上一篇从 F5 Virtual Server 向外追踪 Pool、Profile、Policy 和 iRule。到了 A10思路看起来差不多真正动手时却很容易漏东西大量生效参数挂在slb virtual-server的具体端口下面。只盯着 VIP 地址看往往会得到一份“看起来很完整”的残缺配置。同一个 VIP 的 80、443 和其他端口可能分别绑定不同的 service-group、source NAT、Persistence、HTTP 和 SSL Template。只导出一张 VIP 清单迁移一定会漏配置。一、以“VIP 端口 协议”为迁移单元A10 对象深信服 AD 目标能力迁移重点slb virtual-server port虚拟服务/VIPVIP 与端口级配置一起读取slb server业务主机核对服务器级和端口级状态slb service-group节点池成员、端口、算法、优先级和健康检查health monitor业务健康检查四层/七层请求内容和成功判据source-nat auto/poolSNAT/地址集回程、地址池容量和端口耗尽风险template persist会话保持类型、Cookie、源地址和超时client-ssl/server-sslSSL 卸载/加密策略证书链、SNI、TLS 和双向认证template http/policyHTTP/前置策略Host、URL、Header 与目标 service-groupaFleX标准策略或 iPro 重构按业务意图重建并覆盖每个分支partition租户或管理隔离地址重叠、权限和路由边界二、顺着端口绑定把依赖找全假设 A10 配置中看到slb virtual-server portal-vip 10.10.10.10 port 443 https source-nat auto service-group sg443 template persist persist-cookie template client-ssl portal-client-ssl template http portal-http不能到这里就开始在深信服 AD 上创建 HTTPS 虚拟服务。还要继续追sg443有哪些成员、端口、权重和健康检查persist-cookie是插入 Cookie 还是读取应用 Cookieportal-client-ssl绑定哪些证书、协议和密码套件portal-http是否包含 Host/URI 选路、Header 插入或连接参数source-nat auto实际使用哪个地址服务器怎样记录客户端 IP。Template 只是在配置文件里存在不代表它正在承载业务。旧设备运行久了配置里总会留下些历史对象。它们像机房角落里没人认领的线缆不能看见就拔也没必要原样搬到新机柜。先确认绑定和流量再决定去留。三、Service Group 不只是服务器列表迁移slb service-group时要记录服务协议和端口成员与权重调度算法健康检查绑定优先级或备用成员成员禁用、慢启动和连接限制节点池全部不可用时的处理。同一个slb server可能在不同 service-group 中以不同端口提供服务。不要把服务器级状态和端口级状态合并。四、Health Monitor 要恢复真实探测内容A10 Monitor 迁移到深信服 AD 时重点不是它叫 HTTP、HTTPS 还是 TCP而是实际发了什么、期待收到什么。对于 HTTP/HTTPS 检查要确认 URI、Host、方法、Header、状态码和响应关键字。对于需要认证或特殊 SNI 的后端还要把认证和 TLS 条件一起迁移。如果旧设备通过响应正文判断应用状态新设备只检查 200就可能把统一错误页当成健康响应。五、Source NAT 要计算端口容量source-nat auto迁移后经常被理解成“勾选自动 SNAT”。实际上还要看单臂环境是否依赖 SNAT 保证回程自动地址来自哪个接口是否有专用 NAT Pool峰值连接下端口是否够用后端日志怎样还原客户端地址长连接会不会长期占用地址端口。如果旧设备使用较大的 SNAT Pool新设备改成单地址自动 SNAT压测不充分时很容易在高峰出现端口不足。六、SSL Template 分客户端侧和服务器侧template client-ssl处理客户端到 A10template server-ssl处理 A10 到后端。翻译时分别核对站点证书、私钥和证书链SNI 和多域名绑定TLS 版本、密码套件是否要求客户端证书后端证书是否校验回源主机名和 CA。证书能导入不代表 TLS 行为已经一致必须通过握手和异常证书场景验证。七、HTTP Template 和 Policy 先还原选路A10 可以在 HTTP Template 或 Policy 中按 Host、URL、Header 等条件选择 service-group。迁移时整理成自然语言Host 为 portal.polarsight.com.cn 且 URI 以 /api/ 开头时 进入 api-service-group 其他请求进入 web-service-group api-service-group 全部不可用时返回维护页面。然后再在深信服 AD 上建立条件、动作、优先级和默认路径。不要只记录“配置了 URL Switching”。八、aFleX 的处理原则aFleX 与 F5 iRule 一样不能逐行翻译。先拆出触发事件、条件、动作、变量、外部依赖和异常路径。简单选池和 Header 处理可优先使用标准策略。涉及跨请求状态、动态限速、外部查询或特殊协议的逻辑单独做 PoC并为每一个分支准备测试用例。九、A10 迁移的验收重点每个 VIP 端口是否绑定正确节点池和模板没有使用的历史 Template 是否被误迁Source NAT 地址和端口容量是否满足峰值Cookie、源地址保持及故障重选是否一致Host、URI、Header 选路顺序是否一致前后端 TLS 是否符合设计aFleX 的每个逻辑分支是否有验证证据。A10 迁移最容易漏的就是端口下面那几行看似普通的模板绑定。等到每个端口的 Service Group、SNAT、Persistence、HTTP 和 SSL 都能对上心里才算真正有底。下一篇转到 NetScaler。那里的麻烦不只是谁绑定了谁还包括策略在哪里执行、先执行哪条以及命中之后到底停不停。参考资料A10 Networks ADC 配置对象示例