【技术分享】华为防火墙配置FTP服务器的负载均衡

组网需求

如图1所示，企业有三台FTP服务器Server1、Server2和Server3，且这三台服务器的硬件性能顺次降低，Server1性能是Server2的两倍、Server2性能是Server3的两倍。通过配置负载均衡，让这三台服务器联合对外提供FTP服务，且三台服务器承载业务的多少与服务器硬件性能的高低匹配。通过配置健康检测实时监控这三台服务器是否可达。

图1 配置FTP服务器的负载均衡组网图

操作步骤

1. 配置各个接口的IP地址，并将接口加入相应的安全区域

    system-view
   [FW] interface GigabitEthernet 0/0/1
   [FW-GigabitEthernet0/0/1] ip address 1.1.1.1 24
   [FW-GigabitEthernet0/0/1] quit
   [FW] interface GigabitEthernet 0/0/2
   [FW-GigabitEthernet0/0/2] ip address 192.168.1.254 24
   [FW-GigabitEthernet0/0/2] quit
   [FW] firewall zone untrust
   [FW-zone-untrust] add interface GigabitEthernet 0/0/1
   [FW-zone-untrust] quit
   [FW] firewall zone dmz
   [FW-zone-dmz] add interface GigabitEthernet 0/0/2
   [FW-zone-dmz] quit
   

2. 配置安全策略

        # 配置untrust到dmz的安全策略，允许Internet用户访问内网的FTP服务器。策略的目的地址应该配置虚拟服务器的IP地址。
   [FW] security-policy
   [FW-policy-security] rule name policy1
   [FW-policy-security-rule-policy1] source-zone untrust
   [FW-policy-security-rule-policy1] destination-zone dmz
   [FW-policy-security-rule-policy1] destination-address 1.1.1.10 24
   [FW-policy-security-rule-policy1] action permit
   [FW-policy-security-rule-policy1] quit
   [FW-policy-security] quit
       # 配置local到dmz的安全策略，允许FW向实服务器发送健康探测报文。
   

3. 配置服务器负载均衡功能和健康检查功能

   # 开启服务器负载均衡功能。
   [FW] slb enable
   # 配置会话保持。
   [FW] slb
   [FW-slb] persistence 0 sourceip
   [FW-slb-persistence-1] type source-ip aging-time 180
   [FW-slb-persistence-1] quit
   # 配置负载均衡算法。
   [FW-slb] group 0 vs-ftp-1.1.1.10
   [FW-slb-group-0] metric weight-least-connection
   # 配置实服务器Server1、Server2、Server3，服务器的权重值依次为4、2、1。
   [FW-slb-group-0] rserver 0 rip 192.168.1.1 port 21 weight 4 description server1
   [FW-slb-group-0] rserver 1 rip 192.168.1.2 port 21 weight 2 description server2
   [FW-slb-group-0] rserver 2 rip 192.168.1.3 port 21 weight 1 description server3
   # 配置健康检查功能。
   [FW-slb-group-0] health-check type icmp tx-interval 5 times 3
   [FW-slb-group-0] quit
   # 配置虚拟服务器的协议类型。
   [FW-slb] vserver 0 vs-ftp-1.1.1.10
   [FW-slb-vserver-0] protocol tcp
   # 配置虚拟服务器的IP地址和端口号。
   [FW-slb-vserver-0] vip 0 1.1.1.10
   [FW-slb-vserver-0] vport 2121
   # 配置会话保持。
   [FW-slb-vserver-0] persistence sourceip
   # 关联虚拟服务器和实服务器组。
   [FW-slb-vserver-0] group vs-ftp-1.1.1.10
   [FW-slb-vserver-0] quit
   

4. 启用FTP协议的ASPF功能

   [FW] firewall detect ftp
   

验证

1. 在FW上查看静态Server-map表，存在相应表项证明服务器负载均衡功能配置成功。

   [FW] display firewall server-map static
    Current Total Server-map : 1
    Type: SLB,  ANY -> 1.1.1.10:2121[vs-ftp-1.1.1.10/0],  Zone:---,  protocol:tcp              
    Vpn: public -> public
   

2. 在Client上ftp 1.1.1.10:2121可以连接到FTP服务器。
    

3. 当服务器请求流量较大时，经过一段时间后，在FW上查看虚拟服务器和实服务器的运行情况，可见3个实服务器的总会话数、并发会话数比约为4:2:1。

   [FW] display slb vserver vs-http-1.1.1.10 verbose
   Virtual Server Information(Total 1)
   -------------------------------------------------------------------------------------------
     Virtual Server Name      : vs-ftp-1.1.1.10
     Virtual Server ID         : 0
     Virtual Server IP         : 1.1.1.10
     Protocol                  : tcp
     Virtual Server Port       : 2121
     Http X-forward Enable     : Disable
     Virtual Server Max-conn   : --
     Persistence Name/ID(Type) : sourceip/0(source-ip)
     Group Name                : vs-ftp-1.1.1.10
     Group ID                  : 0
     Virtual Server Statistics
      Current Connection       :112
      Total connection         :300
      Total Flow               :3247856_B
   ---------------------------------------------
   [FW] display slb group vs-http-1.1.1.10 verbose
   Group Information(Total 1)                                                      
   --------------------------------------------------------------------------------
   ----------------------------                                                    
     Group Name               : vs-http-1.1.1.10                                   
     Group ID                 : 0                                                  
     Metric                   : weight-least-connection                            
     Source-nat Type          : NA                                                 
     Health Check Type        : icmp                                               
     Real Server Number       : 3                                                  
       RserverID  IP Address       Weight  Max-connection  Status               Rat
   io  TotalSession  CurSession                                                    
       0          192.168.1.1      4       -               Admin-Active         57.
   03%            1525        65                                                  
       1          192.168.1.2      2       -               Admin-Active         28.
   42%             760        32                                                    
       2          192.168.1.3      1       -               Admin-Active         14.
   55%             389        15                                                    
   --------------------------------------------------------------------------------
   ---------------------------- 
   

   报微思课程享有以下【增值服务】：
   1：全套学习资料赠送（教材，实验环境、课件等）。
   2：循环开班，无限次免费重听
   3：直播+录播，提供完整的随堂上课视频回放
   4：课后讲师班群24小时答疑。
   5：考试：帮学员报考，提供免费辅导，提供精准题库考完为止。
   6：华为/思科-云实验平台免费用：无需安装即可点微思链接平台做实验，赠送整套实验手册+课后实验教学视频。