La répartition de charge (Cluster NLB)

La répartition de charge (Cluster NLB) La répartition de charge devient indispensable quand un seul serveur ne suffit plus pour tenir la charge ou maintenir un temps de réponse acceptable. Si le besoin de disponibilité supplémentaire n est pas un critère, il est conseillé d ajouter d abord des ressources matérielles au premier serveur avant d envisager plusieurs serveurs. La répartition de charge n induit pas une capacité de charge linéaire. Si un serveur peut traiter 200 utilisateurs, deux serveurs ne permettront pas forcément de traiter 400 utilisateurs. Tout va dépendre de la nature de la charge et du comportement des sessions TCP générées. La notion d affinité permet de conserver un utilisateur sur le même nœud tant que celui ci fonctionne. De cette façon, on minimise le chargement des sessions utilisateurs sur les serveurs. Pour se faire, la ferme calcule un hash à partir de l adresse IP du client et sa destination. Si tous les clients se présentent avec la même adresse IP (par exemple derrière un pare feu avec du NAT), ils seront tous dirigés vers le même serveur, annulant la répartition de charge. La répartition n est pas faite en fonction de la charge des serveurs. Si quelques utilisateurs saturent à eux seuls un des nœuds, il recevra pour autant le même nombre d utilisateurs que les autres nœuds. Si la charge entre vos nœuds n est pas du tout uniforme, vous devrez développer une routine qui draine les nœuds au delà d une certaine charge. 1. Créer une ferme NLB La création d une ferme NLB est techniquement rapide. Il faut cependant décider certains points au préalable : Le mode d opération du cluster : Monodiffusion (même adresse mac sur tous les nœuds). Multidiffusion (adresse mac unique par nœud). Multidiffusion IGMP (adresse mac unique par nœud et inscription d adresse IGMP). Le mode de filtrage : Hôte multiple (répartition de charge). Hôte unique (actif/passif). Aucun (bloquer le trafic correspondant à la règle). Le mode d affinité (hôte multiple uniquement) : Aucune (envoi sur un nœud aléatoire). Unique (maintient sur le même nœud par adresse IP cliente). Réseau (maintient sur le même nœud par sous réseau entier). Le choix du mode d opération doit se faire en concertation avec les responsables du réseau : Le mode monodiffusion assigne la même adresse mac sur tous les nœuds du cluster. Cela va à l encontre des switches, qui mémorisent les adresses mac par port, et pour lesquels avoir deux fois la même adresse mac n est pas possible. NLB mitige ce point en activant la clé «MaskSourceMAC». Le paquet arrive avec comme adresse mac de destination celle du cluster, mais le nœud répond avec la sienne. Le switch ne peut donc pas assigner l adresse mac au nœud qui répond et continue à envoyer les paquets sur tout le réseau (inondation). Ce comportement est «by design». Si ce mode est impératif (il l était avec Microsoft ISA au départ), plusieurs contournements existent. Il est possible de mettre un hub entre les serveurs du cluster et le switch. De cette façon, le switch ne voit l adresse mac du cluster que depuis un seul port (pas de «MaskSourceMac»), ce qui arrête l inondation. Cela n est cependant pas dans les «meilleures pratiques». L utilisation d un commutateur de niveau 3 (routeur) n est pas possible car tous les nœuds partagent la même adresse IP et le routeur envoie les paquets en fonction de l adresse IP. Les serveurs ne peuvent pas communiquer entre eux, car ils ont la même adresse mac. Les paquets sont renvoyés à lui même sans même - 1 -

quitter la carte réseau. Le mode multidiffusion règle le problème de l adresse mac en ajoutant une adresse mac de type multidiffusion et en empêchant les équipements réseaux de mémoriser l adresse mac du cluster. Le switch envoie les paquets à l ensemble des ports, dont ceux des nœuds du cluster. On se trouve toujours avec une inondation du trafic sur tous les ports du réseau. Certains équipements (Cisco notamment) nécessitent de transformer partiellement le switch en hub par configuration, en lui indiquant de systématiquement transférer les paquets pour l adresse mac du cluster aux ports de tous les nœuds. Il est possible de limiter ce problème en isolant les serveurs derrière un routeur, sur un vlan dédié. Le mode multidiffusion IGMP se comporte comme le précédent, mais les nœuds s enregistrent également sur une adresse IP IGMP de classe D (de 224.0.0.0 à 239.255.255.255). Cela impose que les équipements réseaux supportent la multidiffusion IGMP, mais permet de régler le plus élégamment possible les différents problèmes. Chaque nœud a sa propre adresse mac, l adresse IP de multidiffusion et seulement les nœuds reçoivent le trafic réseau du cluster. Voici quelques articles en fonction des fabricants : Cisco : http://www.cisco.com/en/us/products/hw/switches/ps708/products_configuration_example09186a0080a07203.shtml Enterasys : http://www.enterasys.com/partners/microsoft/sa nlb tb.pdf Le mode de filtrage le plus intéressant est hôte multiple. Le mode hôte unique est de type actif/passif, avec le nœud qui a le plus petit ID en actif. Le mode de filtrage Aucun permet quant à lui de bloquer le trafic sur certains ports, notamment pour protéger les nœuds. En mode hôte multiple, trois choix d affinité sont possibles : Aucun : à chaque connexion TCP d un même client, celui ci sera dirigé vers le nœud ayant le moins de clients. Ce mode assure la meilleure répartition possible, surtout lorsqu il n y a pas de spécificité cliente à maintenir (panier ; session...). Unique : permet de maintenir un client (son adresse IP) sur le même nœud tant que la topologie de la ferme n est pas modifiée (ajout/suppression de nœud). Chaque client doit avoir une adresse IP unique afin d avoir une répartition efficace (pas de Nat, proxy...). Réseau : se comporte comme le filtrage précédent, mais au lieu d utiliser directement l adresse IP du client, il calcule l adresse du réseau. Si par exemple un client se connecte avec comme IP 192.168.1.1, NLB le transformera en 192.168.1.0. Tous les clients appartenant à cette classe C iront sur le même nœud. Ce filtrage est pertinent lorsqu il faut maintenir un ensemble de clients venant d un même réseau sur un même nœud. En complément, sur Windows Server 2008 R2 uniquement, l affinité unique peut survivre à un changement de topologie (convergence), contrairement aux versions précédentes où le client était redirigé sur un autre nœud. Si un client X est connecté sur un nœud A et qu un nœud est ajouté ou supprimé du cluster, le cluster retiendra l affinité et maintiendra cette affinité pendant X minutes. Le délai d expiration, exprimé en minutes, commence dès que le client est inactif. Si nécessaire, le cluster peut très bien avoir plusieurs adresses IP virtuelles. Cela est notamment nécessaire si vous hébergez plusieurs sites web avec des certificats SSL. À moins d avoir un certificat de type wildcards (*.masociete.local), chaque site devra avoir une IP dédiée pour les connexions SSL. Contrairement au protocole http qui permet les hôtes virtuels, le protocole SSL commence par négocier la sécurité avant toute chose, y compris de dire pour quel site le client se connecte. 2. Configurer la ferme La mise en œuvre consiste à : Installer la fonctionnalité équilibrage de charge. Créer la ferme avec un nom et au moins une adresse IP sur au moins un nœud. Configurer les règles pour déterminer le trafic à équilibrer. L installation peut se faire par le Gestionnaire de serveur mais également via PowerShell. Windows Server 2008 R2-2 -

est fourni avec la version 2 de PowerShell, ce qui permet d installer la fonctionnalité sur plusieurs nœuds en une commande : Invoke-Command -computername noeuda,noeudb -ScriptBlock {import-module servermanager;add-windowsfeature NLB} WinRM doit être configuré au préalable avec la commande winrm quickconfig sur chaque nœud. Vous pouvez créer la ferme NLB de deux façons : Avec l interface classique NLB. Avec PowerShell (Windows Server 2008 R2 uniquement). Windows Server 2008 R2 est la dernière version à proposer la console NLB telle qu on la connaît. Suivant le schéma directeur de Microsoft, il faudra utiliser PowerShell dès la version suivante de Windows pour scripter la gestion de NLB et de la couche cluster. Comme pour d autres produits (Exchange, SCVMM...), la console graphique servira juste à construire les commandes PowerShell à exécuter. Pour configurer la ferme avec l interface graphique, cliquez sur Démarrer, puis Outils d administration, puis sur le Gestionnaire d équilibrage de la charge réseau. Cliquez ensuite sur Cluster et Nouveau. Choisissez un premier nœud à configurer, ainsi qu une interface. Définissez sa priorité, son interface de gestion et son statut par défaut. Ajoutez ensuite au moins une adresse IP utilisée par la ferme. Déterminez l adresse IP principale du cluster ainsi que le nom du cluster. Étape critique, choisissez le mode d opération du cluster (monodiffusion, multidiffusion avec ou sans IGMP). Par défaut, tous les ports sont en équilibrage de charge, avec une affinité de type unique. À ce stade, la ferme est créée avec un seul serveur comme membre. L ajout du second nœud se fait depuis le menu Cluster Ajouter un hôte : - 3 -

L interface de gestion des règles permet de choisir l adresse IP du cluster où elle s applique, un port ou une plage de ports, la nature (TCP, UDP) et le mode de filtrage : Voici l équivalent en Power Shell, sur Windows Server 2008 R2 uniquement : #Création du cluster sur le premier noeud New-NlbCluster -InterfaceName public -ClusterName cluster02 -ClusterPrimaryIP 192.168.4.15 - SubnetMask 255.255.255.0 #Ajout du second noeud Get-NlbCluster Add-NlbClusterNode -NewNodeName noeudb -NewNodeInterface public 3. Exemple : Ferme Web IIS Une ferme de serveurs Web constitue l usage type de NLB. IIS 7 a introduit la notion de configuration partagée, qui facilite la gestion de la ferme, en centralisant la configuration IIS de tous les serveurs Web sur un partage de fichiers UNC. L article TechNet suivant décrit sa mise en œuvre : http://technet.microsoft.com/en us/library/cc771871-4 -

(WS.10).aspx Les étapes sont les suivantes : Installer le rôle Serveur Web (Web Server). Créer au moins un cluster NLB avec deux nœuds. Modifier la règle par défaut, afin d équilibrer uniquement les ports TCP 80 (http) et 443 (https). À ce stade, vous avez une ferme constituée de 2 serveurs Web avec une affinité unique. Vous savez déjà que NLB n a pas conscience de l état de l application qui est répartie. En revanche, vous pouvez modifier le comportement de IIS afin qu il prenne en compte NLB et modifie son comportement en cas de problème. Par défaut, IIS renvoie un code http 503 en cas de défaillance du pool d application. Dans le cas d une ferme de serveurs, il est fort probable que seul ce serveur a ce problème. En indiquant au pool d applications de faire une réponse de niveau TCP, il va fermer la connexion du client, qui sera alors redirigé vers un autre nœud de la ferme. Pour modifier ce comportement, il faut aller dans les paramètres avancés du pool de l application : - 5 -