獲得真實ip的6種方法
當資料報從負載均衡器往後端**時候,真實源ip可在l3、l4、l7實現,並且分別有2種方法可以獲得真實ip,因此共有6種方法:
保持l3層源ip不變,根據連線次數可以分為
● 一次連線模式,如lvs
● 二次連線模式,如haproxy的透明模式
在l4層資料裡,新增源ip資訊,有2種模式
● 在4層的option欄位裡增加源ip資訊,比如tcp option、udp option
● 在4層末尾和7層開頭之間,增加proxy protocol資訊
在l7層資料裡,增加源ip資訊,有2種模式
● 協議自帶,例如http的x-forward-for
● 業務程式自行實現
一次連線與二次連線
一次連線:負載均衡器對資料報僅做**,而不對後端重新發起三次握手
二次連線:和一次連線相對應,在tcp**時候,對後端重新進行了三次握手。上面所講的l4和l7方法的負載均衡,都是二次連線
可以通過對比源埠是否有改變來簡單判斷是一次連線還是二次連線,埠沒改變,可以理解為一次連線,有改變就是二次連線
方法1: l3的一次連線模式
介紹:是指在網路層不對源ip做修改,直接將資料報**給後端,當後端接收到資料的時候,源ip就是真實ip。
實現:lvs-dr、lvs-nat、lvs-tunnel模式。其中lvs-tunnel比較特別,是在原有資料報的開頭封裝了ip頭,當後端收到資料的時候,將封裝的ip頭進行解封裝,獲得的就是原有資料報。
優點:邏輯簡單,當負載均衡器故障切換的時候,從客戶端到後端的tcp連線不會中斷
缺點:對網路架構有要求,比如dr模式,要求後端配vip,並且回包要能直接回到客戶機;nat模式,要求回包經過負載均衡器;tunnel模式要求後端支援ipip隧道
方法2: l3的二次連線模式
介紹:是指負載均衡器和後端重新進行三次握手,但保持資料報的源ip為真實ip。
實現:haproxy(開啟tproxy透明**模式)+ iptables(fwmark打標記)+ 策略路由這3者組合才能實現
優點:可以實現l7層(如http/https)的負載均衡,而一次連線主要實現l4層的負載均衡
缺點:配置最複雜,同時要求回包經過負載均衡器
方法3: l4的toa模式
介紹:在4層的option欄位裡增加源ip資訊,比如在tcp option裡增加源ip資訊(稱為toa)、udp option裡增加源ip資訊(稱為uoa)
實現:負載均衡器配置lvs-fullnat(只支援toa),iqiyi/dpvs(支援toa和uoa);後端要載入toa、uoa模組,這個模組的作用是替換了後端應用程式獲取ip的系統介面的鉤子
優點:對網路架構要求低
缺點:lvs-fullnat需要編譯核心,且只支援rhel/centos 6的核心,另外多年未更新;iqiyi/dpvs功能強大,但需要dpdk的支援;後端都需要載入toa/uoa模組,且只支援linux系統。
方法4: l4的proxy protocol模式
介紹:在l7層開頭增加proxy protocol資料(該協議是haproxy發明),目前有v1(明文)和v2(二進位制)版本
實現:負載均衡器和後端同時開啟proxy protocol,haproxy和nginx均支援,不過haproxy的配置顆粒度更小,另外nginx**資料時候只支援v1
優點:對網路架構要求低,只要程式支援即可,因此理論上沒有作業系統限制
缺點:目前支援proxy protocol的程式較少,且兩端只能都開啟或者都不開啟該協議,不能一端開一端不開
方法5: l7協議自帶,例如http的x-forward-for
介紹:最常見的方法,協議自帶源ip資訊,或者可定製插入
實現:例如http協議有x-forward-for,也可以自己將源ip插入到http頭部資訊裡
優點:對網路架構要求低,配置簡便
缺點:容易被偽造
方法6: l7層業務程式自行實現
介紹:最好的方法,就是業務方自行實現
實現:業務自行實現,例如在client端插入源ip資訊,帶到server端
優點:對網路架構無要求,只要網路可通即可,只要安全做好,不容易被偽造
缺點:業務方要有一定開發能力總結
如果能做到無狀態,不需要真實源ip,是最好的。因為這樣對底層架構沒有要求,底層架構就可以做的更高階更彈性。
如果一定要獲得真實源ip,推薦方案的順序就是倒推,從l7到l3,即首選方法6,如果不行再選用方法5,以此類推到方法1。
原文發布時間為:2018-11-21
老葉茶館」,了解相關資訊可以關注「
老葉茶館」。
負載均衡獲得真實源IP的6種方法
除了x forward for,負載均衡中獲得真實源ip的方法還有很多種。本文拋磚引玉,主要介紹獲得真實源ip的多種方法,而不是具體配置。負載均衡獲得真實ip的方法有很多種,將形成專題文章。本文為第一篇,主要做介紹和優劣對比。當資料報從負載均衡器往後端 時候,真實源ip可在l3 l4 l7實現,並且...
負載均衡獲得真實源IP的6種方法
除了x forward for,負載均衡中獲得真實源ip的方法還有很多種。本文拋磚引玉,主要介紹獲得真實源ip的多種方法,而不是具體配置。負載均衡獲得真實ip的方法有很多種,將形成專題文章。本文為第一篇,主要做介紹和優劣對比。當資料報從負載均衡器往後端 時候,真實源ip可在l3 l4 l7實現,並且...
關於Nginx負載均衡的6種策略
nginx的upstream目前支援的5種方式的分配 1 輪詢 預設 每個請求按時間順序逐一分配到不同的後端伺服器,如果後端伺服器down掉,能自動剔除。upstream backserver 2 指定權重 指定輪詢機率,weight和訪問比率成正比,用於後端伺服器效能不均的情況。upstream ...