Catatan F5 BIG-IP (LTM & DNS)

Ringkasan Materi & Referensi Konfigurasi Local Traffic Manager dan BIG-IP DNS

Topik 1 dari 15

1Pengenalan F5 BIG-IP & Konsep ADC#

1.1Application Delivery Controller (ADC)#

Definisi

ADC: Application Delivery Controller, perangkat yang mengatur pengiriman aplikasi/service dari server ke client — bukan sekadar membagi traffic, tapi juga mengoptimasi, mengamankan, dan menjaga ketersediaannya
Load balancer: fungsi paling dasar dari ADC, yaitu membagi request client ke beberapa server supaya beban merata dan tidak ada single point of failure
F5 BIG-IP: platform ADC dari F5 yang menjalankan TMOS, dengan fitur jauh di atas load balancer biasa (SSL offload, persistence, iRules, WAF, akses remote, GSLB)
Content switching: kemampuan ADC mengarahkan client ke pool server yang berbeda berdasarkan isi request — misalnya user Android diarahkan ke pool web server Android dan user iOS ke pool iOS, berdasarkan header User-Agent

Catatan

Availability: BIG-IP terus memantau kesehatan server lewat health monitor, dan otomatis berhenti mengirim traffic ke server yang mati sebelum client sempat merasakan error
Scalability: menambah kapasitas layanan cukup dengan menambah pool member baru, tanpa mengubah alamat yang diakses client (virtual server tetap sama)

Kenapa ADC lebih dari sekadar load balancer

Fungsi ADC	Manfaat di BIG-IP
Load balancing	Membagi koneksi ke banyak server dengan metode static/dynamic
Health monitoring	Menandai server yang gagal merespons dan mengeluarkannya dari rotasi
SSL offload	Proses enkripsi/dekripsi TLS dipindah dari server ke BIG-IP, server jadi ringan
Persistence	Menjaga satu client tetap ke server yang sama selama sesi berjalan
Caching & compression	Mengurangi beban server dan mempercepat respons ke client
Traffic steering (iRules/policy)	Mengarahkan request ke pool berbeda berdasarkan URI, header, atau IP sumber
Security	SNAT/topology hiding, packet filter, dan modul tambahan seperti ASM & AFM

1.2TMOS & Modul-Modul BIG-IP#

Definisi

TMOS: Traffic Management Operating System, sistem operasi BIG-IP yang menangani seluruh traffic — semua modul berjalan di atasnya dan berbagi resource yang sama
TMM: Traffic Management Microkernel, proses inti TMOS yang benar-benar memproses paket data plane (bukan kernel Linux-nya), sehingga performanya tinggi dan deterministik
Provisioning: proses mengaktifkan modul dan mengalokasikan CPU/memori untuk modul tersebut — modul yang tidak di-provision tidak muncul menunya, dan lisensi tetap harus mengizinkan modul itu
Partition: pembagian administratif objek konfigurasi (default /Common) supaya beberapa tim/tenant bisa memakai satu BIG-IP tanpa saling mengganggu

Lima modul BIG-IP yang berjalan di atas TMOS

Modul	Nama Lengkap	Fungsi Utama
LTM	BIG-IP Local Traffic Manager	Load balancing lokal: pool, virtual server, profile, iRules, SSL offload
DNS	BIG-IP DNS (dulu bernama GTM)	GSLB — mengarahkan user ke data center terbaik lewat jawaban DNS
ASM	BIG-IP Application Security Manager	Web Application Firewall: proteksi OWASP Top 10, bot defense, L7 DoS
APM	BIG-IP Access Policy Manager	Kontrol akses, SSL VPN, SSO, dan integrasi MFA/identity provider
AFM	BIG-IP Advanced Firewall Manager	Network firewall L3/L4 stateful, DDoS protection, IP intelligence

Penting

Menambah modul tidak menambah kapasitas hardware. Provisioning LTM + ASM + APM sekaligus di satu BIG-IP VE kecil akan saling berebut CPU/RAM — cek dulu resource yang dibutuhkan tiap modul sebelum di-provision di lab maupun produksi.

1.3Full Proxy vs Packet Forwarding#

Definisi

Full proxy: BIG-IP memutus koneksi jadi dua — koneksi client ke BIG-IP, dan koneksi terpisah BIG-IP ke server — sehingga BIG-IP bisa membaca, mengubah, dan mengoptimasi traffic di kedua sisi secara independen
Packet-based forwarding: perangkat hanya meneruskan paket apa adanya (seperti router), tidak punya visibilitas penuh ke sesi aplikasi

Catatan

Konsekuensi full proxy: BIG-IP bisa melakukan SSL offload, HTTP header rewrite, OneConnect, caching, dan iRules di layer 7 — hal yang mustahil kalau paket cuma diteruskan
Dua sisi TCP: parameter TCP client-side dan server-side bisa berbeda (misal window size besar ke server di LAN, dan profil TCP mobile-friendly ke client di internet)

1.4Bentuk Platform BIG-IP#

Pilihan platform BIG-IP

Bentuk	Keterangan	Cocok Untuk
Hardware (iSeries/rSeries)	Appliance fisik dengan hardware SSL/FPGA offload	Data center produksi dengan throughput tinggi
BIG-IP VE (Virtual Edition)	Image virtual (VMware, Hyper-V, KVM) dengan lisensi berbasis throughput	Lab, cloud privat, dan produksi skala menengah
vCMP	Hypervisor F5 yang membelah satu appliance jadi beberapa guest BIG-IP terisolasi	Multi-tenant di satu perangkat fisik
Cloud marketplace	BIG-IP VE di AWS/Azure/GCP dengan model BYOL atau hourly	Aplikasi yang sudah pindah ke cloud publik
BIG-IP Next	Generasi baru berbasis Kubernetes dengan Central Manager	Deployment modern yang API-first

Topik 2 dari 15

2Persiapan Lab & Base Configuration#

2.1Topologi & Setting Jaringan VMware#

Catatan

Tujuan lab: mensimulasikan client di jaringan external, BIG-IP sebagai gateway layanan, dan beberapa web server di jaringan internal, semuanya di satu laptop lewat VMware/VirtualBox
Interface BIG-IP VE: NIC pertama selalu dipakai untuk management (mgmt), NIC berikutnya menjadi interface data plane 1.1, 1.2, 1.3 dan seterusnya
Urutan NIC penting: kalau urutan adapter di VMware tertukar, VLAN yang dibuat akan menempel di segmen yang salah — cocokkan dulu daftar adapter dengan interface di menu Network >> Interfaces

Pemetaan adapter untuk lab BIG-IP VE

Interface	Segmen VMware	Peran
mgmt	VMnet host-only	Akses GUI/SSH administrator, tidak melewatkan traffic aplikasi
1.1	VMnet external	VLAN external — tempat virtual server diakses client
1.2	VMnet internal	VLAN internal — arah pool member / web server
1.3	VMnet HA	VLAN HA — config sync & failover ke BIG-IP kedua

Penting

Management interface benar-benar terpisah dari data plane. Traffic aplikasi tidak boleh lewat mgmt, dan sebaliknya route default yang dipakai virtual server bukan management route. Salah menaruh gateway di management route adalah penyebab klasik virtual server tidak bisa keluar ke internet.

2.2Akses Awal & Default Credential#

Kredensial bawaan BIG-IP VE

Akses	Username	Password Default
CLI (console/SSH)	root	default
GUI (Configuration Utility)	admin	admin

Definisi

Configuration Utility: nama resmi GUI BIG-IP, diakses lewat https://<ip-management> dengan user admin

Catatan

Console vs SSH: konfigurasi IP management pertama kali dilakukan lewat console VM, karena SSH belum bisa dipakai sebelum alamat management terpasang
Ganti password: password default wajib diganti begitu perangkat bisa diakses — di versi baru BIG-IP bahkan memaksa penggantian password saat login pertama

Konfigurasi awal lewat CLI

bash — root@bigip1

config

# Membuka utilitas teks untuk mengatur IP management, netmask, dan default route management

tmsh modify sys global-settings mgmt-dhcp disabled

# Mematikan DHCP di management supaya alamatnya tetap

tmsh list sys management-ip

# Memastikan alamat management sudah terpasang

tmsh modify auth user admin password <password-baru>

# Mengganti password admin dari CLI

tmsh — root@bigip1

save sys config

# Menyimpan konfigurasi supaya tidak hilang saat reboot

Penting

Saat ditanya default route di utilitas config, isi hanya jika management memang perlu keluar jaringan. Untuk lab, jawab "no" — routing untuk traffic aplikasi diatur terpisah di Network >> Routes.

2.3Licensing, Provisioning & Platform Setting#

Definisi

Dossier: berkas identitas unik hasil generate BIG-IP yang berisi informasi hardware/VE, dipakai untuk menukar registration key menjadi lisensi
Registration key: kode lisensi dari F5 yang menentukan modul apa saja dan throughput berapa yang boleh diaktifkan
Service check date: tanggal kontrak support di lisensi; software yang dirilis setelah tanggal itu tidak bisa diaktifkan meski lisensinya masih valid
Platform setting: menu System >> Platform untuk mengatur hostname, time zone, kebijakan password, serta port dan protokol akses management — bisa diubah kapan saja tanpa menjalankan wizard apa pun

Catatan

Aktivasi automatic: BIG-IP menghubungi server lisensi F5 langsung (butuh internet dari management)
Aktivasi manual: dossier di-copy ke activate.f5.com lewat browser lain, lalu hasil lisensinya di-paste balik — cara ini dipakai di lab tanpa internet

Alur lisensi & provisioning

System › License › Activate

Memulai proses lisensi dan memasukkan registration key

Manual › Copy dossier

Menyalin dossier untuk ditukar di portal aktivasi F5

activate.f5.com › Paste dossier

Menghasilkan license key dari portal F5

Paste license › Next

Menempelkan lisensi ke BIG-IP; sistem restart layanan sebentar

System › Resource Provisioning

Mengaktifkan modul yang dipakai (mis. LTM Nominal, DNS Nominal)

System › Platform

Mengatur hostname, time zone, dan kebijakan password/SSH management

Penting

Setelah lisensi masuk dan modul di-provision, BIG-IP me-restart daemon konfigurasi. GUI sempat tidak bisa diakses satu-dua menit — itu normal, jangan langsung reboot paksa.

Topik 3 dari 15

3Konfigurasi Jaringan Dasar (VLAN, Self IP & Route)#

3.1Interface & VLAN#

Definisi

VLAN di BIG-IP: objek layer 2 yang mengikat satu atau beberapa interface; semua objek layer 3 (self IP, virtual server) selalu menempel pada VLAN
Untagged: satu interface dipakai untuk satu VLAN saja — dipakai di lab dan pada koneksi ke akses port switch
Tagged: satu interface membawa banyak VLAN dengan tag 802.1Q — dipakai kalau port fisik terbatas atau BIG-IP tersambung ke trunk switch
Trunk (BIG-IP): istilah F5 untuk link aggregation (LACP) beberapa interface fisik jadi satu link logis — beda arti dengan trunk di Cisco
VLAN group: menggabungkan dua VLAN supaya BIG-IP bertindak seperti bridge di layer 2, biasanya untuk deployment tanpa mengubah IP existing

Membuat VLAN

Network › VLANs › VLAN List › Create

Membuat VLAN baru, satu per satu (external, internal, HA)

Isi Name, Tag (opsional)

Tag hanya diisi kalau memakai 802.1Q tagging

Resources › Interfaces › pilih interface › Untagged › Add

Menempelkan interface fisik ke VLAN

Network › VLANs › VLAN List

Memastikan tiap VLAN sudah punya interface yang benar

3.2Self IP: Static & Floating#

Definisi

Self IP: alamat IP milik BIG-IP di sebuah VLAN — dipakai sebagai sumber health monitor, sebagai gateway bagi server, dan sebagai alamat SNAT automap
Static self IP: alamat unik milik satu unit BIG-IP, tidak berpindah saat failover
Floating self IP: alamat bersama yang mengikuti unit Active — inilah yang dipakai sebagai default gateway server dalam pasangan HA, supaya tetap hidup setelah failover
Port lockdown: kontrol port apa saja yang boleh diakses ke self IP itu sendiri — Allow None (paling aman, default untuk self IP data), Allow Default (protokol layanan tertentu), atau Allow Custom
Traffic group: floating self IP selalu diikat ke traffic group (default traffic-group-1) yang menentukan unit mana yang memilikinya saat itu

Membuat self IP

Network › Self IPs › Create

Membuat self IP untuk tiap VLAN

Isi Name, IP Address, Netmask, VLAN

Menentukan alamat BIG-IP pada VLAN tersebut

Traffic Group: traffic-group-local-only

Untuk self IP statis milik unit itu sendiri

Traffic Group: traffic-group-1 (floating)

Untuk self IP floating yang berpindah saat failover

Port Lockdown: Allow None / Allow Custom

Membatasi akses ke self IP; buka 22 & 443 hanya bila perlu remote management

Penting

Health monitor keluar dari self IP di VLAN yang menuju pool member. Kalau self IP internal salah subnet atau port lockdown terlalu ketat untuk monitor tertentu, semua pool member akan terlihat merah walaupun servernya sehat.

3.3Routing#

Definisi

Default route data plane: route 0.0.0.0/0 ke gateway di VLAN external — dipakai oleh traffic aplikasi, terpisah dari management route
Static route: route ke subnet tertentu lewat gateway tertentu, dipakai kalau ada beberapa subnet server di belakang router internal
Management route: route khusus untuk interface mgmt, tidak pernah dipakai TMM untuk traffic aplikasi

Catatan

Gateway pool: alih-alih satu alamat gateway, route bisa diarahkan ke pool berisi beberapa gateway supaya jalur keluar ikut dimonitor dan punya cadangan

Membuat default route

Network › Routes › Add

Menambahkan route baru untuk traffic aplikasi

Destination 0.0.0.0, Netmask 0.0.0.0

Membuat default route

Resource: Use Gateway › isi alamat gateway external

Menentukan next hop ke arah client/internet

Network › Routes

Memastikan route sudah terdaftar dan VLAN-nya benar

3.4Dukungan IPv6#

Definisi

IPv6 di BIG-IP: didukung native dan cara konfigurasinya sama persis dengan IPv4 — yang berubah hanya format alamatnya
Self IP IPv6: self IP dengan alamat IPv6 beserta prefix-nya (mis. /64) yang dipasang di VLAN yang sama seperti self IP IPv4
Default route IPv6: route ::/0 yang diarahkan ke gateway IPv6 di VLAN external, terpisah dari default route IPv4

Catatan

Dual-stack: satu VLAN boleh punya self IP IPv4 dan IPv6 sekaligus, sehingga BIG-IP melayani client dari kedua jenis alamat
Virtual server IPv6: setelah self IP dan route IPv6 siap, virtual server tinggal dibuat dengan destination beralamat IPv6

Self IP dan default route IPv6

Network › Self IPs › Create

Membuat self IP dengan alamat IPv6 di VLAN yang dibutuhkan

IP Address: 2001:db8::1, Netmask: /64, VLAN: external

Mengisi alamat IPv6 beserta prefix dan VLAN-nya

Network › Routes › Add

Menambahkan default route untuk IPv6

Destination ::/0, Resource: Use Gateway (alamat IPv6 gateway)

Menentukan next hop IPv6

Local Traffic › Virtual Servers › Create (destination IPv6)

Membuat virtual server yang diakses client lewat alamat IPv6

Topik 4 dari 15

4Node, Pool, Pool Member & Health Monitor#

4.1Terminologi Dasar#

Definisi

Node: alamat IP server fisik/virtual di belakang BIG-IP, tanpa nomor port
Pool member: kombinasi node + service port, misalnya 10.10.10.11:80 — satu node bisa jadi beberapa pool member dengan port berbeda
Pool: kumpulan pool member yang melayani satu layanan, lengkap dengan metode load balancing dan health monitor-nya
Virtual server: alamat IP + port yang diakses client, yang kemudian meneruskan traffic ke pool

Catatan

Hubungan objek: client mengakses virtual server, virtual server memilih pool, pool memilih pool member berdasarkan metode load balancing dan status monitor

Rantai objek dari node sampai virtual server

Objek	Contoh	Status Dipengaruhi Oleh
Node	10.10.10.11	Monitor level node (mis. icmp/gateway_icmp)
Pool member	10.10.10.11:80	Monitor level pool (mis. http) dan status node-nya
Pool	pool_web_http	Jumlah member yang up dan aturan availability-nya
Virtual server	10.10.20.100:80	Status pool yang dipakainya

4.2Membuat Node & Pool#

Alur GUI membuat node dan pool

Local Traffic › Nodes › Node List › Create

Membuat node satu per satu berdasarkan IP server

Isi Name & Address, pilih Health Monitor

Monitor level node biasanya icmp untuk cek server hidup

Local Traffic › Pools › Pool List › Create

Membuat pool untuk satu layanan

Health Monitors: pilih http/https/tcp

Menentukan cara BIG-IP menguji kesehatan layanan

Load Balancing Method

Menentukan cara member dipilih (default Round Robin)

New Members › Address + Service Port › Add

Menambahkan pool member; node yang belum ada akan otomatis dibuat

Local Traffic › Pools › Pool List › Members

Memastikan seluruh member berstatus hijau

Objek yang sama lewat tmsh

bash — root@bigip1

tmsh create ltm node node_web1 address 10.10.10.11

# Membuat node dari CLI

tmsh create ltm pool pool_web_http members add { 10.10.10.11:80 10.10.10.12:80 } monitor http

# Membuat pool sekaligus member dan monitornya

tmsh modify ltm pool pool_web_http load-balancing-mode least-connections-member

# Mengubah metode load balancing

tmsh show ltm pool pool_web_http

# Melihat status pool dan tiap member

tmsh — root@bigip1

save sys config

# Menyimpan perubahan

4.3Health Monitor#

Definisi

Health monitor: pengujian berkala dari BIG-IP ke node/pool member untuk menentukan apakah resource itu layak menerima traffic
Address check: monitor yang hanya menguji alamat (icmp, gateway_icmp) — cocok di level node
Service check: monitor yang menguji layanan di port tertentu (tcp, http, https) — dipasang di level pool
Content check: monitor http/https dengan send string dan receive string, sehingga server dianggap sehat hanya bila isi responsnya benar (bukan sekadar port terbuka)
Interval: jarak antar pengujian, default 5 detik
Timeout: batas waktu sebelum resource dinyatakan down, aturan umumnya (3 × interval) + 1 detik

Catatan

Monitor kustom: selalu dibuat dengan cara meng-copy monitor bawaan (misal http) lalu diubah, karena monitor bawaan tidak bisa diedit langsung

Jenis monitor yang sering dipakai

Monitor	Menguji	Catatan
icmp / gateway_icmp	Balasan ping ke alamat node	Paling ringan, tidak membuktikan layanan hidup
tcp	3-way handshake ke port layanan	Membuktikan port terbuka, bukan aplikasinya benar
tcp_half_open	SYN lalu RST tanpa menyelesaikan handshake	Lebih ringan untuk server dengan koneksi padat
http / https	Request HTTP dengan send/receive string	Paling akurat untuk web, bisa cek isi halaman & status code
external	Script buatan sendiri	Untuk aplikasi yang tidak tercakup monitor bawaan
inband	Perilaku traffic asli (bukan probe terpisah)	Menandai member down setelah sejumlah kegagalan nyata

📄monitor http kustom

Send String: GET /health.html HTTP/1.1\r\nHost: app.local\r\nConnection: close\r\n\r\n

→ Halaman khusus health check, bukan halaman utama yang berat

Receive String: ^HTTP/1.1 200

→ Server sehat hanya bila mengembalikan status 200

Receive Disable String: MAINTENANCE

→ Member ditandai disabled (bukan down) saat aplikasi masuk mode maintenance

Interval: 5 Timeout: 16

→ Mengikuti aturan (3 × interval) + 1

Penting

Pool member yang tidak punya monitor sama sekali akan berstatus biru (unknown) dan tetap dikirimi traffic. Ini berbahaya: BIG-IP menganggap server hidup tanpa pernah memverifikasinya.

4.4Status Indicator (Level, Bentuk & Warna)#

Definisi

Tiga level objek: ikon status muncul di level virtual server, pool, dan pool member — ketiganya memakai simbol yang sama, tapi sumber statusnya berbeda
Status pool member: satu-satunya level yang diukur langsung — hasil health monitor di member (dan status node-nya) digabung dengan status administratif member itu
Status pool: diturunkan dari member-nya: hijau bila minimal satu member available, merah bila seluruh member down, kuning bila member yang tersisa sedang tidak menerima koneksi baru (mis. kena connection limit), biru bila member-nya tidak punya monitor sama sekali
Status virtual server: diturunkan dari pool yang dipakainya: hijau bila pool available, merah bila pool offline, kuning bila sedang kena batas koneksi, dan biru bila status pool tidak diketahui atau virtual server memang tidak punya pool (mis. forwarding virtual server)
Node: induk dari pool member — status node ditentukan monitor level node, dan men-disable node membuat seluruh pool member yang memakainya berubah abu-abu
Bentuk ikon: menunjukkan hasil health monitor terhadap objek — lingkaran, wajik, kotak, atau segitiga
Warna ikon: menunjukkan status administratif objek — berwarna berarti enabled, hitam berarti di-disable manual oleh admin, abu-abu berarti di-disable oleh objek induknya
Disabled by parent: objek yang dimatikan bukan oleh dirinya sendiri, melainkan karena objek induk/terkaitnya di-disable — mis. pool member jadi abu-abu karena node-nya di-disable, atau virtual server jadi abu-abu karena virtual address-nya di-disable

Catatan

Dua dimensi terpisah: satu ikon selalu menggabungkan keduanya, jadi "wajik abu-abu" berarti monitor-nya gagal DAN objek induknya sedang disabled — bukan status tersendiri
Abu-abu ada di semua bentuk: lingkaran, kotak, segitiga, maupun wajik. Bentuknya tetap mengikuti hasil monitor terakhir; yang berubah cuma warnanya, sebagai tanda penyebabnya ada di objek lain

Sumber status di tiap level objek

Level	Status Ditentukan Oleh	Aturan Ringkas
Node	Monitor level node (mis. icmp) + status admin node	Node down membuat seluruh pool member yang memakai alamat itu ikut down; node di-disable membuat member-nya abu-abu
Pool member	Monitor level pool + status node + status admin member	Satu-satunya level yang benar-benar diuji; di sinilah troubleshooting dimulai
Pool	Gabungan status seluruh member-nya	Hijau bila ada minimal satu member available; merah bila semua member down; biru bila member tidak punya monitor
Virtual server	Status pool yang dipakainya + status admin virtual server	Ikut merah bila pool-nya offline; biru bila tidak punya pool atau status pool tidak diketahui

Level virtual server — status ikut pool + status admin virtual server

Ikon	Status	Arti & Penyebab
	Available (Enabled)	Pool-nya punya minimal satu member available — virtual server melayani koneksi normal
	Offline (Enabled)	Seluruh member pool-nya down; koneksi client diterima lalu langsung di-reset
	Unknown (Enabled)	Tidak punya default pool (mis. forwarding virtual server) atau member pool-nya tidak punya monitor
	Temporarily Unavailable	Batas koneksi virtual server tercapai, atau pool-nya sementara tidak menerima koneksi baru
	Available (Disabled)	Di-disable admin padahal pool-nya sehat — koneksi baru langsung di-reset tanpa menambah statistik
	Offline (Disabled)	Di-disable admin saat pool-nya juga sedang down
	Available (Disabled by parent)	Virtual address-nya di-disable, atau seluruh pool member di-session-disable, walau layanannya sendiri sehat
	Offline (Disabled by parent)	Virtual address disabled dan pool-nya juga sedang down

Level pool — tidak punya monitor & tombol disable sendiri, statusnya murni turunan dari member

Ikon	Status	Arti & Penyebab
	Available	Minimal satu member berstatus available
	Offline	Seluruh member down karena monitor gagal
	Unknown	Member-nya tidak punya monitor sama sekali, jadi kesehatannya tidak pernah diuji
	Temporarily Unavailable	Member yang tersisa sedang kena connection limit; bisa pulih tanpa campur tangan admin
	Available (Disabled by parent)	Seluruh member sehat tapi di-disable admin, sehingga pool ikut dianggap dimatikan dari atas
	Offline (Disabled by parent)	Seluruh member down dan yang terakhir ditandai down adalah member yang di-disable admin

Level pool member — satu-satunya level yang diukur langsung oleh monitor

Ikon	Status	Arti & Penyebab
	Available (Enabled)	Monitor sukses — member menerima koneksi sesuai metode load balancing
	Offline (Enabled)	Monitor gagal dalam timeout; member dikeluarkan dari rotasi
	Unknown (Enabled)	Tidak ada monitor di member maupun node-nya — tetap dikirimi traffic tanpa pernah diverifikasi
	Temporarily Unavailable	Connection limit member tercapai; tidak menerima koneksi baru sampai turun lagi
	Available (Disabled)	Di-disable admin padahal monitornya sukses — koneksi baru hanya lewat record persistence
	Unknown (Disabled)	Di-disable admin dan memang tidak punya monitor
	Offline (Force Offline)	Di-force offline admin, atau di-disable saat monitornya sedang gagal — hanya menyelesaikan koneksi aktif
	Available (Disabled by parent)	Node-nya yang di-disable, bukan member ini — monitornya sendiri masih sukses
	Offline (Disabled by parent)	Node disabled dan monitor member-nya juga gagal
	Unknown (Disabled by parent)	Node disabled dan member ini tidak punya monitor

Penting

Beda Disabled, Force Offline, dan Disabled by parent: Disabled (hitam) masih menerima koneksi baru dari client yang punya record persistence; Force Offline (wajik hitam) hanya menyelesaikan koneksi aktif; sedangkan abu-abu bukan tindakan pada objek itu — cari objek induknya (node, pool, atau virtual address) yang sedang disabled, karena di situlah masalahnya harus dibereskan.

Penting

Karena status menurun dari bawah ke atas (member → pool → virtual server), virtual server yang merah hampir tidak pernah bermasalah pada dirinya sendiri. Telusuri dari bawah: cek monitor pool member dulu, baru status pool, baru virtual server-nya.

Penting

Beda perilaku di sisi client: virtual server yang di-disable langsung me-reset koneksi tanpa menambah statistik, sedangkan virtual server yang enabled tapi pool-nya offline tetap menerima koneksi lebih dulu baru di-reset — dan statistiknya bertambah. Ini cara cepat membedakan "dimatikan admin" dari "pool-nya mati".

Penting

Pool tidak punya health monitor sendiri dan tidak punya tombol Enable/Disable seperti virtual server atau pool member. Karena itu ikon hitam tidak pernah muncul di level pool — yang muncul abu-abu, sebagai efek dari seluruh member-nya yang di-disable.

Topik 5 dari 15

5Virtual Server#

5.1Konsep Virtual Server#

Definisi

Virtual server: kombinasi alamat IP dan port yang diakses client, dan menjadi titik masuk semua traffic aplikasi di BIG-IP
Virtual address: bagian alamat IP dari virtual server; satu virtual address bisa dipakai banyak virtual server dengan port berbeda (80, 443, dan seterusnya)
Default pool: pool yang dituju virtual server bila tidak ada iRule/policy yang mengarahkan ke pool lain
Resources: bagian virtual server tempat memasang iRules, policy, dan default pool
Network Map: tampilan ringkas seluruh objek (virtual server, pool, member) beserta statusnya dalam satu layar — cara tercepat melihat apa yang merah

Membuat virtual server standar

Local Traffic › Virtual Servers › Create

Membuat virtual server baru

Type: Standard, Destination Address & Service Port

Alamat yang akan diakses client, mis. 10.10.20.100:80

Protocol Profile & HTTP Profile

TCP untuk layer 4, http bila butuh fitur layer 7

Source Address Translation

Automap atau SNAT pool bila server tidak memakai BIG-IP sebagai gateway

Resources › Default Pool

Menghubungkan virtual server ke pool

Local Traffic › Network Map

Memastikan seluruh rantai objek hijau

5.2Tipe Virtual Server#

Tipe virtual server di LTM

Tipe	Fungsi	Kapan Dipakai
Standard	Full proxy, memutus koneksi client dan server	Mayoritas kasus: HTTP/HTTPS, persistence, iRules L7
Performance (Layer 4)	Fast L4, memakai akselerasi dan tidak memproses payload L7	Throughput tinggi tanpa kebutuhan inspeksi aplikasi
Performance (HTTP)	Fast HTTP, gabungan client/server side yang ringan	Web sederhana dengan kebutuhan performa, fitur L7 terbatas
Forwarding (IP)	Meneruskan traffic seperti router tanpa pool	Memberi jalan server keluar internet lewat BIG-IP
Forwarding (Layer 2)	Meneruskan di layer 2 antar VLAN group	Deployment transparan/bridge
Reject	Menolak traffic yang cocok	Memblokir tujuan tertentu secara eksplisit
Stateless	UDP tanpa menyimpan connection table	Traffic UDP masif satu arah, mis. syslog
DHCP Relay	Meneruskan DHCP antar subnet	Client dan DHCP server beda VLAN

5.3IP Forwarding Virtual Server#

Definisi

IP forwarding virtual server: virtual server tanpa pool yang membuat BIG-IP meneruskan paket seperti router — dipakai supaya server internal bisa mengakses internet lewat BIG-IP
Wildcard virtual server: destination 0.0.0.0/0 dengan service port 0 (All Ports), sehingga cocok untuk semua tujuan

Catatan

Butuh SNAT: agar paket balasan dari internet kembali lewat BIG-IP, biasanya virtual server ini dipasangi Source Address Translation Automap
VLAN restriction: batasi virtual server ini hanya pada VLAN internal (Enabled on VLAN) supaya tidak menjadi pintu terbuka dari sisi external

Membuat jalan keluar internet untuk server

Local Traffic › Virtual Servers › Create

Membuat virtual server baru

Type: Forwarding (IP)

Memilih mode forwarding, bukan standard

Destination: Network 0.0.0.0/0, Service Port: 0 (All Ports)

Wildcard untuk semua tujuan

VLAN and Tunnel Traffic: Enabled on internal

Membatasi sumber traffic hanya dari VLAN internal

Source Address Translation: Automap

Menyamarkan IP server dengan self IP external

5.4Virtual Server Order of Precedence#

Definisi

Order of precedence: urutan prioritas BIG-IP memilih virtual server mana yang menangani sebuah koneksi ketika ada beberapa yang cocok

Catatan

Urutan penilaian: destination address paling spesifik terlebih dahulu, lalu source address, baru service port
Prinsip utama: yang paling spesifik menang — /32 mengalahkan /24, dan /24 mengalahkan wildcard 0.0.0.0/0
Wildcard sebagai jaring pengaman: virtual server wildcard hanya menangani traffic yang tidak cocok dengan virtual server manapun yang lebih spesifik

Urutan pemilihan virtual server

Prioritas	Kriteria	Contoh Menang
1	Destination address paling spesifik	10.10.20.100/32 mengalahkan 10.10.20.0/24
2	Source address paling spesifik	Source 192.168.1.0/24 mengalahkan source 0.0.0.0/0
3	Service port cocok	Port 80 spesifik mengalahkan port 0 (All Ports)

Penting

Cara menguji di lab: buat beberapa virtual server yang saling tumpang tindih, masing-masing dengan satu pool member berbeda, lalu lihat member mana yang menerima koneksi. Statistik per virtual server (Local Traffic >> Virtual Servers >> Statistics) langsung menunjukkan yang mana yang menang.

Topik 6 dari 15

6Metode Load Balancing#

6.1Static Load Balancing#

Definisi

Static load balancing: pemilihan member berdasarkan aturan tetap tanpa melihat kondisi server saat itu
Round Robin: metode default, giliran merata satu per satu ke seluruh member yang up
Ratio: member dengan ratio lebih besar menerima proporsi koneksi lebih banyak — dipakai bila spesifikasi server tidak sama

Catatan

Ratio (Node) vs Ratio (Member): ratio bisa diatur di level node (berlaku untuk semua pool yang memakai node itu) atau di level pool member (hanya berlaku di pool tersebut)
Reset statistics: statistik pool perlu di-reset sebelum pengujian supaya distribusi koneksi terbaca bersih

Mengatur dan menguji ratio

Local Traffic › Nodes › Node List › pilih node › Ratio

Mengatur ratio di level node

Local Traffic › Pools › pilih pool › Members › pilih member › Ratio

Mengatur ratio di level pool member

Local Traffic › Pools › pilih pool › Members › Load Balancing Method: Ratio (Node/Member)

Memilih metode ratio yang sesuai dengan level tempat ratio diatur

Local Traffic › Pools › pilih pool › Statistics › Reset

Mengosongkan statistik sebelum pengujian

Refresh halaman aplikasi berkali-kali, lalu lihat Statistics

Memastikan proporsi koneksi sesuai ratio

Penting

Ratio (Node) tidak berpengaruh kalau metode pool-nya diset Ratio (Member), dan sebaliknya. Ini penyebab paling sering ratio "tidak terasa" saat diuji.

6.2Dynamic Load Balancing#

Definisi

Dynamic load balancing: pemilihan member berdasarkan kondisi real-time seperti jumlah koneksi aktif atau kecepatan respons
Least Connections: mengirim koneksi baru ke member dengan koneksi aktif paling sedikit — pilihan aman untuk aplikasi dengan durasi sesi bervariasi
Fastest: memilih member dengan respons layer 7 tercepat (jumlah request outstanding paling sedikit)
Observed: menggabungkan jumlah koneksi dan performa historis menjadi ratio dinamis
Predictive: seperti Observed, tetapi memberi bobot lebih pada member yang performanya sedang membaik

Catatan

Varian Node vs Member: sama seperti ratio, metode dinamis punya versi node (menghitung seluruh koneksi ke node) dan versi member (hanya koneksi di pool itu)

Perbandingan metode load balancing

Metode	Dasar Keputusan	Cocok Untuk
Round Robin	Giliran merata	Server seragam, request seragam
Ratio	Bobot manual	Server dengan spesifikasi berbeda
Least Connections	Jumlah koneksi aktif	Durasi sesi tidak seragam
Fastest	Respons L7 tercepat	Aplikasi web yang sensitif latency
Observed	Koneksi + performa historis	Beban yang fluktuatif
Predictive	Tren performa	Beban fluktuatif dengan server yang naik-turun performanya

6.3Priority Group Activation#

Definisi

Priority group: nilai prioritas pada tiap pool member — member dengan angka lebih besar dilayani lebih dulu
Less than: ambang batas jumlah member aktif; member dengan prioritas lebih rendah baru diaktifkan bila member aktif di grup prioritas tinggi turun di bawah ambang ini

Catatan

Pola pemakaian: server utama diberi priority 10 dan server cadangan priority 1, dengan activation "less than 2" sehingga cadangan hanya dipakai saat server utama tersisa satu
Kombinasi dengan load balancing: di dalam satu priority group, distribusi tetap mengikuti metode load balancing pool

Konfigurasi priority group

Local Traffic › Pools › Pool List › pilih pool › Members › pilih member › Priority Group

Memberi nilai prioritas tiap member

Local Traffic › Pools › Pool List › pilih pool › Members › Priority Group Activation: Less than N

Menentukan ambang aktivasi grup prioritas berikutnya

Local Traffic › Pools › Pool List › pilih pool › Members › Load Balancing Method

Menentukan distribusi di dalam grup prioritas

Local Traffic › Pools › pilih pool › Statistics › Reset

Mengosongkan statistik sebelum pengujian

Matikan server prioritas tinggi satu per satu

Menguji kapan member cadangan mulai menerima traffic

Topik 7 dari 15

7Address Translation: DNAT, SNAT & NAT#

7.1Destination NAT (DNAT)#

Definisi

Destination NAT: penerjemahan alamat tujuan dari alamat virtual server menjadi alamat pool member yang dipilih

Catatan

Otomatis: DNAT terjadi dengan sendirinya pada virtual server standard — tidak ada yang perlu dikonfigurasi
Kaitan dengan full proxy: karena BIG-IP membuka koneksi baru ke server, alamat tujuan paket sisi server memang harus alamat server, bukan alamat virtual server
Jalur balik: paket balasan dari server harus melewati BIG-IP lagi supaya alamat sumbernya dikembalikan menjadi alamat virtual server — inilah alasan server harus memakai BIG-IP sebagai gateway, atau memakai SNAT

7.2Source NAT (SNAT)#

Definisi

SNAT: mengubah alamat sumber paket menuju server menjadi alamat milik BIG-IP, supaya paket balasan pasti kembali ke BIG-IP
Automap: SNAT memakai self IP BIG-IP di VLAN arah server (self IP floating bila ada) — paling praktis, tanpa objek tambahan
SNAT Pool: kumpulan alamat khusus yang dipakai sebagai alamat sumber — dipakai bila butuh banyak alamat untuk menghindari kehabisan port

Catatan

Kapan SNAT wajib: saat server tidak memakai BIG-IP sebagai default gateway, saat one-arm mode, dan saat client berada di subnet yang sama dengan server
Efek samping: server hanya melihat alamat BIG-IP sebagai client, sehingga log server kehilangan IP asli — solusinya menyisipkan header X-Forwarded-For lewat HTTP profile
Port exhaustion: satu alamat SNAT terbatas sekitar 64.000 port per tujuan; untuk traffic sangat padat gunakan SNAT pool dengan beberapa alamat

Konfigurasi SNAT

Local Traffic › Address Translation › SNAT Pool List › Create

Membuat SNAT pool dan mengisi daftar alamatnya

Local Traffic › Virtual Servers › pilih virtual server

Membuka virtual server yang akan memakai SNAT

Source Address Translation: Automap

Memakai self IP BIG-IP sebagai alamat sumber

Source Address Translation: SNAT › pilih SNAT pool

Memakai alamat dari SNAT pool yang sudah dibuat

Local Traffic › Profiles › Services › HTTP › Insert X-Forwarded-For: Enabled

Mengembalikan informasi IP asli client untuk log server

7.3SNAT vs Objek NAT#

Beda SNAT dan objek NAT

Aspek	SNAT	NAT (objek NAT di BIG-IP)
Arah	Umumnya outbound (dari client/BIG-IP ke server)	Dua arah, satu-ke-satu antara alamat publik dan privat
Pemetaan	Banyak alamat ke satu/lebih alamat (many-to-one/few)	Satu ke satu (one-to-one)
Port	Mengubah port sumber (PAT)	Tidak mengubah port
Dipakai untuk	Menjamin jalur balik lewat BIG-IP	Memberi server alamat publik tetap untuk inbound dan outbound
Lokasi konfigurasi	Virtual server atau objek SNAT	Local Traffic >> Address Translation >> NAT List

Topik 8 dari 15

8Profiles#

8.1Konsep Profile#

Definisi

Profile: kumpulan setting yang bisa dipakai ulang dan ditempelkan ke virtual server, sehingga perilaku traffic diatur lewat objek, bukan lewat konfigurasi per virtual server
Parent profile: setiap profile diturunkan dari profile bawaan (mis. tcp, http) — profile anak hanya menyimpan nilai yang diubah, sisanya mengikuti induk

Catatan

Perubahan induk menurun: mengubah nilai di parent profile otomatis berlaku ke seluruh profile anak yang tidak meng-override nilai tersebut
Kategori profile: protocol (tcp, udp, fastL4), services (http, ftp, dns), persistence, SSL (client-ssl, server-ssl), authentication, dan others (OneConnect, stream)
Aturan praktis: jangan pernah mengubah profile bawaan — selalu buat turunannya dan pasang yang turunan itu ke virtual server

Membuat dan memasang profile

Local Traffic › Profiles › pilih kategori › Create

Membuat profile baru dengan memilih parent profile

Centang kolom Custom pada nilai yang ingin diubah

Hanya nilai bercentang yang lepas dari induknya

Local Traffic › Virtual Servers › pilih VS › Properties

Menempelkan profile ke virtual server

Local Traffic › Virtual Servers › Statistics

Memastikan efek profile terlihat pada traffic

8.2Persistence Profile#

Definisi

Persistence: memastikan client yang sama tetap diarahkan ke pool member yang sama selama sesinya, penting untuk aplikasi yang menyimpan session di server (keranjang belanja, login)
Cookie persistence: BIG-IP menyisipkan cookie berisi identitas pool member — paling akurat untuk HTTP dan tidak membebani memori BIG-IP
Source address affinity: berbasis IP client, dipakai bila aplikasi bukan HTTP; kelemahannya banyak client di belakang satu NAT akan menempel ke satu server
SSL persistence: memakai SSL session ID, berguna untuk traffic terenkripsi yang tidak di-decrypt BIG-IP
Universal persistence: memakai nilai apa pun yang diambil iRule (mis. JSESSIONID, username) sebagai kunci persistence
Fallback persistence: metode cadangan yang dipakai bila metode utama tidak bisa diterapkan (mis. client menolak cookie)

Catatan

Persistence mengalahkan load balancing: bila record persistence masih berlaku, BIG-IP mengabaikan metode load balancing dan langsung memakai member lama

Pilihan persistence

Jenis	Kunci Persistence	Catatan
Cookie	Cookie yang disisipkan BIG-IP	Default untuk HTTP; butuh HTTP profile
Source Address Affinity	IP client	Bekerja untuk semua protokol; distribusi bisa timpang
Destination Address Affinity	IP tujuan	Umum untuk cache/proxy farm
SSL	SSL session ID	Untuk HTTPS tanpa dekripsi di BIG-IP
Universal / Hash	Nilai dari iRule atau hasil hash	Paling fleksibel, butuh iRule
SIP / RDP	Call-ID / username	Untuk aplikasi VoIP dan remote desktop

Memasang persistence

Local Traffic › Profiles › Persistence › Create

Membuat persistence profile dari parent yang sesuai

Local Traffic › Virtual Servers › pilih VS › Resources › Default Persistence Profile

Memasang persistence ke virtual server

Fallback Persistence Profile: source_addr

Menyiapkan cadangan bila cookie tidak bisa dipakai

Local Traffic › Pools › pilih pool › Statistics

Memastikan client tetap menempel ke member yang sama

8.3OneConnect#

Definisi

OneConnect: fitur yang memakai ulang koneksi TCP ke server untuk melayani request dari banyak client, sehingga server tidak perlu melakukan three-way handshake berulang
Source mask: menentukan seberapa longgar koneksi boleh dipakai ulang — 0.0.0.0 berarti koneksi boleh dipakai lintas client (paling efisien), 255.255.255.255 membatasi per-client

Catatan

Manfaat: mengurangi jumlah koneksi dan beban CPU di server, serta memangkas latensi karena koneksi sudah terbuka
Syarat: virtual server harus memakai HTTP profile agar BIG-IP bisa memisahkan tiap request di dalam satu koneksi
Hati-hati: aplikasi yang mengaitkan autentikasi ke koneksi TCP (mis. NTLM) bisa bocor antar user bila mask terlalu longgar — gunakan profile NTLM atau mask ketat

Mengaktifkan OneConnect

Local Traffic › Profiles › Other › OneConnect › Create

Membuat OneConnect profile dan mengatur source mask

Local Traffic › Virtual Servers › pilih VS › OneConnect Profile

Memasang profile ke virtual server

Local Traffic › Pools › pilih pool › Statistics

Membandingkan jumlah koneksi server sebelum dan sesudah OneConnect

8.4SSL Profile & SSL Offload#

Definisi

Client SSL profile: profile yang membuat BIG-IP menjadi ujung TLS bagi client — di sinilah sertifikat dan private key server dipasang
Server SSL profile: profile yang membuat BIG-IP mengenkripsi ulang traffic ke pool member
SSL offload: hanya memakai client SSL profile; traffic ke server berjalan HTTP polos sehingga beban enkripsi server hilang
SSL bridging: memakai client SSL dan server SSL sekaligus — BIG-IP tetap bisa membaca traffic (untuk iRules/WAF) tetapi jalur ke server tetap terenkripsi
SSL passthrough: tidak ada SSL profile sama sekali, BIG-IP hanya meneruskan traffic terenkripsi dan kehilangan visibilitas layer 7

Catatan

Redirect HTTP ke HTTPS: dilakukan dengan virtual server port 80 yang memakai iRule redirect atau policy bawaan

Menyiapkan HTTPS di BIG-IP

System › Certificate Management › Traffic Certificate Management › SSL Certificate List › Import

Mengunggah sertifikat dan private key server

Local Traffic › Profiles › SSL › Client › Create

Membuat client SSL profile dan memilih certificate + key (chain bila ada)

Local Traffic › Virtual Servers › Create (port 443)

Membuat virtual server HTTPS dengan HTTP profile tetap terpasang

SSL Profile (Client): pilih profile yang dibuat

Menempelkan sertifikat ke virtual server

SSL Profile (Server): serverssl (opsional)

Dipakai bila memilih SSL bridging, bukan offload

Penting

Pada SSL offload, pool member tetap mendengarkan di port 80 sementara virtual server melayani 443. Salah menyamakan port pool dengan port virtual server adalah kesalahan paling umum saat pertama kali memasang SSL profile.

Topik 9 dari 15

9iRules & Local Traffic Policy#

9.1Konsep iRules#

Definisi

iRules: script berbasis TCL yang dijalankan BIG-IP terhadap traffic, dipakai untuk membuat logika yang tidak tersedia di menu GUI
Event-driven: iRule tidak berjalan terus-menerus, tetapi dipicu event seperti CLIENT_ACCEPTED, HTTP_REQUEST, atau HTTP_RESPONSE

Catatan

Ruang lingkup: iRule dipasang di virtual server lewat menu Resources dan hanya berlaku untuk traffic virtual server tersebut
Urutan eksekusi: bila ada beberapa iRule di satu virtual server, urutannya mengikuti daftar di Resources dan bisa diatur
Biaya performa: iRule sederhana sangat ringan, tetapi logika berat (regex kompleks, loop besar) di setiap request bisa memakan CPU

Event iRule yang sering dipakai

Event	Kapan Dipicu	Contoh Pemakaian
CLIENT_ACCEPTED	Koneksi TCP client diterima	Memilih pool berdasarkan IP sumber
HTTP_REQUEST	Header request HTTP lengkap diterima	Routing berdasarkan URI, host, atau User-Agent
HTTP_RESPONSE	Header response dari server diterima	Menambah/menghapus header, menyisipkan cookie
LB_SELECTED	Pool member sudah dipilih	Logging member yang terpilih
CLIENTSSL_HANDSHAKE	Handshake TLS client selesai	Memeriksa cipher atau sertifikat client

9.2Contoh iRule#

📄irule_redirect_https.tcl

when HTTP_REQUEST {

→ Dipicu setiap request HTTP masuk

HTTP::redirect "https://[HTTP::host][HTTP::uri]"

→ Mengarahkan client ke alamat HTTPS yang sama

}

📄irule_mobile_steering.tcl

when HTTP_REQUEST {

→ Memeriksa tiap request sebelum pool dipilih

set ua [string tolower [HTTP::header User-Agent]]

→ Mengambil User-Agent dan menormalkannya jadi huruf kecil

if { $ua contains "android" } {

→ Client Android

pool pool_web_android

→ Diarahkan ke pool server Android

} elseif { $ua contains "iphone" or $ua contains "ipad" } {

→ Client iOS

pool pool_web_ios

→ Diarahkan ke pool server iOS

} else {

→ Selain itu

pool pool_web_default

→ Memakai pool default (desktop)

}

Memasang iRule (skenario mobile)

Local Traffic › iRules › iRule List › Create

Menulis iRule dan menyimpannya (sintaks divalidasi saat disimpan)

Local Traffic › Virtual Servers › pilih VS › Resources › Manage (iRules)

Menempelkan iRule ke virtual server

Atur urutan iRule bila lebih dari satu

Menentukan iRule mana yang dievaluasi lebih dulu

Buat 3 pool berisi satu member untuk pengujian

Memudahkan memastikan client diarahkan ke pool yang benar

9.3Local Traffic Policy#

Definisi

Local Traffic Policy: cara membuat aturan kondisi-aksi lewat GUI tanpa menulis TCL, mencakup sebagian besar kebutuhan routing L7 sehari-hari
Draft & publish: policy diedit dalam bentuk draft, lalu di-publish agar aktif — memudahkan perubahan terkontrol

Catatan

Struktur: policy berisi rules, tiap rule punya conditions (mis. URI starts-with /api) dan actions (mis. forward to pool_api)
Kapan pilih policy: gunakan policy untuk aturan sederhana yang mudah diaudit, dan iRule untuk logika yang benar-benar butuh pemrograman

Topik 10 dari 15

10Mode Deployment: Two-Arm & One-Arm#

10.1Two-Arm (Routed Mode)#

Definisi

Two-arm mode: BIG-IP berada di antara client dan server dengan VLAN external dan internal terpisah — mode paling umum dan paling mudah ditelusuri

Catatan

Gateway server: pool member memakai floating self IP internal BIG-IP sebagai default gateway, sehingga paket balasan otomatis lewat BIG-IP
Tanpa SNAT: karena jalur balik sudah dijamin routing, SNAT tidak wajib dan server tetap melihat IP asli client
Isolasi: server berada di segmen terpisah, hanya bisa diakses lewat virtual server — bonus keamanan

10.2One-Arm Mode#

Definisi

One-arm mode: BIG-IP hanya punya satu kaki di jaringan — client, virtual server, dan server berada di subnet yang sama

Catatan

Masalah jalur balik: tanpa perlakuan khusus, server akan membalas langsung ke client karena satu subnet, sehingga koneksi gagal (asymmetric routing)
Solusi SNAT: dengan SNAT automap, server melihat BIG-IP sebagai client dan pasti membalas ke BIG-IP; DNAT tetap berjalan seperti biasa
Kelebihan: mudah disisipkan ke jaringan existing tanpa mengubah alamat atau gateway server
Kekurangan: server kehilangan IP asli client (perlu X-Forwarded-For), dan seluruh traffic bolak-balik lewat satu interface

Menyiapkan one-arm mode

Buat VLAN & self IP tunggal

Semua objek berada di satu segmen jaringan

Local Traffic › Pools › Create

Pool member berada di subnet yang sama dengan virtual server

Local Traffic › Virtual Servers › Create

Alamat virtual server ikut berada di subnet yang sama

Source Address Translation: Automap

Wajib, supaya paket balasan server kembali ke BIG-IP

HTTP Profile › Insert X-Forwarded-For: Enabled

Mengembalikan IP asli client untuk kebutuhan log aplikasi

10.3nPath / Direct Server Return#

Definisi

nPath (DSR): mode di mana request masuk lewat BIG-IP tetapi balasan dikirim server langsung ke client tanpa melewati BIG-IP

Catatan

Kegunaan: traffic keluar yang sangat besar (streaming, download) sehingga BIG-IP tidak menjadi bottleneck
Syarat: alamat virtual server harus dipasang di loopback tiap server dan ARP dimatikan untuk alamat itu
Konsekuensi: BIG-IP kehilangan visibilitas response, sehingga fitur layer 7 (kompresi, iRule pada response, WAF) tidak bisa dipakai

Topik 11 dari 15

11High Availability & Device Service Clustering#

11.1Konsep FT & HA#

Definisi

Fault tolerance: kemampuan sistem tetap beroperasi ketika salah satu komponennya gagal, tanpa gangguan yang terasa oleh pengguna
High availability: rancangan yang menjaga layanan tetap tersedia dengan meminimalkan waktu tidak layan, umumnya lewat redundansi perangkat
Active/Standby: satu unit melayani traffic, unit lain siaga dan mengambil alih saat terjadi failover — konfigurasi paling umum
Active/Active: kedua unit melayani traffic sekaligus lewat traffic group yang berbeda, dengan syarat masing-masing sanggup menanggung beban penuh saat salah satunya jatuh
Failover: proses berpindahnya kepemilikan traffic group (beserta floating IP-nya) dari unit yang gagal ke unit pasangannya

Komponen Device Service Clustering

Komponen DSC	Fungsi
Device Trust	Saling percaya antar unit lewat pertukaran sertifikat device
Device Group	Kumpulan unit yang menyinkronkan konfigurasi (sync-failover atau sync-only)
Traffic Group	Kumpulan objek floating (floating self IP, virtual address, SNAT) yang berpindah bersama saat failover
Floating Self IP	Alamat gateway server yang selalu berada di unit Active
Config Sync	Menyalin konfigurasi dari satu unit ke seluruh anggota device group
Network Failover	Deteksi kegagalan lewat heartbeat antar unit (unicast/multicast)
MAC Masquerade	MAC virtual yang ikut berpindah agar ARP client tidak perlu di-refresh — mempercepat failover

11.2Prasyarat & Device Connectivity#

Definisi

ConfigSync address: alamat self IP yang dipakai khusus untuk mengirim konfigurasi antar unit (biasanya self IP di VLAN HA), diatur di Device Connectivity
Failover address: alamat yang dipakai untuk heartbeat failover — unicast bila hanya dua unit, multicast bila anggotanya banyak
Mirroring address: alamat primary (dan opsional secondary) yang dipakai menyalin state koneksi ke unit pasangan; wajib diisi sebelum connection/persistence mirroring bisa jalan

Catatan

Prasyarat: kedua unit harus punya lisensi, provisioning modul, versi software, hostname, VLAN/self IP, dan routing yang sudah benar sebelum HA dibentuk
Waktu harus sinkron: perbedaan waktu antar unit membuat pertukaran sertifikat device trust dan config sync gagal — set NTP di kedua unit lebih dulu
Jalur HA terpisah: ConfigSync, failover, dan mirroring sebaiknya lewat VLAN HA tersendiri supaya tidak terganggu traffic aplikasi
Failover redundan: selain jalur HA, tambahkan alamat management sebagai failover unicast kedua supaya satu kabel putus tidak langsung dianggap unit mati (split brain)

Device Connectivity di tiap unit

Device Management › Devices › pilih device (Self) › ConfigSync

Memilih self IP HA sebagai Local Address untuk config sync

Device Management › Devices › Failover Network › Add

Menambahkan alamat failover unicast (self IP HA, lalu alamat management sebagai cadangan)

Multicast: Enabled (opsional)

Dipakai bila anggota device group lebih dari dua

Device Management › Devices › Mirroring

Mengisi Primary Local Mirror Address (dan Secondary bila ada)

Ulangi langkah 1-4 di unit pasangan

Kedua unit harus punya alamat connectivity-nya sendiri

11.3Device Trust#

Definisi

Device trust: hubungan saling percaya antar BIG-IP yang dibangun dengan pertukaran sertifikat device, dan menjadi syarat sebelum device group bisa dibuat
Trust domain: kumpulan device yang sudah saling percaya (default: /Common/Root), berisi seluruh unit yang boleh saling menyinkronkan konfigurasi
Peer authority: peran device yang ditambahkan ke trust domain — subordinate untuk anggota biasa, authority untuk device yang boleh ikut mengesahkan anggota baru

Catatan

Arah penambahan: cukup lakukan dari satu unit — masukkan alamat management unit pasangan beserta username/password admin-nya, lalu sertifikat ditukar otomatis
Reset trust: bila device trust rusak (mis. sertifikat kedaluwarsa atau perangkat diganti), unit dikeluarkan dari trust domain lalu ditambahkan ulang, bukan diperbaiki sebagian

Membentuk device trust

Device Management › Device Trust › Device Trust Members › Add

Memulai penambahan unit pasangan ke trust domain

Isi IP management, username, dan password unit pasangan

BIG-IP menghubungi peer untuk menukar sertifikat device

Retrieve Device Information › Device Certificate Matches › Finished

Memverifikasi sertifikat peer sebelum dipercaya

Device Management › Devices

Memastikan kedua unit muncul dan statusnya terhubung

11.4Device Group & Traffic Group#

Definisi

Device group: kumpulan device dalam satu trust domain yang menyinkronkan konfigurasi satu sama lain
Sync-Failover: tipe device group yang menyinkronkan konfigurasi sekaligus menyediakan failover lewat traffic group — dipakai untuk pasangan Active/Standby
Sync-Only: tipe device group yang hanya menyinkronkan konfigurasi tanpa failover, mis. untuk menyamakan konfigurasi antar BIG-IP DNS
Automatic sync: opsi device group yang mendorong perubahan ke seluruh anggota secara otomatis; bila dimatikan, sync harus dijalankan manual setiap ada perubahan
Full sync: opsi yang mengirim seluruh konfigurasi setiap kali sync, bukan hanya bagian yang berubah — lebih aman tapi lebih berat
Traffic group: kumpulan objek floating (floating self IP, virtual address, SNAT translation) yang berpindah bersama ke unit lain saat failover
MAC masquerade: alamat MAC virtual milik traffic group yang ikut berpindah saat failover, sehingga client dan switch tidak perlu menunggu ARP diperbarui

Catatan

Active/Standby vs Active/Active: satu traffic group berarti hanya satu unit yang aktif; dua traffic group yang dipegang unit berbeda membuat keduanya sama-sama melayani traffic
Auto failback: traffic group bisa diatur agar kembali ke unit favoritnya setelah unit itu pulih, atau dibiarkan menetap di unit yang sekarang memegangnya

Membuat device group dan mengatur traffic group

Device Management › Device Groups › Create

Membuat device group dan memberi nama

Group Type: Sync-Failover, tambahkan kedua device ke Includes

Menentukan anggota device group

Network Failover: Enabled

Mengaktifkan failover lewat jaringan (bukan kabel serial)

Automatic Sync / Full Sync sesuai kebutuhan

Menentukan cara konfigurasi didorong ke anggota lain

Device Management › Traffic Groups › traffic-group-1

Memastikan objek floating berada di traffic group yang benar

MAC Masquerade Address (opsional)

Mempercepat failover di jaringan yang ARP cache-nya lambat berubah

11.5Config Sync#

Definisi

Config sync: proses menyalin konfigurasi dari satu unit ke seluruh anggota device group supaya keduanya identik
Sync Device to Group: mendorong konfigurasi unit yang sedang dibuka ke anggota device group lainnya — arah yang dipakai setelah perubahan dibuat di unit itu
Sync Group to Device: menarik konfigurasi dari device group ke unit yang sedang dibuka — dipakai bila unit ini yang tertinggal atau baru bergabung
In Sync: status yang berarti seluruh anggota memegang konfigurasi yang sama
Changes Pending: status yang berarti ada perubahan lokal yang belum didorong ke anggota lain
Disconnected: status yang berarti unit tidak bisa menghubungi anggota lain lewat ConfigSync address — biasanya masalah jalur HA atau device trust

Catatan

Ubah di satu unit saja: mengedit objek yang sama di kedua unit membuat konfigurasi bercabang dan salah satu perubahan akan tertimpa saat sync
Yang tidak ikut sync: objek khusus per-unit seperti self IP statis, alamat management, hostname, lisensi, dan sertifikat device tetap milik masing-masing unit

Menjalankan config sync

Buat/ubah objek (pool, virtual server, iRule) di satu unit saja

Menjaga satu sumber kebenaran konfigurasi

Device Management › Overview

Melihat status sync tiap anggota device group

Pilih device sumber › Sync Device to Group › Sync

Mendorong konfigurasi ke anggota lain

Pastikan status berubah menjadi In Sync

Memastikan kedua unit identik

Device Management › Devices › Force to Standby

Menguji failover setelah konfigurasi tersinkron

Config sync & failover dari CLI

bash — root@bigip1

tmsh show cm sync-status

# Melihat status sinkronisasi (In Sync / Changes Pending / Disconnected)

tmsh run cm config-sync to-group device_group_ha

# Mendorong konfigurasi dari unit ini ke device group

tmsh run cm config-sync from-group device_group_ha

# Menarik konfigurasi device group ke unit ini

tmsh show sys failover

# Memastikan peran unit (Active atau Standby)

tmsh run sys failover standby

# Menyerahkan peran Active ke unit pasangan

11.6Stateful HA: Connection & Persistence Mirroring#

Definisi

Stateful HA: unit standby ikut menyimpan state koneksi aktif, sehingga saat failover koneksi client tidak perlu dibangun ulang
Connection mirroring: menyalin connection table virtual server ke unit standby
Persistence mirroring: menyalin record persistence, sehingga setelah failover client tetap diarahkan ke pool member yang sama

Catatan

Biaya: mirroring menambah beban CPU dan traffic di jaringan HA — aktifkan hanya pada virtual server yang benar-benar butuh, bukan semuanya
Efek nyata: pengguna yang sedang mengunduh atau sedang login tidak terputus saat unit Active dipaksa standby
Prasyarat: mirroring hanya jalan bila Primary Local Mirror Address sudah diisi di Device Connectivity (lihat 11.2) dan kedua unit berada di device group yang sama

Mengaktifkan mirroring

Local Traffic › Virtual Servers › pilih VS › Configuration: Advanced

Membuka opsi lanjutan virtual server

Connection Mirroring: Enabled

Menyalin state koneksi ke unit standby

Resources › Default Persistence Profile: source_addr (turunan)

Memakai persistence profile yang bisa di-mirror

Local Traffic › Profiles › Persistence › pilih profile › Mirror Persistence: Enabled

Menyalin record persistence ke unit standby

Device Management › Devices › Force to Standby

Menguji: koneksi lama tetap hidup dan tetap ke server yang sama

11.7Fail-Safe & Pemicu Failover#

Definisi

VLAN failsafe: BIG-IP memantau ada tidaknya traffic pada VLAN tertentu; bila sunyi melewati batas waktu, unit bisa melakukan failover atau reboot
Gateway failsafe: memantau gateway lewat pool khusus, sehingga unit yang kehilangan jalur ke upstream menyerahkan peran Active
System failsafe: memantau kesehatan internal (daemon, hardware) dan memicu failover bila ada yang gagal
HA group: skor gabungan dari pool, trunk, atau cluster untuk menentukan unit mana yang paling layak menjadi Active

Catatan

Force to Standby vs Force Offline: Force to Standby menyerahkan peran Active tapi unit tetap anggota aktif; Force Offline mengeluarkan unit dari layanan untuk maintenance

Mengatur fail-safe

System › High Availability › Fail-safe › VLANs › Add

Memilih VLAN yang akan dipantau

Timeout & Action: Failover / Reboot / Restart All

Menentukan tindakan saat VLAN sunyi melebihi timeout

System › High Availability › Fail-safe › Gateway

Memantau pool gateway upstream

Device Management › Traffic Groups

Melihat unit mana yang memiliki tiap traffic group saat ini

Penting

VLAN failsafe di lab yang sepi traffic bisa memicu failover berulang (flapping). Set timeout cukup panjang, atau nyalakan hanya pada VLAN yang memang selalu ada traffic-nya.

Topik 12 dari 15

12iApps, TMSH & Otomasi#

12.1iApps#

Definisi

iApps: template yang membuat seluruh objek sebuah aplikasi sekaligus (node, pool, monitor, virtual server, persistence, redirect HTTP ke HTTPS) lewat satu form pertanyaan
Application service: hasil dari menjalankan template — seluruh objeknya dikelola sebagai satu kesatuan
Strict updates: setting yang mengunci objek hasil iApp agar tidak diubah manual, supaya konfigurasi tetap konsisten dengan template

Catatan

Kapan dipakai: deployment aplikasi yang berulang dan seragam, terutama bila F5 sudah menyediakan template resminya
Penerus modern: untuk otomasi baru, F5 mengarahkan ke AS3 (Application Services 3) lewat iControl REST, bukan iApps klasik

12.2Traffic Management Shell (TMSH)#

Definisi

TMSH: shell resmi untuk mengelola BIG-IP dari CLI, dengan struktur perintah yang mengikuti hirarki modul (ltm, gtm, sys, net)

Catatan

Struktur perintah: <aksi> <modul>/<objek> <nama> <properti>, misalnya create ltm pool nama members add { ... }
Mode interaktif: mengetik tmsh membuka shell tersendiri dengan tab-completion dan bantuan help di tiap level
Menyimpan konfigurasi: perubahan lewat tmsh belum permanen sampai dijalankan save sys config
Konfigurasi tersimpan: file utama berada di /config/bigip.conf dan /config/bigip_base.conf

Perintah tmsh yang sering dipakai

bash — root@bigip1

tmsh

# Masuk ke Traffic Management Shell

tmsh — root@bigip1

list ltm pool

# Menampilkan seluruh pool beserta member-nya

create ltm pool pool_web members add { 10.10.10.11:80 } monitor http

# Membuat pool baru

modify ltm pool pool_web load-balancing-mode ratio-member

# Mengubah metode load balancing pool

show ltm pool pool_web members

# Melihat status tiap member

delete ltm pool pool_web

# Menghapus pool

show sys failover

# Melihat status Active/Standby unit

run util bash

# Berpindah ke shell bash untuk utilitas sistem

save sys config

# Menyimpan konfigurasi ke disk

Utilitas di shell bash

bash — root@bigip1

curl -sku admin:<password> https://localhost/mgmt/tm/ltm/pool

# Membaca daftar pool lewat iControl REST

tcpdump -ni 0.0 host 10.10.20.100 -w /var/tmp/vs.pcap

# Menangkap traffic virtual server untuk dianalisis

cat /var/log/ltm

# Membaca log LTM (status monitor, pool member naik/turun)

Topik 13 dari 15

13Monitoring, Logging & Troubleshooting#

13.1Alat Bantu Bawaan#

Perangkat bantu operasional

Alat	Lokasi	Dipakai Untuk
Log files	System >> Logs	Melihat kejadian sistem, LTM, audit konfigurasi
Statistics	Statistics >> Module Statistics	Jumlah koneksi & throughput per virtual server, pool, node
Dashboard	Statistics >> Dashboard	Pemantauan realtime CPU, memori, throughput, koneksi
Analytics (AVR)	Statistics >> Analytics	Visibilitas layer 7: response time, URL terpopuler, kode error
Network Map	Local Traffic >> Network Map	Melihat status seluruh objek dalam satu layar
qkview	System >> Support	Mengumpulkan seluruh konfigurasi & log untuk dianalisis
tcpdump	Shell bash	Menangkap paket di interface atau VLAN tertentu
BIG-IQ	Perangkat terpisah	Manajemen terpusat banyak BIG-IP: konfigurasi, lisensi, laporan

13.2qkview & iHealth#

Definisi

qkview: berkas diagnostik berisi konfigurasi lengkap, log, dan data sistem BIG-IP pada satu titik waktu
iHealth: portal F5 tempat qkview diunggah untuk dianalisis otomatis — menghasilkan daftar temuan, bug yang relevan, dan rekomendasi perbaikan

Catatan

Kegunaan praktis: qkview + iHealth adalah hal pertama yang diminta F5 Support saat membuka kasus
Perhatian data: qkview berisi informasi sensitif, jadi unggahannya melalui akun resmi dan jangan disebar sembarangan

Membuat dan menganalisis qkview

System › Support

Membuka halaman pembuatan qkview

QKView › Generate

Membuat berkas diagnostik (butuh beberapa menit)

Download qkview

Mengunduh berkas ke komputer administrator

ihealth.f5.com › Upload

Mengunggah untuk dianalisis dan mendapat rekomendasi

13.3Alur Troubleshooting Umum#

Urutan pemeriksaan saat layanan bermasalah

Lihat Network Map

Menemukan objek mana yang merah/kuning lebih dulu

Cek status pool member & monitor

Monitor gagal adalah penyebab paling umum virtual server offline

Cek self IP, VLAN, dan route

Memastikan BIG-IP punya jalur ke server dan ke client

Cek SNAT & gateway server

Masalah jalur balik muncul sebagai koneksi yang menggantung, bukan error langsung

Baca /var/log/ltm

Melihat catatan monitor menaikkan/menurunkan member

tcpdump di sisi client dan sisi server

Memastikan di titik mana paket berhenti

Topik 14 dari 15

14Maintenance: Backup, Update & Keamanan Management#

14.1Backup (UCS & SCF)#

Definisi

UCS: User Configuration Set, arsip backup lengkap berisi konfigurasi, sertifikat, kunci, dan lisensi milik satu unit
SCF: Single Configuration File, ekspor konfigurasi dalam bentuk teks yang bisa dipakai sebagai template untuk perangkat lain

Catatan

Kapan backup: sebelum setiap perubahan besar, terutama sebelum update software
Simpan di luar perangkat: unduh UCS ke penyimpanan lain — backup yang hanya ada di perangkat yang rusak tidak ada gunanya
Perhatian restore: UCS mengandung informasi khusus perangkat (termasuk lisensi), jadi restore ke unit berbeda butuh opsi khusus

Backup lewat tmsh

bash — root@bigip1

tmsh save sys ucs /var/local/ucs/backup-$(date +%Y%m%d).ucs

# Membuat berkas UCS dari CLI

tmsh save sys config file /var/tmp/config.scf

# Mengekspor konfigurasi sebagai SCF

tmsh load sys ucs backup-20250820.ucs

# Memulihkan konfigurasi dari UCS

Backup lewat GUI

System › Archives › Create

Membuat UCS lewat GUI dan memberi nama arsip

Download

Mengunduh arsip ke luar perangkat

14.2Update & Upgrade#

Definisi

Boot location (volume): BIG-IP punya beberapa slot sistem — software baru dipasang ke slot tidak aktif sehingga versi lama tetap utuh sebagai jalan mundur
Hotfix: perbaikan kumulatif di atas satu versi dasar; image dan hotfix dipasang ke boot location yang sama

Catatan

Urutan aman: backup dulu, update unit standby lebih dahulu, uji dengan menyerahkan peran Active, baru update unit satunya
Rollback: bila hasil update bermasalah, cukup aktifkan kembali boot location lama lalu reboot
Perhatian versi: config sync antar unit dengan versi berbeda tidak didukung, jadi jangan biarkan pasangan HA lama berbeda versi

Alur update yang aman pada pasangan HA

System › Archives › Create

Backup UCS sebelum apa pun dimulai

System › Software Management › Image List › Import

Mengunggah image/hotfix ke perangkat

Install › pilih boot location tidak aktif

Memasang versi baru tanpa mengganggu versi berjalan

System › Software Management › Boot Locations › Activate

Mengaktifkan slot baru; perangkat reboot ke versi baru

Device Management › Devices › Force to Standby (unit lain)

Memindahkan peran Active ke unit yang sudah di-update untuk diuji

Ulangi langkah 2-4 di unit pasangan

Menyamakan versi seluruh anggota HA

14.3Packet Filter & Remote Management#

Definisi

Packet filter: ACL sederhana di BIG-IP untuk mengizinkan/menolak traffic berdasarkan alamat, protokol, dan VLAN
Unhandled packet action: tindakan bawaan untuk paket yang tidak cocok dengan aturan mana pun (accept, discard, reject)
Exemptions: alamat, VLAN, atau MAC yang dikecualikan sehingga tidak diperiksa packet filter — biasanya jaringan management
Port lockdown: pembatasan akses ke self IP; untuk remote management dari VLAN tertentu, buka hanya port 22 (SSH) dan 443 (GUI) lewat Allow Custom

Catatan

Bukan pengganti firewall: untuk kebijakan L3/L4 yang serius gunakan modul AFM; packet filter cocok untuk pembatasan sederhana

Packet filter dan akses management

Network › Packet Filters › General

Mengaktifkan packet filter dan menentukan unhandled packet action

Exemptions

Mengecualikan traffic management supaya tidak terkunci sendiri

Network › Packet Filters › Rules › Create

Membuat aturan, mis. menolak 10.10.10.92 menuju 10.10.10.188

Network › Self IPs › pilih self IP › Port Lockdown: Allow Custom (22, 443)

Membuka akses management terbatas lewat self IP

Penting

Sebelum mengaktifkan packet filter, pastikan alamat administrator masuk daftar exemption. Aturan yang salah urutan bisa memutus akses GUI/SSH ke perangkat itu sendiri, dan pemulihannya harus lewat console.

Topik 15 dari 15

15BIG-IP DNS (GSLB)#

15.1Dasar DNS#

Definisi

DNS: sistem yang menerjemahkan nama domain menjadi alamat IP, tersusun sebagai hirarki pohon terbalik
Root: puncak hirarki, dilambangkan titik (.), berisi rujukan ke seluruh top level domain
Top Level Domain: tingkat pertama di bawah root seperti com, org, net, dan id
Second Level Domain: nama yang didaftarkan organisasi, misalnya google.com, f5.com, mastersystem.co.id
Subdomain: tingkat di bawah second level domain, misalnya www.google.com atau portal.mastersystem.co.id
Authoritative name server: server yang memegang data resmi sebuah zona dan menjawab pertanyaan tentang zona itu
Local DNS (LDNS): resolver milik ISP atau perusahaan yang melakukan pencarian rekursif atas nama client — inilah alamat yang dilihat BIG-IP DNS, bukan alamat client sebenarnya

Jenis record DNS yang sering ditemui

Record	Isi	Dipakai Untuk
A	Alamat IPv4	Menerjemahkan nama ke IPv4
AAAA	Alamat IPv6	Menerjemahkan nama ke IPv6
CNAME	Nama lain (alias)	Mengarahkan satu nama ke nama lain
NS	Name server zona	Delegasi zona ke server tertentu
SOA	Informasi otoritas zona	Serial, refresh, dan TTL zona
MX	Mail server	Pengiriman email
PTR	Nama dari alamat	Reverse lookup

15.2Cara Kerja & Peran BIG-IP DNS#

Definisi

GSLB: Global Server Load Balancing, membagi beban antar data center dengan cara memberikan jawaban DNS yang berbeda sesuai kondisi

Catatan

Perbedaan dengan LTM: LTM membagi koneksi ke server di dalam satu lokasi, BIG-IP DNS membagi pengguna ke lokasi/virtual server yang berbeda lewat resolusi nama
Cara kerja: BIG-IP DNS menjadi authoritative untuk nama tertentu (wide IP), lalu memilih virtual server terbaik saat menjawab query
TTL kecil: jawaban GSLB memakai TTL pendek supaya perpindahan lokasi cepat terasa saat ada gangguan
Ketergantungan pada LDNS: keputusan topologi dan RTT dihitung terhadap LDNS client, sehingga akurasinya bergantung pada seberapa dekat LDNS dengan pengguna sebenarnya

Alur resolusi lewat BIG-IP DNS

Client bertanya www.contoh.com ke LDNS

Client tidak pernah menghubungi BIG-IP DNS secara langsung

LDNS mencari authoritative server (root › TLD › domain)

Proses rekursif standar DNS

Delegasi NS mengarah ke listener BIG-IP DNS

BIG-IP DNS menjadi authoritative untuk wide IP tersebut

BIG-IP DNS memilih pool & virtual server terbaik

Berdasarkan status monitor, metode load balancing, dan topologi

Jawaban A record dikirim ke LDNS › client

Client lalu menghubungi virtual server LTM di data center terpilih

15.3Komponen GSLB#

Definisi

Listener: alamat IP tempat BIG-IP DNS mendengarkan query DNS pada port 53 (TCP dan UDP) — biasanya memakai self IP external
Data Center: representasi lokasi fisik; seluruh server dan link dikelompokkan berdasarkan data center-nya
Server: objek yang mewakili perangkat penyedia layanan (BIG-IP LTM lain, atau server generik) beserta daftar virtual server-nya
Link: koneksi ke ISP dari sebuah data center, dipakai untuk perhitungan ketersediaan dan biaya jalur
Pool (GSLB): kumpulan virtual server dari satu atau beberapa data center yang melayani nama yang sama
Wide IP: nama domain yang dikelola BIG-IP DNS (mis. www.contoh.com) beserta pool-pool yang melayaninya
big3d & iQuery: agen di tiap BIG-IP yang mengirim status virtual server dan metrik ke BIG-IP DNS lewat kanal terenkripsi iQuery di port 4353
Prober pool: kumpulan perangkat yang ditugaskan melakukan monitoring terhadap server GSLB

Padanan objek GSLB dengan LTM

Objek	Analogi di LTM	Isi
Data Center	—	Lokasi: server, link, dan prober di dalamnya
Server	Perangkat/host	BIG-IP LTM atau server generik + daftar virtual server
Virtual Server (GSLB)	Virtual server LTM	Alamat layanan nyata yang akan dijawab ke client
Pool (GSLB)	Pool LTM	Kumpulan virtual server + metode load balancing
Wide IP	Virtual server (titik masuk)	Nama domain + pool yang melayaninya

15.4Konfigurasi BIG-IP DNS#

Urutan konfigurasi GSLB dari nol

Network › VLANs (ISP1, ISP2, Internal)

Menyiapkan VLAN sesuai jalur ISP dan jaringan internal

Network › Self IPs

Memberi alamat BIG-IP di tiap VLAN

DNS › Delivery › Listeners › GTM Listeners › Create

Membuat listener (alamat DNS) dengan protokol TCP dan UDP

DNS › GSLB › Data Centers › Create

Mendefinisikan lokasi data center beserta namanya

DNS › GSLB › Links › Create

Mendaftarkan link ISP: nama, alamat gateway router, dan data center-nya

DNS › GSLB › Servers › Server List › Create

Mendaftarkan server: product, address, data center, health monitor (mis. tcp/bigip)

Server › Virtual Servers › Add

Menambahkan alamat virtual server dari LTM ke objek server

DNS › GSLB › Pools › Pool List › Create

Membuat pool tipe A dan memasukkan virtual server yang tadi didaftarkan

DNS › GSLB › Wide IPs › Wide IP List › Create

Membuat wide IP: nama = domain yang dilayani, tipe A, lalu pasang pool

Uji dengan nslookup/dig ke listener

Memastikan jawaban berubah sesuai kondisi pool

Verifikasi dari CLI

bash — root@bigip1

tmsh list gtm wideip a

# Melihat seluruh wide IP tipe A beserta pool-nya

tmsh show gtm pool a pool_www

# Melihat status virtual server anggota pool GSLB

tmsh show gtm server server_ltm1

# Memastikan komunikasi iQuery ke BIG-IP LTM sehat

dig @10.10.20.53 www.contoh.com

# Menguji jawaban langsung dari listener BIG-IP DNS

15.5Metode Load Balancing GSLB#

Definisi

Global Availability: selalu memilih virtual server pertama dalam daftar yang statusnya up — pola active/standby antar data center
Topology: memilih berdasarkan kedekatan geografis/region antara LDNS dan data center, memakai topology records
Round Trip Time: memilih data center dengan waktu tempuh terendah dari LDNS
Ratio & Round Robin: pembagian proporsional atau merata antar data center
Virtual Server Capacity: memilih berdasarkan kapasitas/jumlah member yang tersedia di tiap virtual server
Static Persist: menjamin LDNS yang sama selalu mendapat jawaban yang sama selama masih valid

Catatan

Preferred, Alternate, Fallback: tiap pool GSLB punya tiga tingkat metode — bila metode utama tidak menghasilkan jawaban, BIG-IP DNS turun ke metode berikutnya

Metode load balancing di level pool GSLB

Metode	Dasar Pemilihan	Kasus Pemakaian
Global Availability	Urutan daftar + status up	Data center utama dan cadangan
Round Robin	Bergiliran	Dua data center setara
Ratio	Bobot manual	Kapasitas data center berbeda
Topology	Region/negara LDNS	Mengarahkan pengguna ke lokasi terdekat
Round Trip Time	Latensi terukur ke LDNS	Optimasi performa dinamis
VS Capacity	Kapasitas virtual server	Beban dibagi sesuai kemampuan nyata
Static Persist	Hash alamat LDNS	Menjaga konsistensi jawaban

Penting

Wide IP juga punya metode load balancing tersendiri untuk memilih ANTAR pool (mis. Global Availability), sedangkan metode di dalam pool memilih virtual server. Dua level ini sering tertukar saat troubleshooting jawaban yang tidak sesuai harapan.

15.6Integrasi dengan LTM & Delegasi Domain#

Definisi

DNS Express: fitur BIG-IP DNS yang menyimpan zona hasil transfer dari server DNS utama di memori dan menjawabnya dengan sangat cepat, sekaligus melindungi server asli
DNS Cache & DNSSEC: BIG-IP DNS bisa berperan sebagai resolver cache dan menandatangani jawaban secara DNSSEC di jalur GSLB
Sync group GSLB: beberapa BIG-IP DNS dapat dikelompokkan agar konfigurasi wide IP dan data center-nya selalu identik

Catatan

Sinkronisasi status: BIG-IP DNS mengetahui status virtual server LTM lewat iQuery, sehingga wide IP tidak akan menjawab alamat yang pool LTM-nya sedang down
Device trust GSLB: BIG-IP LTM harus ditambahkan sebagai objek server dan saling bertukar sertifikat (bigip_add) agar iQuery terbentuk
Delegasi: agar BIG-IP DNS benar-benar dipakai, zona induk harus mendelegasikan nama tersebut lewat record NS ke listener BIG-IP DNS

Penting

Kalau semua objek GSLB hijau tetapi client tetap mendapat alamat lama, periksa dua hal sebelum yang lain: TTL jawaban sebelumnya yang masih disimpan LDNS, dan apakah delegasi NS di zona induk memang sudah mengarah ke listener BIG-IP DNS.