おおあさです
すでに動作試験されているようなので、ポイントだけ。
Tue, 24 Jan 2012 13:12:34 +0900
もじもじ <mojimoji...@yahoo.co.jp> said:
>ステップ２：
>構成は変えずに、PIP を GIP にして DSR を行う。
>この場合、Web Server の数に制限が出来てしまいます。
>それと、LVS は NAT の必要がなくなりますので、ルータとし
>ての機能のみとなり、かなり軽くなるのでは、と考えます。
DSRは、VIPとリアルサーバを同一セグメントにするのが
一般的です。ステップ4 の構成となりますが、この場合
NAT はたいていルータ(図中のRouter)に書くと思います。
>例えば lo0 に外部からアクセスされる Web 仮想 IP を alias
>して、lo0 を内側と見立てて NAT します。これで、パケット
>は届くのでは無いかと。
>ただ、問題は、出てゆく時。同じように変換かかると、Web
>server の外向きの PIP が From になっちゃいますよね。これ
>ではダメです。
loopback で実装した場合、VIPでバランシングされたトラ
ンザクションの帰りパケットは、VIPをsrcとするので問題
ありません。(そのためにも static route を書く)
リアルサーバから発信されるトランザクション(outbound)
については別に考慮する必要がありますが、VIPでなくては
ならないケースはほとんどないのでは。
いずれにせよ、リアルサーバをプライベートセグメントに
設置する場合、リアルサーバからの outbound に対しては
full NATを書くのが一般的でしょう。
DSR にもデメリットはあります。well known knowledgeと
しては、パケット復路がSLBを通過しないため、FINを受け
取れないので余計なセッションが残ったりすることなどが
挙げられます。
スイッチベースや箱物SLB だと、このへんを積極的に解消
する実装がされていることもありますが、自前で構築する
場合には構築・運用コストやリスクを把握しておく必要が
あると思います。パフォーマンスとのオフトレードですね。
--
Yu Oasa E-mail: y...@dearest.net
