负载均衡 LoadBalance 详解：也称之为 F5，以及真实案例介绍

做运维和安全的，几乎都绕不开一个词——负载均衡。而一说负载均衡，很多人脑子里蹦出来的第一个设备就是”F5″。有意思的是，F5 其实是个公司名（F5 Networks），但因为它的产品太出名，慢慢就成了负载均衡器的代名词，就像”百度一下”变成了搜索的代称。

这篇就把它讲透：F5 到底是什么、四层和七层差在哪、真实场景怎么配。

一、负载均衡到底在解决什么

负载均衡（Load Balance），本质是把工作任务分摊到多个操作单元上执行——比如 Web 服务器、FTP 服务器、企业关键应用服务器，让它们共同完成工作。

从技术角度看，它对外展现一个虚拟服务器地址。用户来连的时候，它通过双向网络地址转换（NAT）把连接转到最合适的真实服务器上。用户看到的永远是同一个入口，背后是一群机器在扛。

它要解决三件事：怕宕机（单点故障）、怕扛不住（性能瓶颈）、怕扩不了（无法横向扩展）。

二、四层 vs 七层：最容易搞混的地方

区别的核心只有一句话：要不要解析应用层协议。这个差异直接决定了能力边界和性能表现。

四层负载均衡（传输层）

• 工作层级：OSI 第 4 层，TCP/UDP 协议
• 转发依据：源 IP、目标 IP、端口号——不碰应用数据
• 核心能力：端口转发、TCP 连接复用、四层健康检查（TCP 握手）、基础 DDoS 防护
• 性能：转发效率极高，接近硬件极限，微秒级延迟
• 典型场景：数据库（MySQL/Redis）、TCP 服务（游戏服务器、Netty 服务）、跨机房链路负载
• 代表产品：LVS、F5（四层模式）、HAProxy（四层模式）、Nginx（stream 模块）

七层负载均衡（应用层）

• 工作层级：OSI 第 7 层，HTTP/HTTPS、DNS、FTP 等应用协议
• 转发依据：URL、Cookie、HTTP 头、请求参数、JSON 内容
• 核心能力：基于内容路由、SSL 卸载、缓存、限流熔断、WAF 集成、会话保持、灰度发布
• 性能：功能丰富，但需解析应用协议，延迟略高（毫秒级），靠集群扩容弥补
• 典型场景：Web 应用、微服务 API、HTTPS 服务、灰度发布、API 网关
• 代表产品：Nginx、HAProxy（七层模式）、F5（七层模块）、Kong、Spring Cloud Gateway

一句话记法：四层看”路牌”（IP 和端口）就转发，七层要”拆包裹”（看内容）再决定送哪儿。要性能选四层，要花活选七层。

三、F5 BIG-IP 到底强在哪

F5 的主力产品 BIG-IP LTM，官方名称叫本地流量管理器，能做 4-7 层负载均衡。它不只是个转发器，功能清单相当长：应用交换、会话交换、状态监控、智能 NAT、通用持续性、响应错误处理、IPv6 网关、高级路由、SSL 加速、智能 HTTP 压缩、TCP 优化、内容缓冲、Cookie 加密、应用攻击过滤、DoS 和 SYN Flood 防护、防火墙包过滤……

挑几个最实用的说：

1. 多链路负载均衡和冗余

关键业务往往要接多家 ISP 线路，保证质量、消除单点故障。这里分两个方向：

• OUTBOUND 流量（内网访问外网）：BIG-IP LC 把流量智能分配到不同 Internet 接口，并做源地址 NAT
• INBOUND 流量（外网访问内网）：绑定两个 ISP 的公网地址，解析两家 ISP 的 DNS 请求，根据服务器健康状况和 RTT 时间智能回应

2. 服务器负载均衡

通过 VIP（虚拟 IP，由 IP 地址和 TCP/UDP 端口组成）对外提供服务，持续对目标服务器做 L4 到 L7 的健康检查。一旦发现故障服务器，就从负载均衡组里摘除。还能配合 iRules 把 TCP/UDP 数据包打开，按内容特征做规则处理——比如按 URL 把流量导向不同服务器。

3. 系统高可用性

这是 F5 最能吹的地方。双机冗余模式下毫秒级切换（最快 200ms 内），号称 99.999% 可用性。原理是：所有会话经过 Active 设备时，会通过同步数据线把会话信息同步到 Backup 设备——所以切换时用户访问不中断。设备里的 watchdog 芯片通过心跳线监控对方电频，Active 挂了立刻通知 Backup 接管 Shared IP 和 VIP。

4. 安全性

BIG-IP 采用防火墙设计原理，缺省拒绝。能拆空闲连接防 DoS、执行源路由跟踪防 IP 欺骗、拒绝无 ACK 的 SYN 防 SYN 攻击。它的 Dynamic Reaping 特性能高效删除 DoS 攻击中的空闲连接，而且会随攻击量增加而加快连接切断速率——这点挺狠。Delay Binding 技术则给后端服务器提供全面的 SYN Flood 保护。

5. SSL 加速

每台 BIG-IP 都有 SSL 硬件加速芯片，还自带 100 个 TPS 的 License，不用单独付费。后面要扩容，升级 License 就行。

四、F5 还是 Nginx？选型对比

这是实际工作中最常被问到的问题。两者不是竞争关系，更多是互补。

F5 BIG-IP（硬件）

• 部署形态：专用硬件设备（含定制芯片）
• 性能：百万级 TCP 连接，微秒级转发延迟
• 功能：全能型——四层+七层、SSL 卸载、DDoS 防护、WAF、VPN、链路负载
• 可靠性：硬件冗余（双机热备），99.999% 可用性
• 成本：高昂（几十万到上百万），需专业工程师维护
• 扩展性：依赖硬件升级，灵活度低
• 运维：复杂，需熟悉专属配置界面和 CLI

Nginx（软件）

• 部署形态：软件，跑在通用服务器或云主机上
• 性能：十万级 TCP 连接，毫秒级延迟，可集群扩容
• 功能：轻量高效——七层为核心，支持四层、SSL 卸载、缓存、限流、反向代理
• 可靠性：需手动配双机热备（Keepalived），依赖服务器硬件稳定性
• 成本：开源免费，Nginx Plus 收费也较低
• 扩展性：支持集群部署，云环境可弹性扩容
• 运维：简单，配置文件易读，后端工程师能快速上手

选型路口，照着走就行：

• 高并发 TCP 服务（游戏、证券）+ 极致可用性 → F5 四层
• 核心业务入口 + 安全需求（WAF/DDoS） → F5 七层
• 微服务 API 网关 + 云环境部署 → Nginx 七层
• 数据库/Redis 负载 + 高性价比 → Nginx 四层
• 中小规模业务 + 快速迭代 → Nginx（四层/七层）
• 企业级数据中心 + 多链路 → F5 做入口，Nginx 做内部服务负载

最后一种组合在实际中大厂很常见——F5 守国门，Nginx 管内部。

五、实战案例：F5 配置有多绕

很多人拿到 F5 的第一反应是：这跟交换机的思路完全不一样，根本无从下手。它的配置逻辑是另一套体系。

场景：两台 Web 服务器对外服务，IP 为 192.168.192.10-20/24，要求通过外网地址 192.168.27.100 的 80 端口做负载均衡。

最简单的负载均衡只需三个参数，关系是层层关联的：

• Node（节点）：最基本的定义，每台服务器就是一个 Node
• Pool（资源池）：一组接收和处理流量的 Node，比如 Web 服务器集群
• Virtual Server（虚拟服务器）：对外入口，关联到 Pool

数据流向：客户请求 → Virtual Server → Pool → Node。

实操步骤（BIG-IP 管理界面）：

• 第一步：激活设备。拿到 F5 先激活，向导很简单，但记住一定要联网，最好在上架前完成——这是踩过坑的经验
• 第二步：登录。浏览器打开 https://管理IP，默认用户名密码都是 admin
• 第三步：划 VLAN。Network → VLANs，创建 VLAN 并把接口加入（选入 Untagged）
• 第四步：配 IP。Networks → Self IPs，给每个 VLAN 定义地址
• 第五步：配路由。Networks → Routes，设默认网关或静态路由
• 第六步：配 Pool。Local Traffic → Virtual Servers → Pools，设名字、健康检查（如 TCP）、负载算法（如 observed-member 观察法）、真实服务器 IP 和端口
• 第七步：配 Virtual Server。Local Traffic → Virtual Servers，关联上面的 Pool，选轮询方式（常用 RoundRobin）
• 第八步：配 Monitor。Local Traffic → Monitors，检查服务器健康状态并关联 Pool
• 第九步：配 Redundant，做双机冗余

六、Virtual Server 的几个关键参数

F5 的核心就是 Virtual Server，几个参数不注意会出问题。

VS Type（类型），常见三种：

• Performance L4：纯四层转发，TMM 只负责连接分配，不改 TCP 参数，客户端与服务器连接是 1:1。转发速率快，企业中常用。为减少对应用的影响，能选就优先选这个
• Standard VS：客户端与服务器 TCP 连接完全独立。需要七层功能时用（Cookie 会话保持、Session ID 保持、Header 保持、基于交易的长连接拆分、SYN 攻击防护）。注意一个特性：它的端口永远对外开放——就算后端 Node 全 down 了，VIP 的 80 端口还是能 telnet 通，只是网页打不开。用这个排查故障时要记住
• Forwarding IP：用于内外网连接，没有 Pool Member，转发取决于本地路由。默认情况下 F5 没有路由功能，需要建一个全 0 的 VS 来开启路由功能

Timeout 要对齐（这是真坑）。VS 上如果配了 TCP Profile，那 UDP 连接就不会被接受。更要注意 tcp 里的 Idle Timeout 值——必须和服务器配合。如果 F5 上设 150 秒，而 IIS 服务器是 300 秒，就会产生大量错误。两边的时间要商量好。

Address/Port Translation：默认都是 enabled。VS IP 和真实机器 IP 不同时要开 Address Translation；VS 的 8080 端口对应真实地址的 80 端口时，要开 Port Translation。

SNAT AutoMap：请求从哪个 VLAN 出去，SNAT 源地址就是该 VLAN 上的 Self IP。一个 VLAN 上有多个 Self IP 时，会轮询使用。

七、为什么必须懂”会话保持”

这是负载均衡里最容易被忽略、又最容易出事的概念。

在电商、在线认证这类系统里，一个客户要经过多次交互才能完成一笔交易。这些交互密切相关——服务器处理第二步时，往往需要知道第一步的结果。这就要求所有这些交互必须由同一台服务器完成，不能被负载均衡器分散到不同机器上。

这就是会话保持（Persistence）存在的意义。F5 通过 Connectivity 实现，可选模式包括：

• 源地址保持：按客户端源 IP 绑定
• Cookie 保持：F5 自动插入会话 Cookie，最常用在七层
• SSL Session ID 保持：复用 SSL 会话
• 会话保持表：支持多种超时和匹配规则

配错了什么后果？用户在购物车里加了商品，刷新一下东西没了——因为请求被分到了另一台服务器。这类线上故障，排查起来非常费劲。

八、几个绕不开的实战细节

最后挑几个别人踩过的坑，直接给结论：

• 健康检查要选对层次：只看 TCP 握手，服务器端口活着但应用挂了照样被转发；要检查应用层，就用 HTTP 类型 Monitor 探 /actuator/health 这类接口
• 防火墙要做”三明治”：单台防火墙往往只能达到线速的 30% 吞吐，要提升就得堆多台。但防火墙要求数据同进同出，否则连接被拒——F5 的防火墙负载均衡方案能解决这个问题，实现透明设备的持续性
• SSL 卸载是省 CPU 的大头：让 F5 处理 HTTPS 握手和加解密，后端 Java 应用只处理 HTTP，性能提升明显
• 连生产环境前先做压测：四层虽快，但如果你在四层 VS 上开了会话保持，等于引入了状态，性能预期要重新算
• 监控指标盯三个：池状态、虚拟服务器吞吐量、节点健康状态
• 排障命令：tmsh show ltm pool <pool-name> 看池状态，tmsh show ltm virtual <vs-name> 看虚拟服务器状态

写在最后

负载均衡看着是个”转发设备”，实际上它站在整个架构最关键的位置——所有流量都要从它手里过。它配得好，用户感觉不到它的存在；它配得差，半夜的电话就找你。

现在云原生的浪潮下，LVS、Nginx、HAProxy 这些软件方案在中小场景完全够用，成本优势明显。但涉及金融、证券、大型电商的核心入口，硬件负载均衡在稳定性、毫秒级切换、一站式安全能力上的价值，短期还是替代不了。

至于”F5″这个名字，从公司变成品类的过程本身就很说明问题——当一个产品被当作动词用的时候，它就已经赢得了这个市场。

四层看路牌，七层拆包裹；性能选四层，花活选七层。

参考：F5 BIG-IP LTM 官方资料、《网络运维与管理》F5 负载均衡案例、四层/七层负载均衡技术对比