LB1030 配置虚服务器IP

组网拓扑如下

问题1：没有WAF时，路由器映射的内网IP是什么？

当没有WAF时，路由器/防火墙上的“端口映射”或“NAT Server”规则，其“内网IP”应该填写LB的“虚服务器IP（VSIP）”。

• 流量路径：用户 -> 路由器(WAN IP) -> 路由器(映射) -> LB(VSIP) -> LB(调度) -> 服务器(Real Server IP)

• 核心规则：外部用户访问的是路由器公网IP的某个端口，路由器需要将这个访问指向内网中负责调度流量的LB，而LB的入口就是VSIP。所以，VSIP是对外服务的“名片”，路由器映射的目标必须是它。

问题2：增加WAF后，“代理IP”和“被代理的IP”是什么？

增加WAF后，整个链路的入口就变成了WAF。这时，WAF的“代理IP”和“被代理的IP”需要这样配置：

• WAF的“代理IP”：配置为LB的“虚服务器IP（VSIP）”。

• WAF的“被代理的IP”：配置为LB的“虚服务器IP（VSIP）”（即同一个IP）。

为什么是同一个？
当WAF以反向代理模式串联在网络中时，它会“代替”后端的LB接收用户的请求。从逻辑上看，WAF和LB可以看作是处理流量的“前后站”。为了让流量无缝地经过WAF再送到LB，需要将WAF的“代理”地址配置成VSIP，同时把“被代理”的后端服务器地址也指向同一个VSIP。这样，WAF接收发往VSIP的流量，处理后，再将这些流量转发给位于其后的、也“监听”在VSIP上的LB，从而形成一条完整的代理链。

问题3：NAT IP 和这些IP的关系是什么？

在LB的配置中，NAT IP通常不需要与VSIP或代理IP相同，它可以是任意未使用的空闲IP，但建议遵循以下原则：

• 不与现有IP冲突：这是最基本要求。

• 与服务器同网段：如果LB和服务器在同一个二层网络，NAT IP最好使用与该网段相同的地址，以便直接路由。

• 由LB接口所属网段分配：最规范的做法是，从LB连接服务器侧的那个接口所在的网段中，选择一个未被使用的IP地址作为NAT IP。