提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

基础排查-步骤一:检查设备三角传输配置是否正确

|

问题描述

采用三角传输来实现服务器负载,主要目的如下:
1、业务数据非常庞大,双向经过负载担心设备性能不够,所以只需要单向流量经过负载设备。
2、旁路部署时,服务器的网关又不是AD,但服务器需要审计到客户端真实的源IP地址

告警信息

以如下拓扑来说明三角传输的标准配置和处理原理。

有效排查步骤

1、规划设备IP地址信息。

注意网口配置IP的顺序,第一个IP必须和linux在同一个网段,用来做节点池监视器判断服务器的实时状态。后面发布虚拟服务的IP为接口非首个地址,和服务器的环回地址一致的IP就是用来做真实业务访问的,跟服务器上的环回IP 一致。

2、发布虚拟服务的VIP为接口非首个地址,和服务器的环回地址一致。


3、新建四层虚拟服务,启用三角传输功能。
7.0版本配置稍有不同,原理也是类似,只需要将虚拟服务里面的DNAT禁用即可。




4、服务器上配置环回地址,且与虚拟服务VIP一致。

根因

三角传输只是用来转发数据给节点服务器,不改变目的IP地址和端口,改变的是目的Mac地址,利用服务器loopback口不响应arp的本质,避免了IP地址冲突。
结合上图更深入分析数据包的转发过程。

1、从节点监视器来看,设备使用接口首个地址为源地址去连接服务器的状态。

2、来自外网IP地址为113.240.36.58的用户访问,可以看到对于AD而言只是负责转发,相同数据一式两份




3、服务器接收到这样的数据查找服务器对应的路由表,一般服务器的网关肯定不是AD,故从而回包转发给网关,对应AD来说就是单边数据

4、服务器上抓包,可以看到三次握手的SYN ACK回复从网关出去,三角传输的全部就已经完毕。

解决方案

如上

建议与总结

1、如上分析可以看出经过AD的数据实属单向,一般网络设备都会识别为异常流量判为攻击包,AD也需要禁用网络攻击防护和开启wan网卡的入站路由转发
2、旁路模式部署需要WAN口设置多IP,第一个IP 不能是虚拟服务发布的IP,否则节点监视器无法监视节点。因为三角传输发布的虚拟服务的IP是服务器上loopback IP,如果AD设备以这个loopback IP发给服务器时,服务器无法回包给AD。
3、由于三角传输的特殊性,虚拟服务发布的端口必须要求与节点的端口一致,否则会出现客户端请求VPORT A分发到PORT B, 最终客户端收到PORT B的回复与请求的端口不一致,导致五元组不一致从而丢弃。

我要分享
文档编号: 250021
作者: admin
更新时间: 2023-04-17 16:44
适用版本: