【企业实战】：阿里云高可用架构之“CDN+WAF+SLB+ECS”

【企业实战】：阿里云高可用架构之“CDN+WAF+SLB+ECS” 回首过去

我坚信有盆友看过笔者之前写的这篇文章《如何快速为企业设计高可用的阿里云架构》，对阿里云服务器的一些服务项目和商品的选型有了基本的把握。其实这篇文章写的比较粗略，只描述了企业选型的大概架构，没有用过多的墨水笔来描述实际完成的整个流程和实际 *** 作的配置。而且有些博主看了也不舒服。

所以我需要和大家探讨一下，阿里云高可用架构的“CDNWAFSLBECS”是如何完成的，其实际配置的全过程是怎样的。为什么要拿这个框架来讨论？主要原因是这一框架在现阶段企业中的使用率具有普遍性、广泛性和象征性。

如果需要在企业中实际配置完成，如果没有做过，大概会有点晕，会继续有点胆怯。你实际上应该如何完成它？担心。下面就来玩玩吧。

架构图

架构等级关联

CND(通道层)->:WAF(网络层安全保护)->:SLB(负载层)->:ECS(网络服务器源站)->:RDS(数据库查询)

域名cnameCDN
CDN偏向WAF
WAF偏向SLB
SLBloadECS
表示企业中自然会有其他服务项，比redis、oss、nfs、监管、d性ip、日志等等更多。WAF>SLB>；ECS这种多层服务项目的关联如何配置，从哪一层入手比较合适？

整体规划配置构思

就两个想法:从外到内，从内到外。

从外到内:从外到内有哪些？刚刚分析过，就是CDN刚刚配置，ECS网络服务器向内配置比较慢，笔者不推荐。

由内而外:了解了由内而外之后，了解由内而外就容易多了。从底层ECS网络服务器开始，配置和检测才刚刚开始，逐渐部署和检测到表层，直到CDN的外层。建议这样配置，便于整个配置过程中的检测和问题排查。

让我们看看由内而外的配置模式实际上是如何完成的(ECS>:SLB>；WAF>CDN>域名)。

实际完成 1.ECS网络服务器

服务器只是部署新的项目，新的php项目或者java项目在企业中广泛使用。

新的php项目:在web服务器上部署nginxphp

新的java项目:在网络服务器上部署nginxjdktomcat

我相信每个人都知道如何实际配置它。不过笔者建议nginx的配置中不要使用upstream，因为ecs网络服务器前面已经有slb层了。举个例子:

upstreamtomcat_server{ server10.0.0.10:8080; server10.0.0.20:8080; } location/{ roothtml; indexindex.htmlindex.htm; proxy_passhttp://tomcat_server;

像上面这样的上游可以省略。slb挂在ecs前面之后，nginx上的上游就没有具体的实际意义了。

2.SLB三层交换机 SLB配置构思

启用SLB>:配置云服务器组>:"plus监控"

启用SLB案例

SLB三层交换机，启用后即可使用。有两种方法(外网地址，私网)。说白了，外网地址就是带公网IP的负载的详细地址。专用网络是具有专用网络IP的负载的详细地址。如下图:

显示:
本文采用外网地址加载。因为这种情况下SLB的顶(外)上有一个WAF，WAF的底(内)一定是公网IP的网络服务器或者SLB，WAF的顶(外)是CDN。

SLB有两种计费方式，总流量和固定网络带宽，根据企业的成本预算选择。建议根据业务流程要求选择网络带宽和规格。例如，如果启用了一个SLB，下面初始化的ECS集群服务器不大，业务流程视图的数量很少，那么启用的SLB的网络带宽和案例规范模型可以更小。

还应注意，当启用SLB时，如果企业中有许多新项目和ECS群集，SLB最好与ECS群集的自然环境相匹配。为了更好地节省这笔钱，没有必要危及未来业务流程的特性。如果企业有一个新的项目，只有3或5个ECS网络服务器，我认为这足以启用一个SLB。例如，如下图所示，启用了许多SLB案例，并且每个SLB都匹配相关的ECS群集服务器:

配置“云服务器组”

启用后，只需开始配置。点击“管理方式”进入SLB案例，添加“云服务器组”，如下图

。在右边的目录中添加网络服务器，配置端口号，权重值默认设置为100。如果每个网络服务器的配置不同，请适当调整权重值，例如

“加上监视”

a、添加监控并配置“基本配置”，如下图:

前端开发协议:HTTP80
后端开发协议:HTTP80

生产调度优化算法:权重计算轮询(默认设置)。权重越高，被后端开发网络服务器轮询的频率(概率)就越高。
应用云服务器组:选择您刚刚配置的云服务器组即可。

b、高级配置，如下图:

对话维护:打开，根据cookie进行HTTP协议对话维护。如果不是通过对话来维护业务流程，则没有必要开启该功能。
对话时长:3600，是和开发设计讨论配置如何合适的时间。
Gzip数据编码:open，会减少特殊文件的属性；关闭时，不容易减少所有文件属性。

c、健康体检，如下图:
自然不能开健康体检。如果没有，无论后端ECS网络服务器是否存在，SLB都将根据对策执行加载。所以一般建议打开。

网站域名:自定义
检查端口号:80
检查通道:/test.html，这也是SLB用来检查ECS网络服务器网页的自定义静态网页。放在ECS网络服务器的网站根目录最下面就可以了，test.html的内容可以/[/k0/比如作者定制了一个服务器，如下图: server{ listen80； server_nametest.ganbing.com 索引index.htmlindex.htm； 根html access_logoff； } 注:以上access_log建议关闭，否则access.log会因为slb的体检而每天形成大量无用日志。

这里，SLB是在这里配置的。如果有HTTPS协议，必须加一个显示器，并把合格证挂在上面。我们来看看waf的配置。

3.WAF服务器防火墙 WAF配置构思

添加网站>:基本“安全配置”

配置waf

a、添加一个网站，如下图:


网站域名:test.ganbing.com，配置新项目的网站域名。
协议类型:如果企业没有HTTPS，选择HTTP。
ServerIP:IP，配置SLB的IP地址。如果没有SLB(或者您的公司不打算使用SLB)，ECS网络服务器的公共IP将立即在这里配置。
有没有七层代理(高仿/CDN等。)在WAF之前？:是的，这个选项已经明确提醒过了。如果WAF前面有CDN，选择是；如果没有CDN，请选择No.
IPhash是第三层交换机的优化算法。

注意，如果企业有HTTPS协议，必须强制HTTPS自动跳转，必须配置“高级设置”，如下图:

(打开后，HTTP要求显示的信息应为HTTPS，默认设置会自动跳转到443端口)

b、重置“安全防护配置”

web应用××××安全防护:模式/安全防护、安全防护标准对策/一切正常
故意IP惩罚:打开
CC安全防护:模式/一切正常
精确密钥管理:打开

先重置安全防护，简单配置并开启相关安全防护项，中后期逐步优化。

c、复制配置好的waf网站域名，如下图:

先复制waf的网站域名，再配置cdn。然后大家就坚持下去，拿下最后的CDN。

4.CDN CDN配置构思

添加网站域名>:基本配置>:其他选项配置

配置CDN

a与网站域名一起提出申请“加速全站网站域名”的CDN新商品，如下图:

说明加速全站的商品是动态加速和静态数据加速[/s2]的结合，这种一站式产品解决了网页动态和静态数据资源掺杂、交叉等多种因素造成的响应慢、丢包率和服务项不稳定等问题，提升了全站特色和客户体验。

b、基本配置，如下图:

加速网站域名:test.ganbing.com，输入申请网站的域名。
源站信息内容:选择“源站网站域名”，粘贴刚刚复制的waf网站域名。
端口号:端口80

c、后台配置、选项配置，可以根据业务流程需求进行配置。这里笔者开启了“静态数据协议随源添加”，如下图:

说明开启“静态数据协议随源添加”功能后，后台应用协议与移动客户端浏览资源的协议一致。即如果手机客户端使用HTTPS方法请求资源，当连接点没有缓存资源时，会使用同样的HTTPS方法返回源获取资源；同样，手机客户端使用HTTP方法请求资源，连接点用HTTP方法返回源。

d，动态和静态数据加速标准，也是作者在这里开的。这是一个可选项，可以根据自身业务流程的要求进行应用，如下图:

显示
Open:可以设置静态数据资源的加速标准，边缘缓存文件应用于静态数据内容。

e，https配置。如果大家的企业都用https，那肯定是要配置的。如果没有https，则不需要配置，如下图:

如果业务流程需要httt强制https，必须更改强制自动跳转的配置，如下图:

f、另外还可以开启智能缩小和页面优化的功能，这也是选项配置，如下图:

页面优化:去除HTML网页、Javascript和CSS中嵌入的注释及其重复的空白色字符等网页剩余内容。
智能缩减:[/s2/]缩减静态数据文件的属性，合理缩减客户传输内容的大小。

拷贝CDN详细地址

在网站域名上复制CDN的详细CNAME地址，以备后期分析，如下图:

好了，cdn也配置好了。最后可以把域名解析成cdn。

检测认证

进入ganbing.com域名，配置cname分析，如下图:

解析域名后，在电脑浏览器中进行认证。

当整个过程走到尽头，一套配置成容纳百万客户的架构，肯定是稳定的，安全的，稳定的，可靠的。我们开始吧，朋友们。

汇总

1.整个配置过程中最重要的是顺序和构思不必混乱。最好是画个稿子，从哪里开始，从哪里结束。
2。当每一层都配置好了，就可以分析当时认证的网站域名了。例如，如果你配置好SLB，那么你可以分析SLB的IP到网站域名进行认证。明确没有问题后，再配置下一层。
3。明确HTTP和HTTPS的要求。有没有给企业的网站域名买CA的资格证书？如果有，是所有业务流程都与HTTP和HTTPS共享资源，还是强制要求HTTP自动跳转到HTTPS？如果没有CA资质证书，那么只能使用HTTP协议。
4。配置完成后，应逐层进行监控和报警。建议从最内层(最低层)开始配置。

本章内容已告一段落。如果你喜欢我的文章内容，请点击右上角“关注”！！！