NTA高性能Flow负载均衡及其应用

谁借莪１个温暖的怀抱￠ 2023-02-10 05:04 7阅读 0赞

# NTA高性能Flow负载均衡及其应用 #

![format_png][]

基于Flow的攻击检测是DDoS清洗服务中非常重要的一环，而随着互联网的发展，网络承载的信息越来越多，流量越来越大，单台Flow分析设备(NTA)的能力逐渐满足不了DDoS攻击检测任务。本文分析了NTA设备目前遇到的诸多挑战，描述了高性能Flow负载均衡设备的工作原理及其应用场景。

文章目录

*  [一、引言][Link 1]
 *  [二、Flow流量分析设备的挑战][Flow]
    
     *  [2.1 对处理性能的挑战][2.1]
     *  [2.2 对部署的挑战][2.2]
     *  [2.3 对复制转发的挑战][2.3]
     *  [2.4 对可靠性方案的挑战][2.4]
 *  [三、Flow负载均衡设备][Flow 1]
    
     *  [3.1 路由转发方式][3.1]
     *  [3.3 高可靠性设计][3.3]
 *  [四、结束语][Link 2]

# #

## 一、引言 ##

NetFlow/SFlow是网络流量统计的标准协议，与DPI技术相比，基于Flow的检测技术处理速度更快、配置部署更方便快捷、维护成本更低，因此被广泛应用在网络流量分析、DDoS攻击检测、攻击溯源等多个方向。

<table style="width:542px;"> 
 <tbody> 
  <tr> 
   <td>Flow名称</td> 
   <td>代表厂商</td> 
   <td>主要版本</td> 
   <td>备注</td> 
  </tr> 
  <tr> 
   <td>NetFlow</td> 
   <td>Cisco</td> 
   <td>V5、V9</td> 
   <td>应用最广</td> 
  </tr> 
  <tr> 
   <td>sFlow</td> 
   <td>Foundry、HP、Alcatel、NEC、Extreme等</td> 
   <td>V4、V5</td> 
   <td>实时性较强，具备突出的第二~七层信息描述能力</td> 
  </tr> 
  <tr> 
   <td>NetStream</td> 
   <td>华为</td> 
   <td>V5、V8、V9</td> 
   <td>与NetFlow相同</td> 
  </tr> 
  <tr> 
   <td>IPFIX</td> 
   <td>IETF标准规范</td> 
   <td>RFC 3917</td> 
   <td>以NetFlow V9为蓝本 <p>&nbsp;</p> <p>相当于Netflow V10</p> </td> 
  </tr> 
 </tbody> 
</table>

表一  常用的几种Flow协议

随着互联网的快速发展和移动互联网的普及，网络流量的种类和数量都在发生着变化，对网络流量分析设备也提出了很多新的要求。下面我们分析下NTA流量分析设备在几种应用场景下可能存在的挑战，再介绍Flow负载均衡设备的原理和主要技术要点，给出以负载均衡方式解决当前问题的方案。

# #

## 二、Flow流量分析设备的挑战 ##

## ##

### 2.1 对处理性能的挑战 ###

现在骨干网络带宽动辄达到几十T，且每年以50%以上速度进行增长，其中一台核心路由器的输出Flow就可达到300w Flow/s甚至更高，传统单台NTA设备遇到性能挑战，需要采用集群方式组网，配置比较复杂。

## ##

### 2.2 对部署的挑战 ###

某些网络环境下，特别是运营商环境，需要从不同网络层级对业务流量进行分析，如下图所示，在骨干网需要采集全网流量进行分析，而各个接入层分析本网络内的流量。从流量大小来看，一台NTA应对较为困难，部署多台NTA时也需要在各层级网络设备上分别配置，以输出到不同的NTA，网络的变化也会给部署带来很多不便的麻烦。

![format_png 1][]

图1 多层级网络流量分析

## ##

### 2.3 对复制转发的挑战 ###

一些第三方产品也需要对Flow进行分析，例如绿盟科技溯源系统通过NetFlow做攻击溯源，通管局的合规要求等。因此NTA除了自身的流量分析和攻击检测以外，还承担着Flow的复制和转发任务，流量的增大和转发对象增多都会导致NTA分析检测能力下降。

![format_png 2][]

图2  Flow转发场景

## ##

### 2.4 对可靠性方案的挑战 ###

客户的流量是至关重要的，流量分析设备在工作过程中的异常会导致信息丢失，期间发生的攻击也会被漏检测，目前的NTA HA主备方案解决的就是这类问题，如图3所示。此方案的缺点是备份设备始终不承担任何业务，资源存在一定程度的浪费，有些预算紧缺的客户可能无法接受。

![format_png 3][]

图3  NTA主备倒换示意图

# #

## 三、Flow负载均衡设备 ##

为解决上述市场需求，绿盟科技新研发了Flow负载均衡设备(Flow Load Balancer，以下简称FLB)，与其他通用的负载均衡设备不同的是，该设备专门针对Flow数据进行负载均衡，包括NetFlow v5/v9、NetStream v5、SFlow v4/v5、IPFIX(以下以xFlow统称所有Flow类型)。其支持二三层接入方式，提供基于路由器、基于业务域和基于目的IP多个维度的负载均衡模式。

![format_png 4][]

图4  Flow负载均衡典型拓扑

典型拓扑如上图，FLB设备接受来自路由器输出的xFlow报文，根据配置的策略以负载均衡或复制方式转发给不同的Flow采集器，支持同时对多个采集器集群进行负载均衡和复制转发。

## ##

### 3.1 路由转发方式 ###

FLB转发的目的设备可以与FLB在一个二层网络，也可以是路由可达的三层网络。

![format_png 5][]

图6  三层路由转发方式

![format_png 6][]

图7  二层转发方式

*  多维度的负载均衡算法

如下图，以设备组的形式管理各个路由器和Flow采集器，在路由器组和采集器组之间建立负载均衡映射关系，且可以同时配置多个负载均衡映射对象。

![format_png 7][]

图8  负载均衡映射关系

主要支持四种负载均衡策略算法:

*  基于目的IP均衡的策略

将相同目的IP的Flow数据转发到同一台采集器。

*  基于业务域均衡的策略

按照目的IP按照所属业务域分组，确保相同业务域的Flow数据转发到同一台采集器。

*  基于路由器自动均衡的策略

根据Flow报文的源ip(即路由器地址)决定转发给哪个采集器，确保相同路由器的Flow数据转发到同一台采集器。系统根据采集器的状态自动生成路由器和采集器的对应关系，当采集器掉线时，其映射的路由器自动负载均衡到其他活跃的采集器上。如下图，router1的Flow数据转发给采集器1，router2转发给采集器2，router3转发给采集器3，router4转发给采集器1。当发现采集器2掉线时，router2会自动映射到采集器3上。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0FyaWFfTWlhenp5_size_16_color_FFFFFF_t_70][]

图10  采集器掉线后的重映射

*  基于路由器手动均衡的策略

与基于路由器自动均衡的方式一样，不同的是路由器和采集器的对应关系由人工配置，且即使采集器掉线，映射关系也不发生变化。

## ##

### 3.3 高可靠性设计 ###

FLB设备位于Flow网络的关键路径，对可靠性的要求非常高。

FLB提供了HA主备功能。当主FLB设备检测到自身关键业务进程异常或恢复时，通过VRRP协议交互通知对端进行主备切换，切换时间在1-2秒范围内，切换后业务照常运行，整个过程对用户几乎无感知。

除此之外，FLB还会实时监控采集设备的状态，支持使用ping和webapi方式探测采集设备是否存活以及功能是否正常，以此保证采集器异常时能够将Flow数据快速切换到其他正常的采集设备上。

# #

## 四、结束语 ##

结合本文提出的Flow负载均衡设备，能解决大部分大流量和复杂环境下的

NTA部署问题，使NTA能适用于更多的解决方案场景，充分发挥其市场价值。另外值得一提的是，绿盟科技的FLB设备具备更高的处理性能和更全面的负载均衡策略。

[format_png]: https://imgconvert.csdnimg.cn/aHR0cDovL2Jsb2cubnNmb2N1cy5uZXQvd3AtY29udGVudC91cGxvYWRzLzIwMTgvMDMvbnRhLWZsb3cucG5n?x-oss-process=image/format,png
[Link 1]: http://blog.nsfocus.net/nta-flow-load-balancing-application/#%E4%B8%80%E3%80%81%E5%BC%95%E8%A8%80
[Flow]: http://blog.nsfocus.net/nta-flow-load-balancing-application/#%E4%BA%8C%E3%80%81Flow%E6%B5%81%E9%87%8F%E5%88%86%E6%9E%90%E8%AE%BE%E5%A4%87%E7%9A%84%E6%8C%91%E6%88%98
[2.1]: http://blog.nsfocus.net/nta-flow-load-balancing-application/#2_1_%E5%AF%B9%E5%A4%84%E7%90%86%E6%80%A7%E8%83%BD%E7%9A%84%E6%8C%91%E6%88%98
[2.2]: http://blog.nsfocus.net/nta-flow-load-balancing-application/#2_2_%E5%AF%B9%E9%83%A8%E7%BD%B2%E7%9A%84%E6%8C%91%E6%88%98
[2.3]: http://blog.nsfocus.net/nta-flow-load-balancing-application/#2_3_%E5%AF%B9%E5%A4%8D%E5%88%B6%E8%BD%AC%E5%8F%91%E7%9A%84%E6%8C%91%E6%88%98
[2.4]: http://blog.nsfocus.net/nta-flow-load-balancing-application/#2_4_%E5%AF%B9%E5%8F%AF%E9%9D%A0%E6%80%A7%E6%96%B9%E6%A1%88%E7%9A%84%E6%8C%91%E6%88%98
[Flow 1]: http://blog.nsfocus.net/nta-flow-load-balancing-application/#%E4%B8%89%E3%80%81Flow%E8%B4%9F%E8%BD%BD%E5%9D%87%E8%A1%A1%E8%AE%BE%E5%A4%87
[3.1]: http://blog.nsfocus.net/nta-flow-load-balancing-application/#3_1_%E8%B7%AF%E7%94%B1%E8%BD%AC%E5%8F%91%E6%96%B9%E5%BC%8F
[3.3]: http://blog.nsfocus.net/nta-flow-load-balancing-application/#3_3_%E9%AB%98%E5%8F%AF%E9%9D%A0%E6%80%A7%E8%AE%BE%E8%AE%A1
[Link 2]: http://blog.nsfocus.net/nta-flow-load-balancing-application/#%E5%9B%9B%E3%80%81%E7%BB%93%E6%9D%9F%E8%AF%AD
[format_png 1]: https://imgconvert.csdnimg.cn/aHR0cDovL2Jsb2cubnNmb2N1cy5uZXQvd3AtY29udGVudC91cGxvYWRzLzIwMTgvMDMvYzhhZTU3Mjg1MjA5YTIwZGQ5YzE5N2Q3ZDQyMDhkY2EucG5n?x-oss-process=image/format,png
[format_png 2]: https://imgconvert.csdnimg.cn/aHR0cDovL2Jsb2cubnNmb2N1cy5uZXQvd3AtY29udGVudC91cGxvYWRzLzIwMTgvMDMvNTZlZmI0MzBmZDNhZmU3NjU0YzZkNjAxMzc1MjA3MmUucG5n?x-oss-process=image/format,png
[format_png 3]: https://imgconvert.csdnimg.cn/aHR0cDovL2Jsb2cubnNmb2N1cy5uZXQvd3AtY29udGVudC91cGxvYWRzLzIwMTgvMDMvZjg2NWFjNDU0YWZjNGQ3MzE0MjdmYTc2ZGUzMWVhMzMucG5n?x-oss-process=image/format,png
[format_png 4]: https://imgconvert.csdnimg.cn/aHR0cDovL2Jsb2cubnNmb2N1cy5uZXQvd3AtY29udGVudC91cGxvYWRzLzIwMTgvMDMvOWU0MTgxMWI1MmM2MmI2Nzk2OThjM2Q5ZjM0MDBjMWEucG5n?x-oss-process=image/format,png
[format_png 5]: https://imgconvert.csdnimg.cn/aHR0cDovL2Jsb2cubnNmb2N1cy5uZXQvd3AtY29udGVudC91cGxvYWRzLzIwMTgvMDMvNTNkZmMwOTMxY2ZmYzI4ZDg4ZWM4MzUzMzhkYzQxYmEucG5n?x-oss-process=image/format,png
[format_png 6]: https://imgconvert.csdnimg.cn/aHR0cDovL2Jsb2cubnNmb2N1cy5uZXQvd3AtY29udGVudC91cGxvYWRzLzIwMTgvMDMvMTY2YjI5NjEzZDliNTI3OGEyNjcyYWMxNmVjMzg2NjcucG5n?x-oss-process=image/format,png
[format_png 7]: https://imgconvert.csdnimg.cn/aHR0cDovL2Jsb2cubnNmb2N1cy5uZXQvd3AtY29udGVudC91cGxvYWRzLzIwMTgvMDMvYzY4YmQyYzM0MzhhYjNjNDUyYzFhODhiYWVjYzFjMjkucG5n?x-oss-process=image/format,png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0FyaWFfTWlhenp5_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20200520095608878.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0FyaWFfTWlhenp5,size_16,color_FFFFFF,t_70