【51CTO.com綜合報(bào)道】

一、 客戶（項(xiàng)目）背景

某省中心醫(yī)院是該省最大的甲級(jí)醫(yī)院。該醫(yī)院的醫(yī)療管理軟件系統(tǒng)應(yīng)用系統(tǒng)采用多層（C/S/S）架構(gòu)，將應(yīng)用服務(wù)器與數(shù)據(jù)庫(kù)服務(wù)器分離，其間通過(guò)千兆以太網(wǎng)技術(shù)來(lái)構(gòu)建主干網(wǎng)。中心設(shè)置4臺(tái)中心服務(wù)器，作為醫(yī)院的數(shù)據(jù)服務(wù)器、應(yīng)用服務(wù)器。4臺(tái)HP DL580G2作為數(shù)據(jù)服務(wù)器，采用高可靠性集群并配置磁盤(pán)陣列，充分保證數(shù)據(jù)的安全性及系統(tǒng)的穩(wěn)定性。在故障卻換上采用采用微軟N+1互備方式，保證在系統(tǒng)崩潰時(shí)能夠快速恢復(fù)。正常運(yùn)行狀態(tài)下，4臺(tái)主機(jī)為活動(dòng)狀態(tài)。出現(xiàn)異常時(shí)，故障主機(jī)上的應(yīng)用全部切換至另一臺(tái)主機(jī)。

在沒(méi)有負(fù)載均衡的條件下，多應(yīng)用服務(wù)器也存在一些弊端。

1.目前的4臺(tái)應(yīng)用服務(wù)器不能全部同時(shí)以active方式運(yùn)行，處于standby模式的備份機(jī)器不能投入生產(chǎn)運(yùn)行，是一種資源浪費(fèi)。

2.對(duì)客戶端的IP入口多，對(duì)用戶不透明，負(fù)載均衡機(jī)可以用一對(duì)多的VIP解決這個(gè)問(wèn)題。

3.由于應(yīng)用服務(wù)器支持大量的終端用戶，一臺(tái)應(yīng)用服務(wù)器出了問(wèn)題，就會(huì)影響到與之相連的客戶端的正常辦公業(yè)務(wù)；客戶端必須手動(dòng)指定其他正常應(yīng)用服務(wù)器進(jìn)行故障切換。

4.終端用戶的交換數(shù)據(jù)都存放在當(dāng)前的應(yīng)用服務(wù)器上，當(dāng)這臺(tái)服務(wù)器如果出現(xiàn)故障，所有存儲(chǔ)在這臺(tái)服務(wù)器上的數(shù)據(jù)就會(huì)全部丟失，造成的損失將是難以彌補(bǔ)的。

5.目前的微軟N+1互備方式在故障檢查上，在故障檢測(cè)和故障切換上并不專業(yè)。

二、客戶需求

為了保證終端服務(wù)系統(tǒng)的應(yīng)用的高可用性、高性能和安全性，醫(yī)院提出了下列需求：

1.提高應(yīng)用服務(wù)器的可靠性：

由于服務(wù)器硬件的穩(wěn)定性、流量壓力超載、網(wǎng)絡(luò)攻擊等情況經(jīng)常會(huì)出現(xiàn)意外宕機(jī)的情況，從而無(wú)法保證網(wǎng)絡(luò)應(yīng)用的7x24 小時(shí)的持續(xù)性服務(wù)。

需要自動(dòng)的終端服務(wù)可用性檢查，保證終端服務(wù)應(yīng)用的7x24 小時(shí)的持續(xù)性服務(wù)。

2.提高終端服務(wù)應(yīng)用的性能：

在終端服務(wù)系統(tǒng)中，通常會(huì)采用多臺(tái)服務(wù)器同時(shí)提供服務(wù)的方式。但是由于網(wǎng)絡(luò)中的流量并不均衡，因此經(jīng)常會(huì)出現(xiàn)某臺(tái)服務(wù)器由于訪問(wèn)量過(guò)大而宕機(jī)，造成網(wǎng)絡(luò)應(yīng)用性能的不穩(wěn)定，從而影響到整個(gè)網(wǎng)絡(luò)應(yīng)用系統(tǒng)的性能。需要智能負(fù)載均衡技術(shù)來(lái)提高終端服務(wù)應(yīng)用的性能。

3.對(duì)終端服務(wù)應(yīng)用的支持：

通過(guò)多種手段正確判斷服務(wù)器的健康狀況,識(shí)別不同的會(huì)話，支持會(huì)話保持功能。

4.對(duì)數(shù)據(jù)庫(kù)的負(fù)載均衡，當(dāng)一臺(tái)數(shù)據(jù)庫(kù)出現(xiàn)問(wèn)題時(shí)候自動(dòng)切換到正常的服務(wù)器。

三、梭子魚(yú)解決方案

本方案中，梭子魚(yú)向該醫(yī)院信息中心提供2臺(tái)梭子魚(yú)負(fù)載均衡機(jī)440型號(hào)以實(shí)現(xiàn)對(duì)應(yīng)用服務(wù)器的負(fù)載分擔(dān)。

梭子魚(yú)服務(wù)器負(fù)載均衡機(jī)是提供本地的服務(wù)器群負(fù)載均衡和容錯(cuò)的產(chǎn)品，在充分利用現(xiàn)有資源以及對(duì)IT基礎(chǔ)設(shè)施進(jìn)行最小變動(dòng)的前提下有效地進(jìn)行流量的分配，從而提高服務(wù)器的處理性能。對(duì)客戶端而言，這一切都是透明的。

在本方案中，梭子魚(yú)推薦使用2臺(tái)440型號(hào)的負(fù)載均衡機(jī)進(jìn)行堆疊部署，同時(shí)考慮到目前客戶的網(wǎng)絡(luò)環(huán)境，建議采用服務(wù)器直接返回接入模式來(lái)部署以實(shí)現(xiàn)最簡(jiǎn)單，并做到對(duì)現(xiàn)有系統(tǒng)的影響最小化。

同時(shí)，兩臺(tái)梭子魚(yú)負(fù)載均衡機(jī)互為備份，并采用“心跳”技術(shù)實(shí)時(shí)監(jiān)控伙伴設(shè)備是否實(shí)時(shí)可用，并可以向用戶提供秒級(jí)的故障切換，從而最大程度地提高終端服務(wù)系統(tǒng)的有效性與持續(xù)性。

本方案整體拓樸示意圖如下：

 四、方案總體設(shè)計(jì)

1.在核心分配交換機(jī)（主交換機(jī)上）接入2臺(tái)LB440提供對(duì)應(yīng)用服務(wù)器的負(fù)載均衡。

2.將負(fù)載均衡機(jī)的WAN口與核心交換機(jī)相連，LAN口閑置。

3.在LB中建立虛擬IP，并將后臺(tái)服務(wù)器與之綁定，形成虛擬終端服務(wù)。

4.在4臺(tái)應(yīng)用服務(wù)器上建立loopback回環(huán)端口，設(shè)定回環(huán)端口的IP為VIP。（這是在本方案中對(duì)客戶環(huán)境唯一的改動(dòng)，對(duì)應(yīng)用沒(méi)有任何影響）

五、梭子魚(yú)解決方案的優(yōu)勢(shì)

1. IP及Cookie的會(huì)話保持

梭子魚(yú)負(fù)載均衡機(jī)針對(duì)Windows終端服務(wù)提供了定制的負(fù)載均衡技術(shù)，可以選擇采用IP或Cookie保持的方式，充分保證終端客戶端的會(huì)話一致性，為電子商務(wù)等提供可靠的會(huì)話持續(xù)性。

2. 完全冗余鏡像/“心跳”技術(shù)實(shí)時(shí)監(jiān)控

梭子魚(yú)負(fù)載均衡機(jī)的冗余配置非常簡(jiǎn)單的，它們之間不需要任何的特殊電纜相連，只要可以IP尋址到即可。物理拓樸為簡(jiǎn)單易行的路由模式。當(dāng)一臺(tái)梭子魚(yú)負(fù)載均衡機(jī)由于檢修或故障的原因停機(jī)后，這時(shí)另一臺(tái)梭子魚(yú)負(fù)載均衡機(jī)會(huì)以最快的速度接管其工作。

梭子魚(yú)負(fù)載機(jī)秒級(jí)故障切換技術(shù)，確保了終端服務(wù)系統(tǒng)的不間斷運(yùn)行。

3. 先進(jìn)的服務(wù)器管理技術(shù)

梭子魚(yú)負(fù)載均衡機(jī)可以對(duì)不同性能的服務(wù)器進(jìn)行加權(quán)計(jì)算，對(duì)性能好的服務(wù)器可以多分擔(dān)一些流量。對(duì)有用戶數(shù)限制的服務(wù)器，梭子魚(yú)負(fù)載均衡機(jī)通過(guò)連接數(shù)限制技術(shù)，從而保證服務(wù)器連接不會(huì)超過(guò)限制，同時(shí)也保證了性能一般的服務(wù)器不會(huì)因?yàn)檫B接太多而宕機(jī)。

4. 多層實(shí)時(shí)的服務(wù)器健康檢查

梭子魚(yú)負(fù)載均衡機(jī)會(huì)實(shí)時(shí)地對(duì)后臺(tái)服務(wù)器進(jìn)行健康檢查，并決定在真實(shí)服務(wù)器不可用情況下服務(wù)如何處理。梭子魚(yú)負(fù)載均衡機(jī)服務(wù)監(jiān)控機(jī)制可以通過(guò)3/4層上（PING, PORT 等），以及7層 （DNS, HTTP, SMTP 等）來(lái)實(shí)現(xiàn)。

5. 擴(kuò)充能力靈活

梭子魚(yú)服務(wù)器負(fù)載均衡機(jī)與任何品牌、使用界面、操作系統(tǒng)的網(wǎng)絡(luò)服務(wù)器均兼容，在安裝時(shí)完全不須改變企業(yè)原有的網(wǎng)路架構(gòu)。當(dāng)您為業(yè)務(wù)擴(kuò)充而更新網(wǎng)絡(luò)服務(wù)器，新設(shè)備只要與梭子魚(yú)負(fù)載均衡機(jī)連接，您不須費(fèi)時(shí)集成新舊設(shè)備、或統(tǒng)合協(xié)定機(jī)制。因此梭子魚(yú)負(fù)載均衡機(jī)使您對(duì)網(wǎng)絡(luò)服務(wù)器的投資更為靈活，隨時(shí)依企業(yè)需求而彈性更新網(wǎng)絡(luò)架構(gòu)；若您的企業(yè)將擴(kuò)張至全球，梭子魚(yú)負(fù)載均衡機(jī)靈活的擴(kuò)充能力，幫助您輕松添加全球服務(wù)的行列。

6. 集成IPS功能

梭子魚(yú)服務(wù)器負(fù)載均衡機(jī)裝備了一個(gè)實(shí)時(shí)更新的入侵檢測(cè)系統(tǒng)，通過(guò)梭子魚(yú)動(dòng)態(tài)更新機(jī)制即時(shí)獲攻擊規(guī)則庫(kù)，可以保護(hù)被負(fù)載均衡的服務(wù)器抵御任何最新的基于連接的攻擊，包括以下類型：

·病毒擴(kuò)散： 如NIMDA與紅色代碼這樣的網(wǎng)絡(luò)傳播病毒

·緩存區(qū)溢出： 一種常見(jiàn)的獲取控制權(quán)的惡意攻擊方式

·協(xié)議相關(guān)：針對(duì)一些特定協(xié)議如SMTP、DNS或者LDAP的攻擊.

·應(yīng)用相關(guān)：針對(duì)一些特定應(yīng)用的攻擊如IIS、Websphere、Cold Fusion或者 Exchange.

·操作系統(tǒng)相關(guān)：針對(duì)已知的不同操作系統(tǒng)弱點(diǎn)的攻擊，如微軟Windows系統(tǒng)