणत्या सर्व्हरला विनंती प्राप्त होते हे निकाल सूचित करते.
   • HTTPHEADER - विशिष्ट HTTP शीर्षलेखावर आधारित संतुलन, जे पॅरामीटर म्हणून निर्दिष्ट केले जाऊ शकते. शीर्षलेख गहाळ असल्यास किंवा कोणतेही मूल्य नसल्यास, ROUND_ROBIN अल्गोरिदम लागू केला जातो.
   • URL – प्रत्येक HTTP GET विनंती वितर्क म्हणून निर्दिष्ट केलेल्या URL पॅरामीटरसाठी शोधते. पॅरामीटर नंतर समान चिन्ह आणि मूल्य असल्यास, मूल्य हॅश केले जाते आणि चालू असलेल्या सर्व्हरच्या एकूण वजनाने विभाजित केले जाते. परिणाम सूचित करतो की कोणत्या सर्व्हरला विनंती प्राप्त होते. या प्रक्रियेचा वापर विनंत्यांमध्ये वापरकर्ता आयडीचा मागोवा ठेवण्यासाठी आणि जोपर्यंत सर्व सर्व्हर उपलब्ध आहेत तोपर्यंत समान वापरकर्ता आयडी नेहमी त्याच सर्व्हरवर पाठवला जाईल याची खात्री करण्यासाठी केला जातो.

   

3. सदस्य ब्लॉकमध्ये, पूलमध्ये सर्व्हर जोडण्यासाठी + वर क्लिक करा.
   
   
   येथे आपल्याला सूचित करणे आवश्यक आहे:
   • सर्व्हरचे नाव;
   • सर्व्हरचा IP पत्ता;
   • पोर्ट ज्यावर सर्व्हरला रहदारी मिळेल;
   • आरोग्य तपासणीसाठी पोर्ट (आरोग्य तपासणीचे निरीक्षण करा);
   • वजन - या पॅरामीटरचा वापर करून तुम्ही विशिष्ट पूल सदस्यासाठी प्राप्त झालेल्या रहदारीचे प्रमाण समायोजित करू शकता;
   • कमाल कनेक्शन – सर्व्हरशी जास्तीत जास्त कनेक्शन;
   • किमान कनेक्शन – ट्रॅफिक पुढील पूल सदस्याकडे पाठवण्यापूर्वी सर्व्हरने प्रक्रिया करणे आवश्यक असलेल्या कनेक्शनची किमान संख्या.

   
   
   तीन सर्व्हरचा अंतिम पूल असा दिसतो.
   

व्हर्च्युअल सर्व्हर जोडत आहे

1. व्हर्च्युअल सर्व्हर टॅबवर जा. + वर क्लिक करा.
   
2. व्हर्च्युअल सर्व्हर सक्षम करा वापरून आम्ही आभासी सर्व्हर सक्रिय करतो.
   आम्ही त्याला एक नाव देतो, पूर्वी तयार केलेला ऍप्लिकेशन प्रोफाइल, पूल निवडा आणि IP पत्ता सूचित करतो ज्यावर व्हर्च्युअल सर्व्हरला बाहेरून विनंत्या प्राप्त होतील. आम्ही HTTPS प्रोटोकॉल आणि पोर्ट 443 निर्दिष्ट करतो.
   येथे पर्यायी पॅरामीटर्स:
   कनेक्शन मर्यादा - वर्च्युअल सर्व्हर प्रक्रिया करू शकणार्‍या एकाचवेळी कनेक्शनची कमाल संख्या;
   कनेक्शन दर मर्यादा (CPS) - प्रति सेकंद नवीन इनकमिंग विनंत्यांची कमाल संख्या.
   

हे बॅलन्सरचे कॉन्फिगरेशन पूर्ण करते; तुम्ही त्याची कार्यक्षमता तपासू शकता. सर्व्हरमध्ये एक साधी कॉन्फिगरेशन असते जी तुम्हाला पूलमधील कोणत्या सर्व्हरने विनंतीवर प्रक्रिया केली हे समजू देते. सेटअप दरम्यान, आम्ही राऊंड रॉबिन बॅलन्सिंग अल्गोरिदम निवडले, आणि प्रत्येक सर्व्हरसाठी वजन पॅरामीटर एक समान आहे, त्यामुळे प्रत्येक त्यानंतरच्या विनंतीवर पूलच्या पुढील सर्व्हरद्वारे प्रक्रिया केली जाईल.
आम्ही ब्राउझरमध्ये बॅलन्सरचा बाह्य पत्ता प्रविष्ट करतो आणि पहा:


पृष्ठ रीफ्रेश केल्यानंतर, खालील सर्व्हरद्वारे विनंतीवर प्रक्रिया केली जाईल:


आणि पुन्हा - पूलमधून तिसरा सर्व्हर तपासण्यासाठी:


तपासताना, तुम्ही पाहू शकता की एज आम्हाला जे प्रमाणपत्र पाठवते तेच प्रमाणपत्र आहे जे आम्ही अगदी सुरुवातीला तयार केले होते.

एज गेटवे कन्सोलवरून बॅलन्सर स्थिती तपासत आहे. हे करण्यासाठी, प्रविष्ट करा सेवा लोडबॅलेंसर पूल दर्शवा.


पूलमधील सर्व्हरची स्थिती तपासण्यासाठी सर्व्हिस मॉनिटर कॉन्फिगर करणे
सर्व्हिस मॉनिटर वापरून आम्ही बॅकएंड पूलमधील सर्व्हरच्या स्थितीचे निरीक्षण करू शकतो. विनंतीला प्रतिसाद अपेक्षेप्रमाणे नसल्यास, सर्व्हरला पूलमधून बाहेर काढले जाऊ शकते जेणेकरून त्यास कोणत्याही नवीन विनंत्या प्राप्त होणार नाहीत.
डीफॉल्टनुसार, तीन पडताळणी पद्धती कॉन्फिगर केल्या आहेत:

• TCP-मॉनिटर,
• HTTP मॉनिटर,
• HTTPS-मॉनिटर.

चला एक नवीन तयार करूया.

1. सर्व्हिस मॉनिटरिंग टॅबवर जा, + वर क्लिक करा.
   
2. निवडा:
   • नवीन पद्धतीचे नाव;
   • ज्या अंतराने विनंत्या पाठवल्या जातील,
   • प्रतिसादाच्या प्रतीक्षेत कालबाह्य,
   • मॉनिटरिंग प्रकार - GET पद्धत वापरून HTTPS विनंती, अपेक्षित स्थिती कोड - 200(OK) आणि URL विनंती.
3. हे नवीन सर्व्हिस मॉनिटरचे सेटअप पूर्ण करते; आता आपण पूल तयार करताना त्याचा वापर करू शकतो.
   

अर्जाचे नियम सेट करणे

अॅप्लिकेशन नियम हे ठराविक ट्रिगरवर आधारित रहदारी हाताळण्याचा एक मार्ग आहेत. या साधनाद्वारे आम्ही प्रगत लोड बॅलन्सिंग नियम तयार करू शकतो जे एज गेटवेवर उपलब्ध ऍप्लिकेशन प्रोफाइल किंवा इतर सेवांद्वारे शक्य होणार नाहीत.

1. नियम तयार करण्यासाठी, बॅलन्सरच्या ऍप्लिकेशन नियम टॅबवर जा.
   
2. नियम वापरेल असे नाव, स्क्रिप्ट निवडा आणि Keep वर क्लिक करा.
   
3. नियम तयार केल्यानंतर, आम्हाला आधीच कॉन्फिगर केलेले व्हर्च्युअल सर्व्हर संपादित करणे आवश्यक आहे.
   
4. प्रगत टॅबमध्ये, आम्ही तयार केलेला नियम जोडा.
   

वरील उदाहरणात आम्ही tlsv1 समर्थन सक्षम केले आहे.

आणखी काही उदाहरणे:

रहदारी दुसर्‍या पूलवर पुनर्निर्देशित करा.
जर मुख्य पूल खाली असेल तर या स्क्रिप्टद्वारे आम्ही रहदारीला दुसर्‍या बॅलेंसिंग पूलकडे पुनर्निर्देशित करू शकतो. नियम कार्य करण्यासाठी, बॅलन्सरवर एकाधिक पूल कॉन्फिगर केले पाहिजेत आणि मुख्य पूलचे सर्व सदस्य खाली स्थितीत असले पाहिजेत. तुम्हाला पूलचे नाव नमूद करणे आवश्यक आहे, त्याचा आयडी नाही.

acl pool_down nbsrv(PRIMARY_POOL_NAME) eq 0
use_backend SECONDARY_POOL_NAME if PRIMARY_POOL_NAME


रहदारी बाह्य संसाधनाकडे पुनर्निर्देशित करा.
मुख्य पूलचे सर्व सदस्य खाली असल्यास आम्ही बाह्य वेबसाइटवर रहदारी पुनर्निर्देशित करतो.

acl pool_down nbsrv(NAME_OF_POOL) eq 0
redirect location http://www.example.com if pool_down

आणखी उदाहरणे येथे.

बॅलन्सरबद्दल माझ्यासाठी इतकेच आहे. तुम्हाला काही प्रश्न असतील तर विचारा, मी उत्तर द्यायला तयार आहे.

स्त्रोत: www.habr.com