F5 BIG-IP 21.0 发布 - 多云安全和应用交付

请访问原文链接：F5 BIG-IP 21.0 发布 - 多云安全和应用交付 查看最新版。原创作品，转载请保留出处。

作者主页：sysin.org

BIG-IP 是一套由硬件平台和软件解决方案组成的产品组合，旨在提供以安全性、可靠性和性能为核心的服务（sysin）。

BIG-IP 软件产品是运行于 F5 Traffic Management Operating System®（TMOS）之上的授权模块。

BIG-IP 产品概述

详见：F5 BIG-IP 下载汇总 - 业界领先的应用交付与安全服务

BIG-IP

F5’s growing portfolio of products that provide the availability, performance, and security you need

• BIG-IP Access Policy Manager (APM)

  Secures, simplifies, and protects user access to apps and data

• BIG-IP Advanced Firewall Manager (AFM)

  Protects your network against incoming threats, including complex DDOS attacks

• BIG-IP Advanced WAF

  Protects apps with behavioral analytics, bot defense, and app-layer encryption

• BIG-IP Carrier-Grade NAT (CGNAT)

  Fast, scalable, and secure IPv4/IPv6 IP address management as part of a suite of consolidated functions

• BIG-IP DNS

  Provides hyperscale and security during high query volumes and DNS DDoS attacks

• BIG-IP Local Traffic Manager (LTM)

  Manages network traffic so applications are always fast, available, and secure

• BIG-IP Policy Enforcement Manager (PEM)

  Improves network performance through effective policy management

• BIG-IP Service Proxy for Kubernetes

  Gives multi-protocol ingress/egress signaling control, security, and visibility for cloud-native 5G

• BIG-IP SSL Orchestrator

  Maximizes infrastructure efficiencies and security with encryption/decryption and traffic steering

• Container Ingress Services

  Provides automation, orchestration, and networking services for container deployments

BIG-IP Deployment

Deploy your applications on-premises, in the cloud, or both.

• BIG-IP iSeries Appliances

  Programmable ADC appliances with L4 and L7 throughput and connection rates

• BIG-IP VIPRION Chassis and Blades

  Extends your infrastructure by adding blades without disrupting apps or users (sysin)

• BIG-IP Virtual Edition

  Software-based traffic management, app security, and visibility

• Cloud-Native Network Functions

  Cloud-native solutions that help you transition to cloud and 5G

• F5 rSeries

  A fully automatable architecture, and the highest reliability, security and access control for your critical applications.

• VELOS Chassis and Blades

  Gives you the agility and scale of modern architectures

BIG-IP 软件支持策略

Major Release and Long-Term Stability Release versions supported with active software development

Note: EoTS and EoSD will occur on the same date, unless specified otherwise (sysin).

新增功能

BIG-IP 版本 21.0.0 中的新增功能

通用

✅ 控制平面性能和可扩展性改进

BIG-IP 21.0.0 版本对 BIG-IP 控制平面进行了重大改进，包括更好的可扩展性和对大规模配置的支持。以下是 BIG-IP 配置的推荐控制平面扩展指南：

BIGd Monitors 数量：

• BIGd 监控数量应限制在 5,000 个或更少。
• 如果数量超过 5,000 个，建议使用 In-TMM Monitors，并遵循以下指南：
  • 配置后最多支持 25,000 个 In-TMM Monitors。
  • 将 extraMB 设置为 8GB，以支持最多 25,000 个 Monitors。

推荐的对象总数限制：

• 系统管理的对象总数在 LTM 应用中限制为 30,000 个。
• 具体对象限制包括 (sysin)：
  • Virtual Servers（VS）：≤ 10,000
  • Pools：≤ 10,000
  • Nodes：≤ 25,000
  • Pool Members：≤ 25,000
  • iRules：≤ 1,000
  • SNAT：≤ 10,000
  • In-TMM Monitors：≤ 25,000
  • BIGd Monitors：≤ 5,000

从 21.0.0 版本开始，一些应用程序运行 64 位二进制文件，因此与上一版本的 32 位架构相比，这些应用程序的常驻内存占用增加。如果升级后可用内存不足，可使用命令 “tmsh modify sys db provision.extramb value <以 MB 为单位的值>” 增加主机内存，以避免某些进程因内存不足而重启。

✅ 增强的配置持久性

以前，只有运行 save sys config 后的配置更改才会被保留 (sysin)。如果 mcpd 进程在保存前重启，系统会恢复为上一次存储的配置，可能导致更改丢失。引入配置持久性后，任何已提交的更改在 mcpd 重启后仍然有效，提高了可靠性并减少重新加载配置的需求。

新增数据库变量：

• dbconfig.reset = false（默认）：未保存的配置更改在 mcpd 重启后仍保留。
• dbconfig.reset = true：系统恢复为之前行为，从 conf 文件加载配置，未保存的配置将丢失。

默认情况下，该功能会在系统重启后保留未保存的更改，简化工作流程并防止意外丢失配置。

✅ 引入自定义 F5 CA 证书包

BIG-IP 现在使用自定义 F5 CA 证书包，而不仅依赖 Entrust CA，以确保在 Entrust CA 证书于 2026 年 2 月到期后仍可访问 F5 服务。

✅ 控制平面可扩展性：MCPD 多线程

MCPD 已增强以支持多线程请求处理，消除了之前单线程设计的顺序瓶颈。启用多线程后：

• 控制平面可扩展性显著提高。
• 配置和系统请求（如 SNMP 或 tmstats 状态查询）可由不同的 MCPD 工作线程并行处理，提高整体响应速度。
• 控制平面性能更快 (sysin)。

使用以下命令配置 MCPD 工作线程数量：tmsh modify sys db mcpd.workerthreads value <工作线程数量>

注意：默认情况下，MCPD 使用 1 个工作线程处理请求，可配置范围为 0 到 4。设置为 0 将禁用额外线程，使 MCPD 回到早期的单线程模式。

注意：不支持同时进行配置创建、更新和删除操作，这些操作将顺序处理。只有查询和统计请求可与这些配置操作并行处理。

✅ iRules LX 的 Node.js 版本

从 BIG-IP 21.1 开始，iRules LX 不再支持 Node.js v0.12。如果现有 iRules LX 工作区依赖 v0.12，需要将其更新为 Node.js v6 作为临时方案，直到平台采用 Rocky Linux（将包含更新版本的 Node.js）。

LTM 新功能

BIG-IP 21.0.0 引入以下 LTM 新功能：

✅ TMOS 中的 Model Context Protocol 支持

引入 Model Context Protocol (MCP) 以增强使用大型语言模型（LLM）的 AI 应用，通过提供结构化的模型与外部系统的连接方式，弥补内置内存和实时感知能力的不足，使 AI 系统能够处理会话上下文、执行实时任务并提供更连贯的交互。

✅ TCP 和 Client SSL 的默认 S3 配置文件

引入 TCP 和 Client SSL 的默认 S3 配置文件 (sysin)，以通过预配置设置优化 S3 工作负载部署，包括增强的缓冲管理、优化的拥塞控制、高效的 SSL 会话处理和高吞吐量数据传输。这些配置文件支持一键集成、简化配置并最大化 S3 工作负载的性能和可扩展性。

APM 新功能

BIG-IP 21.0.0 引入以下 APM 新功能：

✅ 锁定客户端模式的扩展排除项支持

此前，锁定客户端模式最多允许 10 个排除项，该限制现已取消，现在可添加超过 10 个排除项。

✅ OAuth 授权服务器的最大 claims 数据支持

默认最大 claims 数据大小为 8KB，但较大的 claims 可能导致过度的内存消耗。必须根据 claims 配置动态分配适当的内存。

DNS 新功能

BIG-IP 21.0.0 引入以下 DNS 新功能：

✅ Unbound 升级至 1.23.1 版本

Unbound DNS 解析器已升级至 1.23.1，包含最新修复和改进。

✅ DNS64 NXDomain 处理的新数据库变量

新增数据库变量 DNS.DNS64NXDomainAsNoError，用于控制 DNS64 如何处理 AAAA NXDomain 响应。启用该变量时，NXDomain 错误将视为 NoError，系统会继续发送 A 记录查询；禁用（默认）时，BIG-IP 遵循 RFC 6147 行为 (sysin)，立即将 NXDomain 错误返回客户端。

✅ DNS 转发的扩展 DNS 错误（EDE）支持

BIG-IP 现在可以在作为 DNS 转发器时处理并返回来自上游 DNS 服务器的扩展 DNS 错误（EDE）。该功能默认禁用，可通过以下 DB 变量启用：

1
2
3

sys db dns.forwardextendeddnserrorcode {
 value "enable"
 }

为防止因 EDE 文本字段过长导致 DNS 消息被截断，返回的 EDE 文本被限制为 64 字节。

下载地址

BIG-IP 21.0.0, Release date - Nov 04, 2025

BIG-IP 21.0.0_Virtual-Edition, Release date - Nov 04, 2025

相关产品：F5 产品下载汇总 - 多云安全和应用交付

更多：HTTP 协议与安全

• ← Previous Post
• Next Post →

赞 支付宝赞赏 微信赞赏

赞赏一下