20、防火墙负载均衡：原理、设计与解决方案

防火墙负载均衡：原理、设计与解决方案

1. 防火墙负载均衡概述

防火墙负载均衡常见于数据中心或电子商务网络的互联网架构中，这些场景下有大量流量穿越防火墙基础设施。通过防火墙负载均衡，负载均衡器中定义的单个 IP 地址可以引用多个防火墙。负载均衡器能在多个防火墙之间分配流量负载，或者负载均衡器中的多个虚拟 IP 地址（VIP）可以针对不同的流量配置文件引用防火墙，以实现 VIP 与流量配置文件的匹配。并且，冗余属性可以根据附加到 VIP 的每个流量配置文件进行分离，这有助于定义防火墙集群，即一组与负载均衡策略相匹配的防火墙。

2. 防火墙负载均衡的原因

原因	描述
增加流量容量	在任何网络中，安全域的流量可能会突然增加。流量突发是针对单个安全域的，此时通过防火墙的其他安全域的流量不应受到影响。如果防火墙设计中的流量容量是一个问题，那么可以考虑采用防火墙负载均衡作为解决方案。
提高可扩展性	这在共享防火墙架构中很常见。共享防火墙基础设施将为多个实体提供虚拟防火墙。当不同的安全域代表不同的实体时，在初始部署时无法确定防火墙架构的增长和提供的服务。这种增长是基于估计和概率的。因此，预测防火墙提供的服务和流量流动非常重要。如果预测的需求大于当前防火墙的吞吐量，则应考虑采用防火墙负载均衡。
与可用网络带宽匹配	这种