借助F5将一级应用工作负载迁移至AWS
简介
考虑将生产工作负载迁移或部署到公有云的企业，很可能会将Amazon Web Services（AWS）作为首选平台。目前，AWS在190个国家/地区拥有超过100万活跃客户，其中包括2,000家政府机构和5,000家教育机构。1 (https://www.f5.com/resources/white-papers/migrating-tier-1-application-workloads-to-aws-with-f5#footnote01) 据Gartner称，AWS在公有云基础设施即服务（IaaS）市场的收入（47%）2和所部署应用工作负载的份额（41.5%）2方面仍占据显著领先地位。本文分析了阻碍企业应用更广泛采用公有云的诸多因素，并说明F5应用交付服务如何在帮助加快AWS采用方面发挥关键作用。
快速部署基础设施和服务的需求
对于大多数企业而言，应用并非性能参数明确且一成不变的资源；它们必须经常适应意外的需求激增，以免影响用户体验。由于内部IT服务缺乏灵活性，且需要投资固定资产，IT组织以往通常会按峰值需求而非平均需求配置基础设施和应用资源，以应对需求波动。然而，采购和部署新的基础设施、网络及相关应用资源既复杂又耗时，还需要投入大量资本性支出。
AWS已对基础设施和软件资产进行了必要投资，从而在一定程度上解决了这一挑战，使企业无需过度配置资源即可受益于近乎无限的容量。使用AWS等公有云IaaS提供商的优势包括：企业可以快速部署新应用，按需灵活分配资源，并获得以运营支出（OpEx）取代资本支出（CapEx）模式所带来的经济效益。
企业对将应用迁移到公有云的顾虑
在考虑将应用迁移到云端时，应用安全、性能和管理控制自然是IT部门最关注的问题之一。虽然AWS提供了许多原生工具和服务来应对其中一些应用交付因素，但这些工具的功能和特性各不相同，可能无法满足应用要求。
安全
鉴于当前的威胁形势，大多数组织都将安全视为云托管应用面临的首要问题。将工作负载迁移到任何公有云基础设施时，防范复杂恶意软件以及第4至第7层的混合安全威胁至关重要，例如大流量DDoS与应用层攻击（OWASP十大风险、跨站脚本、SQL注入等）相结合的威胁。AWS采用安全责任共担模型，将安全责任分为两部分：云本身的安全和云中的安全。云本身的安全是指底层IaaS基础设施（计算、存储、物理硬件等）的安全，由AWS负责。云中的安全是指保护虚拟机监控程序层之上的所有内容（操作系统、应用、数据等），由客户负责。
一致的应用访问体验同样不可或缺。组织如何在遵循内部策略的同时，确保所有用户无论使用何种设备、身处何地，都能获得一致的访问体验？如果要求用户记住多组用户名和密码，密码疲劳可能会危及安全，并导致效率下降。大多数企业除了部署自有数据中心或私有云环境中的工作负载外，也可能会部署公有云工作负载，。因此，必须让这些用户能够在混合云环境中复制并实施一致且经过验证的安全实践和策略。
性能
用户体验和工作效率仍是重要的考量因素，两者都取决于应用在云中的性能。在某些情况下，云提供商的数据中心距离用户较远，这会增加用户与应用之间的延迟，进而影响性能。此外，通常用于应对延迟的一些方法（例如缓存、压缩和TCP优化）在AWS中不可用。
高级流量管理与可见性
大多数企业都需要在数据中心为业务关键型应用实施高级流量管理，而不仅仅是基本的负载均衡。虽然AWS通过弹性负载均衡（ELB）和应用负载均衡器（ALB）提供基本负载均衡服务，但组织还应考虑需要支持哪些HTTP/HTTPS和TCP以外的协议。基本的运行状况检查和负载均衡算法是否足够？用户通常需要处理应用数据，这就需要完整的L7应用代理功能，例如URL检查和重写。要做出精细的流量导向决策，必须能够结合上下文查看传入的客户端流量。
F5如何助力采用AWS
要解决上述问题，需要通过F5 BIG-IP解决方案这样的统一平台，提供先进且可编程的应用交付和安全服务。无论应用位于何处，该平台都能确保所有应用的安全性、性能和可用性。此外，无论是新的云应用还是现有应用，都可以在所有混合环境中以一致的方式交付和管理应用服务及其相关策略。
F5 BIG-IP Virtual Edition（VE）是虚拟BIG-IP设备，可提供与所有BIG-IP硬件一致的服务，包括应用和网络服务，涵盖智能流量管理（本地和全局）、加速与优化，以及DNS、高级应用访问和复杂的应用安全。这些服务可作为应用堆栈的一部分实现全面集成和自动配置。F5在硬件和虚拟应用交付控制器（ADC）市场均占据重要地位，目前《财富》50强企业中有48家依赖F5应用服务，因此，F5很可能已部署在相关企业中，用于为应用提供服务和保护。
F5安全服务
BIG-IP虚拟版（VE）提供全面的L4–7安全服务，可保护云应用，同时无需牺牲控制力、灵活性或可见性。这些服务可与AWS产品互为补充，并通过先进的Web应用防火墙（WAF），防范复杂的DDoS攻击、网页抓取、多层Web应用攻击、数据盗窃和泄露。F5解决方案利用智能技术和高级行为分析来识别异常流量模式，从而检测并缓解自动化僵尸网络攻击。借助F5 iRules®数据路径脚本的强大功能，F5解决方案可快速应对利用应用漏洞的攻击和零日攻击。借助F5，企业在为每个内部应用调优和配置防火墙规则及策略方面投入的工作和专业知识，可由虚拟版复用到云托管应用中。
F5的身份和访问管理架构基于对用户、设备、环境、应用和网络上下文的全面感知。这意味着，F5解决方案可为跨数据中心和云的应用访问提供身份联合和单点登录。同时，这些解决方案通过安全的上下文感知访问、防范基于Web的恶意软件和持续性威胁，以及全面的端点设备检查，帮助保障应用安全和数据完整性。
可用性和性能
BIG-IP高级本地流量管理服务支持HTTP/TCP以外的多种协议（例如HTTP 2.0、SPDY和UDP），并能深入理解应用。BIG-IP平台采用全代理架构，可全面洞察应用流量，并在此过程中解密和重新加密SSL流量。该平台还可动态跟踪服务器组中各服务器的性能水平，并提供深入的运行状况监控和连接状态管理。BIG-IP应用交付优化服务可缩短应用响应时间，尽可能降低延迟，并减少完成移动设备Web请求所需的数据往返次数。
BIG-IP DNS和全局服务器负载均衡服务可将用户定向到距离最近、能够提供良好用户体验并满足灾难恢复和故障转移策略的云数据中心。路由决策会综合考虑用户距离、地理位置、网络状况和应用可用性。该平台采用多种全局负载均衡方法，并针对每个应用和用户进行智能监控。F5还提供DNS DDoS防护、阻止访问恶意IP地址，并使用DNSSEC保护响应。此外，DNS查询和运行状况检查不按使用量计费，可避免在DNS DDoS攻击期间因合法和非法查询均被计费而产生高额费用。
满足应用性能要求的可扩展性
将应用工作负载迁移到公有云平台的一项主要优势，是能够将应用扩展到超出数据中心预置基础容量的规模。借助AWS Auto Scaling，应用可保持可用性，同时根据预定义阈值自动扩展或缩减Amazon EC2容量。BIG-IP解决方案与AWS Auto Scaling集成，可实现BIG-IP应用和安全服务的动态扩展。由于BIG-IP虚拟版（VE）可原生处理池成员的添加或移除，因此无需带外编排和配置管理。除了BIG-IP LTM的自动扩展（参见图1）之外，F5还发布了支持应用安全自动扩展的解决方案，其中BIG-IP LTM和BIG-IP ASM均部署在BIG-IP VE上。
简化并自动化部署
AWS Cloud Formation Templates（CFT）提供了一种通过脚本自动部署基础设施资源（服务器、存储、网络和计算资源）的方法。借助这些模板，可以在AWS中快速、重复地多次部署相同的BIG-IP映像和配置，从而将宝贵的工作时间投入更紧迫的业务事务。CFT由F5工程师设计并经过广泛测试，有助于消除部署或配置BIG-IP VE时的顾虑，让用户能够以F5专家般的信心预置F5虚拟设备。此外，CFT还可与Ansible、Chef和Puppet等第三方自动化工具无缝集成，从而简化BIG-IP VE的自动化和编排流程。所有F5 CFT均为开源模板，可通过GitHub免费获取，F5用户可以修改模板，使其更好地满足特定业务需求。
此外，F5进一步深化了与AWS Marketplace的集成，直接通过AWS Marketplace提供部分CFT，以便更快速、更轻松地实施。例如，可以从AWS Marketplace中选择并部署多种自动扩展解决方案（自动扩展BIG-IP LTM、自动扩展WAF等），并可在不到1小时内投入生产环境运行。F5用户无需自行配置这些复杂的解决方案，从而可节省数天甚至数周的工时。
DevCentral™社区网站提供VPC资源的配置示例，例如用于部署BIG-IP VE的子网、网络接口和路由表。这些示例还展示了如何使用CloudInit用户数据脚本，为特定的打包应用（Microsoft SharePoint、Exchange等）和自定义应用部署BIG-IP iApps®模板。F5 iApps的功能与AWS CFT类似，旨在帮助快速部署各应用所需的特定服务。iApps还可为各应用定义流量管理、加密、防火墙和性能优化等服务的配置与策略。
公有和私有环境的联合部署
通过将公有云资源与现有私有数据中心集成，组织可以按照优先级计划迁移应用工作负载，同时继续利用现有投资。BIG-IP VE、F5 iApps和AWS CFT协同工作，构建集成式云配置，以快速、透明地部署更多应用资源。这种联合云配置的主要优势包括无缝重定向应用用户、采用地理定位和加速技术，以及通过AWS Direct Connect建立安全连接。无论应用资源由私有数据中心还是公有云提供，用户体验都不受影响。组织可以根据需求、项目是新建还是现有项目，以及请求者的具体位置，透明、持续地使用私有云和公有云资源。
F5® BIG-IQ® Centralized Management为云端和本地部署的F5物理设备及虚拟设备提供集中控制点。BIG-IQ Centralized Management可简化应用管理，帮助确保合规，并提供相应工具，以一致且安全的方式管理位于任何位置的F5设备和服务。BIG-IQ Centralized Management可管理F5设备及以下F5模块的策略、许可证、SSL证书、映像和配置：
- BIG-IP® Local Traffic Manager™（LTM）
- BIG-IP® Application Security Manager™ (ASM)
- BIG-IP® Advanced Firewall Manager™ (AFM)
- BIG-IP® Access Policy Manager® (APM)
- BIG-IP DNS（仅监控）
- F5 Fraud Protection解决方案WebSafe和MobileSafe的仪表板
BIG-IQ Centralized Management以物理设备或虚拟设备的形式提供，也可直接从AWS Marketplace运行。
灵活的许可模式
BIG-IP Virtual Editions主要以Good-Better-Best捆绑包形式提供，并有三种不同的购买模式：
- 按用量计费。对于测试和开发阶段的预生产工作负载，或临时云突发和扩展用例，F5提供按小时计费的用量许可证，支持灵活的按需使用和后付费模式。所有按用量计费的产品均包含高级支持和软件升级。
- 自带许可证（BYOL）。此选项非常适合将现有BIG-IP VE许可证从私有数据中心直接迁移到AWS的混合云环境。
- 年度订阅。除永久VE许可证外，F5还提供年度订阅型BYOL VE许可证。这些许可证可用于任何受支持的混合云环境，具有更高的可移植性和灵活性。年度订阅适用于流量稳定的生产工作负载，可通过AWS Marketplace获取。
- 企业许可协议（ELA）。对于希望获得更高灵活性和敏捷性的大型企业环境，可通过ELA签订3年期协议购买多个VE，其中包括高级支持和软件升级。
此外，可免费使用BIG-IQ Centralized Management许可证管理器，统一管理所有混合环境中的BIG-IP产品许可证。
结论
过去几年，公共云服务的采用率呈指数级增长，AWS在这些服务领域始终保持市场领先地位。许多IT初创企业以及规模更大、知名度更高的企业已将业务完全部署在AWS云中，并取得了显著成效。企业在规划将应用迁移到云端时，可以使用F5 BIG-IP虚拟版本，轻松地将F5应用交付和安全服务迁移至云应用工作负载。这有助于解决企业客户对公共云安全性、性能和控制能力的诸多基本顾虑。借助AWS Marketplace中为BIG-IP解决方案提供的灵活许可模式，企业能够以较低的财务风险在AWS中规划、预部署和部署应用，并开始受益于AWS云的敏捷性和效率。
发布于2017年10月16日