在最近一場 Technical Kemping 網路研討會中，我說明了擁有 25 年歷史且日益成熟的 Progress® Kemp® LoadMaster® 解決方案，如何透過經過實戰驗證的產品能力，協助各種規模的組織保護業務應用程式。

我也說明了 LoadMaster 安全性功能的價值來自其可靠性，這歸功於經過長期驗證的程式碼；同時，LoadMaster 讓資安團隊與系統管理員能夠採用分層方式部署安全性功能，協助現代應用程式具備所需的安全防護。

這場網路研討會可透過下方連結隨選觀看，內容涵蓋 LoadMaster 解決方案的歷史、核心負載平衡概念、內建於 LoadMaster 的安全性堆疊、備援選項，並包含從零開始部署全新高可用性（HA）配對的現場示範。以下將進一步說明這些主題。

Progress 是誰？LoadMaster 產品為何成本較低？

Progress 是一家長期經營且在 NASDAQ 上市的 IT 公司，擁有廣泛的產品組合，包括 Progress Chef DevOps 平台、LoadMaster 解決方案與 Progress Flowmon 安全性軟體等基礎架構產品，同時也設有獨立的數位體驗（DX）與應用程式體驗（AX）事業線。許多人在不知情的情況下，日常使用著由 Progress 建構的技術。

LoadMaster 平台提供多種部署選項，包括虛擬、硬體與雲端部署。由於該解決方案專注於安全地平衡應用程式流量，因此相較於經常以非核心功能墊高成本的競爭產品，LoadMaster 解決方案具備更佳的價格／吞吐量比。

產品長期以來的設計目標始終一致：提供隱形科技，創造可見影響。組織只需設定一次 LoadMaster 產品，之後多年便能以極少的介入持續運作。

伺服器負載平衡與全球伺服器負載平衡

伺服器負載平衡部署通常會在應用程式伺服器前方扮演反向代理的角色，處理存取、驗證、可用性、擴充性與韌性。LoadMaster 負載平衡器會判斷用戶端流量應前往何處，持續監控伺服器運作狀態；當伺服器故障或忙碌時，會重新導向流量，並可透過卸載 TLS/SSL 加密處理，減輕應用程式伺服器的負擔。

全球伺服器負載平衡（GSLB）將負載平衡概念延伸至地理位置分散的站點，無論是位於不同城市的資料中心，或是同一校園網路中的兩個 LoadMaster 部署。GSLB 在 DNS 層級運作，但功能不僅止於標準 DNS 伺服器備援。例如，負載平衡解決方案不會回傳靜態目標清單，而是會在完成存取要求前，先對每個目的地執行健康檢查，並可根據用戶端子網路套用路由規則。

安全性功能：層層堆疊的洋蔥模型

在網路研討會中，我以「洋蔥模型」來說明 LoadMaster 的安全性功能。這個概念認為，沒有任何單一控制措施能阻擋所有攻擊，因此目標是在用戶端與應用程式之間加入盡可能多的防禦層。

各層防護依序如下：

⁃ 具備 IP 信譽封鎖功能的 GSLB，可阻止已知的惡意行為者取得 DNS 查詢記錄。

⁃ 具備 IP 封鎖功能的 Web Application Firewall（WAF），可攔截通過第一層防護的流量。

⁃ 核心 WAF 規則會檢查流量中的已知威脅與其他模式，當發現可疑行為時便中斷連線。

⁃ 預先驗證會阻擋無法提供已知存取憑證的使用者。它可透過 LDAP、RADIUS、OIDC 或 SAML，對本機或雲端身分識別提供者執行驗證。

⁃ LoadMaster 內容規則可加入更細緻的條件，例如要求使用者來自特定子網路，且屬於特定使用者群組，才能存取指定目的地。

⁃ 速率限制可針對每部伺服器、每項虛擬服務或全域限制連線數，防範洪水攻擊。不過，仍建議搭配專用的上游網路型 DDoS 防護。

綜合使用這些層次後，便能建立我們所稱的零信任存取閘道，而且完全由現有的 LoadMaster 功能打造。

WAF：第二層防護，而非防火牆替代品

LoadMaster WAF 採用與 Amazon 和 Google 使用的 WAF 引擎相同的核心規則集，可防護 OWASP Top 10。需要明確說明的是，WAF 的功能範圍並非用來取代邊界防火牆。WAF 會檢查 HTTP 與 HTTPS 流量，適用於邊界防火牆允許 HTTP／HTTPS 流量通過，卻未檢查封包內容是否包含注入攻擊或其他威脅的環境。WAF 會依據規則集檢查流量，若任何內容超過設定的威脅門檻，便會中斷連線。

內容規則、存取控制與備援

內容規則可讓管理員根據目錄、主機名稱、通訊協定、標頭或來源 IP 來路由存取流量。這些規則也能重寫 URL 與主機標頭，以及修改要求與回應的內容。我示範了幾個具體的安全性使用情境，包括直接封鎖特定來源子網路，以及封鎖包含已知漏洞利用程式相關 Cookie 的流量。

⁃ 高可用性（HA） – 由主動／被動配對組成，並支援雙向組態同步。這仍是標準且最廣泛使用的設定方式。

⁃ GSLB 負載平衡 – 可跨多個站點採用主動／被動或主動／主動架構，只同步 DNS 解析與健康檢查資料，而非完整組態。LoadMaster GSLB 也能以獨立產品 GEO 的形式提供。

請注意，我在本次課程中提到的先前可用叢集備援選項，已於 2026 年 7 月 1 日停止支援。若要了解原因與可用選項，請參閱這篇說明文章。

其他值得注意的功能

網路研討會中也提到幾項其他值得關注的 LoadMaster 功能：

⁃ Automated Certificate Management Environment（ACME）支援，可透過 Let’s Encrypt 或 DigiCert自動更新憑證。隨著標準制定機構縮短憑證有效期限，這項功能格外及時。Certificate Authority/Browser Forum 已同意在 2029 年 3 月前，將 TLS/SSL 憑證有效期限縮短至 47 天。所有主要瀏覽器供應商與其他相關團體都支持這項逐步縮短憑證有效期限的計畫。

⁃ Kubernetes ingress controller 功能可讓 LoadMaster 隨著 Pod 擴充，自動調整虛擬服務規模，並在 Kubernetes 工作負載前方套用相同的 WAF、速率限制與預先驗證控制措施。

⁃ 網路遙測功能可讓 LoadMaster 解決方案扮演探針角色，並以 IPFIX 格式將流量資料匯出至Flowmon 網路可觀測性平台或其他類似解決方案。

LoadMaster 360：集中式可視性

LoadMaster 360 可在單一儀表板中，呈現整個 LoadMaster 環境的檢視畫面，無論部署位置是在地端、雲端或混合環境。它會彙整並顯示應用程式狀態、憑證到期資訊（包括中繼憑證與根憑證）、應用程式交付事件、驗證歷程資料，以及進階 WAF 活動，包括最常觸發的規則與遭封鎖的要求數量。

我們正積極擴充 LoadMaster 360 平台，計畫集中管理 ACME 憑證，讓管理員只需推送一次，就能更新多個 LoadMaster 執行個體上的憑證。

示範內容

我在網路研討會最後以現場操作方式建置新的 HA 配對，內容涵蓋授權、主機名稱變更、時區與 NTP 設定、網路設定、將 SSH 存取限制在單一介面、以 LDAP 為基礎的管理員驗證，以及透過共用虛擬 IP 建立 HA 配對。接著，我建立虛擬服務、套用 TLS/SSL 卸載並即時啟用 WAF，示範個別規則觸發時如何累積分數，直到達到可設定的門檻後封鎖要求。

重點摘要

LoadMaster 的 USP 始終如一：在不犧牲其 25 年來成為正式環境固定要角之可靠性的前提下，從負載平衡器逐步發展成完整的應用程式交付控制器。WAF、預先驗證與內容規則等安全性功能，不必額外加裝獨立產品，就能提供真正的零信任層；隨著部署環境日益複雜，LoadMaster 360 也能在單一檢視畫面中整合整個 LoadMaster 環境。

準備好親自體驗了嗎？立即申請免費試用：

⁃ 易於部署與設定 – 使用組態範本與部署指南，快速完成啟用。

⁃ 卓越的 24／7 客戶支援 – 試用期間即可完整使用我們享有盛譽的技術支援。

⁃ 平台支援廣泛 – Kemp LoadMaster 支援更多平台，包括硬體、虛擬、雲端或裸機環境。