F5 BIG-IP v21.0：控制平面、AI数据交付与安全增强功能

F5 ADSP | 2025年11月18日

早在20世纪90年代，科技领域便以惊人的速度发展。在数字化转型领域，鲜有创新能像F5 BIG-IP这样意义深远。它不仅是一款产品，更是行业先驱，塑造并定义了我们今天所熟知的应用交付控制器（ADC）市场。近30年后的今天，BIG-IP已成为F5 Application Delivery and Security Platform (ADSP)的基石，充分体现了它在不断变化的技术环境中的适应能力和持久价值。

如今，变化的步伐仍在加快。AI的兴起、量子计算日益显现的潜力，以及网络威胁的持续演变，意味着应用交付和安全解决方案需要比以往更智能、更快速、更安全。这些趋势清楚地表明，适应能力不可或缺，而非锦上添花。近30年来，BIG-IP始终秉持创新与韧性的理念，并将在未来继续发扬这些特质。

基于这一思路，许多人可能已经了解到F5近期决定停止提供BIG-IP Next，并重新聚焦于BIG-IP TMOS软件套件的现代化。这项决定源于广泛的客户反馈，以及F5认识到，最初为BIG-IP Next规划的许多增强功能如今可以在BIG-IP TMOS中实现。这些增强功能与面向不断演变的技术环境而设计的创新功能相结合，将确保BIG-IP在下一个应用时代持续支持关键任务工作负载。

随着F5 BIG-IP v21.0于今日正式推出，这一新篇章由此开启。此更新旨在改进控制平面、增强AI数据交付并强化安全性。本篇博客将介绍这一重要版本值得期待的内容。下面进入正题。

BIG-IP控制平面现代化

可以将控制平面视为BIG-IP的中央指挥中心，负责制定关键决策、管理系统配置并支持管理操作。近年来，应用生态系统日益动态且规模不断扩大，给BIG-IP控制平面带来了更大压力，因此，升级控制平面成为BIG-IP Next计划的一项关键目标。不过，随着BIG-IP Next停止开发，后续版本的重点已转向BIG-IP TMOS控制平面的现代化改造。在BIG-IP v21.0中，两个控制平面组件，即主控制程序守护进程（通常称为MCPD）和eXtremeDB，将迎来重大改进，以提升控制平面的可靠性、扩展能力和性能。

1. MCPD：MCPD实际上相当于BIG-IP的大脑，负责管理配置并协调不同BIG-IP组件之间的通信。可以将MCPD比作机场的空中交通管制员。空中交通管制员负责协调飞机的起飞、降落和滑行；同样，MCPD负责协调BIG-IP系统内的所有组件，确保配置更改和系统命令得到一致应用，并高效处理流量。

在BIG-IP v21.0中，MCPD将从单线程转为多线程，使其能够并发而非依次处理某些任务，从而降低高需求场景下出现控制平面瓶颈的可能性。此外，我们还将简化并加快MCPD的重启流程，帮助减少系统重启时的停机时间。最后，我们将端到端配置验证时间缩短最多25%。该时间是指从收到配置更改请求到向用户返回验证响应所需的时间。这有助于在高度动态的环境中快速更新配置。

2. eXtremeDB：如果说MCPD像机场的空中交通管制员，那么数据库管理系统eXtremeDB就像控制塔的航班信息系统，负责跟踪飞机的位置、航线和时刻表等信息。对于BIG-IP，eXtremeDB是一个高速的集中式存储库，用于存储所有配置和系统状态信息，使控制平面能够实时访问最新数据。

在BIG-IP v21.0中，eXtremeDB将升级至8.4版，从而支持多项新功能。多线程可提升控制平面性能，而SharedDB模式（允许多个进程并发访问相同资源）则可提高效率。此次升级将eXtremeDB从32位架构迁移至64位架构，可显著扩大配置对象的规模，并增强BIG-IP控制平面对更大规模、更复杂配置的支持能力。无论是管理数千台虚拟服务器、数千项安全策略，还是数千项高级负载均衡配置，升级至eXtremeDB v8.4都能让BIG-IP继续满足不断扩大的应用组合所带来的需求。

AI数据交付方面的改进

在进一步介绍之前，先说明一下AI数据交付的含义。AI数据交付是指高效移动、存储和访问数据，为AI工作负载提供支持，确保无论是将数据摄取到系统中，还是将其交付给AI模型训练、微调或检索增强生成（RAG）工作流，都能提供适当的数据，并满足可扩展性和就绪要求。这正是BIG-IP所擅长的用例。如今，96%的组织都在部署AI模型，因此，优化AI数据交付并尽可能实现无缝交付，是F5的重点任务。

接下来，我们来看看BIG-IP v21.0即将推出的几项增强功能，它们将进一步提升AI数据交付能力：

1．支持模型上下文协议（MCP）： MCP是一种相对较新的开放协议，用于规范应用和数据源与AI模型的交互方式。可以将其视为AI领域的USB-C：一种通用的即插即用连接器，无需在每个工具、应用和数据源之间分别构建自定义连接。简而言之，MCP采用客户端—服务器模型，MCP客户端（AI应用）可以向MCP服务器请求文件、提示词或操作等上下文，而MCP服务器则提供对底层数据源的访问。

通过支持MCP，BIG-IP可以更轻松地对AI流量进行负载均衡、优化和安全防护，从而帮助降低延迟并增强AI模型的韧性。BIG-IP v21.0将支持首批MCP流量管理用例，其他功能（包括安全能力）将在未来版本中推出。

F5 BIG-IP可优化并保护AI工作负载的S3数据流入和流出。

2．S3专用BIG-IP配置文件的可用性： 对于许多组织而言，Amazon S3和S3兼容存储解决方案（如MinIO、Dell、DDN、PureStorage和NetApp）已成为管理海量数据集、支持AI应用及其他数据密集型应用的关键工具。随着这些工作负载的规模不断扩大，在S3存储中高效、可靠且安全地传输数据变得愈发重要，而这正是BIG-IP的优势所在。

BIG-IP已是该领域广受信赖的解决方案，可确保高性能数据交付，检查S3流量以检测并阻止未经授权的访问，保护与S3交互的应用和API，并提供深入的S3流量洞察，从而简化故障排除并改善决策。

从21.0版本开始，BIG-IP将推出针对S3优化的配置文件，在充分提升性能和安全性的同时简化S3配置。这些预配置且可用于生产环境的配置文件可改善S3数据的入站和出站传输，并将包含强大的安全策略，以防止未经授权的访问并缓解威胁。与默认BIG-IP配置文件相比，这些针对S3优化的新配置文件可显著提高吞吐量，让AI模型以更高容量运行。

如需进一步了解BIG-IP如何优化S3性能并保护AI数据管道，请参阅这篇技术深度解析。

F5 BIG-IP可优化并保护AI工作负载的S3数据流入和流出。

F5 BIG-IP SSL Orchestrator增强功能

F5 BIG-IP SSL Orchestrator (https://www.f5.com/products/big-ip-services/ssl-orchestrator) 在现代安全架构中发挥着日益关键的作用，可高效解密、编排和重新加密TLS/SSL流量，从而增强组织的防御能力。通过与安全服务链无缝集成，它能够大规模开展深度流量检查，帮助发现隐藏威胁，并为应用和网络提供全面保护。BIG-IP SSL Orchestrator于2016年首次推出，作为备受信赖的安全解决方案，即将迎来成功应用的第10年。BIG-IP v21.0版本又新增了两项功能：

1. 双服务iRules增强检查服务：

对于依靠BIG-IP SSL Orchestrator简化安全工作流的企业，通过iRules扩充标头是支持所连接的安全工具进行更深入流量检查的关键环节。然而，此前一直没有简便的方法可在检查后移除这些扩充的标头。如果保留这些标头，可能会泄露敏感信息、违反合规标准或干扰下游操作，因此一些用户不得不编写自定义脚本来移除它们。

不过，双服务iRules的引入将改变这一局面。它提供内置的标头注入和移除功能，既能确保检查服务获得所需的增强数据，又能让下游流量保持无多余标头并符合合规要求，无需再采用容易出错的自定义变通方案。

2. 保留客户端SNI可增强连接安全性：

服务器名称指示（SNI）在TLS握手中至关重要，有助于将流量定向到正确的应用或主机名。如果缺少SNI，后端系统将无法执行基于SNI的任务，导致应用专属路由、安全策略和决策工作流中断。此前，在入站网关模式下运行时，BIG-IP SSL Orchestrator代理客户端连接时不会保留SNI，只能通过自定义iRules或配置来解决。

不过，在BIG-IP v21,0中，默认启用SNI保留功能。这项开箱即用的功能可将客户端连接中的SNI数据无缝传递至后端服务器，从而缩短设置时间，并确保关键后端工作流顺畅、可靠地运行。虽然该功能默认启用，但仍可根据需要使用自定义配置和iRules将其覆盖。

将BIG-IP从Entrust迁移到其他证书颁发机构

Entrust是数字安全领域的先驱之一，但许多主流浏览器即将不再将其列为受信任的证书颁发机构。由于近年来多次未能遵守行业标准，Google Chrome和Mozilla等浏览器已于去年公开表示不再信任Entrust证书。因此，大多数浏览器认为2024年11月12日及之后签发的Entrust证书不安全。

多年来，BIG-IP在连接各种Web服务以进行许可证验证、软件更新和使用情况报告等操作时，一直仅使用Entrust这一家证书颁发机构。但鉴于近期的这些变化，BIG-IP将不再使用Entrust，转而采用DigiCert、Let’s Encrypt等其他广受认可的证书颁发机构。这将确保BIG-IP设备与公共网站之间传输的所有数据均符合加密标准，并在未来持续保持较高的可信度和安全性。此项变更不仅将在BIG-IP v21.0中实施，还将向后移植到BIG-IP v17.1.3和v17.5.1.2。

后续更新：BIG-IP v21.0之后有哪些值得期待的变化

BIG-IP v21.0是我们持续推进BIG-IP现代化进程中的重要一步，但这仅仅是开始。未来版本将延续这一势头，重点改进控制平面，帮助简化严苛环境中的运维工作。

后续增强功能包括加快软件升级、分离控制平面与数据平面，以及更新用户界面。（不用担心，您常用的各种控件和按钮都会保留。）此外，我们正在重新规划BIG-IP路线图，不仅会推出创新功能以应对新出现的挑战，还会纳入许多客户此前为BIG-IP Next提出但尚未实现的功能需求。

在安全方面，F5致力于提高软件质量标准。继F5于10月披露安全事件后，上周F5宣布与CrowdStrike集成，为BIG-IP提供端点威胁检测与响应功能，帮助主动识别和防范恶意活动。BIG-IP v21.0目前尚不支持此功能，但预计很快将提供支持。BIG-IP v21.0是我们迄今安全性更高的版本，CVE总数也降至历来较低水平。该版本修复了自v17.5.0以来的200多个CVE。今后，保持出色的软件质量和安全性仍将是我们的首要任务。

最后，对于希望开始使用BIG-IP v21.0的BIG-IQ用户，BIG-IQ v8.4.1即将发布，并将新增对BIG-IP v21.0的兼容性支持。

要进一步了解BIG-IP v21.0，请务必查看我们的新闻稿和网络研讨会。此外，还可查看发行说明，并从my.f5.com下载软件，亲自试用BIG-IP v21.0。