【技术分享】华为防火墙配置FTP服务器的负载均衡
组网需求
如图1所示，企业有三台FTP服务器Server1、Server2和Server3，且这三台服务器的硬件性能顺次降低，Server1性能是Server2的两倍、Server2性能是Server3的两倍。通过配置负载均衡，让这三台服务器联合对外提供FTP服务，且三台服务器承载业务的多少与服务器硬件性能的高低匹配。通过配置健康检测实时监控这三台服务器是否可达。
图1 配置FTP服务器的负载均衡组网图
操作步骤
配置各个接口的IP地址，并将接口加入相应的安全区域
<FW> system-view
[FW] interface GigabitEthernet 0/0/1
[FW-GigabitEthernet0/0/1] ip address 1.1.1.1 24
[FW-GigabitEthernet0/0/1] quit
[FW] interface GigabitEthernet 0/0/2
[FW-GigabitEthernet0/0/2] ip address 192.168.1.254 24
[FW-GigabitEthernet0/0/2] quit
[FW] firewall zone untrust
[FW-zone-untrust] add interface GigabitEthernet 0/0/1
[FW-zone-untrust] quit
[FW] firewall zone dmz
[FW-zone-dmz] add interface GigabitEthernet 0/0/2
[FW-zone-dmz] quit配置安全策略
# 配置untrust到dmz的安全策略，允许Internet用户访问内网的FTP服务器。策略的目的地址应该配置虚拟服务器的IP地址。
[FW] security-policy
[FW-policy-security] rule name policy1
[FW-policy-security-rule-policy1] source-zone untrust
[FW-policy-security-rule-policy1] destination-zone dmz
[FW-policy-security-rule-policy1] destination-address 1.1.1.10 24
[FW-policy-security-rule-policy1] action permit
[FW-policy-security-rule-policy1] quit
[FW-policy-security] quit
# 配置local到dmz的安全策略，允许FW向实服务器发送健康探测报文。配置服务器负载均衡功能和健康检查功能
# 开启服务器负载均衡功能。
[FW] slb enable
# 配置会话保持。
[FW] slb
[FW-slb] persistence 0 sourceip
[FW-slb-persistence-1] type source-ip aging-time 180
[FW-slb-persistence-1] quit
# 配置负载均衡算法。
[FW-slb] group 0 vs-ftp-1.1.1.10
[FW-slb-group-0] metric weight-least-connection
# 配置实服务器Server1、Server2、Server3，服务器的权重值依次为4、2、1。
[FW-slb-group-0] rserver 0 rip 192.168.1.1 port 21 weight 4 description server1
[FW-slb-group-0] rserver 1 rip 192.168.1.2 port 21 weight 2 description server2
[FW-slb-group-0] rserver 2 rip 192.168.1.3 port 21 weight 1 description server3
# 配置健康检查功能。
[FW-slb-group-0] health-check type icmp tx-interval 5 times 3
[FW-slb-group-0] quit
# 配置虚拟服务器的协议类型。
[FW-slb] vserver 0 vs-ftp-1.1.1.10
[FW-slb-vserver-0] protocol tcp
# 配置虚拟服务器的IP地址和端口号。
[FW-slb-vserver-0] vip 0 1.1.1.10
[FW-slb-vserver-0] vport 2121
# 配置会话保持。
[FW-slb-vserver-0] persistence sourceip
# 关联虚拟服务器和实服务器组。
[FW-slb-vserver-0] group vs-ftp-1.1.1.10
[FW-slb-vserver-0] quit启用FTP协议的ASPF功能
[FW] firewall detect ftp
验证
在FW上查看静态Server-map表，存在相应表项证明服务器负载均衡功能配置成功。
[FW] display firewall server-map static
Current Total Server-map : 1
Type: SLB, ANY -> 1.1.1.10:2121[vs-ftp-1.1.1.10/0], Zone:---, protocol:tcp
Vpn: public -> public在Client上ftp 1.1.1.10:2121可以连接到FTP服务器。
当服务器请求流量较大时，经过一段时间后，在FW上查看虚拟服务器和实服务器的运行情况，可见3个实服务器的总会话数、并发会话数比约为4:2:1。
[FW] display slb vserver vs-http-1.1.1.10 verbose
Virtual Server Information(Total 1)
-------------------------------------------------------------------------------------------
Virtual Server Name : vs-ftp-1.1.1.10
Virtual Server ID : 0
Virtual Server IP : 1.1.1.10
Protocol : tcp
Virtual Server Port : 2121
Http X-forward Enable : Disable
Virtual Server Max-conn : --
Persistence Name/ID(Type) : sourceip/0(source-ip)
Group Name : vs-ftp-1.1.1.10
Group ID : 0
Virtual Server Statistics
Current Connection :112
Total connection :300
Total Flow :3247856_B
---------------------------------------------
[FW] display slb group vs-http-1.1.1.10 verbose
Group Information(Total 1)
--------------------------------------------------------------------------------
----------------------------
Group Name : vs-http1.1.1.10
Group ID : 0
Metric : weight-least-connection
Source-nat Type : NA
Health Check Type : icmp
Real Server Number : 3
RserverID IP Address Weight Max-connection Status Ratio
TotalSession CurSession
0 192.168.1.1 4 - Admin-Active 57.03%
1525 65
1 192.168.1.2 2 - Admin-Active 28.42%
760 32
2 192.168.1.3 1 - Admin-Active 14.55%
389 15
--------------------------------------------------------------------------------
