F5 LTM Administering BIG-IP v11

1

F5 BigIP LTM Administering BigIP v11F5 BigIP LTM Administering BigIP v11

2

Introducción a F5

Application Delivery Networking– Asegurando que las aplicaciones sean SEGURAS,

RAPIDAS, DISPONIBLES

Productos F5:– BIG-IP Local Traffic Manager– BIG-IP Link Controller– BIG-IP Global Traffic Manager– BIG-IP Access Policy Manager– BIG-IP Application Security Manager – Enterprise Manager– WanJet / Web Accelerator

3

BIG-IP Local Traffic Manager

Internet• Balanceo de Carga a Servidores

• Monitoreo del estado de los servidores

4

BIG-IP Global Traffic Manager (GTM)

Internet

• Balanceo de Carga de DNS

• Por ej: www.f5.com = es 1 de

• Monitoreo de estado de los servidores

207.46.134.222

65.197.145.183143.166.83.200

GTM

www.f5.com = ?

207.46.134.222www.f5.com = ?

143.166.83.200

www.f5.com = ?

207.46.134.222

5

ISP #1 ISP #2

BIG-IP Link Controller

Internet

• Balanceo de los servidores

• Links de Entrada

• Links de Salida

3 tipos de Balanceo

6

BIG-IP Enterprise Manager

LTMGTM

• Manejo de versionado y backup centralizado

• Visión centralizadad de certificados SSL

• Control e Inventario de los dispositivos

• Soporte hasta 300 dispositivos

7

BIG-IP Access Policy Manager

Big-IP APM

File Servers

Web Servers

telnet a Hosts

E-mail Servers

Terminales / Citrix

Desktop

SSL VPN

Autenticación

Autorización

Acceso remoto a través de navegador o VPN SSL

Autorización por Grupo

8

BIG-IP Application Security Manager

Firewall de Capa 7• Bloquea ataques web

conocidos o desconocidos.• Reverse Proxy• Chequeo del contenido de

salida

216.34.94.17:80

Internet

207.17.117.25

9

WanJetOficina Remota Oficina

• Optimización WAN Resultados tipoLAN• Aceleración de Aplicaciones• Encripción site-to-site Configurable utilizando SSL

10

Web AcceleratorCliente Web Server

• Acelera Aplicaciones Web • Tiempos de respuesta a usuario mayores• Extiende la capacidad de los servidores• Reduce la carga del sistema• Reduce la necesidad de BW• Transparente a usuarios y aplicaciones

11

Agenda – Día 1

1. Introduction

2. Local Traffic

3. NAT & SNAT

4. TMSH y Administración de BigIP

5. Monitores y Estados

6. Profiles

12

Agenda – Día 2

7. Troubleshooting Big-IP

8. Persistence

9. Administration Big-IP

10. iRules

11. Labs

13

Introducción - Topología

Internet

BIG-IP LTMs

Clients

Servers

14

Plataformas BIG-IP

Instalación (Setup Utility)

Utilidades de Configuración y Acceso de Usuario

Introducción

15

Plataformas BIG-IP

Hardware and virtualized designed solutions for app. sec.

•High-end Enterprise Datacenter WAF – VIPRION and 11000 series

•Industry’s best performance for low end with 1600

•Low throughput Web Application Firewall for budget conscious buyer

•App. sec. on hypervisor infrastructure* with BIG-IP ASM VE

•Cost-effective scale and attack mitigation

8900VIPRION 4400 and 2400

6900 3900 , 3600 and 1600

11000

Virtual Edition

16

Plataformas BIG-IP

6900

3900

Diferencias• 8900 (2U)– Dual CPU, quad core (8 processors), 16G Ram– 12 puertos 10/100/1G & 8Gbit• 6900 (2U) – Dual CPU, dual core (4 processors) 8G Ram– 16 puertos 10/100/1G & 8Gbit• 3900 (1U) – Quad core CPU, 8G Ram, ASIC2– 8 puertos 10/100/1G & 4Gbit• 1600 (1U) – Dual core CPU, 4G Ram– 4 puertos 10/100/1G & 2Gbit

• Panel LCD de control• Más información-> http://www.f5.com

17

VIPRION• C4400 4-Slot Chassis (7U)

Plataformas BIG-IP

18

Plataformas BIG-IP

Blade• B4200 Blade (1U)

19

Plataformas BIG-IP

BIG-IP 3900400k L7 RPS175K L4 CPS

4G L7/L4 TPUT

BIG-IP 6900,600k L7 RPS220K L4 CPS

6G L7/L4 TPUT

BIG-IP 8900/ 8950

1.9M L7 RPS800K L4 CPS

Up to 20G TPUT

BIG-IP 11000/11050, 2.5M L7 RPS1M L4 CPSUp to 42G

TPUT


1G L7/L4 TPUT


2G L7/L4 TPUT

20

Plataformas BIG-IP

21

Plataformas BIG-IP

22

Paso a paso – Conectividad inicial

1. Rackeo y conexiones

2. Panel LCD

3. Acceso Web y SSH

4. Usaurios

23

Paso 1 - BIG-IP Chassis Front (3600)

• Intalar Kit de Rackeo• Conectar cable de Power• Conectar cable de red en la interfaz

identificada como MGMT

USB Failover Ethernet

MGMT Console

LCD PanelGigabit SFP

ControlsFan Ports

24

Paso 2 – Panel LCD

LCD Panel

Controls

El panel tiene un menu con los siguientes items• Information menu• System menu• Screens menu• Options menu

25

Paso 2 – Panel LCD – cont.

1. Nos desplazamos con las teclas flecha hacia arriba y flecha hacia abajo hasta seleccionar “System Menu” (para seleccionar pulsamos la tecla verde central)

2. Dentro de ese menu no movemos hasta seleccionar “IP Address”. Configuramos ahí la IP de MGMT.

3. Repetimos la operatoria del paso para la parte de “Netmask” y “ Default route”

4. IMPORTANTE: Una vez terminado seleccionar la opción Commit y confirmar con la tecla central verde.

26

Paso 3 - Accesos

Dos tipos de accesos

• Web Interface • HTTPS (remote)

• Command Line• SSH (remote)

– Management Port– Self-IPs– SCCP / AOM

• Serial Terminal

27

Paso 3 – Accesos – Cont.

• Desde un navegador ingresar a la IP configurada en el paso Panel LCD ejemplo: https://172.27.166.174

28

Paso 3 – Accesos – Cont.

• Con un software tipo terminal (putty o crt) ingresar a la IP configurada en el paso Panel LCD ejemplo: 192.168.21.215 al puerto 22

29

Paso 4 - usuarios

• Para el acceso via Web el usuario de default es admin

• Para el acceso vis SHH el usuario de default es root

30

Configuración Inicial de BIG-IP

1. Config utility

– Dirección IP Address para la interfaz de management

2. Licenciamiento

3. Setup utility

– Clave Root

– Direcciones IP para las VLANs

– Asignación de Interfaces a las VLANs

– Clave Web Admin

– Acceso SSH

31

config UtilityDirección IP inicial: 192.168.1.245 F5 en Hexadecimal

32

Internet

Licenciamiento – Automático

Ejecutar Setup utility

• Ingresar Registration Key

PC BIG-IP

• Tomar la licencia de F5

• Seleccionar los parametros

F5 License Server activate.F5.com

Reiniciar

33

Licenciamiento – Manual

PC

BIG-IP

F5 License Server activate.F5.com

Internet

• Copiar Dossier a una PC conectada a internet

• Pegar Dossier a F5

• Descargar la licencia a la PC

• Upload & instalación del archivo Licencia

Setup utility

PC

• https://activate.F5.com

Reiniciar

34

Setup Utilityhttps://Management IP Address

35

Setup Utility – Direccionamiento

36

Web Configuration utility

37

Local Traffic Manager

1 2 3 4

5 6 7 8

Internet

38

Virtual Servers, Miembros y Nodos

Configurando Virtual Servers y Pools

Métodos de Load Balancing

Configurando Load Balancing

Load Balancing

39

Pools, Miembros y Nodos

172.16.20.1 172.16.20.2 172.16.20.3

Nodo = Dir IP

:80 :80 :80

Miembro = Nodo + Puerto

Pool = Grupo de miembros

41

Virtual Server

Internet

172.16.20.4:8080

172.16.20.2:4002172.16.20.3:80

Virtual Server• Dirección IP

+ Servicio (Puerto)

• “Escucha” y maneja el tráfico entrante

216.34.94.17:80

• Normalmente asociada a un Pool

42

Virtual Server – Traducción de Direcciones IP

BIG-IP LTM realiza la traducción de direcciones de red a la dirección real de los servidores, de tal modo que todas las maquinas se vean como un solo Virtual Server. Real Server

Address

Network Address Translation

Virtual Server Address

Internet

216.34.94.17:80

172.16.20.4:8080

172.16.20.1:80

172.16.20.2:4002

172.16.20.3:80

43

Flujo de Red – Paquete #1

Resuelve www.f5.com a la dirección IP del Virtual Server 216.34.94.17:80

Internet

172.16.20.4:8080

172.16.20.1:80172.16.20.2:4002172.16.20.3:80

www.f5.com

DNS Server216.34.94.17:80

44


LTM traduce la dirección destino al nodo, en base al Load Balancing

Internet

Packet # 1 Src - 207.17.117.20:4003Dest – 216.34.94.17:80

172.16.20.4:8080

172.16.20.1:80172.16.20.2:4002172.16.20.3:80

Packet # 1 Src – 207.17.117.20:4003Dest – 172.16.20.1:80

207.17.117.20

216.34.94.17:80

45

Flujo de Red – Paquete #1 Retorno

LTM traduce la dirección origen nuevamente a la del Virtual Server

Internet

Packet # 1 - return Dest - 207.17.117.20:4003Src – 216.34.94.17:80

172.16.20.4:8080

172.16.20.1:80172.16.20.2:4002172.16.20.3:80

Packet # 1 - return Dest – 207.17.117.20:4003Src – 172.16.20.1:80

207.17.117.20

216.34.94.17:80

46


Internet

Packet # 2 Src - 207.17.117.21:4003Dest – 216.34.94.17:80

172.16.20.4:8080

172.16.20.1:80172.16.20.2:4002172.16.20.3:80

Packet # 2 Src – 207.17.117.21:4003Dest – 172.16.20.2:4002

207.17.117.21

216.34.94.17:80

47


Internet


172.16.20.4:8080

172.16.20.1:80172.16.20.2:4002172.16.20.3:80


207.17.117.21

216.34.94.17:80

48


Internet

Packet # 3 Src - 207.17.117.25:4003Dest – 216.34.94.17:80

172.16.20.4:8080

172.16.20.1:80172.16.20.2:4002172.16.20.3:80

Packet # 3 Src – 207.17.117.25:4003Dest – 172.16.20.4:8080

207.17.117.25

216.34.94.17:80

49


Internet


172.16.20.4:8080

172.16.20.1:80172.16.20.2:4002172.16.20.3:80


207.17.117.25

216.34.94.17

50

Configurando Pools

51

Configurando Virtual Servers

52

NATs y SNATs

Network Address Translation

Internet

207.10.1.103

172.16.20.3

207.10.1.101

172.16.20.1

53

NAT

Conceptos SNAT

Configuración de SNAT

NATs y SNATs

54

NAT

Mapeo 1-a-1Tráfico BidireccionalDirección IP DedicadaConfiguración

Internet

207.10.1.103

172.16.20.3

207.10.1.101

172.16.20.1

55

SNATs

Mapeo varios a uno

El tráfico iniciado a una dirección de SNAT es rechazado

Internet

207.10.1.102

172.16.20.1172.16.20.2172.16.20.3

56

Razones para SNAT

Varias direcciones no enrutables a una enrutable Internet

172.16.20.1172.16.20.2172.16.20.3

207.10.1.33VS - 207.10.1.100

172.16.1.33

172.16.11.45

• Consideraciones de enrutamiento

• Si el Default Route de los servidores no va al LTM

57

SNATs – Flujo de tráfico típico

Internet

207.10.1.102

172.16.20.1172.16.20.2172.16.20.3

172.16.20.3:1111 205.229.151.203:80

207.10.1.102:2222 205.229.151.203:80

58

SNATs – Flujo de Respuesta

Internet

207.10.1.102

172.16.20.1172.16.20.2172.16.20.3

205.229.151.203:80 172.16.20.3:1111

205.229.151.203:80 207.10.1.102:2222

59

Configuración

Internet

207.10.1.102

172.16.20.1172.16.20.2172.16.20.3

Quién puede cambiar?

A qué se cambia?

Dónde llegan los paquetes?

60

SNAT para Virtual Servers

Internet

172.16.X.33

172.16.20.1172.16.20.2172.16.20.3

Tráfico al VS

10.10.X.100:443

SNAT Pool – Automap Self IP Flotante

61

Accesos de Configuración

Métodos

1. Web

• https (remoto)

2. CLI

• ssh (remoto)

• Terminal Serial

62

Procedimiento de Backup

• Guarda toda la configuración en un archivo• Si el archivo se copia a otro sistema, se

debe re-licenciar

63

Autenticación de Usuarios

64

Usuarios Administradores

65

Estadísticas SummaryVirtual Servers PoolsNodes

66

Logs

67

Logs

Se localizan en /var/logdaemons - /var/log/daemon.log

gtm - /var/log/gtm

ltm - /var/log/ltm

Kernel - /var/log/messages

Booteo - /var/log/boot.log

Logrotate para rotación de logsSe almacenan en /var/log/[archivo].1.gz -- /var/log/[archivo].5.gz

68

Monitores y Estados

Internet

172.16.20.3:80

69

Conceptos generales de Monitores

Configuración de Monitores

Asignación de Monitores

Estados de Nodos y Miembros

Monitores

70

Conceptos

Chequeo de Dirección IP

– Nodo

Chequeo de Servicio

– IP : puerto

Chequeo de Contenido

– IP : puerto + chequeo de datos de retorno

Chequeo Interactivo

Chequeo de Trayecto

71

Chequeo de Dirección IP

Pasos

– Se envían paquetes a una dirección IP

– Si no hay respuesta, no se envía tráfico alguno a los miembros de pool que utilicen la dirección.

– Ejemplo: ICMP

Internet

172.16.20.1

172.16.20.2

172.16.20.3

ICMP

72

Chequeo de Servicio

Pasos

– Abre una conexión TCP (IP : servicio)

– Cierra la conexión

– Si la conexión TCP falla, no se enviará tráfico a los miembros asociados.

– Ejemplo: TCP

Internet

172.16.20.1:80172.16.20.2:80172.16.20.3:80

TCP Connection

73

Chequeo de Contenido

Internet

172.16.20.1:80172.16.20.2:80172.16.20.3:80

Pasos– Abre una conexión TCP (IP :

servicio)– Envía un REQ– La respuesta viene con datos

útiles– Cierra la conexión– Si los datos recibidos no

concuerdan con una regla, no se envían datos a los miembros asociados

– Ejemplo: http

http GET /

74

Chequeo Interactivo

Internet

172.16.20.1:80172.16.20.2:80172.16.20.3:80

Pasos– Abre una conexión TCP (IP :

servicio)– Se genera una conversación

interactiva para simular una conexión real

– Se cierra la conexión– Si no ocurren los resultados

esperados, no se envía tráfico a los miembros asociados.

– Ejemplo: SQL request

conversation

75

Chequeo de Trayecto

Pasos– Se envían paquetes a

través, no al dispositivo– Puede chequear Dir IP,

Servicio o Contenido– Si no se cumple la

condición, no se envía tráfico a través del miembro asociado.

Link Cntl

ISP2ISP1

ISP1

www.f5.com

76

Configuración

Monitores Predefinidos (Templates)

– Chequeo de Dirección IP (icmp)

– Chequeo de Servicio (tcp)

– Chequeo de Contenido (http)

– Chequeo Interactivo (ftp)

– Disponibilidad:

–TODOS los templates pueden ser personalizados

77

Creando Nuevos Monitores

78

Parámetros Adicionales

• Regla de Recepción

– Si se encuentra el contenido, el nodo se marca Up

• Regla de recepción inversa– Si se encuentra el contenido, el

nodo se marca Down

• Transparente – Si el trayecto está disponible, el

nodo se marca Up– Utilizada para monitorear Links

79

Timers

Frecuencia (Interval)

Timeout

• Recomendado = 3n + 1

80

Asignación de MonitoresPor Default a Todos los NodosOpciones particulares de Cada Nodo– Default– Específico– Ninguno

Por Default a Todos los Miembros de un PoolOpciones Particulares a cada Miembro de Pool– Heredar de Pool– Específico– Ninguno

81

Asignación de Monitores a Nodos

Para 1 Nodo

82

Asign. De Monitores a Pools

Para 1 miembro

83

Estado de Miembro o Nodo

Status• Available – Circ. Verde• Offline – Diamante Rojo• Unknown – Cuad. Azul

84

Perfiles

Internet

Virtual Server

Los perfiles determinan la manera de procesar el tráfico de los servidores virtuales

85

Conceptos de Perfiles

Dependencias

Tipos de Perfil

Configuración

Perfiles

86

Conceptos

Un perfil es:

Donde se define el comportamiento del tráfico:

– SSL, compression, persistence…

– La aplicación de este comportamiento a VS’s

Definido a partir de un template

Dependiente de otros perfiles

87

Escenario #1 – Persistencia

12

3

12

3

88

Escenario #2 – Terminación SSL

Desencrip.

Encriptado

89

Escenario #3 – FTP Server

El cliente comienza la conexión de control

El Servidor comienza la Conexión de transferencia de datos.

90

Dependencias

Algunos no pueden ser combinados en el mismo VS

Dependencias siguiendo el modelo OSI

TCP

HTTP

Cookie

UDP

FTP

Network

Data Link

Physical

91

Tipos de Perfil

Servicios – Orientado al tipo de datos

Persistencia – Orientado a la sesión

Protocolos – Orientado a la conexión

SSL – Orientado a la encripción

Autenticación – Orientado a la seguridad

Otros – Orientados al flujo de datos TCP

92

Conceptos de Configuración

Creados a partir de perfiles por default

Los Perfiles Default pueden ser modificados pero no borrados

Existen relaciones Padre-Hijo

Almacenados en /config/profile_base.conf

93

Virtual Server Default Profiles

Cada Virtual Servers posee al menos 1 perfil

– TCP: para VS’s procesando datos TCP

– UDP: para VS’s procesando datos UDP

– FastL4: para VS’s que poseen aceleración por hardware (PVA)

– Fasthttp: para VS’s procesando tráfico HTTP y acelerandolo

94

Configuración

95

Configuración (Cont.)

Especificación de Propiedades

Mapeo a VS

96

Agenda – Día 2

7. Troubleshooting Big-IP

8. Persistence

9. Administration Big-IP

10. iRules

11. Labs

97

Persistencia

12

3

12

3

98

Persistencia por Dirección Origen

Persistencia por Cookie

– Insert, Rewrite, Passive & Hash

Persistencia

99

Persistencia por Dirección de Origen

Basada en la dirección IP del Cliente

Netmask -> Rango de Direcciones

12

3

12

3

205.229.151.10

205.229.152.11

Si Netmask es 255.255.255.0

205.229.151.107

100

Propiedades

Mapeo a VS

Persistencia por Dirección de Origen

101

Configuración

2. Apuntar a VS

1. Conf. Perfil

102

Persistencia por Cookie

Modo Insert

– BIG-IP LTM Inserta la cookie en el flujo

Modo Rewrite

– El servidor Web crea la cookie

– BIG-IP LTM la cambia

Modo Passive

– El servidor Web crea la cookie

– BIG-IP LTM la lee

103

Client Server

HTTP request (sin cookie)

TCP handshake

TCP handshake


HTTP reply (sin cookie)

HTTP reply (con nueva cookie)

pickserver

HTTP request (con misma cookie)

TCP handshake

TCP handshake


HTTP reply (sin cookie)

HTTP reply (cookie actualizada)

cookiespecifiesserver

1er H

it2d

o H

it

Modo Insert

104

Client Server


TCP handshake

TCP handshake


HTTP reply (con cookie)

HTTP reply (con cookie re-escrita)

pickserver


TCP handshake

TCP handshake


HTTP reply (con cookie)

HTTP reply (con cookie actualizada)


1er H

it2d

o H

it

Modo Rewrite

105

Client Server


TCP handshake

TCP handshake


HTTP reply (con cookie en especial)


pickserver


TCP handshake

TCP handshake





1er H

it2d

o H

it

Modo Passive

107

Config. Cookie Persistence

Luego se setea el perfil de cookie_persist

• Requiere de “http profile”

108

Mantenimiento BigIP

im <hotfix>

# im Hotfix-BIGIP-9.4.8-385.0-HF2.im

# /usr/bin/full_box_reboot

Instalación de HotFix V9.X

1. Copiar por SCP (Ej winscp) el HotFix al BIGIP

2. Loguearse por SSH con el usuario root

3. Ejecutar el comando im para instalar el HotFix

La instalación de HotFix implica el bajada de servicios y

reboot del equipo.

4. Una vez que termina, ejecutar el comando full_box_reboot

109

Mantenimiento BigIP

Son subidas a /shared/images/shared/images

Instalación TMOS

ISOs disponibles para instalarISOs disponibles para instalar

Versiones instaladasVersiones instaladas

110

Mantenimiento BigIP

Son subidos a /shared/images/shared/images

Instalación HOTFIX

HOTFIX para instalarHOTFIX para instalar

111

Mantenimiento BigIP

Podemos instalar en todos menos en el que estamos actualmente logueados

Instalación HOTFIX

112

Mantenimiento BigIP

Instalación de HotFix en V10

1. Los Hotfixes son acumulativos (HFA3 incluye el HFA1 y HFA2).

2. Cada Hotfix corresponde a un número de versión (V9.4.X V10.1.X V10.2.X).

3. Debemos tener dos o más volúmenes instalados para aplicar los Hotfixes.

4. Instalar los Hotfixes en los volumenes no productivos.

5. Probar su correcto funcionamiento durante un tiempo prudencial.

6. El Hotfix lo comenzamos a utilizar cuando elegimos bootear con la imagen actualizada.

113

Mantenimiento BigIP

Selección de versión a bootear

Con SSH switchboot

F5 LTM Administering BIG-IP v11

Documents

Transcript of F5 LTM Administering BIG-IP v11