F5融合产品及解决方案介绍

1、F5 融合产品及解决方案介绍目录 F5产品介绍F5新融合架构RA参考模型负载为基础的全代理模式ASMHigh-performance HWiRulesiControl APIF5s ApproachTMOS traffic plug-insHigh-performance networking microkernelPowerful application protocol supportiControlExternal monitoring and controliRulesNetwork programming languageOptional modules plug in for al

2、l F5 products and solutionsTraffic management microkernelProxyClientsideServersideIPv4/IPv6ASMAPMTCPHTTPSSLTCPHTTPSSLAFMIPv4/IPv6F5节省成本和提高效率的集成平台高性能SSL地理位置服务流量整形快速缓存高性能压缩动态路由TCP 多连接及优化处理完整的IPv6/IPv4 处理网关iRules编程iControl API管理控制面板 (MCP) & 高性能日志完整全速L2 交换DoS及DDOS 保护iSessions: F5安全、优化的会话隧道基于消息的流量管理通用交换引

3、擎 (USE)通用的交易保持集成集成的F5应用和服务交付网络产品独特的运营商级/企业级高性能硬件平台TCP Exress: F5 自适应的TCP协议栈(客户端侧)TCP xpress: F5 自适应的TCP协议栈(服务器侧)Full Proxy 服务架构F5应用交付的通用及共享服务架构TMOS系统BIG-IP Local Traffic Manager BIG-IP Global Traffic ManagerBIG-IP Application AccelerationManager BIG-IP Advanced Firewall Manager BIG-IP Access Policy

4、Manager BIG-IP Application Security Manager LTMGTMAAMAFMAPMASMBIG-IP Policy Enforcement Manager PEMPlatform Line-upBIG-IP 2x008 x 10/100/1002 x 10Gb SFP+8 GB Ram4G SSL Bulk Encryption5M Connections5G L4/L7 TPUT212K L7 RPS75K L4 CPS2,000 SSL TPS (2K)500 APM Max CCUBIG-IP 4x008 x 10/100/1002 x 10Gb SF

5、P+16 GB Ram8G SSL Bulk Encryption10M Connections10G L4/L7 TPUT425K L7 RPS150K L4 CPS4,500 SSL TPS (2K)5,000 APM Max CCU4 x B2100 (blade)32 x 10Gb SFP+64 GB Ram36 SSL Bulk Encryption48M Connections160G L4/72G L7 PUT4M L7 RPS1.6M L4 CPS40,000 SSL TPS (2K)160M HW SYN Cookies1 x B2100 (blade)8 x 10Gb SF

6、P+16 GB Ram9G SSL Bulk Encryption12M Connections40G L4/18G L7 TPUT1M L7 RPS400K L4 CPS10,000 SSL TPS (2K)40M HW SYN CookiesBIG-IP 5x004 x 10/100/1008 x 10Gb SFP+32 GB Ram12G SSL Bulk Encryption24M Connections30G L4/15G L7 TPUT750K L7 RPS350K L4 CPS10,000 SSL TPS (2K)20,000 APM Max CCU20M HW SYN Cook

7、iesBIG-IP 7x004 x 10/100/1008 x 10Gb SFP+32 GB Ram18G SSL Bulk Encryption24M Connections40G L4/20G L7 TPUT800k L7 RPS390k L4 CPS15,000 SSL TPS (2K)40.000 APM Max CCU20M HW SYN CookiesBIG-IP VE10 Mbit (Lab )200 Mbps1 Gbps3 Gbps5 GbpsBIG-IP VE 5G3G SSL Bulk Encryption3,400 SSL TPS (2K)10M ConnectionMa

8、x 5G L4/L7 TPUT325K L7 RPS100K CPS2,500 APM Max CCUBIG-IP 10 x0024 x 10Gb SFP+48 GB Ram22G SSL Bulk Encryption36M Connections80G L4/40G L7 TPUT1M L7 RPS500K L4 CPS21,000 SSL TPS (2K)60.000 APM Max CCU40M HW SYN Cookies4 x B4340 (blade)64 x 10Gb SFP+384 GB Ram80G SSL Bulk Encryption288M Connections32

9、0G L4/160G L7 TPUT8M L7 RPS4.4M L4 CPS120,000 SSL TPS (2K)320M HW SYN Cookies1 x B4340 (blade)16 x 10Gb SFP+96 GB Ram20G SSL Bulk Encryption72M Connections80G L4/40G L7 TPUT2M L7 RPS1.1M L4 CPS30,000 SSL TPS (2K)80M HW SYN Cookies8 x B4340 (blade)128 x 10Gb SFP+768 GB Ram160G SSL Bulk Encryption576M

10、 Connections640G L4/320G L7 TPUT14.4M L7 RPS8M L4 CPS240,000 SSL TPS (2K)640M HW SYN Cookies1 x B4340 (blade)16 x 10Gb SFP+96 GB Ram20G SSL Bulk Encryption72M Connections80G L4/40G L7 TPUT1.8M L7 RPS1M L4 CPS30,000 SSL TPS (2K)80M HW SYN CookiesBIG-IP 2x00BIG-IP 4x00BIG-IP 5x00BIG-IP 7x00BIG-IP 10 x

11、00VIPRION 2400VIPRION 44xxVIPRION 4800BIG-IP VE虚拟化VE平台机架式BIGIP平台插卡式Viprion平台支持Vcmp产品线介绍经过国家权威机构验证的性能指标ProductBIGIP-2000STesting ItemsF5 AnnouncedTesting ResultL4 Throughput5Gbps14GbpsL4 Connection per second75K120KL4 Max concurrent connections5M5ML7 Throughput5Gbps12GbpsL7 Request per second212K215K

12、SSL TPS (2K key)2000 TPS4600 TPSSSL Max concurrent connections425K430KSSL Throughput4Gbps4.1GbpsDNS RPS215K310KLTM 提供应用级的负载均衡多服务器负载均衡（标准配置）SSL卸载功能（内置免费）快速缓存功能（内置免费）内容压缩功能（内置免费）多连接复用功能（内置免费）AVR可视化性能监控（内置免费）Data Center 1Data Center 2LTM-本地流量管理 灵活智能的流量控制 防L4-7DDOS攻击（内置免费）速率限制模块（内置免费）iRULE根据4-7层流量控制（内置免

13、费）SSL VPN功能（内置免费）智能DNS lite模块（内置免费）多链路GSLB负载均衡（内置免费）多数据中心GSLB负载均衡（内置免费）完整DNS功能（内置免费）GeoLocation地址库功能（内置免费）DNS iRule功能（内置免费）DNS高速解析（内置免费）DNS DDOS防护功能（内置免费）DNS SEC安全功能（内置免费）L-DNSCorporate ServersClientRouterCorporate ServersSite 2 (Standby or Active/Active)BIG-IP GTMBIG-IP LTMBIG-IP LTMRouterSite 1 (P

14、rimary)BIG-IP GTMinfobloxGTM与LTM联动实现基于业务状态的智能DNSDNS读写分离安全加固高速DNS解析GTM-全局流量管理 实现应用级容灾解决方案infoblox25万QPSGTM-高性能隐藏DNS架构成本传统 DNS 考虑F5 DNS 交付期望InternetExternal FirewallDNS Load BalancingArray of DNS ServersInternal FirewallHidden Master DNSAuthoritative DNSCaching ResolverTransparent CachingDNS FirewallD

15、NS DDoS ProtectionProtocol ValidationHigh Performance DNSSECDNSSEC ValidationIntelligent GSLBDMZDatacenter转移到 F5 DNS 体系InternetMaster DNS Infrastructure性能 = 增加 DNS 服务器对于 DoS/DDoS 攻击防护很弱防火墙是 瓶颈海量的 处理性能，超过10,000,000 RPS!最佳的 DoS/DDoS 攻击防护更低的 CapEx 和 OpExBIG-IP Global Traffic ManagerLC 及LTM+GTM-智能多链路选择B

16、IG-IP LTM+GTMBIG-IP LC多中心容灾负载需求完整DNS需求多链路负载需求L4层服务器负载多链路负载需求L4-7层服务器负载F5只有2000平台有单独的LC4000平台开始需要LTM+LC 静态及动态页面缓存功能内容压缩功能内容缓存功能多连接复用TCP优化功能WORD，PDF等文件加速功能非对称加速功能广域网加速功能AAM-应用加速管理器通过各种组合手段优化移动用户的访问体验FEC，前向纠错优化TCP协议的效率带宽控制，基于IP地址、用户会话等信息进行带宽控制动态图片优化PDF线性化浏览Web页面优化动态缓存智能压缩广域网加速协议优化HTTPMAPICIFSHLSSPDY动态缓

17、存HTTP 压缩重复数据删除对称自适应压缩TCP 优化拥塞控制BuffersWindow 大小前向纠错Forward Error Correction带宽控制SSL 加密卸载IPSEC 加密AAM-应用加速管理器Web应用加速-移动加速：图片优化AAM应用加速管理：IBR+压缩+Cache减小客户端请求数量CompressionCacheServer sends No Cache Expire or Very Short Expire应用策略，计算对象的PV Code并设置相应的客户端Cache失效时间Cache应用对象客户端Cache失效时间直接从本地硬盘读取客户端Web ServerWeb

18、 Server客户端Web Server客户端第一次请求第二次请求后续请求Web应用加速技术使客户端浏览器重复使用可缓存的内容缓存动态页面中的静态内容无需下载客户端软件无需改变浏览器保持内容刷新度Step 3同步自适应压缩Step 4SSL加密Step 5TCP优化Step 2重复数据删除RawDataStep 6带宽管理OptimizedDataStep 1应用协议加速原始数据优化后的数据Optimizations with WOM licenseWAN Opt Services included with LTM BIG-IP LTM+ WOMiSessionsInternet or WA

19、NBIG-IP LTM+ WOMApplication Optimization Profiles降低广域网数据传输量，提高带宽利用率，用更小的带宽承载更多的业务流量和数据。AAM应用加速管理：端到端的广域网优化原始数据AFM高级防火墙-访问控制功能 AFM高级防火墙- L2-L4 Dos 保护PROTOCOLDOS VECTORDESCRIPTIONARParp-floodARP floodingDNSdns-response-floodDNS response floodICMPicmp-frame-too-largeICMP frame too largeIPv4bad-ip-optBa

20、d IP optionIPv4ip-frag-floodIP fragment floodIPv6ipv6-frag-floodIPv6 fragment floodIPv4short-fragShort fragmentIPv4overlap-fragOverlapped fragmentIPv6ipv6-short-fragShort fragmentIPv6ipv6-overlap-fragOverlapped fragmentICMPicmp-fragICMP fragment floodingICMPhost-unreachableHost unreachableICMPtidcmp

21、-attackTIDCMP attackTCPtcp-ack-floodTCP ACK floodingTCPtcp-landTCP LAND attackTCPtcp-syn-floodTCP SYN floodingTCPtcp-fin-floodTCP FIN floodingTCPtcp-rst-floodTCP RST floodingTCPtcp-synack-floodTCP SYN/ACK floodingUDPudp-flood*UDP FloodUDPudp-landUDP LAND attackDNSdns-request-flood*DNS Request FloodD

22、NSdns-response-flood*DNS Response Floodnoneproto-flood-watch-0*Protocol Watch 0AFM高级防火墙- SIP和DNS防护AFM功能场景AFM StandaloneNetwork FirewallDoSPSMLimited LTM functionalityNo dynamic LBNo persistence profilesFewer built-in monitorsMax 3 membersEtcDNS Firewall AFM + GTMNetwork FirewallDoSPSMDNS Packet Vali

23、dationLimited LTM functionalityADF LTM + AFM (Base)Network Firewall DoSPSMFull LTM functionalitybuffer overflow跨站攻击SQL Injection攻击WEB 爬虫暴库illegal http status in response暴力破解CSRFCC攻击部署在Web应用服务器前端与传统安全设备构成多层防护网络层防护应用层防护ASM-应用安全防护通过以下软件来扫描应用： IBM Rational AppScanWhiteHat SentinelCenzic HailstormHP WebI

24、nspect 导入 BIG-IP ASM 中配置漏洞防护策略 客户端私有云应用 数据中心Web 2.0 应用BIG-IP 应用安全管理器BIG-IP 应用安全管理器互联网协议层安全完整的协议符合性检查被动安全模式通过可动态更新的特征判断主动安全模式定义数据流程的允许访问策略攻击危险程度策略防护级别ASM-应用安全管理：确定、真正地修补和缓解漏洞单点登录细粒度的访问控制广泛的应用支持BIG-IP LTM + APMPartners多重认证简单的访问策略端点检查EmployeesGuestsLab NetworksCorporate LANMac支持多种移动设备满足对VDI支持的需求Samsung

25、APM 统一应用访问控制SSL VPN功能SSO功能高级的端点安全功能支持iPad, Driod, 移动终端和智能手机简单，可视化的策略编辑器移动互联网不仅仅是移动终端客户端支持iOS, Android, Windows (Mobile), MAC, Linux等平台深信服的VPN Client 在IOS7下无法与APP联动，并需要越狱Array Network 在Apple Store 下没有找到 VPN Client，只有一个PC桌面解决方案 F5 在线运行分析系统-iHealthQkview 允许管理员通过一个命令捕获大部分信息来诊断问题（如果不是所有数据都需要）BIG-IP iHeal

26、th Viewer 允许用户在同一地点看到所有统计，性能图表，日志，硬件，许可和详细配置信息BIG-IP iHealth Diagnostics 自动运行一个包含已知问题和常见错误配置或最佳做法的数据库 每个诊断都提供给用户解决它所识别出问题的步骤。其中也包含AskF5中关于这个问题更详细说明的链接自助式运行分析有助于快速解决性能问题前瞻性地识别潜在的应用交付挑战基于每个应用组为单位进行统计管理员可以从中得到：商业智能分析可预见的应用性能提升计划更易排错可以与第三方分析软件联动3rd Party AVR-应用性能报告 每个业务的CPU 统计 客户端延迟 服务器延迟 响应代码 用户代理 客户端地

27、理位置 请求最多的URL 请求吞吐量 响应吞吐量 新会话 并发连接 HTTPdump in GUI 攻击报告 域名请求数据目录 F5产品介绍F5新融合架构RA参考架构软件定义的应用服务 SDAS4F5的技术发展历程ADC应用交付控制器1广泛的应用服务2虚拟化平台化3 F5 Networks, Inc.27Hypervisor/Cloud ubiquity多租户，全活集群身份认证管理网络和应用安全移动/LTE域名服务流量管理网络优化应用加速性能身份和访问可用性安全性移动性性能全可扩展架构功能全可扩展架构全可编程动态架构应用加速ssl卸载网关链路负载远端接入dc负载DDOS防火墙应用安全服务器负载

28、Spdy网关感知应用状态感知用户体验动态资源分配Virtualization根据应用流量管道图实现功能性扩展实现物理/虚拟设备性能上的扩展，形成战略控制点感知应用，动态调度，实现灵捷it为应用提供服务平台F5 Synthesis 软件定义的数据中心平台网络 物理 重叠 SDN数据中心的安全架构非常复杂Before f5with f5LoadBalancerDNS SecurityNetwork DDoSWeb Application FirewallWeb AccessManagementLoadBalancer & SSLApplication DDoSFirewall/VPNBefore

29、f5with f5LoadBalancerDNS SecurityNetwork DDoSWeb Application FirewallWeb AccessManagementLoadBalancer & SSLApplication DDoSFirewall/VPN让复杂变得简单“传统架构”转向“软件定义的数据中心”PerformanceIdentity & AccessAvailabilitySecurityMobility 传统环境和架构软件定义的数据中心具有可编程控制和灵活扩展的架构降低成本的同时大大增加效率烟囱似的应用系统效率低但成本高不支持可编程控制，灵活扩展难实现F5 Synt

30、hesis 驱动对软件定义数据中心的转变23标准版企业版1选择您的平台软件模块的价值选择您的服务选项简单的业务模式标准版模块/服务标准BIG-IP本地流量管理器BIG-IP关于流量管理器BIG-IP应用加速管理器BIG-IP高级防火墙管理器服务选项客户需求：保护和优化数据中心优化应用交付确保最佳应用可用性和性能让业务满足未来需求利用集成SDN服务的力量目标客户：需要通过本地和广域智能流量管理提供网络安全并改进最终用户体验的企业高性能ICSA防火墙网络DDoS防护以应用为中心给的防火墙策略协议异常检测网络性能优化WAN优化（重复数据删除、前向纠错）移动优化（智能客户端缓存、图像优化）SaaS加速

31、（减少带宽使用量，缩短页面加载时间）广域服务器负载均衡DNS服务实时DNSSEC解决方案广域应用高可用性地理位置定位DNS DDoS攻击防护企业版服务选项客户需求：管理应用访问支持BYOD计划加快远程访问保护IP，最大限度减少漏洞隐患利用免费开发资源创造价值目标客户：需要本地和广域智能流量管理提供网络安全之外还需要高级访问管理和全面网络安全的企业符合PCI标准的网络应用防火墙Web scraping攻击防护集成XML防火墙违规纠正和事故分组应用DDoS防护500个并发用户，可扩展到 20万支持BYOD适用于VDI的全代理（Citrix、VMware）增强单点登录（支持SAML 2.0 的身份联

32、合）模块/服务标准企业BIG-IP本地流量管理器BIG-IP广域流量管理器BIG-IP应用加速管理器BIG-IP高级防火墙管理器BIG-IP应用安全管理器BIG-IP访问策略管理器平台扩展性3 Active/ 2 standby Active / Standby 2 Active / 1 StandbyActive / ActiveScale OUTScale INScale UP2000/4000 series10000 Series5000 Series7000 SeriesGood, Better, Best Platforms11000 Series如何选择最佳平台5Gbps3Gbps

33、1Gbps200M25M VIPRION 2400VIPRION 4480VIPRION 4800选择平台F5 物理设备 ADCs专业、专用的高性能硬件平台物理设备ADC 适用于:最快速度及最高性能需求高级扩展SSL 卸载, 压缩, 和快速DoS防护F5整体硬件+软件解决方案边界和门户服务应用物理隔离需求物理设备 + 虚拟设备 = 混合 ADC 架构最佳灵活度及最高性能组合混合部署ADC适用于:从物理结构到虚拟化部署，私有数据中心到云计算云流量爆发大规模工作分布计算分层服务F5 虚拟设备为虚拟环境和云计算提供的灵活部署方式虚拟设备ADC适用于:快速部署最大化数据中心运行效率私有云和公有云部署应

34、用或多租户系统提供应用安全防护也可实验、测试和QA部署物理设备混合部署虚拟设备统一的应用交付架构:TMOS是软件和硬件部署的统称，他包含了为满足灵活的应用交付服务而进行的物理设备，虚拟设备以及混合模式的部署。F5 SDAS产品架构TMOS应用和存储用户异地数据中心LTM本地流量管理器GTM广域网流量管理器AAM应用加速管理器AFM 高级网络防火墙 ASM应用安全管理器APM接入策略管理器iControliAppiRules高可用快速安全 VIPRION BIG-IP Virtual Edition BIG-IQF5通过灵活高性能的服务架构为所有应用提供智能可编程的SDAS 软件定义的应用服务目

35、录 F5产品介绍F5新融合架构RA参考模型传统IT建设面临的挑战客户端应用服务器存储应用服务器存储防火墙负载均衡WEB应用防护访问控制DDoS 防护SSL 处理DNS 安全应用服务器存储增加基础架构成本降低生产力未解决这一问题将：解决之道：新融合架构虚拟物理云存储智能应用交付平台将来自任何设备、在任意地点的任意用户与最佳的应用资源连接，而与基础架构无关任意地点、任意服务、任意设备智能动态、敏捷、适应力客户端DDoS 防护参考构架合法用户Threat Feed IntelligenceDDoS攻击者ISPa/b云清洗中心ScannerAnonymousProxiesAnonymousReques

36、tsBotnetAttackersNetwork attacks:ICMP flood,UDP flood,SYN floodDNS attacks:DNS amplification,query flood,dictionary attack,DNS poisoningIPSNext-Generation FirewallTier 2SSL attacks:SSL renegotiation,SSL floodHTTP attacks:Slowloris,slow POST,recursive POST/GETCorporate Users财务服务电商消费者第二层威胁预警情报战略控制点多IS

37、P第一层网络和DNS应用层DDoS 参考构架LegitimateUsersThreat Feed IntelligenceDDoSAttackerISPa/bCloudScrubbing ServiceScannerAnonymousProxiesAnonymousRequestsBotnetAttackersNetwork attacks:ICMP flood,UDP flood,SYN floodDNS attacks:DNS amplification,query flood,dictionary attack,DNS poisoningIPSNext-Generation Firewa

38、llTier 2SSL attacks:SSL renegotiation,SSL floodHTTP attacks:Slowloris,slow POST,recursive POST/GETApplicationCorporate UsersFinancialServicesE-CommerceSubscriberTier 2威胁预警情报Strategic Point of ControlMultiple ISP strategyTier 1边界上提供L3-L4层网络防火墙服务实现对第二层次简单的负载均衡IP信誉数据库缓解海量数据的和DNS DDoS 攻击链路负载DC负载第一层负载+防护

39、特性网络和DNSDDoS 防护参考构架合法用户Threat Feed IntelligenceDDoS攻击者ISPa/b云清洗中心ScannerAnonymousProxiesAnonymousRequestsBotnetAttackersNetwork attacks:ICMP flood,UDP flood,SYN floodDNS attacks:DNS amplification,query flood,dictionary attack,DNS poisoningIPSNext-Generation FirewallTier 2SSL attacks:SSL renegotiatio

40、n,SSL floodHTTP attacks:Slowloris,slow POST,recursive POST/GET应用层Corporate Users财务服务电商消费者第二层威胁预警情报战略控制点多ISP网络和DNS第一层DDoS 参考构架LegitimateUsersThreat Feed IntelligenceDDoSAttackerISPa/bCloudScrubbing ServiceScannerAnonymousProxiesAnonymousRequestsBotnetAttackersNetwork attacks:ICMP flood,UDP flood,SYN

41、floodDNS attacks:DNS amplification,query flood,dictionary attack,DNS poisoningIPSNext-Generation FirewallTier 2SSL attacks:SSL renegotiation,SSL floodHTTP attacks:Slowloris,slow POST,recursive POST/GET应用层Corporate UsersFinancialServicesE-CommerceSubscriberTier 2Threat Feed IntelligenceStrategic Poin

42、t of ControlMultiple ISP strategyNetwork and DNSTier 1第二层防护提供基于应用感知、CPU敏感的防护机制SSL终结Web应用防火墙缓解非对称的和基于SSL的DDoS攻击负载均衡应用加速远端接入安全SSO单点登录第二层防护特性协议检查和验证DNS 记录类型的ACL高性能 DNS slaveICSA 认证 DMZ 区部署 跨设备扩展 IP Anycast安全的回应 DNSSEC完全的 DNS 控制 iRulesDDoS 临界点警示DNS 日志和报表固化的 F5 DNS 代码 非 BINDDNS 高安全DMZClients本地 DNSInternetDNS Firewall in BIG-IP GTM /AFM数据中心DNS ServersAppsDNS 高性能与安全DNS 高服务能力易于集成到现有的 DNS 体系中可管理和可预测的数据中心利用率使用 iQurey 在BIG-IP设备之间进行健康状况检查每秒超过10,000,000 DNS 请求（RPS）的响应能力防御DDoS保护各处的应用应用攻击网络攻击会话攻击OWASP Top 10（SQL注入、XSS、CSRF等）、Slowloris、Slow Post、HashDos、GET FloodsSYN Flood、Connection Flood、U