服务器负载均衡对外只露一个门面？华为虚拟服务器这样配
本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。
业务系统跑在几台服务器上做负载均衡时，用户访问的其实不该是某一台真实服务器，而是一个对外的统一门面地址。华为防火墙的服务器负载均衡（SLB）功能里，这个门面就是虚拟服务器：虚拟服务器是实服务器组对外呈现的逻辑形态，用户访问的是虚拟服务器的 IP 地址。它隐藏了实服务器组内部的变化——无论增减实服务器，还是修改实服务器的参数，对用户都不可见。前置条件是实服务器组已经配置完成，然后按下面的步骤把虚拟服务建起来。
第一步，进入 SLB 配置视图，创建虚拟服务器并使能。
slb
vserver [ vserver-id ] vserver-name
创建新的虚拟服务器时，如果不指定 ID，系统会自动分配一个空闲 ID 给虚拟服务器。
vserver { enable | disable }
缺省情况下，虚拟服务器已开启。
第二步，配置协议类型。先定四层还是七层，再定具体协议。
vserver type { l4 | l7 }
缺省情况下，虚拟服务器支持的协议类型为 4 层网络协议，支持 any、tcp 和 udp；选择 7 层网络协议时，支持 http 与 https。
protocol { any | tcp | udp | http | https }
缺省情况下，虚拟服务器支持所有协议（any）。为了提高服务器的安全性，建议根据具体的业务配置协议类型。
第三步，配置虚拟服务器的 IP 地址（以 IPv4 为例）。
vip type ipv4
vip [ start-vip-id [ to end-vip-id ] ] ip-address
这里有几个官方提醒要留意：虚拟服务器的 IP 地址不能和 NAT Server 的公网 IP 地址、NAT64/NAT444 静态映射的公网地址、分配给虚拟系统的公网 IP、实服务器的 IP 地址以及源 NAT 地址池地址相同。同一虚拟服务器可以配置多个 IP 地址，同时为多个不同网段的网络提供服务；还支持批量配置，例如命令 vip 1 to 5 1.1.1.1 可一次指定 1.1.1.1～1.1.1.5 五个地址。配置后设备会针对虚拟服务器 IP 自动生成掩码 32 位、下一跳为 NULL0 接口的黑洞路由，防止路由环路，删除地址后黑洞路由也自动删除。
第四步，配置虚拟服务器的端口号并关联实服务器组。
vport { port-number | any }
缺省情况下，虚拟服务器的端口号为任意端口号（any）；当协议类型为 any 时，不能配置端口号。
group group-name
每个虚拟服务器只能关联一个实服务器组。
第五步，按需选配几个实用功能。七层场景可引用 SSL 解密文件实现 SSL 卸载，减少服务器处理 SSL 协商与加解密的 CPU 负载：
ssl-profile { encrypt | decrypt } ssl-profile-name
如果实服务器需要依赖客户端真实 IP 做身份认证之类的事务，就不宜启用源 NAT；服务器支持通过 X-Forward-For 提取客户端 IP 的话，可以开启 HTTP X-Forward 功能，在 HTTP 报文头中插入 X-Forwarded-For 字段向服务器传递客户端真实 IP：
source-nat { address-group address-group-name | interface-address }
http x-forward enable
并发太高怕压垮后端时，还可以限制单个 CPU 上虚拟服务器的最大连接数，达到上限后设备不再分发新连接并发送超负荷日志，并发回落到 75% 时再发送恢复日志：
max-connection max-connections-value
第六步，退回 SLB 视图并开启 SLB 流量的安全策略功能开关，这样才能用安全策略对 SLB 流量做管控，可在策略里增加虚拟服务器匹配项，并引用入侵防御和反病毒配置文件。
quit
security-policy enable
配置完怎么验证？从外网客户端访问虚拟服务器的 IP 和端口，确认请求被分摊到后端实服务器；在设备上查看路由表，应能看到指向虚拟服务器 IP 的 NULL0 黑洞路由；再用 display 命令检查虚拟服务器状态和连接统计，观察各实服务器的分发是否正常。一台门面地址顶住整个集群，扩容缩容后端也不用动用户侧任何配置。
中小企业要给业务系统做负载均衡、又不想额外购置专业负载均衡设备，防火墙自带的 SLB 值得先用起来。欢迎搜索关注贵州诚鑫致达科技，交流中小企业服务器架构优化经验。
企业存储选型参考｜贵州诚鑫致达
做中小企业全能主力存储，群晖机型参考：DS1823xs+ · DS2422+ · DS923+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。兴义（黔西南）：群晖 NAS、信创云盘与数据管理集成服务。