負載平衡的不同選擇：Content Switch與Reverse Proxy

很稀奇的能在Mobile01討論到有意義的話題。bala@syr前輩介紹了多數硬體SLB Solution以及釐清Content Switch與Reverse Proxy的不同。

基本上在Layer 4~7content switch的市場裡 F5-Big IP系列一直是領導廠商
它的功能齊全 彈性極佳 問題是可設定參數實在太多
如果網管人員不懂ap需求 實在很難調出一個好的設定
所以除了價格高 技術門檻也高

接下來的玩家是Nortel-Alteon Application Switch and Radware-WSD(AD)
Nortel不用講大家也知道 它是從core switch起家的
有了core switch的技術當背景 LAYER 7的事情簡直是小菜一碟
Nortel最大的缺點是價格相對不很親民 如此而已

Radware-WSD(AD)是以色列廠商
它的功能也相當OK 但是需要TUNING的東西也多 個人對它的功能實在讚譽有加 價格也漂亮
只是經銷商的技術能力令人感冒 要買的話務必找台灣OFFICE的SE SUPPORT

（大家如果看過GARTNER的XXXX評估報告 有時候有一張四個象限的圖 以上三家偏右上）

Foundry是最早接觸的content switch
便宜 設定簡單 功能陽春 但是在絕大多數的情境下通通適用
如果預算有限 Foundry會是我的首選 因為它實在是相對簡單的多
（Foundry SLB 在GARTNER報告分析圖中屬於挑戰者地位 在圖中間偏左下）

Cisco 11501 / 11503也是堪用的產品 (當然是用過才說堪用)
但在GARTNER的評估中Cisco根本就不是這個領域的玩家
CISCO似乎也不打算玩這一塊
所以建議不要買CISCO 1150x系列的東西 小心成了孤兒
（手上資料一下找不到 記憶中CISCO根本沒被畫進去啦）

Apache+mod_proxy or HA Proxy 做的是流量負載平衡
目的在透過software dispatcher 轉送web request到不同的tomcat (or other) AP Server
Content Switch是硬體solution
做的除了一般的流量負載平衡 最重要的是smart error detect and 自動容錯切換
由於Content Switch能針對 ip、port、URL等等進行後端軟硬體偵錯工作
所以能在故障方式的幾秒到幾十秒(看設定)內立即進行Web AP Server切換
好的Content Switch甚至可以把session variable一併帶過去 這樣user就不需要重新login
等故障回復後好的Content Switch可以自動偵測到
然後慢慢把loading導回重起的AP Server
這樣的作法功能對一般internet AP或許不是那麼重要
但對於交易型的Web Application就非常有意義了

除了以上的Content Switch之外，最近看到SOFTinBOX的SLB Box，由介紹圖看來應該是Reverse Proxy Box，對於預算不足的單位應該是不錯的選擇，也希望我們的計中能參考一下這台機器，不要每次在選課的時候，伺服器都被人工DDoS到掛掉XD

VPN經驗談

目前我所使用的撥號VPN是使用Win2003架設遠端連線伺服器，在外部設定撥號到系上的伺服器之後，配發一個實體IP。

與一般的撥號VPN不太相同的作法是我這裡是配發實體IP而非虛擬IP。會用這種方式是為了能夠很簡單的使用網芳，能夠直接用NetBIOS over TCP/IP 的方式存取系上的分享資料夾，也可以利用這種方式很簡單的存取學校授權的期刊資料庫與refworks。


這次想嘗試在Juniper SSG-140上設定L2TP/IPSec VPN，Untrust連接Hinet ADSL。Juniper的教學文件寫的很詳細，操作介面有Web UI以及Consone CLI兩種，我是使用WebUI做操作，設定起來很簡單，沒什麼特別困難的地方，按著手冊來就行了。Juniper 提供的NetScreen Manuel有提供正體中文版本的，搭配WebUI，只要對自己要做的設定有概念，大概都沒有問題。

最後的結果是失敗的，不知道為什麼無法從外部連結進來，untrust port連ping都ping不到，根本沒辦法測試接下來是否成功。不過在這次的操作中我也有一些心得。

1. 這台SSG-140是以Layer2 Transparent mode運作的，設定VPN Tunnel必須運作於Layer3 Route/NAT mode。也必須注意IP domain是否有重疊到，有重疊到也是無法運作的
2. L2TP僅為Encapsulation，並沒有加密，另外需要設定IPSec做加解密的動作，才能保護資料的機密性。

Hinet 推出網路保管箱 異地資料備份服務

第一次使用異地備份服務，是使用國外的Mozy，這是由一間非常有名的磁碟陣列廠商EMC所推出的服務，免費的2G空間以及可以支援備份Outlook, Thunderbird的郵件，是我覺得最方便的一點，但就速度上來說，畢竟是間國外的公司，速度我最快遇過800KB/s。這速度與空間對許多個人來說相當足夠了，但就企業應用來說，還是稍嫌慢了些。

Hinet要推出異地備份服務的消息許久之前就在傳了，目前推出了試用的版本叫做Hinet網路保管箱，前三萬名申請試用者可免費擁有1G的備份空間，試用期滿之後仍可以繼續使用無須付費，但目前僅限中華電信的用戶申請。

除了單純的資料備份之外，也可建立回溯點，甚至可以支援多機備份，相當的方便。所有上傳的檔案均會經過壓縮與加密，加密的部份也可使用自己的金鑰，這些功能對企業來說相當的方便。速度也有一貫Hinet的水準，今天測試的結果是有2MB/s的成績(學網)，0.8G的檔案沒十分鐘就搞定了。

目前提供了一個網頁的介面，可以讓使用者登入並直接在網頁介面中取回檔案，雖不若Mozy一樣提供一個遠端硬碟，可直接由我的電腦中還原檔案，有網頁的介面還是相當方便的。

iThome的IP SAN評測

這次iThome的IP SAN評測還蠻精彩的，前半部份為IP SAN技術的介紹而後半部份則是產品的實測。

個人比較值得注目的產品為HP StorageWorks AiO400、NetApp FAS2020、宏普N5200B PRO。

HP Aio採用Windows Storage Server 2003 R2，看得出WSS效能之差，連採用Intel Celeron M 600MHz的宏普N5200B PRO效能都還比他好，更別提那個價錢的差異了，這結果只代表了一件事就是要挑IP SAN絕對不要找使用以WSS為OS的機器。

NetApp很久以前廠商就有跟我簡報過，個人NetApp最有價值的地方在於它推薦使用的RAID mode為RAID-DP，一種RAID-4的變形以及其SnapShot的可靠度。


RAID-4的運作模式簡單說明如下，假設有數顆硬碟為存放實際的資料，則再多一顆硬碟專門存放Parity，此即為RAID-4，與RAID-5不同的是RAID-4的Parity只存放於一顆專屬的硬碟之上而不是如RAID-5一般平均的存放於每一顆參予RAID群組的硬碟中。而RAID-DP則是由RAID-4延伸，額外的再多一顆硬碟保護存放Parity的硬碟，也因為如此，才會叫做是DP(Double Parity)。

採用RAID-DP的好處是容錯度高且效能較RAID-5 or RAID-6來的高。前數顆硬碟專門用於存放資料相當於前數顆硬碟運作於RAID 0模式，不需要同時寫入Parity以及資料，寫入效能遠高於RAID-5 or 6，使用兩顆硬碟存放Parity，則可提供與RAID-6相同的同時損壞兩顆硬碟的容錯能力。但缺點則是作為存放Parity的硬碟可能壽命會比較低，一般來說會再多一顆硬碟作Redundent。

宏普N5200B PRO小小的一台，但意外的是效能還不錯，也許跟他採用Linux與Intel Celeron M 600MHz有關。看測試的結果，採用x86+Linux機器都有比較好的效能，看來Linux是遠比Windows來得更適合做為NAS or SAN的OS。

就我自己的實驗以及前面一篇由微軟測試的結果，iSCSI在GE環境下實際的傳輸能力最高為40~50MB/s，雖然使用Iometer測量出來的結果都很好看，不過實際上跑的效能應該沒有這麼漂亮。另外我在設定802.11ad teaming測試時發現，teaming對實際效能一點增進都沒有，但看iThome的測試teaming是有意義的，晚點再找廠商問問看到底teaming有沒有用好了。

iSCSI throughput performance

根據Fibre Channel and iSCSI Performance Comparison for DSS Workloads Using SQL Server 2005這篇文章的結果以及自己實驗的結果，iSCSI在Gigabit Ethernet下的throughput performance最多只能到40MB/s，這也許是因為使用SCSI formatting的關係，造成overhead過重，嚴重影響效能。


我的環境雖然沒有那篇文章的那麼可怕，但也還算不差了，使用NetApp都只能有這樣的成績了，其他就更不用說了吧！ 但這篇文章讓我對SAN的效能感到失望而有所覺悟。

NetFlow Analyzer

當基本的網路建設完成之後，接下來的問題就是管理了，而在校園網路內要處理的，大概不外是侵權、超流與中毒這幾種，最常處理的大概就是超流了吧！

中興大學基本在有Top500去紀錄每日的IP流量以及IP停權名單紀錄因為各種因素而遭到斷網的IP，但可能是因為流量負擔比較大的關係吧，計中所提供的流量清單相當的不準確，實際傳送與網頁上所列的流量會有一些差異，於是乎電機系開始尋求自己的解決方案。

最早之前是使用LanPolicy作為流量統計與病毒偵測的軟體，這套軟體可以提供IP流量統計以及session的統計，並且可設定對應的限額，當流量與session數超過限定的額度之後，自動將IP進行鎖定。流量的統計基本上是由Cisco NetFlow產生flow的raw data，再由LanPolicy進行統計與管理，使用起來還蠻方便的，不過問題點就是原廠的support有點弱，而他們目前也說未來將不會在對這套軟體進行改版，我們系上的Cisco 6509 with SUP-1A又在產生netflow部份有問題，到最後經銷商為了以示負責，決定幫我們改採購ManageEngine的NetFlow Analyzer。

基本上這套軟體就只有統計流量的功能，但能夠根據Device, Interface, IP設定不同的Group去作群組的流量觀測與統計，也能夠紀錄每個IP對內與對外的詳細傳輸紀錄與時間，也可以設定snmp與email，發送alert與report，才裝上沒多久就發現系辦公室有電腦超流，還好有這套軟體才能夠查出問題點，推薦有需要的網管裝裝看，免費的版本雖然只能控管兩個interface，但有總比沒有好阿！

這套軟體我還在摸索中，等我摸的熟一點再來補完這篇。

Tracker Peer Obfuscation

Tracker Peer Obfuscation

BitTorrent 補 Obfuscation 的不足
這個新的方法是讓軟體與 tracker 連線時所傳輸的 IP/port 資訊也加密，避免過濾的設備利用這些資訊。其中會以 infohash 當 shared secret，並加上一些處理後產生 RC4 key 加密。

我的問題是就算軟體與Tracker之間所交換的IP/Port訊息有加密，那peer與peer之間交換封包的過程也有完全加密嗎？ 能夠避開Layer7封包過濾軟體嗎？

等uTorrent與Tracker也都支援之後，再來測試看看吧。