防火墙负载均衡基于流量大小

负载均衡功能实现

您好，请知：

可以使用出方向的负载均衡实现，以下是配置案例，请参考：

3.19  出方向链路负载均衡典型配置举例

3.19.1  出方向链路负载均衡基本组网配置举例

1. 组网需求

用户从两个运营商ISP 1和ISP 2处分别租用了链路Link 1和Link 2，这两条链路的路由器跳数、带宽和成本均相同，但Link 1的网络延迟小于Link 2。通过配置链路负载均衡，使Host访问Server时优先选择这两条链路中的最优链路。

2. 组网图

图3-4 出方向链路负载均衡基本组网配置组网图

‌

3. 配置步骤

(1)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 10.1.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(2)     配置接口加入安全域。

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/1

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/3

[Device-security-zone-Trust] quit

(3)     配置安全策略

配置安全策略放行Trust与Untrust安全域、Local与Untrust安全域之间的流量，用于用户访问外网服务器。

# 配置名称为lbrule1的安全策略规则，使用户可以访问外网服务器，具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name lbrule1

[Device-security-policy-ip-1-lbrule1] source-zone trust

[Device-security-policy-ip-1-lbrule1] destination-zone untrust

[Device-security-policy-ip-1-lbrule1] source-ip-subnet 192.168.1.0 255.255.255.0

[Device-security-policy-ip-1-lbrule1] action pass

[Device-security-policy-ip-1-lbrule1] quit

# 配置名称为lblocalout的安全策略规则，使Device可以向链路下一跳发送健康检测报文，具体配置步骤如下。

[Device-security-policy-ip] rule name lblocalout

[Device-security-policy-ip-2-lblocalout] source-zone local

[Device-security-policy-ip-2-lblocalout] destination-zone untrust

[Device-security-policy-ip-2-lblocalout] destination-ip-subnet 10.1.1.0 255.255.255.0

[Device-security-policy-ip-2-lblocalout] destination-ip-subnet 20.1.1.0 255.255.255.0

[Device-security-policy-ip-2-lblocalout] action pass

[Device-security-policy-ip-2-lblocalout] quit

[Device-security-policy-ip] quit

(4)     配置链路组

# 创建ICMP类型的NQA模板t1，并配置每次探测结果发送机制。

[Device] nqa template icmp t1

[Device-nqatplt-icmp-t1] reaction trigger per-probe

[Device-nqatplt-icmp-t1] quit

# 指定缺省就近性探测方法为t2，并配置就近性计算的网络延迟权值为200。

[Device] loadbalance proximity

[Device-lb-proximity] match default probe t2

[Device-lb-proximity] rtt weight 200

[Device-lb-proximity] quit

# 创建链路组lg，开启就近性功能，关闭NAT功能。

[Device] loadbalance link-group lg

[Device-lb-lgroup-lg] proximity enable

[Device-lb-lgroup-lg] transparent enable

[Device-lb-lgroup-lg] quit

(5)     配置链路

# 创建链路link1和link2，配置link1的下一跳IPv4地址为10.1.1.2，link2的下一跳IPv4地址为20.1.1.2，加入链路组lg，并引用ICMP类型的NQA模板t1。

[Device] loadbalance link link1

[Device-lb-link-link1] router ip 10.1.1.2

[Device-lb-link-link1] link-group lg

[Device-lb-link-link1] probe t1

[Device-lb-link-link1] quit

[Device] loadbalance link link2

[Device-lb-link-link2] router ip 20.1.1.2

[Device-lb-link-link2] link-group lg

[Device-lb-link-link2] probe t1

[Device-lb-link-link2] quit

(6)     配置虚服务器

# 创建LINK-IP类型的虚服务器vs，配置其VSIP为通配0.0.0.0/0，指定其缺省主用链路组为lg，并开启此虚服务器。

[Device] virtual-server vs type link-ip

[Device-vs-link-ip-vs] virtual ip address 0.0.0.0 0

[Device-vs-link-ip-vs] default link-group lg

[Device-vs-link-ip-vs] service enable

[Device-vs-link-ip-vs] quit

https://www.h3c.com/cn/d_202312/1984364_30005_0.htm#_Toc153291250

3.7  带宽繁忙保护负载分担

3.7.1  组网需求

如图所示，用户分别从三个运营商联通isp_cnc、移动isp_cmcc和电信isp_chinatel处租用了链路link-cnc、link-cmcc和link-chinatel，分别属于链路组lg-cnc、lg-chinatel和lg-cmcc。链路link-cnc、link-chinatel带宽均为100000Kbps 。内网用户通过LB设备访问外网http服务器。使用户出方向的流量基于ISP在三条链路上负载分担流量，目的地址匹配ISP为cnc的走链路link-cnc，目地址匹配ISP为chinatel的走链路link-chinatel，匹配不上流量特征的流量走链路link-cmcc，链路link-cnc与link-chinatel上配置带宽繁忙保护，当一个链路组的链路出接口流量达到设定的繁忙比例时，LB设备将新建流量分发给另外一个链路组。带宽繁忙保护功能就是对链路的带宽繁忙比进行限制。当流量超过某条链路的带宽繁忙比后，新建流量（非匹配持续性的流量）将不再向该链路分发，而原有流量则仍由该链路继续分发。

图3-111 链路负载均衡带宽繁忙保护组网图

 

3.7.2  配置思路

·     不同链路组的链路需要配置各自的带宽、带宽繁忙比与恢复比，设备根据接口带宽计算出这条链路是否达到了链路的最大带宽繁忙比。

·     LB设备需要开启带宽繁忙保护功能。

·     为每条链路配置一个ICMP类型的健康检测模板，配置健康检测模板下一跳地址为链路的下一跳IP地址，指定出接口，并在链路下引用该健康检测模板。

·     在LB上配置选路策略，目的地址匹配ISP为cnc和chinatel的报文分别从链路link-cnc和链路link-chinatel发出，配置Default类型的报文从链路link-cmcc发出。

·     对于目的地址匹配ISP为cnc的流量，当链路组lg-cnc处于繁忙状态，流量切换到链路组lg-cmcc，当链路组lg-cnc从繁忙状态恢复时，重新参与流量调度。

·     对于目的地址匹配ISP为chinatel的流量，当链路组lg-chinatel处于繁忙状态，流量切换到链路组lg-cmcc，当链路组lg-chinatel从繁忙状态恢复时，重新参与流量调度。

3.7.3  使用版本

本举例是在L1000-AK325的Alpha 1160P16上进行配置和验证的。

3.7.4  配置注意事项

·     配置Default选路策略，当匹配流量特征的流量选择的链路组繁忙以及无法匹配流量特征的流量走Default选路策略的链路组。

·     在链路组视图下创建链路，无法直接配置链路的带宽繁忙参数，需要在导航栏“策略 > 公共配置 > 链路”中，编辑链路，才能配置其带宽繁忙参数。

·     当一个链路组中所有的链路均处于繁忙状态时，该链路组繁忙。

3.7.5  配置步骤

·     以下配置均在LB设备上进行。

·     如果使用物理子接口作为链路出接口，请在物理口下开启子接口统计功能

 

1. 配置接口IP地址步骤省略 

2. 导入ISP文件

在导航栏中选择“负载均衡 > 全局配置 > ISP”，先单击<选择>按钮，选择ISP文件，然后单击<导入>按钮，导入ISP文件。

图3-112 导入ISP文件

 

3. 配置ICMP类型的健康检测模板icmp-cnc、icmp-cmcc、icmp-chinatel，配置下一跳地址分别为61.156.0.2、211.98.0.2、203.0.24.2

在导航栏中选择“负载均衡 > 全局配置 > 健康检测”，单击<新建>按钮，进行如下配置：

图3-113 新建ICMP类型的健康检测模板icmp-cnc

 

单击<确定>，完成操作。

图3-114 新建ICMP类型的健康检测模板icmp-cmcc

 

单击<确定>，完成操作。

图3-115 新建ICMP类型的健康检测模板icmp-chinatel

 

单击<确定>，完成操作。

4. 创建链路组lg-cnc、lg-cmcc、lg-chinatel

在导航栏中选择“负载均衡 > 链路负载 > 出链路负载均衡 > 链路组”，单击<新建>按钮，新建链路组名称为lg-cnc，调度算法为源IP地址哈希，如下图所示。

图3-116 新建链路组lg-cnc

 

单击<确定>，完成操作。

创建链路组lg-cmcc、lg-chinatel与lg-cnc步骤相同：

在导航栏中选择“负载均衡 > 链路负载 > 出链路负载均衡 > 链路组”，单击<新建>按钮，新建链路组名称为lg-cmcc，调度算法为源IP地址哈希。

在导航栏中选择“负载均衡 > 链路负载 > 出链路负载均衡 > 链路组”，单击<新建>按钮，新建链路组名称为lg-chinatel，调度算法为源IP地址哈希。

5. 配置链路

在导航栏中选择“负载均衡 > 链路负载 > 出链路负载均衡 > 链路组”，进入链路组页面。

编辑链路组lg-cnc，单击<添加>，新建成员列表，新建链路link-cnc，配置下一跳IP地址为61.156.0.2，引用健康检测模板icmp-cnc，如下图所示。

图3-117 添加链路组成员

 

图3-118 新建链路

 

单击<确定>，完成操作。

图3-119 链路信息

 

单击<确定>，完成操作。

创建链路link-cmcc、link- chinatel与link-cnc步骤相同：

在导航栏中选择“负载均衡 > 链路负载 > 出链路负载均衡 > 链路组”，编辑链路组lg-cmcc，单击<添加>，新建成员列表，参照上图步骤新建链路link-cmcc，配置下一跳IP地址为211.98.0.2，引用健康检测模板icmp-cmcc。

在导航栏中选择“负载均衡 > 链路负载 > 出链路负载均衡 > 链路组”，编辑链路组lg-chinatel，单击<添加>，新建成员列表，参照上图步骤新建链路link-chinatel，配置下一跳IP地址为203.0.24.2，引用健康检测模板icmp-chinatel。

在导航栏中选择“负载均衡 > 全局配置 > 链路”，编辑链路link-cnc，最大带宽繁忙比为20%，最大带宽繁忙恢复比为10%，并配置其最大总期望带宽为100000Kbps，如下图所示。

图3-120 编辑链路link-cnc

 

点击<确定>，完成操作。

选择编辑链路link-chinatel与link-cnc步骤相同：

在导航栏中选择“负载均衡 > 全局配置 > 链路”，编辑链路link-chinatel，最大带宽繁忙比默认为20%，最大带宽繁忙恢复比默认为10%，配置其最大总期望带宽为100000Kbps 。

6. 开启负载均衡功能

在导航栏中选择“负载均衡 > 链路负载 > 出链路负载均衡 > IPv4选路策略”，在全局配置中勾选“负载均衡服务”和“带宽繁忙保护”。

图3-121 开启负载均衡功能

 

单击<应用>，完成操作。

7. 配置流量特征

在导航栏中选择“负载均衡 > 链路负载 > 出链路负载均衡 >  流量特征”，单击<新建> 按钮，新建流量特征名称为lc-cnc，匹配方式为匹配任意一条规则，新建匹配规则，Match ID为1，类型选择ISP，匹配内容为cnc，如下图所示。

图3-122 新建流量特征

 

单击<确定>，完成操作。

图3-123 流量特征信息

 

单击<确定>，完成操作。

创建流量特征lc-chinatel与lc-cnc步骤相同：

在导航栏中选择“负载均衡 > 链路负载 > 出链路负载均衡 >  流量特征”，单击<新建> 按钮，新建流量特征名称为lc-chinatel，匹配方式为匹配任意一条规则，新建匹配规则，match ID为1，类型选择ISP，匹配内容为chinatel。

8. 配置IPv4选路策略

在导航栏中选择“负载均衡 > 链路负载 > 出链路负载均衡 > IPv4选路策略”，单击<新建> 按钮，

新建IPv4选路策略1，流量特征选择lc-cnc，转发动作选择负载均衡，主用链路组选择lg-cnc，选择链路失败的处理方式选择继续匹配下一条规则，选择链路全部繁忙的处理方式选择继续匹配下一条规则，如下图所示。

图3-124 配置IPv4选路策略1

 

 

单击<确定>，完成操作。

创建其他IPv4选路策略与上图步骤相同。

在导航栏中选择“负载均衡 > 链路负载 > 出链路负载均衡 > IPv4选路策略”，单击<新建> 按钮，新建IPv4选路策略2，流量特征选择lc-chinatel，转发动作选择负载均衡，主用链路组选择lg-chinatel，选择链路失败的处理方式选择继续匹配下一条规则，选择链路全部繁忙的处理方式选择继续匹配下一条规则。

在导航栏中选择“负载均衡 > 链路负载 > 出链路负载均衡 > IPv4选路策略”，配置缺省Default流量特征，转发动作选择负载均衡，主用链路组选择lg-cmcc，使匹配不上流量特征的报文从链路组lg-cnc发出。

9. 创建nat地址组并在链路出接口应用

在导航栏中选择“对象 > 对象组 > NAT地址组”，单击<新建>按钮，新建地址组编号为1，地址组名称为cnc，单击<添加>按钮，新建地址组成员起始IP地址为61.156.0.100，结束IP地址为61.156.0.200，如下图所示。

图3-125 新建地址组1

 

单击<确定>，完成操作。

图3-126 地址组1信息

 

单击<确定>，完成操作。

创建地址组2、地址组3与地址组1步骤相同：

在导航栏中选择“对象 > 对象组 > NAT地址组”，单击<新建>，新建地址组编号为2，地址组名称为cmcc，单击<添加>按钮，新建地址组成员起始IP地址为211.98.0.100，结束IP地址为211.98.0.200。

在导航栏中选择“对象 > 对象组 > NAT地址组”，单击<新建>，新建地址组编号为3，地址组名称为chinatel，单击<添加>按钮，新建地址组成员起始IP地址为203.0.24.100，结束IP地址为203.0.24.200。

在导航栏中选择“网络 > NAT > IPv4  >  NAT动态转换”，单击<新建>，新建NAT出方向动态转换（基于ACL），接口选择链路下一跳对应的出接口RAGG1.100，转换后源地址选择NAT地址组1，如下图所示。

图3-127 创建NAT动态转换策略1

 

单击<确定>，完成操作。

创建NAT动态转换策略2、NAT动态转换策略3与NAT动态转换策略1步骤相同：

在导航栏中选择“网络 > NAT > IPv4  >  NAT动态转换”，单击<新建>，新建NAT出方向动态转换（基于ACL），接口选择链路下一跳对应的出接口RAGG1.101，转换后源地址选择NAT地址组2。

在导航栏中选择“网络 > NAT > IPv4  >  NAT动态转换”，单击<新建>，新建NAT出方向动态转换（基于ACL），接口选择链路下一跳对应的出接口RAGG1.102，转换后源地址选择NAT地址组3。

3.7.6  验证配置

1. 客户端发起目的地址匹配ISP为cnc的报文，首先发起吞吐量较小的流量，此时链路link-cnc的流量未达到最大带宽繁忙比，查看链路统计情况，链路统计正常，流量分发给链路组lg-cnc，查看链路link-cnc有流量统计。

图3-128 链路组lg-cnc的流量统计

 

图3-129 链路link-cnc的流量统计

 

2. 内网用户发起吞吐较大（100M）的流量，此时链路link-cnc达到最大带宽繁忙比，查看链路统计情况，流量分发给链路组lg-cmcc，查看链路link-cnc、link-cmcc有流量统计。

图3-130 大吞吐流量下链路组统计信息

 

大吞吐流量下链路统计信息

 

查看链路状态，link-cnc处于繁忙状态。

图3-131 查看链路状态

 

3. 客户端发起目的地址匹配ISP为chinatel的报文，首先发起吞吐量较小的流量，此时链路link-chinatel的流量未达到最大带宽繁忙比，查看链路统计情况，链路统计正常，流量分发给链路组lg-chinatel，查看链路link-chinatel有流量统计。

图3-132 链路组lg-chinatel的流量统计

 

图3-133 链路link-chinatel的流量统计

 

4. 内网用户发起吞吐较大（100M）的流量，此时链路link-chinatel达到最大带宽繁忙比，查看链路统计情况，流量分发给链路组lg-cmcc，查看链路link-chinatel、link-cmcc有流量统计。

图3-134 大吞吐流量下链路组统计信息

 

图3-135 大吞吐流量下链路统计信息

 

查看链路状态，link-chinatel处于繁忙状态。

图3-136 查看链路状态

 

3.7.7  配置文件

#

loadbalance isp file lbispinfo-v1.7.tp

#

nqa template icmp icmp-cnc

 next-hop ip 61.156.0.2

 out interface Route-Aggregation1.100

#

nqa template icmp icmp-cmcc

 next-hop ip 211.98.0.2

 out interface Route-Aggregation1.101

#

nqa template icmp icmp-chinatel

 next-hop ip 203.0.24.2

 out interface Route-Aggregation1.102

#

loadbalance link-group lg-cnc

 predictor hash address source

 transparent enable

 success-criteria at-least 1

 link link-cnc

  success-criteria at-least 1

  probe icmp-cnc

#

loadbalance link-group lg-chinatel

 predictor hash address source

 transparent enable

 success-criteria at-least 1

 link link-chinatel

  success-criteria at-least 1

  probe icmp-chinatel

#

loadbalance link-group lg-cmcc

 transparent enable

 link link-chinatel

  success-criteria at-least 1

  probe icmp-chinatel

 link link-cmcc

  success-criteria at-least 1

  probe icmp-cmcc

 link link-cnc

  success-criteria at-least 1

  probe icmp-cnc

#

loadbalance link link-cnc

 router ip 61.156.0.2

 max-bandwidth 100000 kbps

 bandwidth busy-rate 20 recovery 10

#

loadbalance link link-cmcc

 router ip 211.98.0.2

#

loadbalance link link-chinatel

 router ip 203.0.24.2

 max-bandwidth 100000 kbps

 bandwidth busy-rate 20 recovery 10

#

loadbalance class lc-cnc type link-generic match-any

 match 1 isp cnc

#

loadbalance class lc-chinatel type link-generic match-any

 match 1 isp chinatel

#

loadbalance action ##defaultactionforllbipv4##%%autocreatedbyweb%% type link-gen

eric

link-group lg-cmcc

#

loadbalance action ob$action$#for#lc-cnc type link-generic

 link-group lg-cnc

 fallback-action continue

busy-action continue

#

loadbalance action ob$action$#for#lc-chinatel type link-generic

 link-group lg-chinatel

 fallback-action continue

busy-action continue

#

loadbalance policy ##defaultpolicyforllbipv4##%%autocreatedbyweb%% type link-gen

eric

 class lc-cnc action ob$action$#for#lc-cnc

class lc-chinatel action ob$action$#for#lc-chinatel

 default-class action ##defaultactionforllbipv4##%%autocreatedbyweb%%

#

virtual-server ##defaultvsforllbipv4##%%autocreatedbyweb%% type link-ip

 virtual ip address 0.0.0.0 0

 lb-policy ##defaultpolicyforllbipv4##%%autocreatedbyweb%%

 service enable

 bandwidth busy-protection enable

 bandwidth interface statistics enable

#

nat address-group 1

 address 61.156.0.100 61.156.0.200

#

nat address-group 2

 address 211.98.0.100 211.98.0.200

#

nat address-group 3

 address 203.0.24.100 203.0.24.200

#

interface Route-Aggregation1.100

 port link-mode route

 ip address 61.156.0.1 255.255.255.0

 nat outbound address-group 1

#

interface Route-Aggregation1.101

 port link-mode route

 ip address 211.98.0.1 255.255.255.0

 nat outbound address-group 2

#

interface Route-Aggregation1.102

 port link-mode route

 ip address 203.0.24.1 255.255.255.0

 nat outbound address-group 3

#