負載均衡獲得真實源IP的6種方法

2021-09-19 21:43:33 字數 2335 閱讀 1581

獲得真實ip的6種方法

當資料報從負載均衡器往後端**時候,真實源ip可在l3、l4、l7實現,並且分別有2種方法可以獲得真實ip,因此共有6種方法:

保持l3層源ip不變,根據連線次數可以分為

●  一次連線模式,如lvs

●  二次連線模式,如haproxy的透明模式

在l4層資料裡,新增源ip資訊,有2種模式

●  在4層的option欄位裡增加源ip資訊,比如tcp option、udp option

●  在4層末尾和7層開頭之間,增加proxy protocol資訊

在l7層資料裡,增加源ip資訊,有2種模式

●  協議自帶,例如http的x-forward-for

●  業務程式自行實現

一次連線與二次連線

一次連線:負載均衡器對資料報僅做**,而不對後端重新發起三次握手

二次連線:和一次連線相對應,在tcp**時候,對後端重新進行了三次握手。上面所講的l4和l7方法的負載均衡,都是二次連線

可以通過對比源埠是否有改變來簡單判斷是一次連線還是二次連線,埠沒改變,可以理解為一次連線,有改變就是二次連線

方法1: l3的一次連線模式

介紹:是指在網路層不對源ip做修改,直接將資料報**給後端,當後端接收到資料的時候,源ip就是真實ip。

實現:lvs-dr、lvs-nat、lvs-tunnel模式。其中lvs-tunnel比較特別,是在原有資料報的開頭封裝了ip頭,當後端收到資料的時候,將封裝的ip頭進行解封裝,獲得的就是原有資料報。

優點:邏輯簡單,當負載均衡器故障切換的時候,從客戶端到後端的tcp連線不會中斷

缺點:對網路架構有要求,比如dr模式,要求後端配vip,並且回包要能直接回到客戶機;nat模式,要求回包經過負載均衡器;tunnel模式要求後端支援ipip隧道

方法2: l3的二次連線模式

介紹:是指負載均衡器和後端重新進行三次握手,但保持資料報的源ip為真實ip。

實現:haproxy(開啟tproxy透明**模式)+ iptables(fwmark打標記)+ 策略路由這3者組合才能實現

優點:可以實現l7層(如http/https)的負載均衡,而一次連線主要實現l4層的負載均衡

缺點:配置最複雜,同時要求回包經過負載均衡器

方法3: l4的toa模式

介紹:在4層的option欄位裡增加源ip資訊,比如在tcp option裡增加源ip資訊(稱為toa)、udp option裡增加源ip資訊(稱為uoa)

實現:負載均衡器配置lvs-fullnat(只支援toa),iqiyi/dpvs(支援toa和uoa);後端要載入toa、uoa模組,這個模組的作用是替換了後端應用程式獲取ip的系統介面的鉤子

優點:對網路架構要求低

缺點:lvs-fullnat需要編譯核心,且只支援rhel/centos 6的核心,另外多年未更新;iqiyi/dpvs功能強大,但需要dpdk的支援;後端都需要載入toa/uoa模組,且只支援linux系統。

方法4: l4的proxy protocol模式

介紹:在l7層開頭增加proxy protocol資料(該協議是haproxy發明),目前有v1(明文)和v2(二進位制)版本

實現:負載均衡器和後端同時開啟proxy protocol,haproxy和nginx均支援,不過haproxy的配置顆粒度更小,另外nginx**資料時候只支援v1

優點:對網路架構要求低,只要程式支援即可,因此理論上沒有作業系統限制

缺點:目前支援proxy protocol的程式較少,且兩端只能都開啟或者都不開啟該協議,不能一端開一端不開

方法5: l7協議自帶,例如http的x-forward-for

介紹:最常見的方法,協議自帶源ip資訊,或者可定製插入

實現:例如http協議有x-forward-for,也可以自己將源ip插入到http頭部資訊裡

優點:對網路架構要求低,配置簡便

缺點:容易被偽造

方法6: l7層業務程式自行實現

介紹:最好的方法,就是業務方自行實現

實現:業務自行實現,例如在client端插入源ip資訊,帶到server端

優點:對網路架構無要求,只要網路可通即可,只要安全做好,不容易被偽造

缺點:業務方要有一定開發能力總結

如果能做到無狀態,不需要真實源ip,是最好的。因為這樣對底層架構沒有要求,底層架構就可以做的更高階更彈性。

如果一定要獲得真實源ip,推薦方案的順序就是倒推,從l7到l3,即首選方法6,如果不行再選用方法5,以此類推到方法1。

原文發布時間為:2018-11-21

老葉茶館」,了解相關資訊可以關注「

老葉茶館」。

負載均衡獲得真實源IP的6種方法

除了x forward for,負載均衡中獲得真實源ip的方法還有很多種。本文拋磚引玉,主要介紹獲得真實源ip的多種方法,而不是具體配置。負載均衡獲得真實ip的方法有很多種,將形成專題文章。本文為第一篇,主要做介紹和優劣對比。當資料報從負載均衡器往後端 時候,真實源ip可在l3 l4 l7實現,並且...

負載均衡獲得真實源IP的6種方法

除了x forward for,負載均衡中獲得真實源ip的方法還有很多種。本文拋磚引玉,主要介紹獲得真實源ip的多種方法,而不是具體配置。負載均衡獲得真實ip的方法有很多種,將形成專題文章。本文為第一篇,主要做介紹和優劣對比。當資料報從負載均衡器往後端 時候,真實源ip可在l3 l4 l7實現,並且...

關於Nginx負載均衡的6種策略

nginx的upstream目前支援的5種方式的分配 1 輪詢 預設 每個請求按時間順序逐一分配到不同的後端伺服器,如果後端伺服器down掉,能自動剔除。upstream backserver 2 指定權重 指定輪詢機率,weight和訪問比率成正比,用於後端伺服器效能不均的情況。upstream ...