Vấn đề Load Banlancing với Firewall trong hệ thống mạng, help me!!!!!

[K2K]

Chào mọi người!

Hiện tại hệ thống mạng cty mình đang có vấn đề cho việc load balancing. Mình Phác thảo Logical packet-flow mô hình mạng như hình vẽ:



Uploaded with ImageShack.us


attack:


Vấn đề như sau:

Giả sử một Client tại chi nhánh(Lan: 10.10.10.0/24) truy cập đến các dịch vụ tại Server-Farm(Primary Server). Tại con R2800 của chi nhánh sẽ thực hiện Load balancing(OSPF Equal-cost) trên cả hai đường Megawan và VPN về R-01 và R-02 rồi tới ISG-01 và ISG-02. Vấn đề chính ở đây là khi packet trả về, gói tin lúc này do Core-01() quyết định đi theo ISG-01 hay ISG-02.
Ta giả sử có gói tin P-01 đi theo chiều R2800->R-01->ISG-01-Core-01->Sever.
Gói tin P-02 theo chiều R2800->R-02->ISG-02->Core-02->Core-01->Sever(Server không chạy load balancing mặc dù có kết nối SAN giữa Primary và Backup Server).
Nếu gói tin P-01 trả về tới ISG-01 và P-02 trả về ISG-02 thì ko có vấn đề gì nhưng nếu 2 gói tin đó mà đi ngược lại thì lập tức sẽ bị drop(do tính năng Inspect theo session của Firewall).

Hiện tại mình không dám cho chạy load balancing trên Core-01 cho lưu lượng đi qua hai con Firewall, thay vào đó mọi lưu lượng đều phải đi qua ISG-01(giả sử P-02 tới R-02->ISG-01->Core-01; gói trả về Server->Core-01->ISG-01->R-02).
Như vậy mọi lưu lượng đều đổ dồn vào qua con ISG-01 có thể gây tắc nghẽn, trong khi đó con ISG-02 thì lại không có lưu lượng đi qua.
Xin mọi người cho mình giải pháp nào tối ưu cho hệ thống mạng này với!

Thanks a lot!

[K2K]

Sao không thấy ai giúp mình một tay nhỉ?[-(

Bác Logmein đi đâu mất rồi????

[saothiencoden]

Hi bạn
Tốt nhất bạn nên chạy cluster cho 2 thiết bị ISG? Để làm được điều này bạn nên xem qua giao thức NetScreen Redundancy Protocol (NSRP). Mình chỉ đưa ra gợi ý. Còn giải quyết vấn đề là ở bạn thôi. :)

[K2K]

Hi bạn
Tốt nhất bạn nên chạy cluster cho 2 thiết bị ISG? Để làm được điều này bạn nên xem qua giao thức NetScreen Redundancy Protocol (NSRP). Mình chỉ đưa ra gợi ý. Còn giải quyết vấn đề là ở bạn thôi. :)

Hi,
Tại mình chưa nói cụ thể, con ISG-01 và con ISG-02 không cùng nằm trong một Data-Center, con ISG-02 là thuộc vùng Backup(rất xa về mặt vật lý) nên không có kết nối trực tiếp để thực hiện HA, nếu kết nối HA qua Switch thì có rất nhiều vấn đề bất lợi(Hơn nữa mỗi vùng không chỉ có một con ISG-01 và ISG-02 thôi đâu, mỗi vùng đều có 2 con như vậy và đang chạy NSRP active/passive). Hơn nữa vấn đề chạy NSRP ở đây để share tải nên fải chạy Active/Active giữa hai con cũng không phải là đơn giản bởi việc đồng bộ section giữa hai con là rất quan trọng, gói tin rất rễ bị drop. anyway, thanks for reply!
Mình đang quan tâm là liệu trên con Core-01(catalyst 6500) làm sao đảm bảo khi các gói P-01 tới từ ISG-01 và P-02 tới từ ISG-02 sẽ được trả về đúng chỗ.
Xem ra giải pháp điều chỉnh OSPF path cost là rễ thực hiện nhất(Trên thực tế hệ thống mạng thực của mình nó nhiều thiết bị, và phức tạp không đơn thuần như topo mình vẽ đâu, với lại có rất nhiều các dịch vụ trên đó, nó đang chạy nhỡ ra cái thì toy. Nên mình cũng chưa apply lên hệ thống thật, hichic)

Ai có giải pháp nào tối ưu xin chỉ giúp?

[saothiencoden]

Chào bạn
Bạn có thể nói rõ ứng dụng đang chạy trong hệ thống của bạn được không. Ví dụ ứng dụng nào thì bị drop, hay drop toàn bộ…Mình đang nghĩ có thể chỉnh lại cấu hình một chút trên ISG.
Rgds