F5 LTM : one-arm, two-arm et nPath, suivre le trafic

Une VIP reçoit le trafic d’une application. Une self IP donne une identité réseau à BIG-IP sur un VLAN. La première n’est pas la passerelle de tous les serveurs par nature ; la seconde n’est pas un Virtual Server applicatif. Un trunk agrège des interfaces, tandis qu’un VLAN identifie un réseau logique.

Dessinez séparément les réseaux client, serveur et administration. Notez pour chacun le VLAN, les interfaces, les adresses et les passerelles. Cette préparation permet de voir si une panne de lien touche le chemin client, le chemin serveur ou seulement la gestion.

En one-arm, les communications applicatives client et serveur utilisent le même côté réseau de BIG-IP. En two-arm, on distingue généralement un réseau client et un réseau serveur. Le nombre de bras ne suffit pas à décider du SNAT : c’est le chemin retour effectif qui compte.

Dans cet exemple, les serveurs conservent une passerelle externe à BIG-IP. Il faut alors vérifier comment leurs réponses rejoignent le proxy. Si les serveurs utilisent une adresse flottante de BIG-IP comme passerelle, la conservation de la source devient possible sous réserve des autres routes et règles.

Le nPath vise un retour qui contourne BIG-IP. La procédure F5 pour L2 nPath demande notamment de traiter la VIP sur les serveurs et de désactiver les traductions de destination appropriées sur le VS. Les conditions FastL4 et de fermeture relâchée dépendent de la topologie.

Ce choix change ce que BIG-IP observe. Il ne faut pas lui appliquer les attentes d’un proxy HTTP qui inspecte les deux sens. L3 nPath possède sa propre procédure : ne copiez pas les réglages L2 dans un montage IP-in-IP sans documentation correspondante.

Le trafic applicatif traité par TMM et les communications de l’interface de management relèvent de contextes de routage distincts. Une route utilisable pour accéder à l’administration ne prouve pas la joignabilité d’un membre de pool.

Auto Last Hop peut intervenir dans le choix du retour vers le dernier saut reçu. Ce mécanisme ne remplace pas l’inventaire des routes et ne corrige pas tous les retours asymétriques. Consultez sa valeur sur le VS plutôt que de l’inférer du seul routage.

1. Décrire les adresses observées avant et après BIG-IP.
2. Vérifier l’éligibilité du VS sur le VLAN d’entrée.
3. Identifier la route vers le membre et sa passerelle de retour.
4. Inclure les route domains et le SNAT dans le schéma.
5. Comparer les captures de chaque côté, sans supposer que les adresses ou les ports restent identiques.

Auto Last Hop mémorise la MAC source de la connexion entrante et peut renvoyer le trafic vers ce dernier saut même si la table de routage désigne un autre chemin. Cette fonction explique pourquoi un retour côté client peut fonctionner sans la route que vous pensiez nécessaire. Elle ne fournit pas la route aller vers le pool member et ne remplace pas le retour du backend vers BIG-IP.

Relevez le réglage effectif du VS et les éventuelles valeurs héritées. Comparez MAC et VLAN d’entrée, route prévue et sortie observée. Avec plusieurs équipements réseau voisins, une modification de ce réglage peut changer le chemin retour et l’état des pare-feu traversés.

Exercice : un client distant arrive par le pare-feu A alors que la route par défaut pointe vers B. Expliquez séparément le dernier saut mémorisé, la route vers le backend et le retour du backend. Ne désactivez pas Auto Last Hop pour « rendre le routage normal » sans cette analyse.

Un frontal web qui appelle une API crée un nouveau flux dont le client est le frontal. L’affinité du navigateur vers le frontal ne définit pas automatiquement le choix de l’API. Pour chaque niveau, relevez un client, une destination publiée, un pool, un monitor, la terminaison TLS et le chemin retour.

Si le premier BIG-IP termine TLS et fait du SNAT, l’API peut voir une source BIG-IP ou un en-tête transmis plutôt que l’adresse originale. Un en-tête X-Forwarded-For doit être traité dans une chaîne de confiance maîtrisée ; il n’est pas une adresse de retour réseau.

Pour un parcours panier → commande → paiement, distinguez persistance du frontal et gestion de l’état dans les services. Une bascule sur l’un des niveaux peut conserver les autres connexions tout en rompant le parcours métier. La recette doit suivre l’opération complète et les dépendances de chaque niveau.