wuya6667 2008-4-7 13:41
实现ISA防火墙网络负载均衡的故障转移
[[url=http://whatis.ctocio.com.cn/searchwhatis/451/5947951.shtml]font[/url]=Verdana]在部署了[url=http://networking.ctocio.com.cn/]网络[/url]负载均衡（NLB）的网络中，当某个客户针对NLB虚拟地址发起连接请求时，NLB通过某种NLB算法来确定（通常是根据发起请求的客户端源地址来决定）为客户服务的NLB节点。在NLB节点没有变动之前，对于某个客户，将总是由某个对应的NLB节点为它提供服务。[url=http://whatis.ctocio.com.cn/searchwhatis/226/6025726.shtml]ISA[/url]防火墙企业版中的集成NLB依赖于Windows[url=http://server.ctocio.com.cn/]服务器[/url]系统的NLB服务，对于客户发起的请求，也是采用相同的方式进行处理。[/font] [font=Verdana]例如，对于一个具有三个NLB节点（ISA1、ISA2、ISA3）的ISA防火墙NLB阵列，当一个客户（10.1.1.1）发起连接请求时，NLB通过NLB算法确定由ISA1为此客户服务；而当另外一个客户（10.1.1.2）发起连接时，NLB通过NLB算法确定由ISA2为此客户服务。在NLB节点没有变动时，客户10.1.1.1的连接请求将会始终通过NLB节点ISA1来进行处理；而客户10.1.1.2的连接请求则会始终通过NLB节点ISA2来进行处理。[/font] [font=Verdana]当某个NLB节点出现故障时，NLB将在所有节点上重新进行汇聚，并重新根据NLB算法来确定为客户提供服务的NLB节点。例如，此时ISA1节点出现故障，无法再提供NLB服务；则NLB重新进行汇聚，如果客户10.1.1.1再发起连接请求，则就是ISA2或者ISA3来为它进行服务。[/font] [font=Verdana]当NLB节点失效时，NLB可以让其他NLB节点来为客户提供服务。但是，如果NLB节点的NLB服务没有失效但是所提供的其他服务失效时，怎么办呢？[/font] [font=Verdana]如下图所示，两台ISA防火墙属于相同的NLB阵列，分别通过不同的外部链路连接到[url=http://whatis.ctocio.com.cn/searchwhatis/127/6025627.shtml]Internet[/url]，并且对内部网络提供NLB服务。两台ISA防火墙允许内部网络中的用户通过自己来访问外部网络，正在为不同的客户提供服务；如果此时，ISA1上的外部链路突然断开，会出现什么情况呢？[/font] [font=Verdana][img]http://security.chinaitlab.[url=http://whatis.ctocio.com.cn/searchwhatis/307/5947307.shtml]com[/url]/UploadFiles_2323/200603/20060322154159542.jpg[/img][/font] [font=Verdana]此时，由于ISA1上的NLB服务并没有出现故障，所以NLB会认为ISA1仍然是有效的NLB节点，并且同样会分配客户给它。但是，由于外部链路断开，ISA1所服务的客户却不能再连接到Internet了。这当然就不能有效的实现网络负载均衡中的容错特性。[/font] [font=Verdana]那么，出现这种情况时，该怎么办呢？[/font] [font=Verdana]答案很简单，当出现这种情况时，停止ISA1上的NLB服务，这样，NLB会认为ISA1上的NLB服务已经失效，将重新汇聚NLB，并且重新分配客户。从而原来属于ISA1的客户可以通过仍然运行正常的ISA2来访问外部网络。[/font] [font=Verdana]要实现ISA防火墙NLB的故障转移比较简单，[url=http://winsystem.ctocio.com.cn/TechEd2007/]微软[/url]已经考虑到了。你可以通过配置ISA防火墙的连接性验证工具来实现当外部链路出现故障时进行相关的操作，但是要停止ISA防火墙上的NLB服务不是一件容易的事情。由于ISA防火墙上的NLB服务是和ISA防火墙服务集成的，所以你不能通过Windows的NLB stop命令来停止ISA防火墙上的NLB服务；微软也没有相关的关于如何停止ISA防火墙上的NLB服务的说明。在这种情况下，只能通过停止ISA防火墙服务来停止ISA防火墙上的NLB服务。[/font] [font=Verdana]但是停止ISA防火墙服务后，无法依靠ISA防火墙本身启动ISA防火墙服务，这样又给故障恢复时的处理带来难题。当外部链路恢复的时候，还是需要你手动启动ISA防火墙服务才能将这台ISA防火墙正常加入NLB阵列中运行，这造成了额外的管理负担。不过你可以通过第三方的链路监测软件实现NLB的故障转移和自动恢复，例如KS-Soft Advanced Host Monitor或者GFI Network Server Monitor。你可以配置它们当外部链路出现问题时停止ISA防火墙服务，而当外部链路恢复时启动ISA防火墙。[/font]
[font=Verdana]在此我给大家演示一下如何实现ISA防火墙NLB的故障转移，网络拓朴结构如下图所示：[/font] [font=Verdana][img]http://security.chinaitlab.com/UploadFiles_2323/200603/20060322154159212.jpg[/img][/font] [font=Verdana]内部网络地址范围为[b]10.1.1.0/24[/b]，部署了两台ISA企业版防火墙[b]Florence[/b]和[b]Firenze[/b]，[url=http://whatis.ctocio.com.cn/searchwhatis/250/7333750.shtml]操作系统[/url]均为[b]Windows [url=http://whatis.ctocio.com.cn/searchwhatis/497/5948997.shtml]server[/url] 2003 SP1[/b]，[url=http://whatis.ctocio.com.cn/searchwhatis/191/6025691.shtml]IP[/url]地址分别为[b]10.1.1.1[/b]和[b]10.1.1.2[/b]。对内部网络配置了NLB，NLB虚拟地址为[b]10.1.1.254[/b]，[/font] [font=Verdana][img]http://security.chinaitlab.com/UploadFiles_2323/200603/20060322154159312.jpg[/img][/font] [font=Verdana]两台ISA防火墙上的NLB服务均工作正常。[/font] [font=Verdana][img]http://security.chinaitlab.com/UploadFiles_2323/200603/20060322154159326.jpg[/img][/font] [font=Verdana][b]Berlin[/b]是内部网络中的客户，IP地址为[b]10.1.1.8[/b]，默认网关配置为NLB的虚拟地址[b]10.1.1.254[/b]。[/font] [font=Verdana]我已经创建了允许内部网络的所有用户访问外部网络的访问规则，已经确认所有网络连接工作正常。[color=#ff0000][b]在进行整个部署之前，你必须预先考虑好如何配置有效的连接性验证方式，以及什么时候触发警告[/b][/color]。如果要验证外部链路是否连接正常，你可以Ping离你最近的外部网络中的某台持续在线的服务器或路由器的IP地址。在此我通过配置连接性验证工具Ping我的DNS服务器61.139.2.69实现，如果连续两次不能Ping通时，则停止ISA防火墙服务。[/font] [font=Verdana]本文中的操作步骤如下：[/font] [list][*][b][font=Verdana][color=#006699]配置连接性验证工具；[/color][/font][/b]
[*][b][font=Verdana][color=#006699]配置警告操作；[/color][/font][/b]
[*][b][font=Verdana][color=#006699]测试；[/color][/font][/b]
[/list] [font=Verdana][size=5][color=#006699][b]配置连接性验证工具[/b][/color][/size][/font] [font=Verdana]打开ISA管理控制台，展开阵列，点击[b]监视[/b]节点，点击右边面板的[b]连接性[/b]标签，最后点击[b]创建新的连接性验证程序[/b]链接；[/font] [font=Verdana][img]http://security.chinaitlab.com/UploadFiles_2323/200603/20060322154159262.jpg[/img][/font] [font=Verdana]在弹出的[b]欢迎使用新建连接性验证程序向导[/b]页，输入连接性验证程序的名称，在此我命名为[b]Ping 61.139.2.69[/b]，点击[b]下一步[/b]；[/font] [font=Verdana][img]http://security.chinaitlab.com/UploadFiles_2323/200603/20060322154159201.jpg[/img][/font] [font=Verdana]在[b]连接性验证细节[/b]页，在[b]监视到此服务器或 [url=http://whatis.ctocio.com.cn/searchwhatis/125/5949125.shtml]URL[/url] 的连接[/b]栏，输入IP地址为[b]61.139.2.69[/b]，然后在[b]验证方法[/b]栏，选择[b]发送一个 Ping 请求[/b]，点击[b]下一步[/b]；[/font] [i][font=Verdana]注：关于连接性验证工具的使用及详细描述，请参见[url=http://www.isacn.org/info/info.php?sessid=&infoid=224][u][color=#0000ff]理解ISA 2004的连通性验证工具[/color][/u][/url]一文；[/font][/i] [font=Verdana][img]http://security.chinaitlab.com/UploadFiles_2323/200603/20060322154159954.jpg[/img][/font] [font=Verdana]在[b]正在完成连接性验证程序向导[/b]页，点击[b]完成[/b]；[/font] [font=Verdana][img]http://security.chinaitlab.com/UploadFiles_2323/200603/20060322154200929.jpg[/img][/font] [font=Verdana]此时，我们的连接性验证工具就创建好了，如下图所示，验证结果均正常。[/font] [img]http://security.chinaitlab.com/UploadFiles_2323/200603/20060322154200950.jpg[/img]
[b][font=Verdana][size=5][color=#006699]配置警告操作[/color][/size][/font][/b] [font=Verdana]接下来我们就需要配置当连接性验证工具出现[b]无连接[/b]的警告时，停止ISA防火墙服务。在ISA防火墙管理控制台中点击[b]警报[/b]标签，然后在右边的任务面板中点击[b]配置警报定义[/b]链接；[/font] [font=Verdana][img]http://security.chinaitlab.com/UploadFiles_2323/200603/20060322154200423.jpg[/img][/font] [font=Verdana]在弹出的[b]警报属性[/b]对话框，在列表中找到[b]无连接[/b]警报，然后点击[b]编辑[/b]按钮；[/font] [font=Verdana][img]http://security.chinaitlab.com/UploadFiles_2323/200603/20060322154200216.jpg[/img][/font] [font=Verdana]在弹出的[b]无连接属性[/b]对话框，首先在[b]常规[/b]标签确认它是[b]启用[/b]的，[/font] [font=Verdana][img]http://security.chinaitlab.com/UploadFiles_2323/200603/20060322154200832.jpg[/img][/font] [font=Verdana]然后在[b]事件[/b]标签，由于我想当连续两次出现无连接事件（即连续两次不能Ping通61.139.2.69）时触发警告，所以勾选[b]发生次数[/b]，然后输入[b]2[/b]，其他保持默认，点击[b]操作[/b]标签，[/font] [font=Verdana][img]http://security.chinaitlab.com/UploadFiles_2323/200603/20060322154200173.jpg[/img][/font] [font=Verdana]在[b]操作[/b]标签，勾选[b]停止选择的服务[/b]，然后点击[b]选择[/b]按钮；[/font] [font=Verdana][img]http://security.chinaitlab.com/UploadFiles_2323/200603/20060322154201198.jpg[/img][/font] [font=Verdana]在弹出的[b]选择 ISA 服务器服务[/b]对话框，勾选[b][url=http://whatis.ctocio.com.cn/searchwhatis/251/5948751.shtml]Microsoft[/url] 防火墙[/b]，然后点击[b]确定[/b]；[/font] [font=Verdana][img]http://security.chinaitlab.com/UploadFiles_2323/200603/20060322154201485.jpg[/img][/font] [font=Verdana]点击两次[b]确定[/b]返回到ISA管理控制台，最后点击[b]应用[/b]按钮保存修改和更新防火墙配置，并且等待直到所有ISA防火墙服务器完成配置的同步。[/font]
[b][font=Verdana][size=5][color=#006699]测试[/color][/size][/font][/b] [font=Verdana]我们现在在客户机Berlin上访问ISA中文站进行测试，访问成功。[/font] [font=Verdana][img]http://security.chinaitlab.com/UploadFiles_2323/200603/20060322154201244.jpg[/img][/font] [font=Verdana]ISA防火墙的实时日志如下图所示，可以清楚的看到，是由[b]Firenze[/b]为它提供的服务。[/font] [font=Verdana][img]http://security.chinaitlab.com/UploadFiles_2323/200603/20060322154201467.jpg[/img][/font] [font=Verdana]现在，我们把[b]Firenze[/b]上的外部链路断开，由于默认情况下连接性验证程序每30秒执行一次，所以等待大约1分钟后，你会发现[b]Firenze[/b]上的ISA防火墙服务已经自动停止了，如果在[b]Firenze[/b]上的ISA管理控制台的[b]警告[/b]中查看，你可以看到触发了以下三个警告，如图所示。[/font] [font=Verdana][img]http://security.chinaitlab.com/UploadFiles_2323/200603/20060322154202874.jpg[/img][/font] [font=Verdana]现在我们在[b]Berlin[/b]上试试继续访问呢，访问仍然成功。[/font] [font=Verdana][img]http://security.chinaitlab.com/UploadFiles_2323/200603/20060322154202521.jpg[/img][/font] [font=Verdana]但是，你可以从ISA防火墙的实时日志中看到，已经不是[b]Firenze[/b]而是[b]Florence[/b]为它提供的服务了。[/font] [font=Verdana][img]http://security.chinaitlab.com/UploadFiles_2323/200603/20060322154202949.jpg[/img][/font] [font=Verdana]至此，ISA防火墙NLB的故障转移就完全配置成功了。[/font]