Выбор Load Balancer

[slavik_ru(ripev)]

Я не работал с Citrix, но после 4 лет с F5 и видя последние версии их софта, я бы порекомендовал F5.

[Nathan Murr]

Ну мне из фич особо ничего не нужно, на ACE сейчас кроме обычного lb разве что inbound ssl proxy. Так что помимо этого + удобных GUI особо ничего не надо. Вот и смотрю что интереснее и по цене и по стабильности выйдет. Ну, если еще тулза есть которая конфиги со всех ACE смигрирует - совсем хорошо

Из доп хотелок на примете есть гибкое разграничение доступа, по контекстам например, чтобы делегировать самим девелоперам возню с maintenance mode и выкидыванием / добавлением серверов в фермах.

[Serge De Vorop]

to Nathan Murr:
С контекстами у Цитрикс не хорошо. С разграничением менеджмента тоже не очень, ТАСАС поддерживается, можно команды конкретные назначать.
В эксплуатации не просто снять дебаг, логи и прочее. Сравниваю с Циской, с Ф5 не работал.

[slavik_ru(ripev)]

to Nathan Murr:
С GUI у F5 хорошо. Плюс как бонус очень хорошая CLI, если нужно.

Разграничение доступа делать можно, много ролей различных. Можно создавать partitions и давать доступ только к ним. Я так понимаю, это и будет типа partition для програмистов, другая для тестирования, третья для production. Правда, я её не использовал, не знаю насколько хорошо работает.

Возню с серверами тоже можно назначить отдельным людям, только на сколько я помню, они не смогут синхронизировать конфигурацию между F5 работающими в HA режиме, что не очень удобно, т.к. каждый раз отключая или включая сервер или pool memeber будет считаться как изменения конфигурации.

С логами все хорошо - обычный Linux, все хранится в /var/log.
С дебагами опять же как на Linux, + свои команды.
Сгенерировать информацию для тех поддержки можно одной командой. Полученный файл можно самому загружать в так называемый iHealth, который подскажет, есть ли какие-то проблемы и прочее. Вещь иногда полезная.

В общем, у кого будут вопросы по настройке, пишите в личку. Помогу чем смогу.

[Serge De Vorop]

to slavik_ru:
##--С логами все хорошо - обычный Linux, все хранится в /var/log. --##
##--С дебагами опять же как на Linux, + свои команды. --##
Ну вот у Цитрикса все тоже самое. Неудобно.

[slavik_ru(ripev)]

to Serge De Vorop:
Я понимаю, что это все субъективно, но интересно, почему не удобно? чем именно? и что тогда удобно, для сравнения?

[Nathan Murr]

не знаю, мне нравится решения со своими системами парсинга и фильтра логов, вот у palo alto например. Ну на худой конец скармливать логи какому-нибудь splunk где более менее тоже можно что-то найти

[slavik_ru(ripev)]

to Nathan Murr:
По-хорошему, так и должно быть, центральная свалка логов из которой потом можно отчеты делать. Есть аналоги splunk бесплатные. Я так и не понял, почему splunk столько стоит.

А скидывать syslog сообщения любая железяка может: juniper, cisco, f5, citrix, и т.д.

[Serge De Vorop]

to slavik_ru:
Я не против линукса и всего что с этим связано, скорее только ЗА. Но в случае с Цитриксом (и Ф5, думаю, тоже) - оболочка линукса не дает никакой пользы, а только геморой.
Я понимаю почему промышленные имплементации Астериска имеют оболочку Линукса. Потому что в Линуксе пишется куча скриптов для интеграции, какой-то дополнительный функционал и так далее. В нетскейлере Линукс дает только геморой, в шеле Линукса ничего не делается, кроме того, чего вендор не удосужился сделать в своей оболочке.
IOS XE, например, тоже на Линуксе, но тем не менее делать в шеле линукса пользователю нЕчего, как и в случае с Цитриксом. Поэтому командами IOS XE можно чудесно сменить ip адреса, рутовые пароли, настроить и просмотреть логи, дебаги, сделать и скачать капчу трафика и т.д.
Нетскейлеровский линукс шел - это просто задрота для админа, причина которой лень разработчика UX.

[slavik_ru(ripev)]

to Serge De Vorop:

Мы говорили про debug и логи. Логи вполне удобно смотреть в Linux. На счет debug, например снять трафик, так лучше tcpdump ничего нет.

Если говорить про управление, то в F5 есть TMSH. Это их собственная оболочка, похожая на Cisco CLI, при этом можно настраивать по-разному.

Пример:
Создать data-group можно след способами.

1. tmsh
create ltm data-group internal TEST-GROUP { records add { 1.1.1.1/32 { } 2.2.2.0/24 { } } }

При этом, как в Cisco, изменение тут же применяется.


Или можно прям из Linux shell (bash): tmsh create ltm data-group internal TEST-GROUP { records add { 1.1.1.1/32 { } 2.2.2.0/24 { } } }
Удобно для скриптов.

2. Тоже как в Cisco, только команды не применяются сразу, а только после нажатия CTRL+D. При это если конфиг не правильный, выдаст ошибку и все.

load sys config from-terminal merge

ltm data-group internal CER_Office {
records {
10.11.100.10/32 { }
}
type ip
}

CTRL+D


Тут правда одна опасность, если забыть слово merge, то конфиг замениться

3. Можно проверить конфиг на правильность
load sys config from-terminal merge verify


Или просто в веб интерфейса, который тоже нормальный.