一种利用radius消息实现ip流量分流方法

《一种利用radius消息实现ip流量分流方法》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、一种利用RADIUS消息实现IP流量分流方法　　【摘要】在一些特定的防火墙负载均衡场景下，不是所有的流量都需要路由到应用服务器，因此如何减少应用服务器接收的数据量，对提高应用服务器的资源利用率和减少投资意义重大。本文提出一种利用RADIUS消息实时判别流量进而实时分流的方法，并结合项目给出了具体示例。该方法经过项目实际检验，取得了良好的资源利用和投资回报效果。最后本文总结了该方法的其他应用场景。【关键词】防火墙负载均衡；RADIUS消息；IP分流；F5；LTM1.引言随着Internet的快速扩张，使负载均衡的应用变得普

2、遍并且必须[1，2]，在实现方式上有两种最常见的模式即服务器负载均衡（ServerLoadBalancing）和防火墙负载均衡（FirewallLoadBalancing），服务器负载均衡模式在WEB服务器集群和数据库服务器集群等场景下已经有大量广泛的应用[3，4]；而防火墙负载均衡模式[5]应用场景比较少，可以实现有状态的负载均衡（路由转发）/端口过滤/反向路径路由等功能。2.IP流量的分流问题8防火墙负载均衡模式下，需要考虑的两个基本问题：第一是负载均衡算法，第二是流量的区分和分流；在防火墙负载均衡模式下，并非所有流

3、量都是有用的，比如应用服务器只处理特定端口（如80/443）的IP流量；特定协议（如TCP/UDP/HTTP/P2P）的IP流量；特定网站（如搜狐/优酷等）的IP流量；特定区域（如上海/北京）的IP流量等；在一个无线互联网应用项目中，需要根据手机号码和基站标识来区分哪些流量被路由到应用服务器，因IP地址稀缺导致手机号码与IP地址的对应关系是动态变化的，另外由于手机在不同基站下漫游，因而基站标识与IP地址的对应关系也是动态变化的，这种场景下通过外部的RADIUS消息来实时辨别和区分流量，进而不进提高了应用服务器的处理效率，

4、也大大地减少了应用服务器的硬件数量，节约了项目投资。RADIUS（RemoteAuthenticationDialInUserService）[6]全称为远程用户拨号认证系统，由RFC2865，RFC2866定义，是目前应用最广泛的AAA协议。包括普通电话上网、ADSL上网、小区宽带上网、IP电话、VPDN（VirtualPrivateDialupNetworks，基于拨号用户的虚拟专用拨号网业务）、移动电话预付费等业务。IEEE提出了802.1x标准，这是一种基于端口的标准，用于对无线网络的接入认证，在认证时也采用RA

5、DIUS协议[7-8]。8根据应用场景的差异，RADIUS消息实体内容会稍有不同，表1所示是某电信运营商现网运行的AAA服务器中RADIUS消息示例（核心字段）：说明：（1）消息中用户标识字段包括Calling-Station-Id和Served-MDN，分别是手机用户的IMSI号码和用户手机号码；（2）消息中Acct-Status-Type字段标志了用户认证的类别，包括用户上线（Accounting-Start）和用户下线（Accounting-Stop）；（3）消息中Framed-IP-Address字段标志了用户的

6、终端IP地址；（4）消息中3GPP2-BSID字段标志了用户所在的基站小区信息，该字段是十六进制字符串，其中前4个字节是SystemID，第5-8个字节是NetworkID，第9-12个字节是CELL标识；其中CELL标识中12个高位是CellID，低4位是扇区。如”376F000BA0F0”，可以解析出Systemid为14191，Networkid为11，cellid为2575，扇区为0。3.方法描述本文以用户信息为例，简单描述如何通过RADIUS消息，来实时过滤和分流特定用户的HTTP流量，以减少应用服务器的性能压

7、力。3.1技术基础8业界主流的负载均衡器都能实现对IP流量的L3-L7内容解析。如可以识别HTTP中的URL、IP、Port、Header和内容（Body）等；可以识别出RADIUS消息中的AVP键值对；业界主流的负载均衡器都有一个全局的内存存储区域SessionTable，可以以Key-Value方式存储千万级的简单属性。业界主流的负载均衡器都有可二次开发的编程接口，可以实现与外部系统的数据实时交互。3.2实现思路（1）在负载均衡器中定义或配置接口，以获取需要进行流量区分的关键属性：MSISDN序列。（2）对经过负载均

8、衡器所有Radius消息进行内容解析，把IP地址和MSISDN的对应关系找到，如果匹配到上述MSISDN列表，则存储该IP地址到SessionTable中。（3）对经过负载均衡器所有的HTTP流量进行L4解析，识别出IP，对比上述SessionTable，如果匹配，则该IP的流量是需要处理的流量，则转发到应用服务器，