故事發(fā)生背景：客戶業(yè)務(wù)系統(tǒng)是在公網(wǎng)提供WEB服務(wù)的網(wǎng)站污筷，在客戶的網(wǎng)絡(luò)結(jié)構(gòu)中漱抓，經(jīng)過(guò)SSL安全網(wǎng)關(guān)后經(jīng)過(guò)F5 BIGIP-LTM進(jìn)行負(fù)載均衡馏谨〈盗猓客戶之前是由SSL安全網(wǎng)關(guān)進(jìn)行業(yè)務(wù)負(fù)載，后來(lái)由于其他考量決定采用F5負(fù)載均衡的產(chǎn)品吱韭。但是上線F5后出現(xiàn)一個(gè)問(wèn)題吆豹，流量經(jīng)過(guò)F5后負(fù)載一直不均衡，流量主要集中在一臺(tái)服務(wù)器節(jié)點(diǎn)上理盆。SSL安全網(wǎng)關(guān)為信安世紀(jì)TLS/SSL卸載設(shè)備痘煤。
到達(dá)客戶現(xiàn)象后，開(kāi)始排查問(wèn)題熏挎，很簡(jiǎn)單的思路速勇，負(fù)載不均衡的主要影響因素之一就是F5上面的會(huì)話保持策略，進(jìn)過(guò)查看配置后發(fā)現(xiàn)果然是源地址會(huì)話保持坎拐，詢問(wèn)客戶的網(wǎng)絡(luò)工程師后發(fā)現(xiàn)所有的客戶端經(jīng)過(guò)SSl安全網(wǎng)關(guān)后都會(huì)被轉(zhuǎn)換成SSL安全網(wǎng)關(guān)的地址。這樣流量經(jīng)過(guò)F5后养匈，對(duì)于F5來(lái)說(shuō)都是從一個(gè)客戶端來(lái)的哼勇，F(xiàn)5上又是采用的源地址會(huì)話保持的策略，所以經(jīng)所謂的“同一個(gè)”客戶端的請(qǐng)求始終保持在一臺(tái)服務(wù)器節(jié)點(diǎn)上呕乎；
找到問(wèn)題后的處理步驟：跟信安世紀(jì)廠家溝通是夠可以不做地址轉(zhuǎn)換积担，但是信安世紀(jì)廠家不愿意更改源地址透?jìng)鳎X(jué)得改動(dòng)太大猬仁，后來(lái)溝通的結(jié)果是讓SSL網(wǎng)關(guān)將客戶端源地址像F5一樣將源地址插入到HTTP X-Forword-For字段中帝璧，F(xiàn)5通過(guò)irule的策略將流量請(qǐng)求中XFF中的源地址取出來(lái)做會(huì)話保持，irules策略：
但是通過(guò)irules打出log后看到XFF中的源地址也是同一個(gè)湿刽，醉了的烁。客戶最前面的NAT設(shè)備也會(huì)將地址映射為同一個(gè)IP诈闺，唉渴庆，，只能換種方法了。
第二階段排查襟雷，將會(huì)話保持策略更換為cookie的方式刃滓。（可能有人會(huì)質(zhì)疑，為什么不在一開(kāi)始就使用cookie的保持方式耸弄，通過(guò)地址區(qū)分不開(kāi)就要通過(guò)用戶的cookie的方式咧虎，是因?yàn)槲彝轮敖o這個(gè)客戶遠(yuǎn)程過(guò)說(shuō)換成cookie策略后負(fù)載依然不均衡，同時(shí)會(huì)帶來(lái)另一個(gè)問(wèn)題计呈，就是應(yīng)用系統(tǒng)訪問(wèn)慢砰诵。）
此時(shí)更換為cookie的會(huì)話保持策略就需要找到問(wèn)題根源解決問(wèn)題，這個(gè)時(shí)候就需要把策略更換別cookie的方式震叮，同時(shí)抓包查找問(wèn)題胧砰。
經(jīng)過(guò)抓包分析后發(fā)下一個(gè)問(wèn)題，客戶的同一個(gè)TCP流中苇瓣，存在多個(gè)用戶的請(qǐng)求數(shù)據(jù)尉间。造成F5在區(qū)分連接的負(fù)載均衡時(shí)無(wú)法發(fā)揮它的強(qiáng)大威力，變成了睜眼瞎击罪。
數(shù)據(jù)包分析如下：
根據(jù)現(xiàn)象分析猜測(cè)是由于SSL安全網(wǎng)關(guān)采用了類(lèi)似F5LTM的oneconnect（連接復(fù)用）功能哲嘲，讓用戶與SSL安全網(wǎng)關(guān)的人溝通確認(rèn)后，確實(shí)采用了此功能媳禁，由于之前用戶沒(méi)有F5設(shè)備眠副，服務(wù)器負(fù)載是由SSL來(lái)做，所以默認(rèn)的情況下采用了此配置竣稽，最后將此功能去掉后發(fā)現(xiàn)F5負(fù)載就變得均衡了囱怕。
oneconnect（也叫TCP連接復(fù)用TCP連接復(fù)用（TCP Connection Reuse））功能介紹：
TCP連接復(fù)用技術(shù)通過(guò)將前端多個(gè)客戶的HTTP請(qǐng)求復(fù)用到后端與服務(wù)器建立的一個(gè)TCP連接上。這種技術(shù)能夠大大減小服務(wù)器的性能負(fù)載毫别，減少與服務(wù)器之間新建TCP連接所帶來(lái)的延時(shí)娃弓，并最大限度的降低客戶端對(duì)后端服務(wù)器的并發(fā)連接數(shù)請(qǐng)求，減少服務(wù)器的資源占用岛宦。
一般情況下台丛，客戶端在發(fā)送HTTP請(qǐng)求之前需要先與服務(wù)器進(jìn)行TCP三次握手，建立TCP連接砾肺，然后發(fā)送HTTP請(qǐng)求挽霉。服務(wù)器收到HTTP請(qǐng)求后進(jìn)行處理，并將處理的結(jié)果發(fā)送回客戶端变汪，然后客戶端和服務(wù)器互相發(fā)送FIN并在收到FIN的ACK確認(rèn)后關(guān)閉連接侠坎。在這種方式下，一個(gè)簡(jiǎn)單的HTTP請(qǐng)求需要十幾個(gè)TCP數(shù)據(jù)包才能處理完成疫衩。
采用TCP連接復(fù)用技術(shù)后硅蹦，客戶端（如：ClientA）與負(fù)載均衡設(shè)備之間進(jìn)行三次握手并發(fā)送HTTP請(qǐng)求荣德。負(fù)載均衡設(shè)備收到請(qǐng)求后，會(huì)檢測(cè)服務(wù)器是否存在空閑的長(zhǎng)連接童芹，如果不存在涮瞻，服務(wù)器將建立一個(gè)新連接。當(dāng)HTTP請(qǐng)求響應(yīng)完成后假褪，客戶端則與負(fù)載均衡設(shè)備協(xié)商關(guān)閉連接署咽，而負(fù)載均衡則保持與服務(wù)器之間的這個(gè)連接。當(dāng)有其它客戶端（如：ClientB）需要發(fā)送HTTP請(qǐng)求時(shí)生音，負(fù)載均衡設(shè)備會(huì)直接向與服務(wù)器之間保持的這個(gè)空閑連接發(fā)送HTTP請(qǐng)求宁否，避免了由于新建TCP連接造成的延時(shí)和服務(wù)器資源耗費(fèi)。
在HTTP 1.0中缀遍，客戶端的每一個(gè)HTTP請(qǐng)求都必須通過(guò)獨(dú)立的TCP連接進(jìn)行處理慕匠，而在HTTP 1.1中，對(duì)這種方式進(jìn)行了改進(jìn)域醇√ㄒ辏客戶端可以在一個(gè)TCP連接中發(fā)送多個(gè)HTTP請(qǐng)求，這種技術(shù)叫做HTTP復(fù)用（HTTP Multiplexing）譬挚。它與TCP連接復(fù)用最根本的區(qū)別在于锅铅，TCP連接復(fù)用是將多個(gè)客戶端的HTTP請(qǐng)求復(fù)用到一個(gè)服務(wù)器端TCP連接上，而HTTP復(fù)用則是一個(gè)客戶端的多個(gè)HTTP請(qǐng)求通過(guò)一個(gè)TCP連接進(jìn)行處理减宣。前者是負(fù)載均衡設(shè)備的獨(dú)特功能盐须；而后者是HTTP 1.1協(xié)議所支持的新功能，目前被大多數(shù)瀏覽器所支持漆腌。
更多F5技術(shù)支持歡迎聯(lián)系Q：1247951665
