深信服科技AD日常维护手册
深信服科技大客户服务部
2015年04月
■版权声明
本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属深信服所有，受到有关产权及版权法保护。任何个人、机构未经深信服的书面授权许可，不得以任何方式复制或引用本文的任何片断。
目录
第1章 SANGFOR AD设备的每天例行检查......................... 错误!未定义书签。
例行检查前需准备：...................................... 错误!未定义书签。
设备硬件状态例行检查项.................................. 错误!未定义书签。
设备状态灯的检查............................... 错误!未定义书签。
接口指示灯的检查............................... 错误!未定义书签。
设备CPU运行检查............................... 错误!未定义书签。
设备异常状况检查............................... 错误!未定义书签。
日常维护注意事项........................................ 错误!未定义书签。
升级客户端的使用........................................ 错误!未定义书签。第2章 SANGFOR AD设备的每周例行检查......................... 错误!未定义书签。
控制台账号安全性检查.................................... 错误!未定义书签。
关闭远程维护............................................ 错误!未定义书签。
设备配置备份............................................ 错误!未定义书签。第3章常见问题排错.......................................... 错误!未定义书签。
无法登陆设备控制台...................................... 错误!未定义书签。
AD新建了虚拟服务，但是无法访问......................... 错误!未定义书签。
链路负载，上网时快时慢，DNS有时解析不了域名............ 错误!未定义书签。
DNS策略不生效.......................................... 错误!未定义书签。
DNS代理不生效.......................................... 错误!未定义书签。
智能路由不生效.......................................... 错误!未定义书签。
登陆应用系统，一会儿弹出并提示重新登陆.................. 错误!未定义书签。技术支持..................................................... 错误!未定义书签。
第1章 SANGFOR AD设备的每天例行检查
1.1 例行检查前需准备：
(1)安装了WINDOWS系统的电脑一台
(2)设备与步骤1所描述的电脑在网络上是可连通的
(3)附件中所带的工具包一份
（包括：升级客户端程序）
1.2 设备硬件状态例行检查项
为了保证设备的稳定运行，工作人员需要以天为周期对设备进行检查，例行检查的项目如下：
1.1.1设备状态灯的检查
SANGFOR AD系列硬件设备正常工作时电源灯常亮，设备的状态指示灯（设备面板左上角标示“状态”字样）只在设备启动时因系统加载会长亮（约一分钟），正常工作时熄灭。如果在使用过程中此灯长亮（注意双机热备的备机此灯会以闪烁），且设备无法正常使用请按照如下步骤进行操作：
(1)请立即将设备断电关闭，将系统切换到备机；
(2)半小时后将设备重启，若重启后红灯仍一直长亮不能熄灭，请速与我司技术支
持取得联系。
1.1.2接口指示灯的检查
正常情况下，网口link灯在感知到电信号的时候会呈绿色（百兆链路，如果是千兆链
路，该灯会成橙色）且长亮，网口ACT灯在有数据通过的时候会呈橙色且会不停闪烁，如果link或者ACT灯不闪或者不亮，请按照如下步骤进行操作：
(1)检查该网线是否破损
(2)检查网口水晶头是否有破损
(3)检查网卡双工模式是否协商匹配
(4)上述均没有问题，请及时重启设备切换主备，并及时联系深信服技术支持
1.1.3设备CPU运行检查
通过设备控制台的网关运行状态，检查CPU占用率是否长期居高，注：登陆设备后显示的第一页面就是网关运行状态，如果CPU长期居高，请按照如下步骤进行操作：
(1)在线用户数是否超过了设备能够承受的并发参数
(2)设备是否遭受到了DOS攻击（设备默认关闭防dos攻击，开启后可产生日志）
(3)某个进程是否异常（需联系深信服技术支持确认）
1.1.4设备异常状况检查
检查设备硬件是否有异常（风扇，硬盘是否有异常声响）
如果设备内部有异常声响，可能是硬盘或风扇的异常工作导致，请立即断开电源停止设备工作，如有备用机，请立即将系统切换到备用机；并及时联系我司客服部门以确认故障并返修设备。
1.3 日常维护注意事项
1.4 升级客户端的使用
升级客户端是我司开发的用于调试设备的一个客户端工具，集成了一些常用的网络命令，和具备升级、备份设备配置的功能，对于日常维护工作有很大帮助，下载地址：请至服务与支持-软件下载-常用工具中下载最新版本的升级客户端
注：使用升级客户端登陆设备须放通tcp 51111端口。
下载升级客户端后，解压压缩包，打开SANGFOR Firmware 文件，如下图：
输入设备的IP地址，并输入登录密码即可登录。
默认的登录密码是“dlanrecover”或“控制台Admin管理员的密码”。界面如下：
登录成功后，会出现登录成功的提示，如下图：
按F10，可进入如下界面
【备份】：包括备份配置、恢复备份配置选项，如下图：
【备份配置】：将现有的配置信息进行备份。
【恢复备份配置】：将以前备份过的配置信息恢复到设备。
【命令】：包括Ping、查看路由表、查看ARP表、查看网络配置选项。如下图
第2章 SANGFOR AD设备的每周例行检查为了保证设备信息的完整性和可恢复性，请以月为周期进行如下例行检查：
2.1 控制台账号安全性检查
检查项:
1.控制台管理员密码是否为默认或是空
如果空密码或默认密码则检查不通过，请立即修改密码
2.控制台管理员密码一个月内有没有修改过
如果控制台管理员密码一个月内都没有修改过，请立即修改并妥善保存密码
3.控制台是否有多余账号
如果有的话，请删除多余账号，保留控制台账号
2.2 关闭远程维护
为了避免设备被非法入侵，请及时关闭远程维护功能。
2.3 设备配置备份
为了保证网络的稳定运行，建议客户每半个月进行一次配置的备份，以防止系统意外瘫痪导致系统无法迅速恢复。
方法：见升级客户端章节中关于备份配置的介绍。
第3章常见问题排错
本部分主要介绍了AD设备在使用中可能会碰到的一些问题和维护的方法：
3.1 无法登陆设备控制台
(1)检查设备面板上红色alarm灯是否常亮
(2)是否能够正常ping通设备管理口
(3)从内网是否能telnet通设备443、51111端口
(4)Tracert设备管理口地址，看数据包是否能够到达设备内网口
(5)如经过上述步骤仍无法登陆设备速联系我司技术支持
3.2 AD新建了虚拟服务，但是无法访问
(1)在【链路状态】里查看线路是否在线，如不在线，说明外网线路问题；
(2)在【虚拟服务状态】里查看虚拟服务状态，如果繁忙、离线，则不能访问；
(3)在【节点状态】检查节点是否在线；
(4)检查访问的IP地址是否正确，是否配置了互联网ip地址， dns策略和http重
定向会使用互联网ip地址替换IP组的地址；
(5)如果是网关模式，可以先禁用虚拟服务，然后建立端口映射，试着用端口映射是否
能访问到；
(6)如果是网桥模式，检查IP组设置的是否包含网桥IP，访问的是否是网桥IP；
(7)如果节点在线，线路也未离线，如果是旁路模式部署，那检查是否做了SNAT；
(8)从内网不经过AD查看是否可以访问到应用系统；
(9)如果是使用 cookie 会话保持，改用源IP会话保持看是否能恢复正常；
(10)如果不是基于http协议的，有专门的客户端软件的，（例如手机炒股软件之类），
测试时注意配置好虚拟服务后，要重启客户端。
3.3 链路负载，上网时快时慢，DNS有时解析不了域名
问题产生的原因：
(1)使用了线路繁忙保护，导致上网数据匹配到智能路由里面的default策略，default
策略
采用流量最小加权算法，所以导致一会走线路1一会走线路2；
(2)访问的目标IP不在ISP地址段里面；
(3)链路监视器问题，导致外网链路不停的出现离线的情况；
(4)使用电信的地址去访问网通的DNS服务器，网通的DNS不回复，导致DNS解析不了；
(5)若启用了DNS代理，调度策略选轮询或加权轮询，有可能会出现访问一个电信的站点，
恰好调度到联通的DNS，导致联通解析DNS不了域名；
(6)若启用了DNS代理，查看【DNS状态】，看DNS服务器是否不停离线。
解决方法：
(1)把繁忙保护比例设置成99%（建议刚部署设备时，把繁忙保护比例设置成99%），当
只有1条电信或1条联通线路时，建议禁用繁忙保护。
(2)确定dns客户端里面配置的DNS服务器都在ISP地址段里面。
3.4 DNS策略不生效
（1）检查域名是不是A记录；
（2）【服务器设置】里面是否有填写监听地址；
（3）检查【服务器设置】里面的地址，是否和DNS代理的监听地址冲突；
（4）将电脑的DNS地址填写成AD的IP，能否解析；
（5）查看公网的NS记录是否填写正确。
3.5 DNS代理不生效
（1）监听地址有没有填；
（2）DNS服务器列表有没有填；
（3）【DNS状态】中dns服务器是否在线；
（4）客户端电脑的DNS是否填的监听地址或者DNS服务器列表中的地址。
3.6 智能路由不生效
（1）检查智能路由的配置是否正确；
（2）查看【链路状态】中的外网线路是否离线或者繁忙；
（3）在【路由测试】中进行测试，看测试结果；
（4）检查【出站高级配置】，出站会话保持的子网掩码是否合适。
3.7 登陆应用系统，一会儿弹出并提示重新登陆
（1）检查是否开启会话保持；
（2）对于cookie会话保持，检查客户PC的系统时间是否不正确，是否有较大误差；
（3）对于cookie会话保持，检查AD的系统时间是否有较大误差；
（4）cookie会话保持超时时间是否设置过短；
（5）检查客户的浏览器是否把安全等级设置过高，是否禁用部分cookie。
技术支持
技术支持电话：400-630-6430
技术支持论坛：用户支持
公司主页：
深信服应用交付AD 深信服，作为中国最大最有竞争力的前沿网络设备供应商，为3万多家客户提供了稳定可靠的访问，每秒钟经过深信服AD处理的业务交易量高达数千万笔，在中国入选世界500强的企业中，85%以上企业都是深信服的客户。 中国第一品牌 全球知名分析机构Frost & Sullivan发布的《2013年中国应用交付产品（ADC）市场分析报告》显示：深信服应用交付AD在2013年依然保持强劲增长，在中国市场占比中，超越Radware，升至第二，与F5再次缩小距离，并继续保持国产厂商第一的领导地位。 ④报告数据显示，Sangfor（深信服）2013年在中国地区应用交付市场 的份额达到14.1%，排名升至第二位。 ④自2009年推出到市场上以来，深信服AD产品由第九名一跃进入三 甲，在国产厂商中名列前茅。AD产品广泛应用于国家部委单位的核心 系统与电信运营商的生产网。 ④优异的市场表现，也促使深信服成为唯一入选Gartner应用交付魔力 象限的国产厂商，分析师对深信服产品的安全性评价尤为突出。 面向未来的应用交付产品 随着大数据时代的来临，即便是当前强劲的10Gbps性能设备在面对数十G业务量的并发处理时，也难免也会捉襟见肘。顺应网络发展的趋势，深信服AD系列产品采取基于原生64位系统的软硬架构设计，在确保高性能处理能力的同时，提供电信级的设备可靠性。 深信服AD可帮助用户有效提升 ?应用系统的处理性能与高可用性 ?多条ISP出口线路的访问通畅、均衡利用 ?分布式数据中心的全局调度、业务永续 ?业务应用的安全发布与高效访问 ④兼顾高性能与高稳定性的架构设计，原生64位内核OS，数据面与控制面相分离，确保软件系统的稳定高效。 ④非对称多处理架构发挥出多核硬件平台的极致性能，实现高达60Gbps的单机性能处理性能。 ④提供100Gbps 以上业务量的性能扩容方案，以满足运营商和金融行业对于扩展性与高可用性的追求。
深信服负载均衡AD 日常维护手册
文档仅供参考，不当之处，请联系改正。 深信服科技 AD日常维护手册 深信服科技大客户服务部 04 月
■版权声明 本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属深信服所有，受到有关产权及版权法保护。任何个人、机构未经深信服的书面授权许可，不得以任何方式复制或引用本文的任何片断。
目录 第1章 SANGFOR AD设备的每天例行检查 (5) 1.1例行检查前需准备： (5) 1.2设备硬件状态例行检查项 (5) 1.2.1设备状态灯的检查 (5) 1.2.2接口指示灯的检查 (6) 1.2.3设备CPU运行检查 (6) 1.2.4设备异常状况检查 (7) 1.3日常维护注意事项 (7) 1.4升级客户端的使用 (8) 第2章 SANGFOR AD设备的每周例行检查 (12) 2.1控制台账号安全性检查 (12) 2.2关闭远程维护 (12) 2.3设备配置备份 (12) 第3章常见问题排错 (14) 3.1无法登陆设备控制台 (14) 3.2 AD新建了虚拟服务，但是无法访问？ (14) 3.3链路负载，上网时快时慢，DNS有时解析不了域名 (15) 3.4 DNS策略不生效 (16) 3.5 DNS代理不生效 (17) 3.6智能路由不生效 (17) 3.7登陆应用系统，一会儿弹出并提示重新登陆 (17) 技术支持 (18)
第1章SANGFOR AD设备的每天例行检查 1.1 例行检查前需准备： (1)安装了WINDOWS系统的电脑一台 (2)设备与步骤1所描述的电脑在网络上是可连通的 (3)附件中所带的工具包一份 （包括：升级客户端程序） 1.2 设备硬件状态例行检查项 为了保证设备的稳定运行，工作人员需要以天为周期对设备进行检查，例行检查的项目如下： 1.2.1设备状态灯的检查 SANGFOR AD系列硬件设备正常工作时电源灯常亮，设备的状态指示灯（设备面板左上角标示“状态”字样）只在设备启动时因系统加载会长亮（约一分钟），正常工作时熄灭。如果在使用过程中此灯长亮（注意双机热备的备机此灯会以闪烁），且设备无法正常使用请按照如下步骤进行操作： (1)请立即将设备断电关闭，将系统切换到备机； (2)半小时后将设备重启，若重启后红灯仍一直长亮不能熄
智能DNS全局负载均衡解决方案 ——深信服AD系列应用交付产品 背景介绍 在数据大集中的趋势下，多数组织机构都建立了统一运维的数据中心。考虑到单 一数据中心在遭遇到不抗拒的因素（如火灾、断电、地震）时，业务系统就很有 可能立即瘫痪，继而造成重大损失，因此很多具有前瞻性的组织机构都在建设多 数据中心以实现容灾。那么如何充分利用多个数据中心的资源才能避免资源浪 费？如何在一个数据出现故障时，将用户引导至正常的数据中心？在多个数据中 心都健康的情况下如何为用户选择最佳的数据中心？ 问题分析 随着组织的规模扩大，用户群体和分支机构分布全国乃至全球，这一过程中组织对信息化应用系统的依赖性越来越强。对于企事业单位而言，要实现业务完整、快速的交付，关键在于如何在用户和应用之间构建的高可用性的访问途径。 跨运营商访问延迟－由于运营商之间的互连互通一直存在着瓶颈问题，企业在兴建应用服务器时，若只采用单一运营商的链路来发布业务应用，势必会造成其他运营商的用户接入访问非常缓慢。在互联网链路的稳定性日益重要的今天，通过部署多条运营商链路，有助于保证应用服务的可用性和可靠性。 多数据中心容灾－考虑到单数据中心伴随的业务中断风险，以及用户跨地域、跨运营商访问的速度问题，越来越多组织选择部署同城/异地多数据中心。借助多数据中心之间的冗余和就近接入机制，以保障关键业务系统的快速、持续、稳定的运行。
深信服解决方案 智能DNS全局负载均衡解决方案，旨在通过同步多台深信服AD系列应用交付设备，以唯一域名的方式将多个数据中心对外发布出去，并根据灵活的负载策略为访问用户选择最佳的数据中心入口。 用户就近访问 ④支持静态和动态两种就近性判断方法，保障用户在访问资源时被引导至最合适的数据中心 ④通过对用户到各站点之间的距离、延时、以及当前数据中心的负荷等众多因素进行分析判断 ④内置实时更新的全球IP地址库，进一步提高用户请求就近分配的准确性，避免遭遇跨运营商访问 站点健康检查 ④对所有数据中心发布的虚拟服务进行监控，全面检查虚拟服务在IP、TCP、UDP、应用和内容等所有协议 层上的工作状态 ④实时监控各个数据中心的运行状况，及时发现故障站点，并相应地将后续的用户访问请求都调度到其他的 健康的数据中心 入站流量管理 ④支持轮询、加权轮询、首个可用、哈希、加权最小连接、加权最少流量、动态就近性、静态就近性等多种 负载均衡算法，为用户访问提供灵活的入站链路调度机制 ④一旦某条链路中断仍可通过其它链路提供访问接入，实现数据中心的多条出口链路冗余 方案价值 ④合理地调度来自不同用户的入站访问，提升对外发布应用系统的稳定性和用户访问体验 ④多个数据中心之间形成站点冗余，保障业务的高可用性，并提升各站点的资源利用率 ④充分利用多条运营商链路带来的可靠性保障，提升用户访问的稳定性和持续性
深信服负载均衡AD-4000-BS参数 一、性能及配置要求 序号技术指标指标要求 1 接口要求千兆电口≥6个千兆光口≥4个 2 硬件配置内存≥8GB 存储介质≥500GB 3 性能要求吞吐量≥6Gbps 并发会话数≥800万 四层每秒新建会话数≥20万七层每秒新建会话数≥40万 二、功能要求 技术指标指标要求 部署方式支持串接部署、旁路部署；支持三角传输模式。 设备形态独立专业负载设备，非插卡式扩展的负载均衡设备。高可用性支持双机热备部署，设备之间同步会话信息。 负载均衡算法支持轮询、加权轮询、加权最小连接、动态反馈、最快响应、最小流量、带宽比例、哈希、主备、首个可用、UDP强行负载等算法。 会话保持机制支持源IP、Cookie（插入/被动/改写）、HTTP-Header、Radius、SSL Session ID等多种会话保持机制。 链路健康检查支持多种链路检测方法，能够通过PING、TCP、HTTP等方式监控链路的连通性。 支持链路冗余机制，当某一条链路故障时，可将访问流量切换到其它链路，保障用户业务的持久通畅。 服务器健康检查支持常见的主动式健康检查功能，提供基于SNMP、ICMP、TCP/UDP、FTP、HTTP、DNS、RADIUS，ORACLE/MSSQL/MYSQL 数据库等多种类型的探测判断机制。 支持被动式健康检查，可根据对业务流量的观测采样，辅助判断应用服务器健康状况；对常规HTTP应用可配置基于反映URL失效的HTTP响应状态码的观测判断机制，对于复杂应用可配置基于RST
关闭连接和零窗口等异常TCP传输行为的观测判断机制。 支持主动探测方式与被动观测方式结合使用的服务器健康检查手段，以便适应各种复杂应用交互流程，保障业务系统的高可用性。 业务交付优化支持非对称式部署的TCP协议优化技术，提升远端用户访问应用服务的速度。无需在用户终端或应用服务器上安装任何插件和软件，不受操作系统类型、浏览器版本等兼容性因素限制，并且用户首次访问应用服务即可产生加速效果。 支持图片优化技术，通过对图片格式的转换，减少传输流量，提升web页面加载速度。无需改动服务器端的图片源文件，可根据浏览器种类自动识别转换类型，将图片转换为对应支持的WebP或JPEG 格式，优化加速效果。 服务器性能优化支持SSL卸载和加速功能，卸除服务器端的密集型运算任务，释放服务器计算资源，并提升SSL业务的处理速度。 支持HTTP缓存功能，利用内存Cache缓存用户频繁访问的web内容，降低后台服务器的负载压力,提升用户访问的响应速度。 支持HTTP压缩功能，采用工业标准的GZIP或Deflate算法来压缩HTTP数据，从而减少传输数据量并降低带宽消耗，缩短客户端访问的下载等待时间。 支持TCP连接复用功能，利用HTTP连接池机制，将来自客户端的多个请求合并成一个连接发送到服务器，减少服务器端的工作负荷，并提升业务效率。 免费开通HTTP压缩、HTTP缓存、TCP连接复用、SSL加速功能，无需额外购买相应授权。 服务需要提供原厂三年售后服务承诺函，竞价时需上传原件电子版
深信服科技AD日常维护手册 深信服科技大客户服务部2015年04月
有特别注明，版权均属深信服所有，受到有关产权及版权法保护。任何个人、机构未经深信服的书面授权许可，不得以任何方式复制或引用本文的任何片断。目录 SANGFOR AD设备的每天例行检查 例行检查前需准备： (1)安装了WINDOWS系统的电脑一台 (2)设备与步骤1所描述的电脑在网络上是可连通的 (3)附件中所带的工具包一份
（包括：升级客户端程序） 设备硬件状态例行检查项 为了保证设备的稳定运行，工作人员需要以天为周期对设备进行检查，例行检查的项目如下： 1.2.1设备状态灯的检查 SANGFOR AD系列硬件设备正常工作时电源灯常亮，设备的状态指示灯（设备面板左上角标示“状态”字样）只在设备启动时因系统加载会长亮（约一分钟），正常工作时熄灭。如果在使用过程中此灯长亮（注意双机热备的备机此灯会以闪烁），且设备无法正常使用请按照如下步骤进行操作： (1)请立即将设备断电关闭，将系统切换到备机； (2)半小时后将设备重启，若重启后红灯仍一直长亮不能熄灭，请速与我司 技术支持取得联系。 1.2.2接口指示灯的检查 正常情况下，网口link灯在感知到电信号的时候会呈绿色（百兆链路，如果是千兆链路，该灯会成橙色）且长亮，网口ACT灯在有数据通过的时候会呈橙色且会不停闪烁，如果link或者ACT灯不闪或者不亮，请按照如下步骤进行操作： (1)检查该网线是否破损 (2)检查网口水晶头是否有破损 (3)检查网卡双工模式是否协商匹配 (4)上述均没有问题，请及时重启设备切换主备，并及时联系深信服技术支 持 1.2.3设备CPU运行检查 通过设备控制台的网关运行状态，检查CPU占用率是否长期居高，注：登陆设备后显示的第一页面就是网关运行状态，如果CPU长期居高，请按照如下步骤进行操作： (1)在线用户数是否超过了设备能够承受的并发参数 (2)设备是否遭受到了DOS攻击？（设备默认关闭防dos攻击，开启后可产 生日志） (3)某个进程是否异常？（需联系深信服技术支持确认） 1.2.4设备异常状况检查 检查设备硬件是否有异常（风扇，硬盘是否有异常声响） 如果设备内部有异常声响，可能是硬盘或风扇的异常工作导致，请立即断开电源停止设备工作，如有备用机，请立即将系统切换到备用机；并及时联系我司客服部门以确认故障并返修设备。
国内外主流负载均衡产品对比分析
负载均衡设备厂家对比分析 厂商 名称 深信服radware F5 公司介绍 深信服科技目前是中国成长最快、创新能力 最强的前沿网络设备供应商，致力于通过创新和 技术领先的网络产品，帮助用户提升网络带宽的 价值。 目前其产品已经应用于1万4千多家客户， 主要在政府单位和大型企业中应用，其中包括公 安部在内，近200家省厅及国家部委单位。 深信服的VPN产品国内市场占有率第一，是 国家VPN加密标准的起草单位。 Radware 是以色列一家领先的智能化 解决方案供应商，致力于确保在IP上快速、 可靠而安全地交付网络或基于Web的应用 程序。产品系列中包括为满足IP应用服务 器、防火墙、cache 服务器和W AN 链接 而开发和设计的产品。 其在国内的客户主要集中在运营商、金 融、电子商务企业。 F5是美国著名的应用交付设备厂家，致 力于帮助客户在整个企业范围发挥虚拟 化的威力，提高业务水平。解决方案可以 优化网络、服务器、以及存储环境。 目前其在国内主要的客户群主要包括 了金融、大型企业集团、网站等。 服务介绍 深信服是总部设于深圳的中国企业，在全国 有30多个办事处。设有中国负载均衡行业最大 的CTI呼叫中心，拥有坐席70人，提供7*24小 时服务。而在河南郑州设有直属办事处，以及一 个服务中心，有专业产品工程师5人。 Radware 目前在国内有4个办事处， 分别位于上海、广州、北京、成都。为所 有用户提供5*8小时本地电话及在线支持 服务。目前在河南还没有建立直属办事处， 售后服务主要由其代理商负责。 F5 目前在国内有4个办事处，分别位 于上海、广州、北京、成都。为所有用户 提供5*8小时本地电话及在线支持服务。 目前在河南还没有建立直属办事处，售后 服务主要由其代理商的认证工程师负责。 提供收费的原厂售后支持服务。
一、概述 随着互联网技术的不断发展，企业开始更多地使用互联网来交付其关键业务应用，企业生产力的保证越来越多的依赖于企业IT架构的高可靠运行，尤其是企业数据中心关键业务应用的高可用性,所以企业越来越关注如何在最大节省IT成本的情况下维持关键应用7×24小时工作,保证业务的连续性和用户的满意度。 然而，由于中国电信发展的历史问题，使得不同运营商之间的互连互通一直存在着很大的问题。例如，通过电信建立的应用服务器，如果是网通的用户访问该资源的时候，Ping的延时有几百甚至上千毫秒，用户访问时，可能会出现应用响应缓慢甚至没有响应造成无法访问的问题。这样企业在建立应用服务器时，如果用户采用单条接入链路，无论是采用电信还是网通网络链路，势必都会造成相应的网通或电信用户访问非常缓慢。 如果只保持一条到公共网络的连接链路则意味着频繁的单点故障和脆弱的网络安全性。在互联网链路的稳定性日益重要的今天，显然，单个互联网无法保证应用服务的质量和应用的可用性以及可靠性，而应用服务的中断，将会带来重大损失。 因此，采用多条链路已成为保证互联网链路稳定性和快速性的必然选择。而传统的多链路的解决方案也不能完全保证应用的可靠性和可用性； 传统多归路方案通过每条互联网链路为内网分配一个不同的IP地址网段来实现对链路质量的保证。这样来解决方案虽然能够解决一些接入链路的单点故障问题，但是这样不仅没有实现真正上的负载均衡，而且配置管理复杂。 1.路由协议不会知道每一个链路当前的流量负载和活动会话。此时的任何负载均衡都是很不精确的， 最多只能叫做“链路共享”。 2.出站访问，有的链路会比另外的链路容易达到。虽然路由协议知道一些就近性和可达性，但是他 们不可能结合诸如路由器的HOP数和到目的网络延时及链路的负载状况等多变的因素，做出精确的路由选择。 3.入站流量，有的链路会比另外的链路更好地对外提供服务。没一种路由机制能结合DNS，就近性， 路由器负载等机制做出判断哪一条链路可以对外部用户来提供最优的服务。 所以说，传统的多链路接入依靠复杂的设计，解决了一些接入链路存在单点故障的问题。但是，它远远没有把多链路接入的巨大优势发挥出来。 二、需求分析 为了提升应用系统的稳定性和可靠行，通过已经部署多条互联网链路以保证网络服务的质量，消除单点故障，减少停机时间。目前需要在如下两种情况下实现多条链路的负载均衡： 1、内部的应用系统和网络工作站在访问互联网络的服务和网站时如何能够在多条不同的链路中动态分配和负载均衡，这也被称为出站流量的负载均衡。 2、互联网络的外部用户如何在外部访问内部的网站和应用系统时也能够动态的在多条链路上平衡分配，并在一条链路中断的时候能够智能地自动切换到另外一条链路到达服务器和应用系统，这也被称作为入站流量的负载均衡。 正对上述问题，我们推荐使用深信服AD应用交付解决方案，可以智能的为客户解决上述问题： 对于出站流量，AD接收到流量以后，可以智能的将出站流量分配到不同的INTERNET接口，并做源地址的NAT，可以指定某一合法IP地址进行源地址的NAT，也可以用AD的接口地址自动映射，保证数据包返回时
深信服科技 AD服务器负载方案深信服科技有限公司
服务器负载均衡解决方案文档密级：公开 目录 第1章概述 (1) 第2章需求分析 (1) 第3章解决方案 (2) 3.1网络拓扑 (2) 3.2方案描述 (2) 3.2.1方案设计 (2) 3.2.2方案实现 (3) 3.3产品彩页 (4)
第1章概述 随着组织机构的不断发展，为了节省业务运营成本和提升工作效率，组织对信息化系统的依赖程度越来越高。为了避免业务中断所带来极大损失，组织该如何保障业务系统的系统可用性和稳定性？ 由于业务系统的人数日益增多，单一的网络服务设备的性能已经不能满足众多用户访问的需要，由此需要引入服务器的负载平衡，实现客户端可访问多台同时工作的服务器，动态分配每一个应用请求到后台的服务器，并即时按需动态检查各个服务器的状态，根据预设的规则将请求分配给最有效率的服务器。 服务器负载均衡技术在现有网络结构之上能够提供一种廉价、有效、透明的方法来扩展网络设备和服务器的带宽、增加吞吐量、加强网络数据处理能力、提高网络的灵活性和可用性。它主要能够带来两方面的价值： 1、能够建立有效的负载均衡机制 传统的负载机制是建立在较简单负载均衡机制和较简单的健康检查机制上的，不能根据服务器提供服务的具体情况向其转发有效的访问流量。而通过构建新的负载均衡系统，可以采用多种负载均衡机制，将大量的并发访问或数据流量分担到多台设备上分别处理，进而减少用户等待响应的时间，提升系统处理能力。 2、能够建立有效的健康检查机制 负载均衡系统可以对服务器的运行状况做出准确判断，确保提供服务的正确。全面的健康检查机制不仅可以有效的监控到服务进程的有效性，即对应用端口提供服务的能力进行健康检查，而且对于应用程序运行错误也同样可以提供有效的检查机制，从而避免了客户端可以访问到服务器，但得不到响应的情况的出现。 第2章需求分析 1、通过负载均衡设备将用户访问请求分配到多台之上，提升应用系统的处理能力。 2、当某台服务器发生故障时能被及时检测到，并且故障服务器将会被自动隔离，直到其恢复正常后自动加入服务器群，实现透明的容错，保证服务器整体性能得到大幅提升 3、由于是对外发布的应用，存在部门用户的网络质量差、跨运营商访问的情况，造成
双活数据中心（业务层）方案 一、需求背景： 随着数据的大集中，银行纷纷建设了负责本行各业务处理的生产数据中心机房（一般称为数据中心），数据中心因其负担了全行业务，所以其并发业务负荷能力和不间断运行能力是评价一个数据中心成熟与否的关键性指标。 近年来，随着网上银行、手机银行等各种互联网业务的迅猛发展，银行数据中心的业务压力业成倍增加，用户对于业务访问质量的要求也越来越高，保障业务系统的7*24小时连续运营并提升用户体验成为信息部门的首要职责。 商业银行信息系统的安全、稳定运行关系着国家金融安全和社会稳定，监管机构也十分重视商业银行的灾难备份体系建设，多次发布了商业银行信息系统灾难备份的相关标准和指引，对商业银行灾备系统建设提出了明确的要求。 为适应互联网业务的快速增长，保障银行各业务安全稳定的不间断运行，提高市场竞争力，同时符合监管机构的相关要求，建设灾备、双活甚至多活数据中心正在成为商业银行的共同选择。 二、发展趋势： 多数据中心的建设需要投入大量资金，其项目周期往往很长，涉及的范围也比较大。从技术上来说，要实现真正意义上的双活，就要求网络、应用、数据库和存储都要双活。就现阶段来看，大多数客户的多数据中心建设还达不到完全的双活要求，主流的建设目标是实现应用双活。目前客户建设多数据中心的模型可以归纳为以下几种： 1.单纯的数据容灾： 正常情况下只有主数据中心投入运行，备数据中心处于待命状态。发生灾难时，灾备数据中心可以短时间内恢复业务并投入运行，减轻灾难带来的损失。这种模式只能解决业务连续性的需求，但用户无法就近快速接入。灾备中心建设的投资巨大且运维成本高昂，正常情况下灾备中心不对外服务，资源利用率偏低，造成了巨大的浪费。
深信服科技 AD网站应用负载方案 深信服科技有限公司 20XX年XX月XX日
目录 第1章概述 (1) 第2章需求分析 (1) 第3章解决方案 (2) 3.1网络拓扑 (2) 3.2方案描述 (3) 3.2.1方案设计 (3) 3.2.2方案实现 (3) 3.3稳定性保障机制 (4) 3.3.1系统健康状况监控 (4) 3.3.2应用系统冗余机制 (4) 3.3.3服务器平滑退出 (5) 3.3.4服务器平滑进入 (5) 3.4多重负载均衡机制 (5) 3.4.1应用类型负载 (5) 3.4.2基于URL负载 (5) 3.4.3七层内容负载 (6) 3.5服务器性能优化 (6) 3.6单边加速技术 (6) 3.7商业智能分析 (6) 第4章相关技术介绍 (7) 4.1负载均衡算法 (7) 4.2健康检查机制 (7) 4.3会话保持 (8) 4.4单边加速技术 (9) 4.5商业智能分析 (10)
4.6性能优化技术 (11) 4.6.1TCP连接复用 (11) 4.6.2内存缓存 (11) 4.6.3HTTP压缩 (12) 4.6.4SSL加速 (12) 4.6.5智能路由技术 (13) 4.6.6智能告警技术 (13) 第5章客户案例 (13) 5.1.1最高法选择深信服AD打造稳定的对外发布平台 (13) 5.1.2广西质监部署深信服AD应用交付 (15) 5.2更多成功客户 (17) 第6章SANGFOR专业服务 (17)
第1章概述 随着组织机构的不断发展，为了节省业务运营成本和提升工作效率，组织对信息化系统的依赖程度越来越高。为了避免业务中断所带来极大损失，组织该如何保障业务系统的系统可用性和稳定性？ 由于业务系统的人数日益增多，单一的网络服务设备的性能已经不能满足众多用户访问的需要，由此需要引入服务器的负载平衡，实现客户端可访问多台同时工作的服务器，动态分配每一个应用请求到后台的服务器，并即时按需动态检查各个服务器的状态，根据预设的规则将请求分配给最有效率的服务器。 服务器负载均衡技术在现有网络结构之上能够提供一种廉价、有效、透明的方法来扩展网络设备和服务器的带宽、增加吞吐量、加强网络数据处理能力、提高网络的灵活性和可用性。它主要能够带来两方面的价值： 1、能够建立有效的负载均衡机制 传统的负载机制是建立在较简单负载均衡机制和较简单的健康检查机制上的，不能根据服务器提供服务的具体情况向其转发有效的访问流量。而通过构建新的负载均衡系统，可以采用多种负载均衡机制，将大量的并发访问或数据流量分担到多台设备上分别处理，进而减少用户等待响应的时间，提升系统处理能力。 2、能够建立有效的健康检查机制 负载均衡系统可以对服务器的运行状况做出准确判断，确保提供服务的正确。全面的健康检查机制不仅可以有效的监控到服务进程的有效性，即对应用端口提供服务的能力进行健康检查，而且对于应用程序运行错误也同样可以提供有效的检查机制，从而避免了客户端可以访问到服务器，但得不到响应的情况的出现。 第2章需求分析 XX单位作为…(关于客户应用的介绍) 随着访问用户数量的增加，给XX单位的服务器带来越来越大的压力，如有有效的保证客户访问的速度和稳定性是目前XX单位网络改造的重要目标。 XX单位希望通过服务器负载均衡机制，保证用户访问流量能在各服务器上均衡分配，
深信服双活数据中心业务层方案
双活数据中心（业务层）方案 一、需求背景： 随着数据的大集中，银行纷纷建设了负责本行各业务处理的生产数据中心机房（一般称为数据中心），数据中心因其负担了全行业务，因此其并发业务负荷能力和不间断运行能力是评价一个数据中心成熟与否的关键性指标。 近年来，随着网上银行、手机银行等各种互联网业务的迅猛发展，银行数据中心的业务压力业成倍增加，用户对于业务访问质量的要求也越来越高，保障业务系统的7*24小时连续运营并提升用户体验成为信息部门的首要职责。 商业银行信息系统的安全、稳定运行关系着国家金融安全和社会稳定，监管机构也十分重视商业银行的灾难备份体系建设，多次发布了商业银行信息系统灾难备份的相关标准和指引，对商业银行灾备系统建设提出了明确的要求。 为适应互联网业务的快速增长，保障银行各业务安全稳定的不间断运行，提高市场竞争力，同时符合监管机构的相关要求，建设灾备、双活甚至多活数据中心正在成为商业银行的共同选择。
二、发展趋势： 多数据中心的建设需要投入大量资金，其项目周期往往很长，涉及的范围也比较大。从技术上来说，要实现真正意义上的双活，就要求网络、应用、数据库和存储都要双活。就现阶段来看，大多数客户的多数据中心建设还达不到完全的双活要求，主流的建设目标是实现应用双活。当前客户建设多数据中心的模型能够归纳为以下几种： 1.单纯的数据容灾： 正常情况下只有主数据中心投入运行，备数据中心处于待命状态。发生灾难时，灾备数据中心能够短时间内恢复业务并投入运行，减轻灾难带来的损失。这种模式只能解决业务连续性的需求，但用户无法就近快速接入。灾备中心建设的投资巨大且运维成本高昂，正常情况下灾备中心不对外服务，资源利用率偏低，造成了巨大的浪费。
技术方案 本方案包含两个部分，上网行为管理技术方案和负载均衡技术方案 一、上网行为管理技术方案 1、需求概述 背景介绍 随着互联网技术的发展，组织的业务模式和员工的工作模式、行为习惯都在不断发生改变： ?网上业务：组织建设了更多的网上业务平台，通过互联网来开展业务； ?沟通桥梁：内部员工也更加依赖互联网与外部的合作伙伴、人员进行沟通和交流，提升工作效率，获取资讯和知识，维系人脉关系； ?移动互联网：移动互联网的消费化趋势也逐渐影响到组织内部的IT系统，员工更喜欢通过WLAN、移动终端类开展工作； 因此，在员工的日常工作中，ISD需要针对互联网出口平台的如下上网行为管理、上网安全防护需求进行改造，提供一个更安全、更高效的上网环境。 上网行为管理需求 员工访问互联网的习惯正在发生变化，从最早使用PC、有线局域网，到更多使用移动终端、WLAN来进行办公，如果过度开放的上网环境会带来以下问题：工作效率低下 网络的普及改变了传统的办公方式，而内网中总有部分用户在上班时间有意无意的做与工作无关的网络行为，比如聊天、炒股、玩网游、看视频、网购等，而且越来越多的员工正在通过企业无线网络来使用移动APP版的淘宝、陌陌。这严重影响工作效率，从而导致企业竞争力的下降。 所以，组织需要针对PC、移动终端等各种应用、APP进行更有效的识别和管控。
带宽滥用和浪费 互联网中充斥着P2P下载、在线视频、游戏、在线小说等耗费带宽的非关键业务应用，用户在使用这些应用的过程中必然会占用大量的带宽，而关键的业务应用、关键人员角色则得不到足够的资源。 此外，传统的带宽管理策略都是静态的，当带宽空闲时，依然会限制用户的流量，带宽价值被大大浪费。 所以，IT部门需要针对各种应用类型、用户角色、带宽占用情况等，提供更加灵活、细致、动态的带宽管理策略，提升用户上网体验。 BYOD难管理 随着移动终端的普及，员工往往会采用PC、智能手机、Pad等多种终端，通过有线和无线网络，在不同的位置（办公座位、会议室等），接入企业IT 系统。这种使用场景的多样化，让传统上网管理的手段，难以应对内部资料的泄密、移动终端设备的盗用、移动APP难以管控等管理问题。 所以，IT部门需要基于用户角色、终端类别、使用位置、应用类别、时间等更多的元素，为员工不同的上网情景，制定更精细的网络管理策略，提升办公效率的同时，降低安全风险。 WLAN安全隐患 在一些没有提供Wlan的单位，员工为了便捷性，往往会通过360随身WiFi、家用WiFi路由器等方式私自建立个人Wlan，让自己的移动终端可以随意使用单位的上网资源。这给企业的安全策略管理带来的很多的管理漏洞。 所以，IT部门需要针对私接的非法无线热点、非法代理等威胁进行有效的识别、管控。 访客接入繁琐 企业组建WLan后，当有来宾访客需要上网时，要么直接开放，安全风险高，人员随意接入，无法定位身份；要么需要提前申请临时账号，管理复杂。 所以，组织需要一套使用便捷，即来即用，同时又能满足安全合规要求的
深信服负载均衡主备双机一、主备双机配置界面 『主备』设置双机热备功能。界面如下图所示： 『名称』自定义设备的名称，方便区分当前哪台设备处于主模式。
『状态』中[启用]用来启用双机，[禁用]用来禁用双机。 『超时时间』当在超时时间内备机一直无法收到主机发送的心跳包，则认为主机超时，备机主动切换成主机。 『通信介质』选择连接双机的接口，可以用串口和空闲的网口。选择网口后，需要为该网口配置一个IP地址，只要不与正在使用的IP地址冲突即可。建议选择网口作为通信介质，通过网口来做双机切换比串口切换花费的时间短。通信介质选择网口，则可以实现会话同步。 『MAC同步』用于设置双机切换是否同步MAC地址。 『同步网口列表』用于设置切换双机的时候同步哪些接口的MAC地址，需要开启MAC 同步才会显示该选项。 『通信介质故障检测』通过网络数据包来检测对端是否存在，避免两台设备成为主机导致IP冲突。两台设备的通信介质故障检测网口需要接到同一个广播域，可以选择已经使用的网口，也可以选择空闲网口，选择空闲网口需要设置IP地址。界面如下： 『同步配置』点击向备机同步配置。 『故障切换』用于设置双机切换条件，符合此处设置的条件则进行主备切换，界面如下：
『状态』用于设置是否启用双机故障切换检测，『检测类型』分为『掉线检测』、『ARP 检测』、『健康检查』3 的检测方法。 『掉线检测』当检测到网口物理状态不正常则进行切换。 『ARP检测』AD设备向选择的接口发送ARP广播，如果监视主机里填写的IP地址有回应ARP，则判断正常。该监视主机地址需要填写与AD设备接口同一网段的地址。界面如下： 『健康检查』通过网络接口处设置的链路健康检查机制来检测，当选择健康检查后，只有启用了链路健康检查的链路才可选，界面如下：
深信服负载均衡日常维 护手册 Company number：【WTUT-WT88Y-W8BBGB-BWYTT-19998】
深信服科技AD日常维护手册 深信服科技大客户服务部2015年04月
■版权声明 本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属深信服所有，受到有关产权及版权法保护。任何个人、机构未经深信服的书面授权许可，不得以任何方式复制或引用本文的任何片断。 目录
第1章SANGFOR AD设备的每天例行检查1.1 例行检查前需准备： (1)安装了WINDOWS系统的电脑一台 (2)设备与步骤1所描述的电脑在网络上是可连通的 (3)附件中所带的工具包一份 （包括：升级客户端程序） 1.2 设备硬件状态例行检查项 为了保证设备的稳定运行，工作人员需要以天为周期对设备进行检查，例行检查的项目如下： 1.2.1设备状态灯的检查 SANGFOR AD系列硬件设备正常工作时电源灯常亮，设备的状态指示灯（设备面板左上角标示“状态”字样）只在设备启动时因系统加载会长亮（约一分钟），正常工作时熄灭。如果在使用过程中此灯长亮（注意双机热备的备机此灯会以闪烁），且设备无法正常使用请按照如下步骤进行操作： (1)请立即将设备断电关闭，将系统切换到备机； (2)半小时后将设备重启，若重启后红灯仍一直长亮不能熄灭，请速与我司技术支 持取得联系。 1.2.2接口指示灯的检查 正常情况下，网口link灯在感知到电信号的时候会呈绿色（百兆链路，如果是千兆链路，该灯会成橙色）且长亮，网口ACT灯在有数据通过的时候会呈橙色且会不停闪烁，如果link或者ACT灯不闪或者不亮，请按照如下步骤进行操作： (1)检查该网线是否破损 (2)检查网口水晶头是否有破损 (3)检查网卡双工模式是否协商匹配 (4)上述均没有问题，请及时重启设备切换主备，并及时联系深信服技术支 持