Настроить балансировку нагрузки по протоколу HTTP для серверов за межсетевым экраном FortiGate

Последнее изменение: 27 августа 2026Открыть в Markdown

к сведению

Это инструкция с примером настройки балансировки HTTP-трафика между серверами за межсетевым экраном.

к сведению

Инструкция актуальна для версий FortiOS 6.x и 7.x. Если у вас другая версия FortiOS, вы можете найти инструкции в официальной документации FortiGate.

1. Если вы еще не связали FortiGate с серверами, свяжите межсетевой экран FortiGate с серверами в инфраструктуре Selectel.
2. Создайте проверку доступности.
3. Создайте виртуальный сервер.
4. Создайте политику безопасности.
5. Проверьте работу балансировки.

1. Связать межсетевой экран FortiGate с серверами в инфраструктуре Selectel

Используйте инструкцию Связать продукты и услуги через глобальный роутер.

2. Создать проверку доступности

Проверка доступности (Health Check) определяет работоспособность сервера за межсетевым экраном по настроенным параметрам. Если сервер за межсетевым экраном перестает отвечать, FortiGate перенаправит запросы на доступные серверы.

Графический интерфейс

1. Подключитесь к межсетевому экрану.
2. Убедитесь, что в разделе System → Feature Visibility включен тумблер Load Balance. Если тумблер выключен, разделы с настройками балансировки не будут отображаться.
3. Перейдите в раздел Policy & Objects → Health Check.
4. Нажмите Create New.
5. В поле Name введите имя проверки доступности.
6. В поле Type выберите протокол проверки доступности HTTP.
7. В поле Interval введите частоту проверок сервера за межсетевым экраном в секундах или оставьте значение по умолчанию.
8. В поле Timeout введите максимальное время ожидания ответа от сервера за межсетевым экраном в секундах или оставьте значение по умолчанию.
9. В поле Retry введите количество неудачных проверок доступности, после которых сервер за межсетевым экраном будет исключен из балансировки, или оставьте значение по умолчанию.
10. В поле Port введите порт для проверки доступности сервера за межсетевым экраном. По умолчанию это порт 80.
11. В поле URL введите путь к файлу на сервере за межсетевым экраном, куда FortiGate будет отправлять GET-запрос для проверки доступности сервера за межсетевым экраном. Например, /health.html.
12. В поле Matched content введите текст, который FortiGate будет искать в теле ответа на GET-запрос. Например, OK.
13. Нажмите OK.

CLI

1. Подключитесь к межсетевому экрану.

2. Создайте проверку доступности:

   config firewall ldb-monitor
       edit <health_check_name>
           set type http
           set port <health_check_port>
           set http-get "<url>"
           set http-match "<text>"
           set interval <interval>
           set timeout <timeout>
           set retry <retry>
       next
   end

   Укажите:

   • <health_check_name> — имя проверки доступности;
   • <health_check_port> — порт для проверки доступности сервера за межсетевым экраном. По умолчанию это порт 80;
   • <url> — путь к файлу на сервере за межсетевым экраном, куда FortiGate будет отправлять GET-запрос для проверки доступности сервера за межсетевым экраном. Например, /health.html;
   • <text> — текст, который FortiGate будет искать в теле ответа на GET-запрос. Например, OK;
   • <interval> — частота проверок сервера за межсетевым экраном в секундах;
   • <timeout> — максимальное время ожидания ответа от сервера за межсетевым экраном в секундах;
   • <retry> — количество неудачных проверок доступности, после которых сервер за межсетевым экраном будет исключен из балансировки.

3. Создать виртуальный сервер

Виртуальный сервер (Virtual Server) принимает входящий трафик и перенаправляет его на реальные серверы (Real Server) — IP-адрес и порт сервера за межсетевым экраном. Вы можете добавить несколько реальных серверов, чтобы FortiGate автоматически распределял нагрузку между ними.

Графический интерфейс

1. Подключитесь к межсетевому экрану.

2. Перейдите в раздел Policy & Objects → Virtual Servers.

3. Нажмите Create New.

4. В поле Name введите имя виртуального сервера.

5. В поле Type выберите протокол HTTP.

6. В поле Interface выберите, через какой интерфейс межсетевого экрана будут поступать запросы на виртуальный сервер:

   • чтобы запросы поступали только через один интерфейс, выберите этот интерфейс. Например, wan1;
   • чтобы запросы поступали через все интерфейсы, выберите any.

7. В поле Virtual Server IP введите публичный IP-адрес межсетевого экрана, который вы получили в тикете после заказа межсетевого экрана.

8. В поле Virtual Server Port введите порт на межсетевом экране, на который будут поступать входящие запросы.

9. В поле Load Balancing Method выберите метод балансировки нагрузки.

10. Опционально: чтобы все запросы одного пользователя в рамках сессии обрабатывались одним сервером за межсетевым экраном, в поле Persistence выберите HTTP Cookie. Подробнее о сохранении сессии в подразделе Сохранение сессии инструкции Протоколы и методы балансировки нагрузки.

11. В поле Health Check выберите проверку доступности, которую вы создали на этапе 2.

12. Опционально: чтобы использовать одно TCP-соединение с сервером за межсетевым экраном при обработке нескольких HTTP-запросов, включите тумблер HTTP Multiplexing.

13. Опционально: чтобы сохранять IP-адрес пользователя в HTTP-заголовке X-Forwarded-For, включите тумблер Preserve Client IP.

14. В блоке Real Servers нажмите Create New.

15. В поле IP Address введите приватный IP-адрес сервера за межсетевым экраном.

16. В поле Port введите порт сервера за межсетевым экраном, на который будут перенаправляться запросы. По умолчанию это порт 80.

17. Нажмите OK.

18. Повторите шаги 14–17 для каждого сервера за межсетевым экраном, который нужно добавить в балансировку.

19. Нажмите OK.

CLI

1. Подключитесь к межсетевому экрану.

2. Создайте Virtual Server:

   config firewall vip
      edit "<virtual_server_name>"
         set type server-load-balance
         set ldb-method <load_balancing_method>
         set extip <public_ip_address>
         set extintf "<eth_name>"
         set server-type http
         set extport <public_port>
         set monitor "<health_check_name>"
         config realservers
            edit 1
               set ip <real_server_ip_1>
               set port <real_server_port_1>
            next
            edit 2
               set ip <real_server_ip_2>
               set port <real_server_port_2>
            next
         end
      next
   end

   Укажите:

   • <virtual_server_name> — имя виртуального сервера;

   • <load_balancing_method> — метод балансировки нагрузки:

     • static — Static;
     • round-robin — Round Robin;
     • weighted — Weighted;
     • least-session — Least Session;
     • least-rtt — Least RTT;
     • first-alive — First Alive;
     • http-host — HTTP Host;

   • <public_ip_address> — публичный IP-адрес межсетевого экрана, который вы получили в тикете после заказа межсетевого экрана;

   • <eth_name> — имя интерфейса межсетевого экрана, чтобы запросы поступали только через этот интерфейс. Список интерфейсов можно посмотреть с помощью команды show system interface. Чтобы запросы поступали через все интерфейсы, укажите any;

   • <public_port> — порт на межсетевом экране, на который будут поступать входящие запросы;

   • <health_check_name> — имя проверки доступности, которую вы создали на этапе 2;

   • опционально: set persistence http-cookie — включает сохранение сессии, все запросы одного пользователя в рамках сессии будут обрабатываться одним сервером за межсетевым экраном. Подробнее о сохранении сессии в подразделе Сохранение сессии инструкции Протоколы и методы балансировки нагрузки. По умолчанию функция отключена;

   • опционально: set http-multiplex enable — включает использование одного TCP-соединения с сервером за межсетевым экраном при обработке нескольких HTTP-запросов. По умолчанию функция отключена;

   • опционально: set http-ip-header enable — включает сохранение IP-адреса пользователя в HTTP-заголовке X-Forwarded-For. По умолчанию функция отключена;

   • <real_server_ip_1>, <real_server_ip_2> — приватные IP-адреса серверов за межсетевым экраном;

   • <real_server_port_1>, <real_server_port_2> — порты серверов за межсетевым экраном, на которые будут перенаправляться запросы. По умолчанию это порт 80.

   Если вам нужно добавить больше реальных серверов, укажите их в блоке кода config realservers в одной команде с новой строки. Например:

   config realservers
      edit 1
         set ip <real_server_ip_1>
         set port <real_server_port_1>
      next
      edit 2
         set ip <real_server_ip_2>
         set port <real_server_port_2>
      next
      edit 3
         set ip <real_server_ip_3>
         set port <real_server_port_3>
      next
   end

4. Создать политику безопасности

Политика безопасности определяет, какой трафик межсетевой экран будет пропускать между своими интерфейсами. Например, с помощью политики можно разрешить прохождение HTTP-трафика к виртуальному серверу. Если политики безопасности не созданы, весь трафик отбрасывается.

Графический интерфейс

FortiOS 6.x

1. Подключитесь к межсетевому экрану.
2. Перейдите в раздел Policy & Objects → IPv4 Policy.
3. Нажмите Create New.
4. В поле Name введите имя политики безопасности.
5. В поле Incoming Interface выберите публичный интерфейс межсетевого экрана.
6. В поле Outgoing Interface выберите приватный интерфейс межсетевого экрана.
7. В поле Source выберите all.
8. В поле Destination выберите виртуальный сервер, который вы создали на этапе 3.
9. В поле Schedule выберите always.
10. В поле Service выберите HTTP.
11. В поле Action выберите Accept.
12. В поле Inspection Mode выберите Proxy-based.
13. Выключите тумблер NAT. Серверы за межсетевым экраном будут получать исходные IP-адреса подключений.
14. Нажмите OK.

FortiOS 7.x

1. Подключитесь к межсетевому экрану.
2. Перейдите в раздел Policy & Objects → Firewall Policy.
3. Нажмите Create New.
4. В поле Name введите имя политики безопасности.
5. В поле Incoming Interface выберите публичный интерфейс межсетевого экрана.
6. В поле Outgoing Interface выберите приватный интерфейс межсетевого экрана.
7. В поле Source выберите all.
8. В поле Destination выберите виртуальный сервер, который вы создали на этапе 3.
9. В поле Schedule выберите always.
10. В поле Service выберите HTTP.
11. В поле Action выберите Accept.
12. В поле Inspection Mode выберите Proxy-based.
13. Выключите тумблер NAT. Серверы за межсетевым экраном будут получать исходные IP-адреса подключений.
14. Нажмите OK.

CLI

1. Подключитесь к межсетевому экрану.

2. Посмотрите занятые номера политик безопасности, для этого выведите информацию о настроенных политиках безопасности:

   show firewall policy

   В ответе появится информация о настроенных политиках безопасности. Например:

   config firewall policy
       edit 1
          set name "my_policy"
          set srcintf "lan"
          set dstintf "wan1"
          set action accept
          set srcaddr "all"
          set dstaddr "all"
          set schedule "always"
          set service "ALL"
          set nat disable
       next
   end

   Здесь 1 — номер политики безопасности.

3. Создайте политику безопасности:

    config firewall policy
        edit <policy_number>
           set name "<policy_name>"
           set inspection-mode proxy 
           set srcintf "<incoming_interface>"
           set dstintf "<outgoing_interface>"
           set srcaddr "all"
           set dstaddr "<virtual_server_name>"
           set action accept
           set schedule "always"
           set service "HTTP"
           set nat disable
        next
    end

   Укажите:

   • <policy_number> — свободный номер политики безопасности;
   • <policy_name> — имя политики безопасности;
   • <incoming_interface> — имя публичного интерфейса межсетевого экрана. Список интерфейсов можно посмотреть с помощью команды show system interface;
   • <outgoing_interface> — имя приватного интерфейса межсетевого экрана. Список интерфейсов можно посмотреть с помощью команды show system interface;
   • <virtual_server_name> — имя виртуального сервера, который вы создали на этапе 3.

5. Проверить работу балансировки

Графический интерфейс

FortiOS 6.x

1. Подключитесь к межсетевому экрану.

2. Перейдите в раздел Monitor → Load Balance Monitor.

3. В столбце Real Server напротив IP-адреса реального сервера нажмите .

4. В столбце Status проверьте состояние серверов:

   • Up — сервер активен, FortiGate направляет на него запросы;
   • Down — сервер не отвечает, FortiGate не направляет на него запросы.

FortiOS 7.x

1. Подключитесь к межсетевому экрану.

2. Перейдите в раздел Dashboard → Status.

3. Нажмите Add Widget и выберите Load Balance.

4. Нажмите Add Widget.

5. На странице с дашбордами нажмите Load Balance.

6. В столбце Real Server напротив IP-адреса реального сервера нажмите .

7. В столбце Status проверьте состояние серверов:

   • Up — сервер активен, FortiGate направляет на него запросы;
   • Down — сервер не отвечает, FortiGate не направляет на него запросы.

CLI

1. Подключитесь к межсетевому экрану.

2. Проверьте состояние реальных серверов:

   diagnose firewall vip realserver list

   В выводе появится информация о реальных серверах. Например:

   vf=0 name=http_virtual_server/3 class=4 type=1 172.20.120.122:(3080-3080), protocol=6
   total=2 alive=1 power=0 ptr=50980085
   ip=192.168.101.2-192.168.101.2/80 adm_status=0 holddown_interval=300 max_connections=0 weight=1 option=01
   alive=1 total=1 enable=00000001 alive=00000001 power=0
   src_sz=0
   id=1 status=up ks=5 us=4 events=1 bytes=28540 rtt=12
   ip=192.168.101.3-192.168.101.3/80 adm_status=1 holddown_interval=300 max_connections=0 weight=1 option=01
   alive=0 total=1 enable=00000000 alive=00000000 power=0
   src_sz=0
   id=0 status=down ks=4 us=3 events=1 bytes=21380 rtt=8

   Здесь параметр status отображает текущее состояние реального сервера:

   • status=up — сервер активен, FortiGate направляет на него запросы;
   • status=down — сервер не отвечает, FortiGate не направляет на него запросы.

3. Проверьте распределение трафика между реальными серверами:

   diagnose sniffer packet <interface_name> '<filter>' <verbose>

   Укажите:

   • <interface_name> — имя интерфейса межсетевого экрана, через который трафик поступает на серверы. Например, wan1;
   • <filter> — фильтр для вывода пакетов. Например, port 80;
   • <verbose> — уровень детализации вывода от 1 до 6. Чем больше значение, тем больше информации отображается.