深信服应用交付（AD）学习笔记

节点服务器返回的HTTP应答是已经携带cookie信息，比如Set-Cookie: sangfor1=88598220; path=/服务器HTTP应答经过AD设备后被改写cookie字段，比如Set-Cookie: sangfor1=SANGFOR_98184645_88598220; path=/

• 场景：服务端对cookie有校验，改写cookie，实现AD透明

• 被动

服务器HTTP应答经过AD设备，AD将cookie值转换成一个哈希值例如%￥&#. 然后会把这个哈希值与当前调度的节点一起插入到会话保持记录中，例如：<%￥&#, node1>客户端再次访问，携带上该cookie信息Set-Cookie: sangfor1=88598220; path=/ 发现cookie方式为被动，则使用cookie值进行同样的哈希运算得到值%￥&#根据上面计算出来的哈希%￥&#再去会话记录表中查询，发现存在记录匹配node1节点。

• 场景：客户端对cookie校验，必须cookie被动

• 自动cookie，依据节点池进行隔离

• HTTP应答被动

特殊web业务可能在应答的Set-Cookie中设置JSESSIONID等信息，而请求是在URI中携带，此时考虑用HTTP应答被动

• 请求被动：请求方向查找，应答方向学习

• 应答被动：应答方向查找，请求方向学习

• SessionID

外部插入的Cookie信息客户端携带不过来，这种应用往往有自己唯一的Cookie字段信息来区别不同用户，例如微信的openid或者java应用的JSESSIONID

• 根据SSL会话复用时带过来的session_id，适用于HTTPS和SSL协议

• Radius

• 根据RADIUS请求数据包里的属性值，适用于RADIUS协议

• 节点繁忙保护

• 触发条件

• 并发连接数（全状态）

• 新建连接数

• 每秒请求数

• 触发后动作

• 强制调度：繁忙强制往此节点调度，此时可能导致此节点由于处理不来导致业务访问异常

• 等待：等待节点不繁忙时进行调度，需配置等待时间、队列长度，不能无限制的等待下去，否则也会访问业务异常

• 调度失败：不往此节点调度，调度到其它节点

• DNS代理会话保持

• dproxy_cmd dump_ldns_ps //查看DNS代理会话保存

• dproxy_cmd flush_ldns_ps //清理DNS缓存

• adtcpdump -i eth2 port 53 -nn

节点调度

• 虚拟服务节点池调度算法

• 轮询

• 加权轮询

• 根据连接数除以权重，选取最小值

• 加权最少连接（推荐）

• 会话数除以比重，选取最小值

• 客户服务器性能不一致建议使用

• 加权最少流量

• 当前总流量除以比重，选取最小值

• 最快响应时间

• 发送数据包进行探测，调度到响应最快的节点。必须配置connect/dns/radius/database监视器

• 动态反馈

• 节点监视器通过SNMP监视节点负载，根据节点负载动态改变其权值，使负载轻的节点获得更多的选择机会，负载重的节点获得较少的选择机会，从而达到各个节点的负载均衡。必须配置SNMP监视器。

• 优先级（新旧服务器共存场景）

• 优先调度优先级高的节点

• 优先级高的节点全部不可用时才会调度到下一优先级节点（708可指定生效服务器个数）

• 哈希

• 根据hash的关键字（如URI、源IP等）经过hash运算得到哈希值，使不同的关键字尽可能平均调度各节点池中各个节点

• 依据源IP哈希的效果类似于会话保持

• 节点池健康状态

• 恢复时间：节点从恢复正常到开始提供服务的时间

• 温暖时间：节点开始提供服务后随着时间增长，选中的概率越来越大

• 调度不匀

• 服务器性能不一致

• 优先级只有等待节点不可用才会调度低的节点，节点繁忙不认为不可用。

• 加权轮询测试时，权重需要按比例设置，否则效果为轮询

• 节点调度算法不合理；默认推荐加权最小连接

• 会话保持影响。一旦节点离线会全部调度到其他节点，并被会话保持固定。

• 测试调度策略过程中不能关联会话保持

• 长连接业务。连接长时间保持不断，访问量少。

节点状态

• 正常--允许所有流量

• 现有连接 – 保持

• 新建会话保持 – 可以建立

• 新建连接 – 可以建立

• 平滑退出 -- 只有会话保持的活跃连接允许访问

• 现有连接 – 保持

• 新建会话保持 – 无法建立

• 新建连接 – 只有存在会话保持记录的客户端可以建立

• 软关机（禁用） -- 只有活跃会话允许访问

• 现有连接 – 保持

• 新建会话 – 无法建立

• 新建连接 – 无法建立

节点监视器状态

• 正常

• 服务不可用

• 网络建立成功，收到应答包，但应答内容和配置不符，节点不可用

• 网络不可用

• 连接未建立成功或未收到应答包，节点不可用

极端案例

• 绑定端口场景

• 应用有2个端口，协议不一样，创建2个虚拟服务，服务端口TCP8000 UDP8001，分别关联包含2个后台服务器的同一个节点池，节点池调度算法为源IP哈希，会话保持选择none

• 应用要求同一个客户端调度访问2个端口要调度到同一个节点上，那可以创建一个节点池（节点不带端口）

• 两个端口只要故障一个就认为此节点离线，所以可以采用CONNECT监视器，监视2个端口，全部正常才认为节点有效；

• 选择合适的调度算法或者会话保持，要保证2个虚拟服务能根据源IP调度到同一个节点上；

• 同一个节点池会公用一张会话保持表，那么可以采用源IP会话保持，调度算法采用轮询；

高可用

双机组播地址

配置同步组播地址:224.0.0.57
路由同步组播地址:224.0.0.56
路由同步组播地址:224.0.0.55

条件

网口数量顺序一致
授权一致
硬件平台一致
appversion一致

模式

主备模式
高可用集群

• 主备集群

• 双主集群

• 多主集群

• 非等价集群

心跳口

串口
电口\光口
交换口
vlan接口
心跳口故障监测

通过下拉框所选业务口检测对端是否在线，相当于在备份心跳口再做一次冗余备份

备份心跳口建议用管理口,不能与默认地址/管理地址同一网段,新配置一个网段[必须配置]

1、备份心跳口不支持会话同步功能2、只能进行心跳和配置同步

备份心跳口如果针对管理口需要指定IP

配置同步选项

管理口地址/设备名称不同步
会话同步:传输层会话保持\会话同步
全状态会话同步:三角传输场景开启
MAC地址同步:主机接口MAC地址同步到备机,避免对接设备学习ARP表导致的丢包,不会同步通信介质故障选中的接口
通讯介质故障:HA口的状态,避免HA口故障导致的双主

• 当HA口异常,通过组播地址查看是否有ARP地址冲突,如有通过MAC地址大小重新选举[大为主机\小为备机]

如果MAC地址小的为主机,当HA口出现异常时,双机状态会出现切换

启用备机交换口:备机的交换口是否转发数据
down备机网口:物理down--与抢占功能互斥

故障切换

切换条件

• 自定义:两行间是或关系

• 至少

• 全部 and

备机掉电检测:当备机离线时不进行主备切换,只和接口物理状态相关,不考虑链路状态

双机故障切换条件

ARP:二层环境下
掉线检测:接口状态
健康检测:对应接口状态应用的状态
服务进程检测:对应虚拟服务的检查状态检查

加入集群

有集群配置权限的账号，用户名密码

双机支持配置恢复\导入,在配置同步完成后会重启设备

没有主控被控区别，任意设备更改在集群内同步生效

公共对象

自定义内容

设备自带的模板无法被前置调度策略引用，可在自定义页面中复制模板的内容

使用场景

服务器负载

场景

AD为用户选择最佳的服务器
服务器冗余、高可用
业务的冗余、高可用

负载方式

• 全端口映射

• 双向NAT

AD上启用代理上网功能（SNAT使服务器看到的源IP是AD，服务器回包会回给AD，保证来回数据都经过AD）

基于 URI、HOST、COOKIE、USER_AGENT 等 HTTP 头部匹配策略选择服务器，或对HTTP头部的请求、应答改写，执行页面跳转和丢弃等操作。

DR方式L4

服务器环回口配置虚拟服务 IP。AD 分发请求时不改变目的 IP ，将目的MAC替换为服务器 MAC，将请求转发给后端服务器，服务器回包直接返回网关（用户）。该模式下，AD和后端realy server都有相同VIP，且在同一2层网络中，因此Client发送的请求报文到达INPUT链时，只要将报文中的【CIP | CMAC-VIP | D MAC】中的【VIP | DMAC】改成【VIP-RMAC】,后端realy server接收报文并构建响应，此时，响应报文不再经过Director，realy server直接响应客户端。

服务类型

3层

• IP

4层

• TCP

• UDP

• FTP

• ORACLE-TCP

7层

• TCP-L7

• UDP-L7

• DNS

• HTTP

• HTTPS

• SSL

• RADIUS

• ORACLE-TCP-L7

负载算法

会话保持机制
服务器健康度检查
服务器平滑退出
服务器温暖上线

• 出现条件

新节点上线，缓慢接受新连接，比如刚上线的节点一般会直接调度到，如果这里设置了温暖时间，他会慢慢往上面调度，不会一下子调度

• 1.这个节点是新添加的

• 2.这个节点曾经离线过再重新加入的

• 【应用负载】-【节点池】选择节点池打开，温暖时间取值0-300秒，0表示关闭温暖上线

基于消息的长连接负载

• 问题

• 调度按会话保持

• 故障切换慢

• 解决方案

• iPro脚本按消息将报文调度到不同节点

• 实时探测服务器健康度，主动切换节点

节点选择

轮询
加权轮询
加权最小链接
加权最少流量
最快
动态反馈
优先级
哈希

健康状态检查

a) ICMP是发送ICMP包探测服务器，以判断服务器是否正常，最常用。
b) SNMP是基于网络和硬件，检查服务器硬件是否正常运行，如CPU、内存等情况。
c) CONNECT是自定义基于应用类型的方式，发送TCP或者UDP包进行检测。
d) DNS与Radius是根据这些服务器本身提供的应用特征检查，例如发送域名解析请求探测DNS服务器的服务是否可用

链路负载

入站链路负载

访问时必须用域名：把域名解析成对应运营商的IP地址DNS解析（智能DNS）
实现多条链路的冗余
AD为用户选择最优的链路进入

出站链路负载

AD为用户选择最优的链路上网
链路繁忙保护

• 到达链路繁忙阈值后不在使用某条链路

关键特性

• 多链路负载

• 技术

• 智能路由

• DNS透明代理

• 智能DNS解析

• 算法

• 轮询

• 加权轮询

• 静态就近性

• 动态就近性

IPV6改造

NAT6-4

天窗

路径方式：通过修改URL路径代理外链

• 支持纯ip web

域名方式：通过修改域名代理外链

• 有域名

服务器性能优化

TCP链接复用

客户端访问请求捆绑处理，减少服务器TCP并发连接数

页面缓存

采用内存缓存和包存储机制，结合动态缓存空间调整提供更快的响应速度

HTTP压缩

通过标准HTTP压缩规范自动识别客户端对gzip或deflate压缩算法支持情况，并实现数据动态压缩

SSL卸载

将访问中SSL的加解密转到深信服AD上

命令行

SSH命令行

模式

交互模式

• 键入sfcli进入，支持双击tab补全

• 适用场景

• 构建指令模板

• 手工配置设备

指令模式/运行模式

• 适用场景

• 指令黏贴

• 批量导入

• ？查看支持命令

• 注意：初始模式，此模式不支持双击tab补全

注意事项

SSH不支持限制管理IP
SSH不支持仅查看模式

指令类型

配置指令=方法+模块+配置（类型）（名称）（参数）
统计指令=方法+模块+子模块+（名称）（统计项）（参数）

语法

方法

• list //查询

• delete //删除

• creat //创建

• export //导出指令

• modify //修改

模块

• slb //应用负载

• net //网络部署

• lc //链路负载

• sys //系统管理

• dns //全局负载

• ha //高可用性

• rc //资源管理

配置（依赖于模块）
对配置进行命名

使用方法

创建A记录
创建节点池
创建健康状态健康【可选】
创建虚拟服务

web consel

session srcaddr 192.168.133.4 //查看IP会话

API

由客户端发起

HTTP请求中URI表示目标配置（资源）

HTTP请求中Method表示操作方法（增/删/改/查）

方法

• GET查询

• POST创建

• PUT替换

• PATCH更新

• DELETE 删除

资源

• /api/slb/virtual-service/虚拟服务列表资源

• /api/sllb/virtual-service/{name）指定虚拟服务资源

头部

• AuthorizationBasic认证

• x-token-sangforadToken认证

请求参数

• all_properties=[true|false]是否输出默认项

• Search=[STRING]配置关键字搜索

HTTP请求必须带有认证信息（token）

HTTP Basic Auth
每次请求都携带用户名密码
开发简单且容易调试
token

• 申请Token并分配有效期

• 使用请求头部x-token-sangforad传输Teken

• 超过有效期Token失效

• 用后注销Token失效

设备处理后返回HTTP应答

HTTP应答包含结果状态（状态码）

状态码

• 200请求执行成功

• 401认证失败（信息错误或会话超时）

• 403无权限访问

• 404资源不存在

• 500服务器内部错误

应答数据

• 执行成功（状态码2XX）

• {配置JSON数据}

• 执行失败

• {错误信息JSON}

• 包含err_code及msg

HTTP应答包含预期数据（应答实体）

数据以JSON格式传输

CMD

nslookup

set type=mx

• 优先级越小越优先

set type=ns

• 权威域名服务器，值为域名，还需结合A或AAAA记录

set type=cname

• 别名记录，使得多个域名对应一个IP

set type=ptr

• 邮件系统的一种，用于反向地址解析

• IP找域名

set type=txt

• 为域名配置说明

set type=soa

• 寻找主根服务器

• 表示此DNS服务器是域内的最佳DNS

set type=srv

• 表示那台计算机提供哪些服务

server 114.114.114.114

后台

openad

取黑匣子

ad-getlog.sh

高可用

双机条件

要求硬件平台必须一致

授权必须要一致（除升级序列号之外的序列号授权一致）

软件版本信息必须一致（appversion完全一致）

高可用配置

心跳口

IP地址不能与内网网段冲突
备心跳口推荐使用manage口

• 主要用来作为主心跳口的冗余保障机制,不支持会话同步

心跳口故障检测

• 通过业务口检测对端是否在线（发送组播端口7967探测）

故障切换

隐性条件

• 主设备在磁盘损坏

• 核心进程故障

• 设备宕机

• 重启

监视器级别检测

• 参考链路健康状态检测

• 网口up/down状态

• 所有集群成员建议勾选

自动清除故障时间

• 备机无法主动探测链路健康度，等待故障时间超时后备机恢复链路故障状态为健康

同步对象

会话同步

• 会话保持记录同步不受这个开关控制，双机默认会同步会话保持记录

• 开关开启后，支持三四层虚拟服务连接跟踪同步

• 支持snat /dnat连接跟踪同步，支持链路负载连接跟踪同步

• 同步连接跟踪仅支持TCP UDP协议

全状态同步

• 默认仅同步建立状态的TCP回话

• 如开启全状态同步，则所有状态的连接都会同步给备机

MAC地址同步

• 对已选网口，主备机将会使用相同虚拟mac，主备切换时备机直接接管主机ip和mac，不需更新ARP缓存，只需更换端口MAC地址表

联动配置

网口掉电
down网口列表
备机交换口是否具有数据转发功能

主备模式

高可用集群

概念：不同业务组运行于不同集群设备上

浮动IP

静态IP用户服务健康度检查、浮动IP用于业务发布
业务发布地址随虚拟服务在设备间生效
静态地址则始终生效在指定的设备上
浮动IP不需与静态IP同段，路由可达即可
【网络配置】-【网络接口】-【浮动IP地址列表】中添加

集群条件

硬件平台一致（网口数量、网口顺序一致）
授权一致
软件版本信息一致

配置流程

主控

• 选择模式

• 创建集群

• 主备心跳口信息

被控成员

• 选择模式

• 加入集群

• 主控主心跳IP

• 集群管理权限用户名、密码

• 被控主备心跳心跳口信息

心跳线

作用：集群状态维护、状态维护
支持类型

• 物理链路

• VLAN

• bridge

• manage

• 主心跳为管理口将无法同步会话

• 建议管理口为备心跳口

MAD(Multi-Active Detection)多主检测

• 业务口作为第三道MAD检测机制，当主备均出现故障通过业务口发送MAD检查包

• 自动选举某一主控设备进入沉默状态

成员管理

设备名称

• 系统管理-通用配置-管理口配置

进入设备

• CGI实现集群设备跳转

删除设备/退出集群【效果一致】

• 退出集群是主动退出

• 删除设备是被动退出

• 主控不能被删除

设备组管理

概念：将集群成员设备划为不同组
方便在应用组对设备进行精细化管理

• 启用设备组优选后，只有设备组作为待选设备，如设备组group1全部故障后才会切换生效设备group2中的设备

抢占

• 高优先级设备从故障中恢复后会抢占生效设备角色，使生效设备负载

故障切换

• 链路至少需要配置监视器和拔线检测中的一个

• 故障切换配置中的对象（包含链路和节点池）一定要配置对应的故障检测

虚拟MAC

• 使用自动生成功能即可

应用组管理

修改应用组设备优先级不会改变生效设备需手动切换

集群设备状态

健康状态

• 在线

• 设备无故障，页面显示为 -

• 警告

• 主心跳口故障

• 备心跳口故障

• 没有基本序列号

• 序列号授权不一致

• 软件版本不一致

• 故障

• 正在进行批量同步

• 设备脑裂

• 硬件版本不一致

• 心跳进程异常

• 沉默

• 磁盘故障

• 应用层服务故障

• 系统升级

• 系统重启

• 系统关闭

• 离线

• 主备心跳口同时故障

业务状态

• 健康

• 未启用故障切换，默认健康；

• 或启用故障切换，且根据故障切换配置条件计算出来结果为健康；

• 监视器故障

• 启用了双机故障切换且启用了强监视器设备才有这个状态；

• 链路监视器故障，且满足了故障切换条件，设备业务状态就是监视器故障状态

• 网口故障

• 启用双机故障切换，不论是强监视还是弱监视设备，链路引用网口掉电且满足故障切换条件，设备的业务状态就是网口故障状态

• 无效

• 当设备状态为离线故障沉默时候，设备不具有承担业务的能力，当前业务状态为无效

报表中心（默认关闭）

链路统计

总流量、上下行

访问次数

带宽利用率

可用性、稳定性

节点统计

总流量、上下行

访问次数

并发连接数

可用性、稳定性

虚拟服务统计

总流量、上下行

访问次数

可用性、稳定性

智能路由统计

总流量、上下行

访问次数

智能DNS

数据中心

虚拟IP池

LDNS集合

来源分布

异常请求

系统操作

AD升级路线

高危操作

ipv4添加8个0默认路由

配置SSL卸载虚拟服务，HTTPS控制台使用443端口

未填写虚拟MAC时切换应用组生效设备 -- 高可用模块主备信息开启MAC同步

更改链路数授权将重启设备，需拆除双机

后台

OPEN AD

负载方式

HTTPS

HTTP

TCP

分配策略

轮询算法

最少连接

源IP算法

会话保持类型

HTTP/HTTPS

HTTP cookie
应用程序cookie
源IP地址

TCP

源IP地址

健康检测类型

PING

TCP

HTTP

上网卡顿

mpstat文件

记录当前设备每核CPU的使用情况，某核心idle空闲为0会有数据处理异常

nf_conntrack_count文件

记录系统连接数大小，连接数100万左右需要查设备性能表

uptime文件

记录设备的开机时间，设备的平均1分钟、5分钟和15分钟内的系统平均负载情况，双核CPU，正常情况下负载数值为小于1

dev文件

记录网口数据，查看dorp包是否有累增

mem_overload文件

只需7.x版本关注

查看是否内存过载，L7 overload level:0代表正常，level为1-3则会有丢包异常

Ether_Dzh

关注

5
点赞
踩
36

收藏

觉得还不错? 一键收藏
0
评论
深信服应用交付（AD）学习笔记

AD目录DNS相关全局智能DNS虚拟地址池同步角色同步公差全局应用负载通信同步端口： TCP 558本地智能DNS调度原则调度策略监视地址健康状态检查延迟切换DNS代理终端PC DNS配置DNS会话保持代理策略缓存并发查询代理目标范围前置调度策略其它注意实现智能DNS网络配置接口拨号接口PPPOE：7.0.3以上管理口：10.252.252.252/24、10.254.254.254/24交
复制链接

扫一扫