今天群里正好有人问一个情况，用户的业务并发连接突然飙升，作为部署在敏感位置的F5设备，并没有自动记录连接请求日志的现成功能，若发生这种情况，用户需要知道当时的连接表情况，起码要知道是哪个IP地址发出的大量请求。
创新互联建站主要从事成都做网站、网站设计、网页设计、企业做网站、公司建网站等业务。立足成都服务三元,十多年网站建设经验,价格优惠、服务专业,欢迎来电咨询建站服务:13518219792
F5面对这种情况，基本有2个选择：
1、在VS中关联iRule，记录每次的tcp请求情况，包括请求原地址、源端口、net成内部地址、net成内部端口、分发到哪台服务器等信息。但是记录这些日志非常消耗设备性能，我记的有一个用户就非要做这个，怎么劝都不听，他的设备并发峰值是1200万/s，也就是有可能一瞬间要写入上百万条日志，非要做就做吧，邮件里把事情的情况写明，导致的后果写明，iRule给他，要做就自己做吧。果不其然，真是立竿见影，放上去点了一下“update”，设备宕机了。
2、每隔一段时间去检查一下连接表条目数，如果超过阀值就记录当前的连接表情况，并且根据原地址进行过滤排序。我认为这种方式要好一些，就算你的并发有1200万，我显示连接表，对连接表信息过滤等等操作，也只是相对速度慢了一些，对设备不会造成太大影响。
#!/bin/bash
function define()
{
threshold=20000
log_path=/tmp/f5_conn_log/
user=`whoami`
}
function check()
{
if [ $user != root ];then
echo "Please use root user."
exit 1
fi
if [ ! -d $log_path ];then
mkdir $log_path
fi
}
function gather()
{
while true
do
timestamp=`date +%Y%m%d_%H%M%S`
num_conn=`tmsh show sys connection | wc -l`
if [ $num_conn -gt $threshold ];then
tmsh show sys connection>${log_path}${timestamp}.log
awk -F ':' '{print $1}' ${log_path}${timestamp}.log | sort -nr | uniq -c | sort -nr | head -20 >> ${log_path}${timestamp}_top.log
fi
sleep 300
done
}
function main()
{
define
check
gather
}
main
脚本是个while死循环，使用的时候加上&放到后台，可以设置为开机启动。
每次取到的信息是2个文本文件，一个是完整的连接表，另一个是对连接表进行过滤排序的top20。
[root@F5:Active] f5_conn_log # cat 20160114_164101_top.log 5841 192.168.1.7 1674 192.168.1.104 1462 164.115.20.151 317 192.168.4.110 274 192.168.4.84 258 192.168.1.248 257 192.168.4.13 246 192.168.1.76 214 192.168.1.85 199 192.168.1.146 183 192.168.1.120 169 192.168.1.166 165 192.168.1.134 163 172.18.0.131 161 192.168.1.115 155 100.90.90.150 153 192.168.1.6 148 192.168.100.76 142 172.18.0.107 137 192.168.1.150
