Load Balance กับ Firewall

Load Balance เป็น Feature อีกหนึ่งอย่างที่อาจจะถือได้ว่าเป็น Option เสริมที่ช่วยให้องค์กรหลายๆแห่งตัดสินใจเลือกซื้ออุปกรณ์ Firewall ได้ง่ายยิ่งขึ้น

ปัจจุบัน เท่าที่ผมเองได้มีโอกาส Implement ระบบ Firewall ภายในองค์กร พบว่า Firewall โดยมากแล้วจะไม่มี Feature นี้ นั่นเพราะ Firewall ที่ทำมาส่วนใหญ่ผู้ผลิตจะเน้นไปในด้านของ Security มากกว่า และใน Firewall รุ่นใหญ่ๆก็นิยมทำเป็น Firewall ที่เป็น Firewall อย่างเดียวเท่านั้น เพราะหากรันทุก Feature สิ่งที่ตามมาคือ Appliance ช้า หรืออาจจะ Hang ไปเลยก็ได้ เดือดร้อนผู้ดูแลต้องมารีเซตให้ใหม่ หรือบางยี่ห้อฉลาดหน่อยก็อาจจะ Restart Service ได้เองเมื่อเอ๋อไประยะหนึ่ง

แต่ในองค์กรแบบ SME หรือมีต้นทุนจำกัด การใช้ Appliance ที่มีครบทุกอย่างหรือที่เรียกว่า UTM (Unified Threat Management) คือ Antivirus, Antispam, Antispyware และ Firewall ก็ดูจะเป็นทางเลือกที่ไม่เลวนัก ยิ่งมี Load Balance เข้ามาให้ใช้อีกก็ยิ่งป็นทางเลือกที่ดีสำหรับองค์กรที่มี 2 WAN

ปกติแล้วการทำ Load Balance บน Firewall ทั่วไป เราอาจจะแบ่ง Client เป็นกลุ่ม แล้วใช้ SBR หรือ PBR ในการกระจาย Traffic ไปยัง WAN Link ทั้งหมด

แต่ Firewall บางยี่ห้อ อย่างเช่น Stonegate หรือ Fortigate (บางรุ่น) นั้นอาจจะพิเศษนิดหน่อยตรงที่มี Load Balance แถมมาให้ด้วย เท่าที่ได้ลองมาก็พอไปวัดไปวาได้เหมือนกัน โดยเลือกได้ว่าจะกระจาย Traffic ในลักษณะของ Round Robin หรือ Weight ก็ได้ นับว่าคุ้มค่าทีเดียวสำหรับองค์กรที่สนใจ

ในกรณีที่มีงบประมาณมากเพียงพอ ผมแนะนำให้ใช้ Appliance ที่ทำหน้าที่อย่างใดอย่างหนึ่งไปเลยจะดีกว่า เพราะหากเปิด Feature หลายๆอย่างอาจจะทำให้ Appliance มีโอกาส Hang ไปได้เหมือนกัน

AppDirector อุปกรณ์ Load Balance แนวหน้าอีกตัวของวงการ

เอ่ยถึงอุปกณณ์ Load Balance แล้ว ผมเชื่อว่าหลายๆท่านที่ทำงานในระดับ Corporate คงจะนึกไปถึง F5 เป็นอันดับแรก เพราะยี่ห้อนี้ทำตลาดมานาน และใน Gartner Quadrant ก็อยู่ในตำแหน่งที่เรียกว่าสูงปรี๊ด นำชาวบ้านเป็นช่วงตัว

แต่ในวันนี้ผมจะขอแนะนำให้รู้จักกับ Radware AppDirector ซึ่งเป็นอุปกรณ์ประเภท Load Balance อีกตัวหนึ่ง ซึ่งแม้ว่าจะตามทาง F5 อยู่ แต่เมื่อดูในหลายๆส่วนแล้ว ตัว AppDirector เองก็สามารถทำงานออกมาให้ได้ผลลัพธ์ตามที่ต้องการได้เหมือนกันกับตัวเอ้แห่งวงการ

ในการ Manage อุปกรณ์ เราสามารถทำได้ผ่าน Web Base, CLI เหมือนอุปกรณ์ทั่วๆไป แต่ที่ถือเป็นจุดเด่นของอุปกรณ์จาก Radware คือ Insight ซึ่งเป็นซอฟท์แวร์ Manage จากทาง Radware เอง โดยเราสามารถ Manage อุปกรณ์ได้พร้อมกันทีละหลายๆตัวผ่านทาง Insight

การทำ Health Check ต่างๆ AppDirector เองก็สามารถทำได้ดี แม้ในกรณี Logic ยากๆ เช่นมี 64 Condition เราก็ยังสามารถใช้ Health Check ของ AppDirector เซตขึ้นมาได้ ในส่วนของ Method ก็มีหลากหลาย และสามารถเพิ่ม Method ใหม่ๆได้เอง เช่น กาารตรวจสอบพอร์ตเฉพาะของซอฟท์แวร์ในองค์กร

การ Backup Configuration ใน AppDirector ทำได้ค่อนข้างง่าย และตรงไปตรงมา ไฟล์ Backup ที่ได้จะเป็น Text File ซึ่งเป็น Command ที่สามารถ Copy and Paste ลงไปได้จาก CLI เลย (จุดนี้จะคล้ายกับ Juniper Firewall ที่ Backup ได้ Text File เช่นเดียวกัน)

ในการอัปเกรด Software ของอุปกรณ์ก็ทำมาได้ง่ายเช่นเดียวกัน สามารถจัดการผ่าน Web Base ได้เลย หรือจะทำผ่าน CLI ก็ได้ นอกจากนี้ยังมี Software Repository ให้เราเลือก Software Version ที่จะใช้ได้อีก

การตั้ง VIP สามารถตั้งได้โดยเลือกตามพอร์ตที่ต้องการ หรือจะใช้แบบ Any เลยก็ทำได้ (อารมณ์ประมาณ VIP, MIP ใน Juniper)

การ Redirection สามารถทำได้หลายวิธี เช่น DNS Redirection

สำหรับการ Support อันถือเป็นหัวใจอีกอย่างของผู้ใช้ระดับ Corporate ทาง Radware ก็ทำได้ดี ทั้งจากทางบุคคลากรเอง หรือการ Support จากหน้าเว็บผู้ผลิต มีการอัปเดต Hot Fix ต่างๆสม่ำเสมอ การทำ Document จัดว่าทำได้ดี และมีการปรับปรุงบ่อยพอสมควร

จากประสบการณ์ที่เคยทำมาทั้ง F5 และ AppDirector คงต้องออกตัวเลยว่าไม่ได้เชียร์ใครเป็นพิเศษ หากจะวัดกันจริงๆ คงต้องยอมรับว่าการทำงานโดยรวม F5 ค่อนข้างจะทำได้หลากหลายมากกว่า ซึ่งก็อาจจะต้องแลกมาด้วยราคาทีสูงกว่า สำหรับ AppDirector แม้จะไม่ได้มี Feature หลากหลายเท่า F5 แต่ในด้านของการใช้งานเฉพาะด้านบางอย่างแล้ว ตัว AppDirector ก็ทำได้ดีเช่นเดียวกันครับ