版权声明腾讯云版权所有本文档著作权归腾讯云单独所有, 未经腾讯云事先书面许可, 任何主体不得以任何形式复制修改抄袭传播全部或部分本文档内容商标声明及其它腾讯云服务相关的商标均为腾讯云计算 ( 北京 ) 有限责任公司及其关联公司所有本文档涉及的第三方主体的商标, 依法

Size: px

Start display at page:

姑轼暴
5 years ago
Views:

1 负载均衡最佳实践产品文档第 1 共 36 页

版权声明 2013-2019 腾讯云版权所有本文档著作权归腾讯云单独所有, 未经腾讯云事先书面许可, 任何主体不得以任何形式复制修改抄袭

本文档涉及的第三方主体的商标, 依法由权利人所有服务声明本文档意在向客户介绍腾讯云全部或部分产品服务的当时的整体概况, 部分产品

2 版权声明腾讯云版权所有本文档著作权归腾讯云单独所有, 未经腾讯云事先书面许可, 任何主体不得以任何形式复制修改抄袭传播全部或部分本文档内容商标声明及其它腾讯云服务相关的商标均为腾讯云计算 ( 北京 ) 有限责任公司及其关联公司所有本文档涉及的第三方主体的商标, 依法由权利人所有服务声明本文档意在向客户介绍腾讯云全部或部分产品服务的当时的整体概况, 部分产品服务的内容可能有所调整您所购买的腾讯云产品服务的种类服务标准等应由您与腾讯云之间的商业合同约定, 除非双方另有约定, 否则, 腾讯云对本文档内容不做任何明示或模式的承诺或保证第 2 共 36 页

3 文档目录最佳实践负载均衡开启 Gzip 配置及检测方法说明部署证书到负载均衡 HTTPS 证书申请流程 HTTPS 转发配置入门指南七层转发获取来访真实 IP 的方法内网 CLB 关于 SNAT 与非 SNAT 的说明多可用区高可用配置说明注册域名并添加 CNAME 记录的方法 SSL 证书格式要求及格式转换说明均衡算法选择与权重配置实例第 3 共 36 页

4 最佳实践负载均衡开启 Gzip 配置及检测方法说明最近更新时间 : :09:22 在公网应用型负载均衡公网固定 IP 型负载均衡实例中,HTTP/HTTPS 协议默认支持用户开启 gzip 压缩功能开启 gzip 功能对网页进行压缩, 可以有效降低网络传输的数据量, 提升客户端浏览器的访问速度在使用过程中, 需要注意以下事项 : 1. 注意事项需要后端 CVM 同步开启 GZIP 支持对于常见的 Nginx 服务容器, 必须在其配置文件 ( 默认为 nginx.conf) 中, 开启 GZIP 并重启服务 gzip on; 当前负载均衡支持的文件类型如下, 您可以在 gzip_types 配置项中指定文件类型进行压缩 application/atom+xml application/javascript application/json application/rss+xml application/vn d.ms-fontobject application/x-font-ttf application/x-web-app-manifest+json application/xhtml+x ml application/xml font/opentype image/svg+xml image/x-icon text/css text/plain text/x-compon ent; 注 : 负载均衡后端 ECS 业务软件中必须同步开启对上述文件类型的 GZIP 支持客户端请求中必须带有压缩请求标记需要启用压缩, 还要求客户端请求时必须携带如下标记 : Accept-Encoding: gzip,deflate,sdch 2. 后端 CVM 开启 GZIP 流程支持示例示例云服务器运行环境 :Debian 6 1. 使用 vim 依据用户路径打开 Nginx 配置文件 : vim /etc/nginx/nginx.conf 2. 找到如下代码 : gzip on; gzip_min_length 1k; gzip_buffers 4 16k; gzip_http_version 1.1; 第 4 共 36 页

5 gzip_comp_level 2; gzip_types text/html application/json; 上述代码的语法详解 : gzip: 开启或关闭 gzip 模块语法 :gzip on/off 作用域 :http, server, location gzip_min_length: 设置允许压缩的页面最小字节数, 页面字节数从 header 头中的 Content-Length 中进行获取默认值是 1k 语法 :gzip_min_length length 作用域 :http, server, location gzip_buffers: 设置系统获取几个单位的缓存用于存储 gzip 的压缩结果数据流 4 16k 代表以 16k 为单位, 按照原始数据大小以 16k 为单位的 4 倍申请内存语法 : gzip_buffers number size 作用域 : http, server, location gzip_comp_level:gzip 压缩比, 范围为 1~9 1 压缩比最小处理速度最快,9 压缩比最大但处理最慢 ( 传输快但比较消耗 cpu) 语法 : gzip_comp_level 1..9 作用域 : http, server, location 第 5 共 36 页

6 gzip_http_level: 代表可以使用 gzip 功能的 HTTP 最低版本, 设置 HTTP/1.0 代表了需要使用 gzip 功能的 HTTP 最低版本, 因此可以向上兼容 HTTP/1.1 由于腾讯云现已全网支持 HTTP/1.1, 因此无需进行更改语法 : gzip_http_version ; 作用域 : http, server, location gzip_types: 匹配 MIME 类型进行压缩, 默认 "text/html" 类型是会被压缩的此外,Nginx 下的 gzip 默认不压缩 javascript 图片等静态资源文件, 可以通过 gzip_types 指定需要压缩的 MIME 类型, 非设置值则不进行压缩例如, 如果需要对 json 格式数据进行压缩, 则需要在此语句中添加 application/json 类型数据支持的类型如下 : text/html text/plain text/css application/x-javascript text/javascript application/xml 语法 : gzip_types mime-type [mime-type...] 作用域 : http, server, location 3. 如对配置有修改, 则首先将文件保存退出, 进入到 Nginx bin 文件目录, 执行如下命令重新加载 Nginx./nginx -s reload 4. 最后使用 curl 命令测试 gzip 是否成功开启 curl -I -H "Accept-Encoding: gzip, deflate" " 第 6 共 36 页

部署证书到负载均衡最近更新时间 :2017-12-05 17:20:43 SSL 证书支持部署到负载均衡, 步骤如下所示 : 1.

7 部署证书到负载均衡最近更新时间 : :20:43 SSL 证书支持部署到负载均衡, 步骤如下所示 : 1. 选择证书首先成功申请获取证书 ( 参考如何免费申请域名型证书 ), 或者选择上传的证书, 展开更多操作, 选择部署到负载均衡 2. 选择 LB 实例第 7 共 36 页

8 根据项目和地区筛选 LB 实例, 且只能选择一个实例 3. 创建监听器跳转到负载均衡控制台, 打开创建监听器弹窗, 并且监听协议端口已切换到 HTTPS, 服务器证书为已选中的证书, 然后完成剩余的基本配置第 8 共 36 页

9 4. 继续完成配置继续完成创建监听器的其他配置, 即可实现负载均衡的 HTTPS 转发第 9 共 36 页

10 HTTPS 证书申请流程最近更新时间 : :22:50 申请域名型 (DV)SSL 证书 1. 申请入口进入 SSL 证书管理控制台第 10 共 36 页

11 单击申请证书查看申请域名型证书型号, 单击确定第 11 共 36 页

12 2. 填写申请填写申请域名, 注意不支持一级域名申请 ( 例如 qcloud.com), 请填写例如 cloud.tencent.com, demo.test.qlcoud.com 形式二级三级等域名第 12 共 36 页

13 3. DNS 验证 3.1 手动 DNS 验证方式证书默认支持收到 DNS 验证, 验证方法可查看详情 3.2 选择自动 DNS 验证方式第 13 共 36 页

14 如果所申请域名成功添加云解析平台, 可以支持自动 DNS 验证, 验证方法可查看详情 4. 提交申请 4.1 提交申请后验证身份提交申请成功后弹窗提示如下, 需要前往证书详情页获取 CName 记录添加解析 : 第 14 共 36 页

15 获取 CName 记录如 Tips 中显示, 需要尽快成功添加解析, 方可通过 CA 机构审核 : 4.2 提交申请失败如遇到下图所示弹窗, 是提交域名未通过 CA 机构安全审核, 具体原因参考安全审核失败原因第 15 共 36 页

16 HTTPS 转发配置入门指南最近更新时间 : :04:52 1. 负载均衡能力说明腾讯云 CLB 负载均衡器通过对协议栈及服务端的深度优化, 实现了 HTTPS 性能的巨大提升同时, 我们也通过证书的国际合作, 极大降低了证书的成本腾讯云 CLB 在如下几个方面能够为业务带来非常显著的收益 : 1. 使用 HTTPS 并不会降低 Client 端的访问速度 2. 集群内单台服务器 SSL 加解密性能, 高达 6.5W cps 的完全握手相比高性能 CPU 提升了至少 3.5 倍, 节省了服务端成本, 极大提升了业务运营及流量突涨时的服务能力, 增强了计算型的防攻击能力 3. 支持多种协议卸载及转换减少业务适配客户端各种协议的压力, 业务后端只需要支持 HTTP1.1 就能使用 HTTP2 SPDY SSL3.0 及 TLS1.2 等各版本协议 4. 一站式 SSL 证书申请监控替换我们和国际顶级的证书厂商 comodo,symantec 展开对话, 探讨合作, 大幅缩减证书申请流程及成本 5. 防 CC 及 WAF 功能能够有效杜绝慢连接高频定点攻击 SQL 注入网页挂马等应用层攻击 2. HTTP HTTPS 头部标识 CLB 对 HTTPS 进行代理, 无论是 HTTP 还是 HTTPS 请求, 到了 CLB 转发给后端 CVM 时, 都是 HTTP 请求这时开发者无法分辨前端的请求是 HTTP 还是 HTTPS 腾讯云 CLB 在将请求转发给后端 CVM 时, 头部 header 会植入 X-Client-Proto: X-Client-Proto: HTTP( 前端为 HTTP 请求 ) X-Client-Proto: HTTPS( 前端为 HTTPS 请求 ) 3. 入门配置假定用户需要配置网站开发者希望用户在浏览器中输入网址时, 直接键入即可通过 HTTPS 协议安全访问此时用户输入的请求转发流程如下 : 1. 该请求以 HTTP 协议传输, 通过 VIP 访问负载均衡监听器的 80 端口, 并被转发到后端云服务器的 8080 端口第 16 共 36 页

17 2. 通过在腾讯云后端服务器的 nginx 上配置 rewrite 操作, 该请求经过 8080 端口, 并被重写到页面 3. 此时浏览器再次发送请求到相应的 HTTPS 站点, 该请求通过 VIP 访问负载均衡监听器的 443 端口, 并被转发到后端云服务器的 80 端口至此, 请求转发完成该操作在浏览器用户未感知的情况下, 将用户的 HTTP 请求重写为更加安全的 HTTPS 请求为实现以上请求转发操作, 用户可以对后端服务器做如下配置 : server { listen 80; server_name example.qcloud.com; location / { #! customized_conf_begin; client_max_body_size 200m; rewrite ^/.(.*) redirect; } } 或者在 nginx 新版本中, 采用推荐的 301 重定向配置方法, 将 nginx HTTP 页面重定向到 HTTPS 页面 : server { listen 80; server_name example.qcloud.com; return } server { listen 443 ssl; server_name example.qcloud.com; [...] } 第 17 共 36 页

18 七层转发获取来访真实 IP 的方法最近更新时间 : :03:22 由于 4 层负载均衡 (TCP 协议 ) 服务可以直接在后端 CVM 获取来访者真实 IP 地址, 无需进行额外的配置, 下文介绍的均是 7 层 (HTTP 协议 ) 的负载均衡服务的相关内容 7 层负载均衡系统提供 X-Forwarded-For 的方式获取访问者真实 IP,LB 侧默认开启, 需要后端服务做相应配置来获取 client IP 下文将对常见的应用服务器配置方案进行介绍 IIS 6 配置方案 1. 安装插件 F5XForwardedFor.dll, 根据自己的服务器操作系统版本将 x86\release 或者 x64\release 目录下的 F5XForwardedFor.dll 拷贝到某个目录, 这里假设为 C:\ISAPIFilters, 同时确保对 IIS 进程对该目录有读取权限 2. 打开 IIS 管理器, 找到当前开启的网站, 在该网站上右键选择属性, 打开属性页 3. 在属性页切换至 ISAPI 筛选器, 单击添加, 弹出添加窗口 4. 在添加窗口筛选器名称中填写 F5XForwardedFor, 可执行文件填写 F5XForwardedFor.dll 的完整路径, 单击确定 5. 重启 IIS 服务器, 等待配置生效 IIS 7 配置方案 1. 下载与安装插件 F5XForwardedFor 模块, 根据自己的服务器操作系统版本将 x86\release 或者 x64\release 目录下的 F5XFFHttpModule.dll 和 F5XFFHttpModule.ini 拷贝到某个目录, 这里假设为 C: \F5XForwardedFor, 确保对 IIS 进程对该目录有读取权限第 18 共 36 页

19 2. 选择 IIS 服务器选项, 选择模块功能 3. 双击模块功能, 单击配置本机模块第 19 共 36 页

20 4. 在弹出框中单击注册第 20 共 36 页

21 5. 添加下载的 DLL 文件, 如下图所示 : 第 21 共 36 页

22 6. 添加完成后, 勾选并单击确定 7. 把这两个 DLL 在 API 和 CGI 限制进行添加, 并改为允许 8. 重启 IIS 服务器, 等待配置生效第 22 共 36 页

23 Apache 配置方案 1. 安装 apache 第三方模块 mod_rpaf wget tar zxvf mod_rpaf-0.6.tar.gz cd mod_rpaf-0.6 /usr/bin/apxs -i -c -n mod_rpaf-2.0.so mod_rpaf-2.0.c 2. 修改 apache 配置 /etc/httpd/conf/httpd.conf, 在最末尾添加 : LoadModule rpaf_module modules/mod_rpaf-2.0.so RPAFenable On RPAFsethostname On RPAFproxy_ips IP 地址 ( 这个 IP 地址首先不是负载均衡提供的公网 IP, 具体 IP 多少可以查看 apache 日志, 通常会有 2 个都要写上 ) RPAFheader X-Forwarded-For 3. 添加完成后, 重启 apache /usr/sbin/apachectl restart Nginx 配置方案 1. Nginx 作为负载均衡获取真实 IP 时使用 http_realip_module, 默认安装的 Nginx 是没有安装这个模块的, 需要重新编译 Nginx 增加 --with-http_realip_module wget tar zxvf nginx tar.gz cd nginx /configure --user=www --group=www --with-http_stub_status_module --without-http-cache --wi th-http_ssl_module --with-http_realip_module make make install 2. 修改 nginx.conf vi /etc/nginx/nginx.conf 修改如下红色部分 : fastcgi connect_timeout 300; 第 23 共 36 页

24 fastcgi send_timeout 300; fastcgi read_timeout 300; fastcgi buffer_size 64k; fastcgi buffers 4 64k; fastcgi busy_buffers_size 128k; fastcgi temp_file_write_size 128k; set_real_ip_from IP 地址 ;( 这个 IP 地址首先不是负载均衡提供的公网 IP, 具体 IP 多少可以查看之前 nginx 日志 real_ip_header X-Forwarded-For; 3. 重启 Nginx service nginx restart 第 24 共 36 页

25 内网 CLB 关于 SNAT 与非 SNAT 的说明最近更新时间 : :06:16 从 2016 年 12 月 15 日起, 新购买的私有网络下内网型负载均衡 ( 选择私有网络 VPC) 不再进行 SNAT 处理, 即从 Server 端获取的访问 IP, 为客户端的真实 IP 为了保证您的业务运行正常, 您需要注意以下几点 : 1. 对于 2016 年 12 月 15 日后新购买的内网型负载均衡, 当开启安全组策略后, 必须放通所有的 Client IP 的入规则, 以保证正常访问 2. 存量的内网型负载均衡 (2016 年 12 月 15 日前购买的 ), 如有需要转换为非 SNAT, 可向售后团队提交工单, 进行切换切换后, 从 Server 端获取的访问 IP, 为 Client 端 IP, 切换过程中不会出现业务中断第 25 共 36 页

26 多可用区高可用配置说明最近更新时间 : :44:21 负载均衡器多可用区高可用 CLB 负载均衡器支持多可用区容灾的能力, 如在深圳一区二区金融两个可用区 ( 同一个地域 ), 会分别部署多套集群, 以实现同 Region 下的跨可用区容灾通过该特性可实现当整个可用区故障时, 负载均衡 10s 内, 将前端访问流量切换到同一地域下的其它可用区, 以恢复服务能力具体场景 & 疑问解答疑问 1: 深圳金融区 A B, 有负载均衡器 test1,client 端公网入流量的策略是? 答 : 在深圳一区二区机房, 有一对 ip 资源池, 可理解为对等的 ip 资源开发者无需理解, 一区, 二区哪个是主集群, 哪个是备集群, 两个集群拥有同等的负载能力当开发者购买负载均衡器, 并绑定 CVM 时, 会生成两套规则写入套集群, 此时就已经获得了高可用能力疑问 2: 深圳金融区 A B, 有负载均衡器 test1, 后端在 A B 可用区各绑定了 100 台服务器业务运行中, 各建立 100 万 HTTP 长连接 (TCP 连接不关闭 ) 此时当金融区 A 的负载均衡器集群整体瘫痪, 不可用时, 业务的感受是? 答 : 当金融区 A 的负载均衡器失去服务能力后, 当前的所有长连接会断开, 短连接不受影响容灾架构会在 10s 内, 将 A/B 区的各 100 台服务器, 会立刻自动绑定到金融区 B 的负载均衡器上, 业务能力立即恢复, 无需人工介入疑问 3: 多可用区容灾的能力, 支持哪种类型的负载均衡器, 会额外收费么? 目前多可用区是免费的, 不会额外收取费用应用型 CLB 公网固定 IP 型 CLB 已支持支持 http/https/tcp/udp 等协议第 26 共 36 页

27 注册域名并添加 CNAME 记录的方法最近更新时间 : :06:37 目前负载均衡公网有固定 IP 型产品支持 A 记录和 CNAME 的绑定, 用户可通过注册域名并添加 A 记录和 CNAME 记录进行访问 1. 域名注册注册域名可以通过域名注册页面进行域名查询和注册相关文档可以参考如何注册域名 2. 添加 CNAME 记录 2.1. 进入域名解析页面登录腾讯云管理中心 > 云产品 > 域名管理 > 解析, 示例的主域名为 qcloudtest.com 2.2. 添加 CNAME 记录在解析页面, 单击添加, 用户可以添加 CNAME 记录, 操作指引如下 : a. 主机记录可以按照需求说明填写 : 主机记录就是域名前缀, 常见用法有 : www: 解析后的域名为直接解析主域名 qcloudtest.com *: 泛解析, 匹配其他所有域名 *.qcloudtest.com 第 27 共 36 页

28 b. 记录类型用户可选 CNAME 记录各个记录类型如下 : A 记录 : 地址记录, 用来指定域名的 IPv4 地址 ( 如 : ), 如果需要将域名指向一个 IP 地址, 就需要添加 A 记录 CNAME: 如果需要将域名指向另一个域名, 再由另一个域名提供 IP 地址, 就需要添加 CNAME 记录 TXT: 在这里可以填写任何东西, 长度限制 255 绝大多数的 TXT 记录是用来做 SPF 记录 ( 反垃圾邮件 ) NS: 域名服务器记录, 如果需要把子域名交给其他 DNS 服务商解析, 就需要添加 NS 记录 AAAA: 用来指定主机名 ( 或域名 ) 对应的 IPv6 地址 ( 例如 :ff06:0:0:0:0:0:0:c3) 记录 MX: 如果需要设置邮箱, 让邮箱能收到邮件, 就需要添加 MX 记录显性 URL: 从一个地址 301 重定向到另一个地址的时候, 就需要添加显性 URL 记录 ( 注 :DNSPod 目前只支持 301 重定向 ) 隐性 URL: 类似于显性 URL, 区别在于隐性 URL 不会改变地址栏中的域名 SRV: 记录了哪台计算机提供了哪个服务格式为 : 服务的名字点协议的类型, 例如 :_xmpp-server._tcp c. 线路是为了让指定线路的用户访问这个 IP 若空间商只提供了一个 IP 地址或域名, 选择默认即可常见用法有 : 默认 : 必须添加, 否则只有单独指定的线路才能访问您的网站如果双线解析, 建议默认线路填写电信 IP 联通 : 单独为联通用户指定服务器 IP, 其他用户依然访问默认搜索引擎 : 指定一个服务器 IP 让蜘蛛抓取 d. CNAME 记录值主要填写空间商给您提供的域名各类型的记录值一般是这样的 : A 记录 : 填写您服务器 IP, 如果您不知道, 请咨询您的空间商 CNAME 记录 : 填写空间商给您提供的域名, 例如 : 负载均衡中 LB 实例的域名 1b16c9-0.apguangzhou clb.myqcloud.com MX 记录 : 填写您邮件服务器的 IP 地址或企业邮箱给您提供的域名, 如果您不知道, 请咨询您的邮件服务提供商 TXT 记录 : 一般用于 Google QQ 等企业邮箱的反垃圾邮件设置显性 URL 记录 : 填写要跳转到的网址, 例如 : 隐性 URL 记录 : 填写要引用内容的网址, 例如 : AAAA: 不常用解析到 IPv6 的地址 NS 记录 : 不常用系统默认添加的两个 NS 记录请不要修改 NS 向下授权, 填写 dns 域名, 例如 : f1g1ns1.dnspod.net SRV 记录 : 不常用格式为 : 优先级空格权重空格端口空格主机名, 记录生成后会自动在域名后面补一个., 这是正常现象例如 : xmpp-server.l.google.com. 第 28 共 36 页

29 其余值可以按照默认进行操作添加完毕后, 单击确定 2.3. 查看 CNAME 记录添加记录完毕后, 可以在解析页面查看所添加的 CNAME 记录, 并对其进行修改管理等操作 2.4. 测试解析结果用户为测试域名是否解析正常, 可以直接访问绑定后的 CNAME 域名 ( 如例子中的 ) 注意 : 解析大概需要十分钟左右生效第 29 共 36 页

30 SSL 证书格式要求及格式转换说明最近更新时间 : :16:11 1. 常用证书申请流程本地生成私钥 :openssl genrsa -out privatekey.pem 2048 其中 privatekey.pem 为您的私钥文件, 请妥善保管生成证书请求文件 :openssl req -new -key privatekey.pem -out server.csr 其中 server.csr 是您的证书请求文件, 可用其去申请证书获取请求文件中的内容前往 CA 等机构站点申请证书 2. 证书格式要求用户要申请的证书为 :linux 环境下 pem 格式的证书负载均衡不支持其他格式的证书, 如是其它格式的证书请参考本文负载均衡支持的证书格式及转换方式部分内容如果是通过 root CA 机构颁发的证书, 您拿到的证书为唯一的一份, 不需要额外的证书, 配置的站点即可被浏览器等访问设备认为可信如果是通过中级 CA 机构颁发的证书, 您拿到的证书文件包含多份证书, 需要人为的将服务器证书与中间证书合并在一起上传当您的证书有证书链时, 请将证书链内容, 转化为 PEM 格式内容, 与证书内容合并上传拼接规则为 : 服务器证书放第一份, 中间证书放第二份, 中间不要有空行注 : 一般情况下, 机构在颁发证书的时候会有对应说明, 请注意规则说明以下为证书格式和证书链格式范例, 请确认格式正确后上传 : 1 root CA 机构颁发的证书 : 证书格式为 linux 环境下 pem 格式样例如下 : 第 30 共 36 页

31 证书规则为 : [ -BEGIN CERTIFICATE -, -END CERTIFICATE -] 开头和结尾 ; 请将这些内容一并上传 ; 每行 64 字符, 最后一行不超过 64 字符 ; 2 中级机构颁发的证书链: -BEGIN CERTIFICATE - -END CERTIFICATE - -BEGIN CERTIFICATE - -END CERTIFICATE - -BEGIN CERTIFICATE - -END CERTIFICATE - 证书链规则 : 证书之间不能有空行 ; 每一份证书遵守第一点关于证书的格式说明 ; 3. RSA 私钥格式要求第 31 共 36 页

样例如下 : rsa 私钥可以包括所有私钥 (RSA 和 DSA) 公钥(RSA 和 DSA) 和 (x509) 证书它存储用 Base64 编码的 DER 格式数据, 用 ascii 报头包围, 因此适合系统之间的文本模式传输 rsa 私钥规则 : [ -BEGIN RSA PRIVATE KEY -, -END RSA PRIVATE KEY -] 开头结尾 ; 请将这些内容一并上传 ;

32 样例如下 : rsa 私钥可以包括所有私钥 (RSA 和 DSA) 公钥(RSA 和 DSA) 和 (x509) 证书它存储用 Base64 编码的 DER 格式数据, 用 ascii 报头包围, 因此适合系统之间的文本模式传输 rsa 私钥规则 : [ -BEGIN RSA PRIVATE KEY -, -END RSA PRIVATE KEY -] 开头结尾 ; 请将这些内容一并上传 ; 每行 64 字符, 最后一行长度可以不足 64 字符如果您不是按照上述方案生成私钥, 得到 [ -BEGIN PRIVATE KEY -, -END PRIVATE KEY -] 这种样式的私钥, 您可以按照如下方式转换 : openssl rsa -in old_server_key.pem -out new_server_key.pem 然后将 new_server_key.pem 的内容与证书一起上传 4. 证书转换为 PEM 格式说明目前负载均衡只支持 PEM 格式的证书, 其他格式的证书需要转换成 PEM 格式后才能上传到负载均衡中, 建议通过 openssl 工具进行转换下面是几种比较流行的证书格式转换为 PEM 格式的方法第 32 共 36 页

33 4.1. DER 格式证书转换为 PEM 格式 DER 格式一般出现在 java 平台中证书转换 : openssl x509 -inform der -in certificate.cer -out certificate.pem 私钥转换 : openssl rsa -inform DER -outform PEM -in privatekey.der -out privatekey.pem 4.2. P7B 格式证书转换为 PEM 格式 P7B 格式一般出现在 windows server 和 tomcat 中证书转换 : openssl pkcs7 -print_certs -in incertificat.p7b -out outcertificate.cer 获取 outcertificat.cer 里面 [ -BEGIN CERTIFICATE -, -END CERTIFICATE -] 的内容作为证书上传私钥转换 : 私钥一般在 IIS 服务器里可导出 4.3. PFX 格式证书转换为 PEM 格式 PFX 格式一般出现在 windows server 中证书转换 : openssl pkcs12 -in certname.pfx -nokeys -out cert.pem 私钥转换 : openssl pkcs12 -in certname.pfx -nocerts -out key.pem -nodes 4.4. CER/CRT 格式证书转换为 PEM 格式对于 CER/CRT 格式的证书, 您可通过直接修改证书文件扩展名的方式进行转换例如, 将 servertest.crt 证书文件直接重命名为 servertest.pem 即可第 33 共 36 页

34 均衡算法选择与权重配置实例最近更新时间 : :28:57 1. 负载均衡算法比较分析 1.1. 加权轮询算法 Weighted Round-Robin Scheduling 原理 : 轮叫调度算法就是以轮叫的方式依次将请求调度不同的服务器, 即每次调度执行 i = (i + 1) mod n, 选出第 i 台服务器加权轮叫调度算法可以解决服务器间性能不一的情况, 它用相应的权值表示服务器的处理性能, 按权值的高低和轮叫方式分配请求到各服务器权值高的服务器先收到的连接, 权值高的服务器比权值低的服务器处理更多的连接, 相同权值的服务器处理相同数目的连接数优势 : 算法的优点是其简洁性, 和实用性它无需记录当前所有连接的状态, 所以它是一种无状态调度劣势 : 加权轮叫调度算法相对简单, 但不适用于请求服务时间变化比较大, 或者每个请求所消耗的时间不一致的情况, 此时轮叫调度算法容易导致服务器间的负载不平衡适用场景 : 每个请求所占用的后端时间基本相同, 负载情况最好常用于短连接服务, 例如 HTTP 等服务用户推荐 : 用户可知每个请求所占用后端时间基本相同时, 如已知 rs 处理的都是同类型或者相似类型的请求时, 推荐选择加权轮询的方式当请求时间相差较小时也推荐使用加权轮询的方式, 因为该实现方式消耗小, 无需遍历, 效率较高 1.2. 加权最小连接数 Weighted Least-Connection Scheduling 原理 : 在实际情况中, 客户端的每一次请求服务在服务器停留的时间可能会有较大的差异, 随着工作时间的延伸, 如果采用简单的轮询或随机均衡算法, 每一台服务器上的连接进程数目可能会产生极大的不同, 这样实际上并没有达到真正的负载均衡最小连接调度是一种动态调度算法, 它通过服务器当前所活跃的连接数来估计服务器的负载情况与轮询调度算法相反, 最小连接调度是一种动态调度算法, 它通过服务器当前所活跃的连接数来估计服务器的负载情况调度器需要记录各个服务器已建立连接的数目, 当一个请求被调度到某台服务器, 其连接数加 1; 当连接中止或超时, 其连接数减一权重最少连接数调度算法是在做少连接数调度算法的基础上, 根据服务器的不同处理能力, 给每个服务器分配不同的权值, 使其能够接受相应权值数的服务请求, 是在最少连接数调度算法的基础上的改进 1) 假设各台 rs 的权值依次为 wi, 当前连接数依次为 ci, 依次计算 ci/wi, 值最小的 rs 作为下一个分配的 rs 2) 如果存在 ci/wi 相同的 rs, 这些 rs 再使用加权轮训的方式调度优势 : 此种均衡算法适合长时处理的请求服务, 如 FTP 等应用第 34 共 36 页

35 劣势 : 由于接口限制, 目前最小连接数和会话保持功能不能同时开启适用场景 : 每个请求所占用的后端时间相差较大的场景常用于长连接服务用户推荐 : 如果用户需要处理不同的请求, 且请求所占用后端时间相差较大, 如 3ms 和 3s 这种数量级的差距时, 推荐使用加权最小连接数算法实现负载均衡 1.3. 源地址散列调度算法 ip_hash 原理 : 根据请求的源 IP 地址, 作为散列键 (Hash Key) 从静态分配的散列表找出对应的服务器, 若该服务器是可用的且未超载, 将请求发送到该服务器, 否则返回空优势 :ip_hash 可以实现部分会话保持的效果, 能够记住源 ip, 使某一 client 请求通过 hash 表一直映射在同一台 rs 上因此在不支持会话保持的场景可以使用 ip_hash 进行调度用户推荐 : 将请求的源地址进行 hash 运算, 并结合后端的服务器的权重派发请求至某匹配的服务器, 这可以使得同一个客户端 IP 的请求始终被派发至某特定的服务器该方式适合负载均衡无 cookie 功能的 TCP 协议 2. 均衡算法选取及权重配置实例在负载均衡即将发布的新功能中, 七层转发将支持最小连接数的均衡方式, 为了让用户在不同场景下, 能够让 RS 集群稳定的承接业务, 因此我们给出几个负载均衡选择与权重配置的实例供用户进行参考场景 1: 设有 3 台配置相同 (CPU / 内存 ) 的 RS, 由于性能一致, 用户可以将 RS 权重都设置为 10 设现在每台 RS 与 client 端建立了 100 个 TCP 链接, 此时新增 1 台 RS 在此场景下, 推荐用户使用最小连接数的均衡方式, 这种配置能快速的让第四台 RS 的负载提升, 降低另外 3 台 RS 的压力场景 2: 设用户首次接触云服务, 且建站时间不长, 网站负载较低, 则建议购买相同配置的 RS, 因此 RS 都是无差别的接入层服务器在此场景下, 用户可以将 RS 权重都设为 10, 采用加权轮询的均衡方式进行流量分发场景 3: 用户有 5 台服务器, 用与承载简单的静态网站访问, 且 5 台服务器的计算能力的比例为 9:3:3:3:1( 按 CPU 内存换算) 在此场景下, 用户可以依次将 RS 权重比例设置为 90,30,30,30,10, 由于静态网站访问大多数是短连接请求, 因此可以采用加权轮询的均衡方式, 让 CLB 按 RS 的性能比例分配请求第 35 共 36 页

36 场景 4: 某用户有 10 台 RS 用于承担海量的 WEB 访问请求, 且不希望多购置 RS 增加支出某台 RS 经常会因为负载过高, 导致服务器重启在此场景下, 建议用户根据 RS 的性能进行相应的权重设置, 给负载过高的 RS 设置较小的权值除此之外, 可以采用最小连接数的负载均衡方式, 将请求分配到活跃连接数较少的 RS 上, 从而解决某台 RS 负载过高的问题场景 5: 某用户有 3 台 RS 用于处理若干长连接请求, 且这 3 太服务器的计算能力比例为 3:1:1( 按 CPU 内存换算 ) 此时性能最好的服务器处理请求较多, 用户不希望过载此服务器, 希望能够将新的请求分配到空闲服务器上在此场景下, 可以采用最小连接数的均衡方式, 并适当降低繁忙服务器的权重, 便于 CLB 将请求分配到活跃数较少的 RS 上, 实现负载均衡场景 6: 某用户希望后续客户端的请求可以分配到同一服务器上而采用加权轮询或加权最小连接数的方式, 不能保证相同客户端的请求被分到固定某台服务器上去为了配合客户特定应用程序服务器的需求, 保证客户端的会话具有粘性或是持续性, 在此场景下, 我们可以采用 ip_hash 的均衡方式进行流量分发此方法可以确保来自同一客户端的请求总被定向分发到同一 RS 上去 ( 服务器数量变化或是该服务器不可用时除外 ) 第 36 共 36 页

均衡算法选择与权重配置实例

目录 018-0-11 目录目录均衡算法选择与权重配置实例 1. 负载均衡算法比较分析 1.1. 加权轮询算法 1.. 加权最小连接数算法. 均衡算法选取及权重配置实例 SSL 证书格式要求及格式转换说明 1. 证书格式要求.RSA 私钥格式要求 3. 证书转换为 PEM 格式说明 3.1.DER 转换为 PEM 3..P7B 转换为 PEM 3.3.PFX 转换为 PEM 1 3 3 5 5 金山云