一台服务器扛不住：USG防火墙SLB把访问摊给多台后端

业务量上来后，单台应用服务器顶不住并发是迟早的事。多数企业的第一反应是加一台负载均衡设备，其实防火墙在岗的话可以就地解决：华为 USG 防火墙内置服务器负载分担（SLB）能力，把外部访问按算法摊给多台真实服务器，对外仍是一个服务地址。本文按官方配置思路讲清它的机制与落地要点。

机制：虚服务器收流量，真实服务器分活干

SLB 的模型分三层：对外发布一个"虚服务器"，绑定对外的服务地址与端口；中间是"实服务组"，把多台真实服务器编成一组并选定算法（轮询、权重轮询、最小连接等）；真实服务器各自配置健康检查。外部用户访问虚服务器地址，防火墙按算法把连接分给组内某台真实服务器，回程流量也被防火墙接住转发，客户端全程感知不到后端是几台机器。某台真实服务器健康检查失败时自动被摘出组，恢复后自动加回——对用户来说就是"服务一直在"。

配置要点四则

一是先定义实服务组：组内逐台添加真实服务器 IP 与端口，按机器性能差异配权重，新机器与老机器混跑时权重别一刀切。二是创建虚服务器：对外地址必须是可被访问的地址（公网映射或内网统一入口），协议与端口范围对准业务（HTTP 常见 80/443）。三是配置健康检查：选对协议的探测（TCP 端口探测或 HTTP 探测），探测间隔与失败阈值要和业务容忍度匹配——阈值太松，坏机器多撑几分钟；太紧，瞬时抖动就误摘。四是会话保持：登录类业务同一用户要落在同一台后端，需按源 IP 开启会话保持，否则用户一会儿被分到 A 机一会儿到 B 机，登录状态反复丢。

验证与观察

配置完成后三步验证：从外部客户端访问虚服务器地址确认服务可用；在防火墙上查看虚服务器的统计与各真实服务器的连接分配，确认流量确实摊开了；主动停掉一台后端服务再访问，确认业务不中断、摘除与恢复符合预期。上线后头几天盯连接分布，权重不合理（某台长期满载、其余闲着）要调。

防火墙 SLB 适合中小规模的四层分担：入口设备复用、不用新增硬件，把"服务器挂一台业务就断"变成"坏一台无感"。更大的规模、七层内容路由那类需求，再考虑专用负载均衡。贵州诚鑫致达科技给客户做应用上线评审时，是否配置负载分担与健康检查是架构清单里的固定项——单点是设计出来的，不是运气躲出来的。

企业存储选型参考｜贵州诚鑫致达

小团队起步上手 NAS，群晖机型参考：DS425+ · DS224+ · DS124。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。