LVS对×××服务的负载均衡

之前有一个小需求，需要对已经存在的两台×××设备做负载均衡，认证加密方式为PPTP，以为只要想其他应用服务一样只需要针对端口1723进行负载均衡即可，操作之后才发现根本不是一回事。

简单拓扑： 

不适用LVS直接用客户端链接×××没有任何问题，但当使用LVS之后，客户端连接时一直停留在认证阶段：

然后出现如下错误：

于是抓了下包，才发现原因：

                                    图2

                                    图2

分析： 

LVS属于四层上的负载均衡，因此测试中出现数据交换中断的原因是： client与×××服务器之间的数据交换在完成初步的PPTP握手链接之后便不再使用TCP协议，而是使用GRE和PPP协议取而代之，LVS服务器作为中转设备，其不能正常识别并分解此类数据包故不能进行转发，造成client发送的数据在LVS服务器处中断。

结论：

【以PPTP认证协议为例】

 初始阶段，即PPTP握手链接阶段的数据包格式如下：

握手链接结束之后，便开始PPP的认证链接，此时的数据包以及之后的所有交换的数据包格式如下：

由于LVS是四层上的负载均衡，因此这种方式不能实现对常规×××服务进行负载均衡。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

LVS 还有一种判断是否进行数据转发的方式：netfilter标记。 

比如： 我们有两个应用：一个是80 一个是443，传统方式会依次添加虚拟主机,例如：

ipvsadm -A -t  192.168.5.222:80 -s rr

ipvsadm -A -t  192.168.5.222:443 -s rr

然后针对每个虚拟主机添加相应的Real Server

而是用标记的方式似乎会简单一些，我们先是用netfilter对这些数据包进行打标签：

iptables -t mangle -A PREROUTING -p tcp -d 192.168.5.222 --dport 80 -j MARK --set-mark 60

iptables -t mangle -A PREROUTING -p tcp -d 192.168.5.222 --dport 443 -j MARK --set-mark 60

然后添加虚拟主机：

ipvsadm  -A -f 60 -s rr

这样就可以了

鉴于以上基础，结合PPTP认证方式，我们似乎可以是用这种LVS的鉴别方式来进行负载均衡，操作如下：

１、首先对相应的数据进行打标签： 

iptables -t mangle -A PREROUTING　-d 192.168.5.222 -j MARK --set-mark 99

既然pptp认证方式不再使用TCP协议，但ip协议肯定会在，所以直接对发往VIP的数据进行打标签

2、添加虚拟主机和Real Server：

ipvsadm -A -f 99 -s wlc 

ipvsadm -A -f 99 -r 192.168.5.248 -g -p 60

举得理论上应该是可以的，但试验了多次还是失败，抓包看了下，发现一直不能进行用户的认证，看来需要对PPTP等一些加密认证的协议多一些了解才行。