负载均衡配置常见问题 1. 负载均衡是否支持 PING 公网负载均衡支持 ping, 需要任意一个监听器下有后端主机 ; 私网负载均衡目前不支持 ping. 后端 KE C 实例需要外网带宽吗? 会否影响负载均衡的服务? 负载均衡服务产生的公网流量费用, 由绑定的 EIP 进行收费建议购买关联 E

Size: px

Start display at page:

Download "负载均衡配置常见问题 1. 负载均衡是否支持 PING 公网负载均衡支持 ping, 需要任意一个监听器下有后端主机 ; 私网负载均衡目前不支持 ping. 后端 KE C 实例需要外网带宽吗? 会否影响负载均衡的服务? 负载均衡服务产生的公网流量费用, 由绑定的 EIP 进行收费建议购买关联 E"

供鞭索
5 years ago
Views:

1 目录目录目录负载均衡配置常见问题 1. 负载均衡是否支持 PING. 后端 KEC 实例需要外网带宽吗? 会否影响负载均衡的服务?. 负载均衡后端服务器的安全组应该怎么设置?. 健康检查提示 KEC 实例异常该如何处理.SLB 健康检查失败 6. 能否支持获取客户端真实 IP? 7.SLB 的 TCP 连接超时时间是多少? 8. 可以为哪些 TCP 端口执行负载均衡? 9. 负载均衡 cookies 会话保持方式的原理是什么? 10. 四层负载均衡和七层负载均衡有什么区别?.KEC 可通过配置内网型负载均衡, 将流量从端口 A 转发回同一台服务器的其他端口吗? 1. 负载均衡是否支持同一个云服务器加入不同的监听器 1. 负载均衡是否支持同一个云服务器使用不同端口加入同一个监听器 1. 同一个负载均衡是否支持加入不同 VPC 下的云主机 1. 什么是后端服务器权重? 16.UDP 协议与 TCP 协议有什么区别? 17. 负载均衡流量统计和 EIP 流量统计区别 18. 挂载到负载均衡的服务器对应端口是否会直接放行 HTTPS 常见问题 1.HTTPS 支持的加密套件有哪些?.HTTPS 支持哪些版本的 SSL\/TLS 安全协议?.SLB 目前支持哪些类型的证书?. 一个监听器可以绑定多少个 HTTPS 证书?. 一个证书可以应用于多少个负载均衡器, 多少个监听器? 6. 为什么 HTTPS 协议实际产生的流量会比账单流量多一些? 7. 证书如何上传? 8. 证书区分地域吗? 9.HTTPS 监听使用什么端口? 10. 证书上传后是否可以删除?. 证书需要上传到后端 KEC 吗? 1. 证书过期后如何处理? 1. 添加证书报错怎么办? 1.HTTPS 证书 passphrase 如何处理端口映射下线公告负载均衡超时问题 1. 负载均衡各类型监听连接超时时间如下. HTTP Keep-alive 超时时间. 为什么会碰到 VIP 连接访问超时? CASE 1 VIP 被安全防护 CASE 客户端端口不足 CASE 后端服务器 accept 队列满 CASE 从层负载均衡后端服务器访问该层负载均衡 VIP CASE 对连接超时的 rst 处理不当金山云 1/

2 负载均衡配置常见问题 1. 负载均衡是否支持 PING 公网负载均衡支持 ping, 需要任意一个监听器下有后端主机 ; 私网负载均衡目前不支持 ping. 后端 KE C 实例需要外网带宽吗? 会否影响负载均衡的服务? 负载均衡服务产生的公网流量费用, 由绑定的 EIP 进行收费建议购买关联 EIP 时, 设定合理的最高的带宽峰值上限和计费方式互联网 Web 业务的流量起伏较大, 无法准确预测, 若实际用量超过上限, 会造成访问丢包, 业务不稳定, 这时可通过 EIP 的监控告警, 监控流量使用情况, 动态调整 EIP 带宽上限. 负载均衡后端服务器的安全组应该怎么设置? 若后端服务器设置了安全组规则, 可能会出现负载均衡实例无法与其通信的状况因此, 在四层转发和七层转发下, 建议后端服务器安全组均设置为全放通对于某些恶意 IP, 可以使用 VPC 网络 ACL 功能, 禁止其访问后端服务器, 再放通所有 IP( ) 到本机服务端口, 让正常客户端可以访问 ( 安全组规则是有顺序的, 自顶而下进行匹配 ) 安全组和 ACL 使用方法, 请参考 VPC 相关文档. 健康检查提示 KE C 实例异常该如何处理请按以下步骤进行排查 : 确保您直接通过云服务器访问到您的应用服务确保后端服务器已开启了相应的端口检查后端服务器内部是否有防火墙之类的防护软件, 可能导致负载均衡系统无法与后端服务器通讯检查负载均衡检查参数设置是否正确建议使用静态页面来健康检查检查后端的云服务器是否有高负载导致云服务器对外响应慢确保云服务器内部是否有做 iptables 限制.SLB 健康检查失败检查云主机关联的安全组是否放行了入向允许健康检查的流量检查云主机所在的子网是否关联了 ACL, 并检查规则是否允许健康检查流量 6. 能否支持获取客户端真实 IP? - 层负载均衡后端服务自动获取真实客户端 IP -7 层负载均衡支持通过 HTTP Header X-forwarded-for 获取真实客户端 IP 7.SLB 的 TCP 连接超时时间是多少? 900 秒 idle timeout 金山云 /

3 8. 可以为哪些 TCP 端口执行负载均衡? 您可以为下列 TCP 端口执行负载均衡 :1-6 端口, 其中和 19 端口被屏蔽不可用 9. 负载均衡 cookies 会话保持方式的原理是什么? 在 Cookie 插入模式下,SLB 将负责插入 cookie, 后端服务器无需作出任何修改当客户进行第一次请求时, 客户 HTTP 请求 ( 不带 cookie) 进入 SLB, SLB 根据负载平衡算法策略选择后端一台服务器, 并将请求发送至该服务器, 后端服务器进行 HTTP 回复 ( 不带 cookie) 被发回 SLB, 然后 SLB 插入 cookie, 将 HTTP 回复 ( 带 cookie) 返回到客户端当客户请求再次发生时, 客户 HTTP 请求 ( 带有上次 SLB 插入的 cookie) 进入 SLB, 然后 SLB 读出 cookie 里的会话保持数值, 将 HTTP 请求 ( 带有与上面同样的 cookie) 发到指定的服务器, 然后后端服务器进行请求回复, 由于服务器并不写入 cookie,http 回复将不带有 cookie, 恢复流量再次经过进入 SLB 时,SLB 再次写入更新后的会话保持 cookie 10. 四层负载均衡和七层负载均衡有什么区别? 四层均衡能力, 是基于 IP+ 端口的负载均衡 ; 七层是基于应用层信息 ( 如 http 头部 URL 等 ) 的负载均衡四到七层负载均衡, 就是在对后台的服务器进行负载均衡时, 依据四层的信息或七层的信息来决定怎么样转发流量比如四层的负载均衡, 就是通过发布三层的 IP 地址 (VIP), 然后加四层的端口号, 来决定哪些流量需要做负载均衡, 对需要处理的流量进行 NAT 处理, 转发至后台服务器, 并记录下这个 TCP 或者 UDP 的流量是由哪台服务器处理的, 后续这个连接的所有流量都同样转发到同一台服务器处理七层的负载均衡, 就是在四层的基础上, 再考虑应用层的特征, 比如同一个 Web 服务器的负载均衡, 除了根据 VIP 加 80 端口辨别是否需要处理的流量, 还可根据七层的 URL 浏览器类别语言来决定是否要进行负载均衡七层负载均衡, 也称为内容交换, 也就是主要通过报文中的真正有意义的应用层内容, 再加上负载均衡设备设置的服务器选择方式, 决定最终选择的内部服务器七层负载均衡要根据真正的应用层内容选择服务器, 只能先代理最终的服务器和客户端建立连接 ( 三次握手 ) 后, 才可能接受到客户端发送的真正应用层内容的报文, 然后再根据该报文中的特定字段, 再加上负载均衡设备设置的服务器选择方式, 决定最终选择的内部服务器负载均衡设备在这种情况下, 更类似于一个代理服务器负载均衡和前端的客户端以及后端的服务器会分别建立 TCP 连接.KE C 可通过配置内网型负载均衡, 将流量从端口 A 转发回同一台服务器的其他端口吗? 不可以对服务器 A( ) 端口 a 的访问可通过内网型负载均衡将请求转发至服务器 B(1.1.1.) 的端口 b 但无法将流量转发至同一台服务器 A( ) 的另一端口 b 1. 负载均衡是否支持同一个云服务器加入不同的监听器支持, 但是云服务器只能加入同一个 VPC 实例下的负载均衡器下 1. 负载均衡是否支持同一个云服务器使用不同端口加入同一个监听器支持, 同一云服务器使用不同端口加入同一个监听器, 视为多个不同的 RS 例如 : VIP:80 -> host-a: > host-a: 8081 注意 : 控制台上在添加后端服务器时需分多次添加, 每次填入不同的后端端口 1. 同一个负载均衡是否支持加入不同 VPC 下的云主机金山云 /

4 不支持负载均衡实例是和 VPC 关联的服务, 同一个负载均衡下的云主机实例只能属于同一个 VPC 1. 什么是后端服务器权重? 用户可以指定后端服务器池内各 KEC 的转发权重, 权重比越高的 KEC 将被分配到更多的访问请求, 用户可以根据后端 KEC 的对外服务能力和情况来区别设定如果您同时开启了会话保持功能, 那么有可能会造成对后端应用服务器的访问并不是完全相同的, 建议您可以暂时关闭会话保持功能再观察一下是否依然存在这种情况 16.UDP 协议与 TCP 协议有什么区别? TCP 是面向连接的协议, 在正式收发数据前, 必须和对方建立可靠的连接 UDP 是面向非连接的协议, 它在数据发送前不与对方先进行三次握手, 而是直接进行数据包发送传送 UDP 协议主要适用于关注实时性而相对不注重可靠性的场景, 如视频聊天金融实时行情推送 DNS 物联网等金山云负载均衡暂不支持 UDP 协议 17. 负载均衡流量统计和 E IP 流量统计区别 EIP 流量是在公网出入口统计, 是限速后从公网到达这个 EIP 的所有流量 ; 负载均衡流量统计是负载均衡下所有监听器 ( 所有监听端口 ) 的流量总和, 除了公网流量, 还包含从金山云机房内部访问该负载均衡的流量负载均衡除了流量统计, 还包含新建连接数和活跃连接数的统计 18. 挂载到负载均衡的服务器对应端口是否会直接放行负载均衡支持直接放行挂载的真实服务器的功能正在灰度中, 目前仅俄罗斯地域支持,SLB 支持 ACL 后其他地域也会逐个开放此功能 HTTPS 常见问题 1.HTTPS 支持的加密套件有哪些? TLS_ECDHE_RSA_WITH_AES_18_GCM_SHA6 TLS_ECDHE_RSA_WITH_AES_6_GCM_SHA8 TLS_ECDHE_RSA_WITH_AES_18_CBC_SHA6 TLS_ECDHE_RSA_WITH_AES_6_CBC_SHA8 TLS_ECDHE_RSA_WITH_AES_18_CBC_SHA TLS_ECDHE_RSA_WITH_AES_6_CBC_SHA TLS_ECDHE_RSA_WITH_DES_EDE_CBC_SHA TLS_RSA_WITH_AES_18_GCM_SHA6 TLS_RSA_WITH_AES_6_GCM_SHA8 TLS_RSA_WITH_AES_18_CBC_SHA6 TLS_RSA_WITH_AES_6_CBC_SHA6 TLS_RSA_WITH_AES_18_CBC_SHA TLS_RSA_WITH_AES_6_CBC_SHA TLS_RSA_WITH_DES_EDE_CBC_SHA.HTTPS 支持哪些版本的 SSL\/TLS 安全协议? 负载均衡 HTTPS 目前支持的 ssl_protocols:tlsv1 TLSv1.1 TLSv1..SLB 目前支持哪些类型的证书? 目前支持服务器证书和 CA 证书的上传, 服务器证书需要上传证书内容和私钥,CA 证书只需要上传证书内容 ; 这两种类型的证书都只支持 PEM 编码格式的上传. 一个监听器可以绑定多少个 HTTPS 证书? 金山云 /

5 用户使用 HTTPS 单向认证, 则一个监听只能绑定一个服务器证书. 一个证书可以应用于多少个负载均衡器, 多少个监听器? 一个证书可以应用于一个或多个负载均衡器, 或多个监听器 6. 为什么 HTTPS 协议实际产生的流量会比账单流量多一些? 如果用户使用 HTTPS 协议, 将会使用一些流量用于协议握手, 因此其实际产生的流量会比账单流量更多一些 7. 证书如何上传? 可以通过负载均衡控制台上传 8. 证书区分地域吗? 不区分 9.HTTPS 监听使用什么端口? 不强制, 建议使用端口 10. 证书上传后是否可以删除? 暂时不提供删除功能. 证书需要上传到后端 KE C 吗? 不需要, 负载均衡 HTTPS 提供证书管理系统管理和存储用户证书, 证书不需要上传到后端 KEC, 用户上传到证书管理系统的私钥都会加密存储 1. 证书过期后如何处理? 当前证书过期后, 需要用户手动更新证书 1. 添加证书报错怎么办? 可能是私钥内容错误, 需要用户替换为新的满足需求的证书 1.HTTPS 证书 pa ssph ra se 如何处理不支持导入 passpharse 加密的证书, 请先解密再上传端口映射下线公告金山云 /

6 第一步创建负载均衡第二步创建监听器第三步解绑端口映射第四步负载均衡绑定弹性 IP 第一步创建负载均衡在负载均衡页面, 点击创建负载均衡创建一个公网负载均衡, 选择配置, 点击下一步负载均衡选择, 不绑定弹性 IP 金山云 6/

7 提交订单, 完成创建负载均衡第二步创建监听器在负载均衡页面, 找到刚才创建的负载均衡, 点击进入负载均衡金山云 7/

8 点击创建监听器创建监听器, 监听器端口和端口映射中弹性 IP 端口保持一致, 真实服务器端口和端口映射中服务器端口保持一致每个端口映射需要创建一个对应的监听器, 并创建完所有需要配置的监听器金山云 8/

9 第三步解绑端口映射在弹性 IP 页面, 选中需要解绑端口映射的弹性 IP, 下侧切换到端口映射列表, 选中需要解绑的端口映射, 点击删除端口映射, 并完成删除端口映射被解绑的时候, 会出现网络中断第四步负载均衡绑定弹性 IP 金山云 9/

10 在弹性 IP 页面, 选中之前解绑端口映射的弹性 IP, 点击绑定资源. 选择负载均衡类型, 并选择刚才创建的负载均衡实例, 进行绑定负载均衡超时问题 1. 负载均衡各类型监听连接超时时间如下 TCP 900 秒 HTTP 60 秒 HTTPS 60 秒注 : 当前负载均衡未开放超时时间给用户自行设置金山云 10/

11 . HTTP Keep-a live 超时时间如果客户端访问 SLB HTTP 监听时使用长连接, 那么这条连接最长的空闲时间为 60 秒, 即如果超过 60 秒没有发送任何 HTTP 请求, 这条连接将会被 SLB 主动断开如果您的业务可能会出现超过 60 秒的空闲, 需要检测连接的断开并重新发起连接. 为什么会碰到 VIP 连接访问超时? 注 : 访问超时场景很多, 本文档主要是从服务端入手分析 CASE 1 VIP 被安全防护如流量黑洞和清洗,WAF 防护 (waf 的特点是为建连后向 client 和 lvs 双向发送 rst 报文 ) CASE 客户端端口不足尤其容易发生在压测的时候, 客户端端口不足会导致建立连接失败, 负载均衡默认会抹除 tcp 连接的 timestamp 属性,linux 协议栈的 tw_reuse(time_wait 状态连接复用 ) 无法生效,time_wait 状态连接堆积导致客户端端口不足解决方法 : 客户端端使用长连接代替短连接使用 RST 报文断开连接 (socket 设置 SO_LINGER 属性 ), 而不是发 FIN 包这种方式断开 CASE 后端服务器 accept 队列满后端服务器 accept 队列满, 导致后端服务器不回复 syn_ack 报文, 客户端超时解决方法 : 默认的 net.core.somaxconn 参数为 18, 执行 sysctl -w net.core.somaxconn=10 或者其它更大的值, 并重启后端服务器上的应用 CASE 从层负载均衡后端服务器访问该层负载均衡 VIP 层负载均衡, 在该负载均衡的后端服务器上再去访问该负载均衡 VIP, 这个目前是无法支持的, 会导致连接失败, 常见的场景是用户后端应用使用 URL 拼接的方式跳转访问 CASE 对连接超时的 rst 处理不当负载均衡上建立 TCP 连接后如果 900s 未活动, 则会向 client 和 rs 双向发送 rst 断开连接, 有的应用对 rst 异常处理不当, 可能会对已关闭的连接再次发送数据导致应用超时 _ 注 : 这种情况建议调整后端主机系统内核参数 net.ipv.tcp_keepalive_time 为小于 900s 的值金山云 /

负载均衡超时问题

目录 018-0-11 目录目录负载均衡超时问题 1. 负载均衡各类型监听连接超时时间如下. HTTP Keep-alive 超时时间. 为什么会碰到 VIP 连接访问超时? CASE 1 VIP 被安全防护 CASE 客户端端口不足 CASE 后端服务器 accept 队列满 CASE 从层负载均衡后端服务器访问该层负载均衡 VIP CASE 对连接超时的 rst 处理不当负载均衡配置常见问题