F5负载均衡器:防火墙和服务器将源代码显示为客户端机器IP，而不是F5 IP

Question

我们有两个独立的Weblogic实例(在AIX环境上)，负载由一个F5负载均衡器平衡。

在客户端机器上，我们运行一个Java实用程序，它使JNDI调用部署在应用服务器上的ejb之一。此调用使用t3协议并连接到F5 IP。

如果我们在单独的应用服务器上使用netstat，它会显示来自客户机的连接，而不是来自F5的连接。另外，防火墙日志显示到应用服务器的连接源是客户端计算机的IP，而不是F5。

为了测试从实用程序机器到服务器的连接是否是通过F5路由的，而不是直接路由到单个服务器，我们在防火墙中创建了一个规则来阻止到单个服务器IP的连接。在应用此规则时，实用程序不能再进行JNDI连接。

我的实用程序不知道单个应用服务器的IP。我的问题是:上述行为正确吗？或者，这是否意味着这些连接实际上是直接连接到各个应用程序服务器？如果不是，那么为什么源IP会作为客户机的IP来呢？

Answer 1

F5上的负载平衡可以这样工作，如果您将它配置为这样做，但是如果没有任何配置细节，就不可能知道这里是否存在这种情况。

在许多情况下，查看后端节点上的实际IP地址是首选的，例如，在生成访问者统计数据或实现IP访问列表时。

Answer 2

F5虚拟服务器的默认行为不是NAT客户端源地址。您可以在Virtual上配置SNAT自动化，这将将客户端地址转换为F5的传出接口。

Answer 3

在F5上，您可以运行tmsh show sys connection来显示ltm连接。这将输出以下信息，这些信息将有助于了解F5的实际操作：

• cs-client-addr -连接客户端的(客户端)源IP地址
• 客户端-端口-连接客户端上的(客户端)源端口。
• cs- Server -addr -连接客户端的(服务器)目标IP地址(即虚拟服务器IP地址)
• cs-服务器-端口-连接客户端(即虚拟服务器端口)上的(服务器)目标端口
• ss addr-连接服务器端的(客户端)源IP地址(即SNAT地址)
• ss端口-连接服务器端(即SNAT端口)上的(客户端)源端口
• server addr-连接服务器端的(服务器)目标IP地址(即池成员地址)
• server端口-连接服务器端的(服务器)目标端口(即池成员端口)