应用前端解决方案
1 需求分析
随着Internet的日益普及，用户与业务量呈现出指数性增长，用户对于基于Internet的各种关键业务的依赖性也越来越强烈，而采用传统的服务器布署架构并不能真正解决用户的性能、可扩展性、安全性等问题。
当用户面临单点故障，服务器性能瓶颈时，通常会采用以下两个方法解决：
第一种途径是通过用处理能力更强的服务器替换现有的服务器，提高性能；并采用双机冗余的方式提高可用性。
第二种是通过增加服务器来构建服务器群。
这两种方法都具有局限性。第一种解决方案比较昂贵，并且不具有很好的扩展性，在进行维护与升级时需要中断服务，替换服务器的费用不仅包括新服务器的费用，而且原有的服务器虽然处于功能完好的运行状态也不能再发挥作用产生效益了。第二种解决方案是一个可以接受的相对廉价的解决方案，通过增加新的服务器来提高网站的处理能力，并且与原有的服务器共同工作，在升级时不会中断服务，其不足之处在于每一个服务器都有一个唯一的IP地址，用户需要记住多个IP地址以更好地访问该站点，由此也造成流量不能有效地在多个服务器之间进行分配。
基于以上原因，用户需要一种解决方案能够真正的实现对关键业务提供7*24的高可靠性保障，性能的提升以及安全防范。
因此，采用基于硬件的专用负载均衡设备的解决方案成为了用户的首选。
负载均衡设备则是用于管理本地流量，解决上述问题的解决方案。
如上图所示，负载均衡设备在进行流量管理时，被分配一个虚拟的IP地址即VIP，用户只需通过访问VIP，负载均衡设备会根据当时的服务器的工作状态、负载情况，按照一定的分配算法将流量分配到服务器群中的一个服务器，对于用户来说服务器群是透明的，用户并不知道服务器群的存在，VIP即是该站点的接入地址。相对于第一种方案，负载均衡设备进一步地提高了网站的可靠性，这是由于当服务器群中的某一个服务器发生故障，会有另外的服务器接替其工作，并且负载均衡设备会确保流量不会分配到工作不正常、关机或处理能力已饱和的服务器。
2 Radware APSolute应用前端解决方案
Radware 的APSolute 应用前端解决方案能够使数据中心应用最优化，使应用服务器得到更高的可用性、性能、以及更加经济和无懈可击的安全性，以便令客户获得更快的响应时间。
APSolute 应用前端解决方案支持 Radware 下一代 APSolute OS 软件体系结构的全部功能，彻底解决了网络可用性、性能和安全问题，使数据中心应用灵敏并具有自适应性。配合Radware 的高速度、高容量 ASIC芯片+NP处理器的专用硬件应用交换设备，可有效保障网络应用的高可用性、提升网络性能，加强安全性，全面提升IT服务器等网络基础设施的升值潜力。
结合Radware多年来在智能应用流量管理领域的经验，以及对用户实际需求的分析，我们认为负载均衡器应具备如下功能：
- 以唯一的IP地址作为所有提供相同服务的服务器的逻辑入口点。
- 负载均衡交换机具有灵活的流量分配算法与机制，以确保用户总能访问可以为其提供最优服务的服务器。
- 通过部署高性能的负载均衡产品，能够及时发现所负载均衡的各服务器的健康状况，当某台服务器出现故障时，保证把后续用户的访问导向到正常运行的服务器上去。
- 针对基于会话的业务，可以提供多种会话保持机制，确保用户在处理业务时的连续性。
- 应具备安全过虑及防DOS/DDOS的功能，为服务器提供多一层安全保障
- 应具备带宽管理功能，在流量拥塞的情况下，保障优先等级最高的业务具有相应的带宽资源。
- 为提高服务器的处理性能，并提高业务响应时间，应可以配合应用优化的专用设备，提供SSL加速、WEB压缩、Caching等功能。
- 具有很好的升级与可扩展性，能够适应特定的和不断变化的业务需求。
2.1 方案拓扑图
Radwarew APSolute 应用前端解决方案包含AppDirector 和AppXcel 两款系列产品:
AppDirector 数据中心的智能应用控制器
- 使用先进的 4-7 层策略和粒状控制应用智能，实现对大范围企业应用(包括 VoIP、流媒体、Citrix、和安全的LDAP 应用等)的流量进行端到端的应用感知优化。
- 全面集成的流量分级和数据流管理、健康检测和故障隔离、流量重定向、带宽管理、入侵防范和 DoS 防护，让您的网络更好地适应和响应动态应用和业务需要。
- AppXcel 智能应用加速
- 为启用了网络和基于 SSL 的应用的所有类型的客户端(如桌上电脑、PDA 和智能电话等)提供端到端的应用感知性能调节。
- 应用加速技术的综合系列，包括压缩、缓存、TCP 优化、SSL 卸载和无线 TCP 加速，实现对服务器资源进行经济、明晰的测量以及提供最快的应用和处理响应次数。
通过AppDirector 与 AppXcel 的结合，使我们用一个综合解决方案就能解决应用可用性和连续性、加速应用性能、保障服务水平、应用安全、IT 服务器基础架构的整合和扩展性。
2.2 AppDirector-实现服务器负载均衡
在流量管理方面，AppDirector主要在网络中实现以下功能：
2.2.1 健康状况检查
AppDirector可靠的健康状况检查可以保证用户获得最佳的服务。AppDirector可以监视服务器在IP、TCP、UDP、应用和内容等所有协议层上的工作状态。如果发现故障，用户即被透明地重定向到正常工作的服务器上。这可以保证用户始终能够获得他们所期望的信息。
为了确保服务正常运行，AppDirector监控从 Web 服务器、中间件服务器到后端数据库服务器的整个路径上工作状态，确保整个数据路径上的服务器都处于正常状态。如果存在一个故障服务器，AppDirector则不会将用户分配到这个发生故障路径的服务器，从而保证为用户提供透明的数据完整性保障。
2.2.2 交易完整性的可靠保证
为了保证用户在访问具有会话连续性业务时不会被负载均衡器分配到不同的服务器上，AppDirector在提供本地负载均衡的同时，还可以具备基于cookie,session ID,SIP,SSL ID,source IP等方式将用户的请求定位在相同的服务器上。
2.2.3 完全的容错与冗余
AppDirector的配置提供设备间的完全容错，以确保网络最大的可用性。两台AppDirector设备工作在冗余模式下，通过网络相互检查各自的工作状态，为其所管理的应用保障完全的网络可用性。它们可工作于“主用-备用”模式或“主用-主用”模式，在“主用-主用”模式下，因为两个设备都处于工作状态，从而最大限度地保护了投资。并且所有的信息都可在设备间进行镜像，从而提供透明的冗余和完全的容错，确保在任何时候用户都可以获得从点击到内容的最佳服务。
2.2.4 通过正常退出服务保证稳定运行
当需要进行服务器升级或系统维护时，AppDirector保证稳定的服务器退出服务以避免服务中断。当选定某台服务器要从服务器退出服务后，AppDirector将不会将任何新的用户分配到该服务器。但是，它可以要退出服务的服务器上完成对当前用户的服务。从而保证了无中断的优质服务，以及服务器组的简易管理能力。
2.2.5 智能的服务器服务恢复
将重新启动的服务器应用到服务中时，避免新服务器因突然出现的流量冲击导致系统故障是非常重要的。所以，在将新服务器引入服务器组时，AppDirector将逐渐地增加分配到该服务器的流量，直至达到其完全的处理能力。从而不仅保证用户在服务器退出服务时，同时还保证服务器在启动期间以及应用程序开始时，均能获得不间断服务。
2.2.6 通过负载均衡优化服务器资源
AppDirector执行复杂的负载均衡算法，在多个本地和远程服务器间动态分配负载。这些算法包括循环、最少用户数、最小流量、Native Windows NT 以及定制代理支持。除了这些算法，AppDirector还可以为每个服务器分配一个可以配置的性能加权，从而提高服务器组的性能。
2.2.7 应用交换
AppDirector根据 IP 地址、应用类型和内容类决定流量分配。这样，管理员就可以为不同类型的应用程序分配不同的服务器资源。应用交换支持不同协议上的各种应用，包括 TCP、UDP、IP、Telnet、Rshell、TFTP、流、被动 FTP、HTTP、e-mail、DNS、VOIP 等等。Radware 还为运行于动态端口并要求同步的应用设计了特殊支持功能。
2.2.8 URL交换
AppDirector完全支持 URL 交换，根据 URL 和 HTTP 信息分配流量。每个 URL 都可以重定向到某服务器，或在多个服务器之间进行负载均衡，从而提供优化的 Web 交换性能。根据 URL 文本中包含的信息，AppDirector可以保持客户持续性，从而保证内容的个性化。
2.2.9 内容交换
内容交换使管理员可以根据交易的内容来分配服务器资源。例如，CGI 脚本可以位于一个单独的服务器组，当发生对该内容的请求时，会话就被重定向到其中某个服务器。AppDirector的内容交换能力可以广泛支持 SSL ID 和 Session ID， 保持客户持续性，保证最佳流量管理和应用内容个性化。
2.2.10 Qos解决方案
带宽管理软件模块是一个简单的概念主要的思想就是能够按照一系列标准区分用户流量，然后为每种数据包或者会话指定不同的优先级来使用有限的带宽。它允许网络管理者完全而有效的控制他们可用的带宽，使用这些功能可以按照一系列标准，指定应用程序的优先次序，同时还考虑了每个应用程序已使用的带宽。在确定了会话的优先级后可以对带宽限制进行配置以保证一些应用程序使用的带宽没有超过预先定义的带宽限制。
2.2.11 端到端应用安全解决方案
应用安全软件模块包含的一组功能集使Radware 的产品能够保护敏感的网络资源不受到各种安全问题的影响。此系统包括一些基本的安全措施例如服务器过载保护和能够将资源从一般的Internet 资源中隐藏起来。同时还能够为使用SynApps 流量管理的敏感资源提供高级的安全性，这包括检测并预防1500多个恶意攻击信息，包括特洛伊木马、后门、DoS 和DdoS 攻击。
此模块能够处理以下攻击：
- 拒绝服务 (DOS/DDOS) 攻击
- 缓冲区溢出/超限
- 利用已知的 Bugs，误配置和默认的安装问题来进行攻击
- 在攻击前探测流量
- 未授权的网络流量
- 后门/特洛伊木马
- 端口扫描 (Connect & Stealth)
2.3 AppXcel-实现应用加速
AppXcel 为基于 web、基于 SSL 的应用程序以及所有类型的客户端（例如台式机、PDA 和智能电话）提供端到端的应用加速，可实现完整的事务可靠性，加快事务响应时间，提供成本有效的可扩展性。
在应用优化方面，AppXcel主要在网络中实现以下功能：
2.3.1 SSL加速
Radware的AppXcel能够在不降低网络性能的情况下为用户提供快速的SSL交易。AppXcel SSL加密/解密功能与Radware的流量管理解决方案相结合，在动态增强网络性能的同时能够确保高效、连续和安全的完成电子商务交易。
通常情况下，AppXcel同AppDirector配合使用，AppDirector进行服务器以及AppXcel的负载均衡，AppXcel进行SSL的加速等优化操作。
HTTP的流量通过AppDirector负载均衡到后端的HTTP服务器，HTTPS的流量通过AppDirector负载均衡到AppXcel群，AppXcel把HTTPS流量解密成HTTP流量后，再由AppDirector负载均衡到后端的HTTP服务器。
我们采用了AppDirector加AppXcel的解决方案，即将SSL加速设备AppXcel部属在网络的旁路，与AppDirector配合来实现实现SSL的加速。如下图所示:
2.3.2 集中处理多设备应用程序和SSL协议管理
SSL是把双刃剑。SSL加密技术既可保护合法数据流免受蓄意的窥探，也可使网络安全设备无法找出和屏蔽恶意内容。AppXcel可以将加密过程从出/入站的SSL数据流中剥离出来，为网络安全设备提供一个清晰的副本，以便它们在实时追踪的过程能发现并阻止其中的黑客或泄密程序。
2.3.3 TCP 优化
AppXcel提供的 TCP 优化技术执行TCP协议的 RFCs:
- - 1323（性能扩展）
- - 2018，2883（选择性ACK）
- - 2414, 3390 (WTCP)
- - 2581，2582（防堵塞）
- - 2861（拥塞窗口检验）
- - RFC 3042 （限速传送）
- - 还包括：提前确认技术(FACK), 可设置最大传输单位（MTU）和TCP 记录器
等技术，以充分利用可用带宽。这样，AppXcel能够实时适应广域网链路的延迟、数据包丢失及阻塞特征，并从根本上加速所有应用流量，加速用户的访问速度。
2.3.4 多路HTTP/s协议
“HTTP/S 多路HTTP协议”是一种提高 Web 服务器性能的技术。它可以将入站的 HTTP/S 请求汇总，从而减少服务器的连接次数，以达到提高整体系统的性能的目的。
2.3.5 高速缓存
AppXcel基于内存方式的快速缓存功能，可以从后台基础设施中卸载对内容的重复请求，从而提高应用和服务器的性能，这种性能改善是以逐个应用为基础，智能进行的。快速缓存提供出色的灵活性和控制能力，确保组织机构实现更大的卸载量，为他们的客户基群提供更快捷的服务。
2.3.6 http压缩
支持 Gzip、deflate方式的压缩功能。当含有“Accept-Encoding: gzip”或“Accept-Encoding: deflate”HTTP 报头（表明浏览器支持压缩功能）的 GET 请求抵达 AppXcel时，AppXcel 对作出该请求的客户端的所有响应都将使用数据压缩。从而可以在不增加额外的网络带宽的情况下加快用户的响应速度，提高整体系统的性能。
2.3.7 数据压缩
AppXcel的数据压缩功能，可以自动发现并使用客户浏览器压缩，支持：Xml、 HTML、Java、XLS、DCO、PDF等,图片压缩比率1000%。
支持可选的硬件压缩卡。
3 方案的优点
AppDirector和 AppXcel 的结合使我们用一个综合解决方案就能解决应用可用性和连续性、加速应用性能、保障服务水平、应用安全、IT服务器基础架构的整合和扩展性。
Radware 的解决方案具有几大优点：
- 高可用性、高性能的完美体现：AppDirector 使用先进的 4-7 层策略和粒状控制智能应用，以便将服务器基础设施操作和应用前端要求结合在一起，从而消除流量拥塞、服务器瓶颈和故障时间以实现数据中心的业务连续性。AppDirector 能够对网络通信进行微调，以便使多种企业网络应用最优化，例如 SAP、Oracle、BEA、Citrix 和其他基于 Web 的应用 (包括 VoIP 支持、流媒体和安全的 LDAP 应用)
- 无需停机维护时间 逐渐关机和缓慢启动的维护机制，确保无需停机维护时间。
- 端到端QoS保证：AppDirector的内置带宽管理功能，可以按照4～7层的特性识别不同类型的流量，通过带宽保证和限制，为关键业务提供服务质量保证。
- 端到端应用安全：使用 AppDirector 的全面集成的入侵防范和 DoS 防护，可以防止数据中心应用和服务器资源受到应用级别的攻击。对 SSL多重处理的控制能力增加了基于SSL的 HTTP、FTP 和 SMTP 的安全性，从而获得了额外的保护层。
- 加速应用响应时间 使用 TCP 优化和 HTTP 多路复用进行的应用加速和 WAN 最优化，在整个 WAN 范围内消除 Web应用等待时间，将应用响应时间加快 500%。
- 降低带宽占用 通过“无限制”压缩 (无需客户端设备或软件) 和内容高速缓存 (使用 AppXcel) 而降低服务器的带宽占用，降低了带宽费用，并加速针对最终用户的内容交付。
- SSL 事务处理卸载 SSL 事务处理的卸载和证书管理无需昂贵的 CPU 运算周期，将服务器处理要求降低达 40%，以 便实现数据中心资源整合、降低 OPEX (运营性支出)和即时的 ROI。
- 针对基于 SSL的攻击的全面保护 SSL 探测功能通过解密和检查 SSL 流量，并将流量定向到安全性设备或AppDirector，从而进行安全性过滤，并阻止加密的攻击，降低了服务故障。对非法SSL会话的识别和终止功能，可以实时地阻止恶意的 SSL数据包和隐藏的应用攻击，从而彻底保护交易和网络的安全。
- 完美的方案布署方式 采用AppDirector与AppXcel相结合的旁路布署方式，即由AppDirector完成服务器负载均衡功能，AppXcel实现服务器性能优化功能的方式，可以有效避免资源抢占、扩展不便等问题。
