发信人: hahalee()
整理人: zhcharles(2002-01-30 15:35:53), 站内信件
|
【 以下文字转载自 TransNetwork 讨论区 】
【 原文由 sun_zhang 所发表 】
■基于NAT的负载平衡
以上所谈论的均是关于使用NAT和PAT来把内部IP地址转换成外部合法的IP地
址使用。下面介绍NAT的另一个运用：作为用于负载平衡的DNS系列服务器（DNSr
ound－robin）的一个替代品。DNS系列服务器解决了多个IP地址共用一个域名的
问题。它会在响应DNS申请时跳跃式地寻找可用的IP地址。达到的效果就是一个域
名可以对应多个IP地址。这种功能可以应用在一个HTTP服务器群中，利用它可以
平衡多个服务器的负载。但是这里还有一个问题，IP客户端会在本地缓冲DNS／I
P地址解析，从而使它的后续的申请都会到达同一个IP地址，减弱了DNS系列服务
器的作用。
使用基于NAT的负载平衡方案，则可以避免这个问题。路由器或其它NAT设备
把需要负载平衡的多个IP地址翻译成一个公用的IP地址，每个TCP连接被NAT送到
一个IP地址，而后续的TCP连接则被NAT送到下一个IP地址。真正实现了负载平衡
。当然，基于NAT的负载平衡只能在NAT上实现，而不能在PAT上实现。
■安全问题
当NAT改变包的IP地址后，需要认真考虑这样做对安全设施带来的影响。
对于防火墙，它利用IP地址、TCP端口、目标地址以及其它在IP包内的信息来
决定是否干预网络的连接。当使用了NAT之后，可能就不得不改变防火墙的规则，
因为NAT改变了源地址和目的地址。
在许多配置中，NAT被集成在防火墙系统之中，提供访问控制和地址翻译的功
能。不要把NAT设在防火墙之外，因为黑客可以轻易地骗过NAT，让NAT认为它是一
个授权用户，从而进入网络。
若企业网中使用了VPN（虚拟专用网），并用IPSec进行加密安全保证，那么
错误地设置NAT将会破坏VPN的功能。把NAT放在受保护的VPN内部，而不是在中间
。因为NAT改变IP包内的地址域，而IPSec规定一些信息是不能被改变的。若IP地
址被改变了，IPSec就会认为这个包是伪造的，拒绝使用。
虽然NAT带来了许多优越性，例如使现有网络不必重新编址、减少了ISP接入
费用，还可以起平衡负载的作用，但NAT潜在地影响到一些网络管理功能和安全设
施，这就需要谨慎地使用它。
--
※ 修改:．sun_zhang 于 Mar 25 21:27:10 修改本文．[FROM: 202.96.219.177]
※ 来源:．月光软件站 http://www.moon-soft.com．[FROM: 202.96.219.177]
--
※ 转载:．网易 BBS bbs.netease.com．[FROM: 202.100.219.30]
|
|