應用的接入層通常需要承載大量的網絡請求，有些互聯網企業(yè)幾十萬PV請求，在軟件負載均衡無法支撐的情況下會考慮采用硬件負載均衡的技術幫助控制流量，然后再轉發(fā)給軟件負載均衡進行進一步的分發(fā)。

要點：

• 什么是硬件負載均衡?
• 硬件負載均衡的優(yōu)缺點是什么?
• 使用的注意事項以及應用的場景?
• 硬件負載均衡器實現哪些功能?

什么是硬件負載均衡?

網絡結構圖

硬件負載均衡解決方案是直接在服務器和外部網絡間安裝負載均衡設備，這種設備我們通常稱之為負載均衡器，由于專門的設備完成網絡請求轉發(fā)的任務，獨立于操作系統(tǒng)，整體性能高，負載均衡策略多樣化，流量管理智能化。

硬件負載均衡的優(yōu)缺點是什么?

優(yōu)點：直接連接交換機,處理網絡請求能力強，與系統(tǒng)無關，負載性可以強。可以應用于大量設施、適應大訪問量、使用簡單。

缺點：成本高，配置冗余.即使網絡請求分發(fā)到服務器集群，負載均衡設施卻是單點配置;無法有效掌握服務器及應使用狀態(tài).

使用的注意事項以及應用的場景?

注意事項，需要注意的是硬件負載均衡技術只專注網絡判斷，不考慮業(yè)務系統(tǒng)與應用使用的情況。有時候系統(tǒng)處理能力已經達到了瓶頸，但是此時網絡并沒有異常，由于硬件負載均衡并沒有察覺到應用服務器的異常，還是讓流量繼續(xù)進入到應用服務器。

使用場景，一般應用與PV 幾十萬甚至百萬的互聯網應用，一般的軟件負載均衡器例如Nignx 處理并發(fā)一般在1-2w，不足以支撐如此大的網絡請求，所以在其之前通常會防止類似F5這樣的硬件負載均衡器幫助控制網絡請求。如果一般的互聯網企業(yè)網絡請求數在1w左右的可以考慮使用Nignx(軟件負載均衡器)就足以滿足當前的業(yè)務了。

硬件負載均衡器實現哪些功能?

目前市面上有NetScaler, F5, Radware, Array 等產品，基本實現原理大致相同，我們這里把使用的比較多的 F5做為例子給大家做簡單解釋，算是窺豹一斑。

多鏈路負載均衡

關鍵業(yè)務都需要安排和配置多條ISP(網絡服務供應商)接入鏈路以保證網絡服務的質量。如果某個ISP停止服務或者服務異常了，那么可以利用另一個ISP替代服務，提高了網絡的可用性。不同的ISP有不同自治域,因此需要考慮兩種情況:INBOUND 和 OUTBOUND。

• INBOUND，來自網絡的請求信息。F5 分別綁定兩個ISP 服務商的公網地址,解析來自兩個ISP服務商的DNS解析請求。F5可以根據服務器狀況和響應情況對DNS進行發(fā)送,也可以通過多條鏈路分別建立DNS連接。
• OUTBOUND，返回給請求者的應答信息。F5可以將流量分配到不同的網絡接口，并做源地址的NAT(網絡地址轉換),即通過IP地址轉換為源請求地址。也可以用接口地址自動映射,保證數據包返回時能夠被源頭正確接收。

防火墻負載均衡

針對大量網絡請求的情況單一防火墻的能力就有限了，而且防火墻本身要求數據同進同出，為了解決多防火墻負載均衡的問題，F5提出了防火墻負載均衡的“防火墻三明治"方案

防火墻會對用戶會話的雙向數據流進行監(jiān)控，從而確定數據的合法性。如果采取多臺防火墻進行負載均衡，有可能會造成同一個用戶會話的雙向數據在多臺防火墻上都進行處理，而單個防火墻上看不到完成用戶會話的信息，就會認為數據非法因此拋棄數據。所以在每個防火墻的兩端要架設四層交換機，可以在作流量分發(fā)的同時，維持用戶會話的完整性，使同一用戶的會話由一個防火墻來處理。而F5 會協(xié)調上述方案的配置和實現，把“交換機”，“防火墻”，“交換機”夾在了一起好像三明治一樣。

防火墻“三明治”

服務器負載均衡

• 對于應用服務器服務器可以在F5上配置并且實現負載均衡，F5可以檢查服務器的健康狀態(tài)如果發(fā)現故障，將其從負載均衡組中移除。
• F5 對于外網而言有一個真實的IP，對于內網的每個服務器都生成一個虛擬IP，進行負載均衡和管理工作。因此,它能夠為大量的基于TCP/IP的網絡應用提供服務器負載均衡服務。
• 根據服務類型不同定義不同的服務器群組。
• 根據不同服務端口將流量導向對應的服務器。甚至可以對VIP用戶的請求進行特殊的處理，把這類請求導入到高性能的服務器使VIP客戶得到服務響應。
• 根據用戶訪問內容的不同將流量導向指定服務器。

可用性

• 自身高可用性，在雙機冗余模式下工作時實現毫秒級切換。
• 設備冗余電源模塊可選。
• 每臺設備通過心跳線監(jiān)控其他設備的電頻，發(fā)現故障的時候可以完成自動切換。
• 鏈路冗余：對鏈路故障進行實時檢測，一旦發(fā)現故障進行自動流量切換，過程透明。
• 服務器冗余：對服務器進行心跳檢測，一旦發(fā)現故障立即從服務器列表中移除，如果恢復工作又重新加入到服務器列表中。

安全性

• 站點安全防護
• 拆除空閑連接防止拒絕服務攻擊
• 能夠執(zhí)行源路由跟蹤防止IP欺騙
• 拒絕沒有ACK緩沖確認的SYN防止SYN攻擊
• 拒絕teartop和land攻擊;保護自己和服務器免受ICMP攻擊

系統(tǒng)管理

• 提供瀏覽器級別管理軟件，Web圖形用戶界面。

總結：對于高并發(fā)，高訪問量的互聯網應用可以考慮加入硬件負載均衡器作為接入層，協(xié)助代理層的軟件負載均衡器進行負載均衡的工作。硬件負載均衡器的特點是獨立于操作系統(tǒng)，處理大訪問量，費用高。從功能上來說支持多鏈路，多服務器，多防火墻的負載均衡，在可用性和安全性上也有良好的表現。