VMware Avi Load Balancer 32.1.3新功能介绍 – 多云负载均衡平台

VMware Avi Load Balancer（原 NSX Advanced Load Balancer，NSX 高级负载均衡器）是 VMware 多云应用交付平台，采用控制面与数据面分离架构，提供 L4-L7 负载均衡、全局流量调度（GSLB）、Web 应用防火墙与容器 Ingress 服务，支持虚拟机、容器与裸金属部署，具备 API 自动化、弹性扩缩、自愈与应用可视化分析能力，适配混合云与 VCF 环境。32.1.3 是 32.1.x 系列的最新补丁版本，本文介绍其主要更新内容。

VMware Avi Load Balancer 功能特色

• 多云负载均衡
  支持全局服务器负载均衡（GSLB）、DNS/IPAM、容器注入服务等功能，可在多云环境中实现应用交付，简化跨云服务部署。
• Web应用防火墙
  提供Web应用防火墙功能，支持SSL卸载、客户端证书认证等安全服务，保障Web应用安全。
• 容器Ingress服务
  优化容器化应用部署，支持Kubernetes等容器化环境，提供网络流量管理和安全防护。
• 弹性扩展与高可用
  采用控制平面与数据平面分离设计，支持Linux服务器云（如OEL 9.5、RHEL 9.5、Ubuntu 22.04），并持续优化性能参数（如引入Intel QuickAssist Technology）。
• 订阅模式与兼容性
  以服务单元计价，可单独采购，无需捆绑其他VMware产品。32.1.3 修复了服务引擎内存压力、证书到期告警、SIP 呼叫建立、LDAPS 健康监控等 56 项问题，并增强了虚拟补丁与证书链管理能力。

VMware Avi Load Balancer 32.1.3 更新内容

发布日期：2026 年 9 月 3 日。本版本在修复问题的同时，带来了负载均衡与安全方面的多项功能增强。

新增功能

• Cloud Connector：在 NSX 云集成中，管理网络现可直接选择已配置的 NSX VPC 子网作为服务引擎管理网络。
• 核心负载均衡：DNS DataScript 支持动态向 DNS 响应中添加自定义 TXT 记录。
• Web 应用防火墙：增强虚拟补丁（Virtual Patching），提供更精简的流程来部署 CVE 签名。
• 安全：支持灵活的证书链（Certificate Chaining），可绕过自动证书链，为叶 SSL/TLS 证书手动定义自定义信任路径。
• VMware Cloud Foundation：自 VCF 9.1.1 与 Avi Load Balancer 32.1.3 起，分布式传输网关（DTGW）模式支持免 TEP（TEP-less）VLAN 连接与 EVPN-VXLAN 连接。

修复问题

• AV-259798：在内存 16 GB 及以上的服务引擎上，因日志代理（log agent）过度占用内存引发内存压力，高流量时可能出现连接中断。
• AV-260602：当虚拟服务同时把 TCP 和 UDP 配置为 L4 协议时，SIP 虚拟服务可能间歇性丢弃呼叫建立消息。
• AV-262293：当默认告警阈值设为 30 天、且上传的 SSL 证书有效期恰好为 30 天时，Avi Load Balancer 不会触发首次 30 天证书到期告警，只有到达下一档（7 天）阈值时才生成告警。
• AV-263400：在已配置接收端缩放（RSS）的 SE 组上，对启用了“VS 关闭时移除监听端口”的 L2 横向扩展虚拟服务，可能因丢包导致连接被终止。
• AV-263462：若在同一次更新中同时配置了某个池和一条使用该池的 L4 策略，创建或更新虚拟服务时可能导致服务引擎故障。
• AV-264189：当虚拟服务中配置了不完整或待处理的 SSL 证书时，Avi 服务引擎会因段错误（SIGSEGV）意外失败。
• AV-264200：对于端口数超过 15 个的虚拟服务，NSX 上不会创建 NSX 分布式防火墙服务。
• AV-264643：当流量规模（打开连接数＋吞吐量）超过服务引擎规格配置时，可能出现 I/O 错误。
• AV-265142：通过 UDP 基于 FQDN 配置的 SE 日志流，在端点 IP 地址变化后无法更新目标 IP。
• AV-265481：使用 UDP 快速路径与直接服务器返回（DSR）的横向扩展 DNS 虚拟服务，可能导致服务引擎故障。
• AV-267222：由于不含选项（零 MSS）的 TCP SYN 报文触发 VMXNET3 驱动停滞，导致 SE 数据面（DP）失败。
• AV-267251：当控制器的管理 IP 配置为 FQDN、且底层 IP 地址发生变化时，重新连接 SE 会导致服务引擎失败。
• AV-267339：当某个池被大量虚拟服务共享时，对池的 PATCH 更新调用会失败，并报错 Cannot change Pool because of referred Virtual Service: Timed out while executing the checks!
• AV-267509：当控制器部署在基于 VM 的环境中时，Linux Service Cloud 环境下的服务引擎升级到 32.1.1 版本不生效。
• AV-267527：在配置 AWS 商业云服务（C2S）或隔离的自定义分区云编排时，Avi 控制器初始化 AWS 云访问失败，报错 Invalid Configuration: Missing Region 等。
• AV-268512：Avi Load Balancer 的自动证书续订只获取叶证书，无法获取或绑定所需的中间证书与根证书。
• AV-269495：对首次不成功的 CONNECT 请求升级连接到隧道后，会导致首个成功连接上的后续 HTTP 处理被跳过。
• AV-269550：已解析的 CNAME 记录被放入 DNS 响应的 Additional 段，而非 Answer 段。
• AV-270367：当具有自定义角色的本地用户启用或禁用非显著性日志时，分配给虚拟服务的 SSL 配置文件与 SSL 证书会自动回退为默认值（默认证书与 system-standard-PFS 配置文件），导致受影响的虚拟服务流量中断。
• AV-270467：Avi Load Balancer 无法为系统默认证书生成到期告警，导致 System-Default-Secure-Channel-Cert 到期，并使服务引擎进入分区（partitioned）状态。
• AV-270473：使用 /api/macro API 端点删除嵌套对象时失败，报错“Cannot delete, object is referred by”，而用 POST 创建同样结构却是成功的。
• AV-271485：对使用直接服务器返回（DSR）的虚拟服务，在流量高峰或服务器状态变化后，打开连接数被错误地报告为过高。
• AV-271697：因界面（UI）中删除选项不可用、CLI 删除又报错 No backup object named backup-uuid，导致无法移除过期的配置备份引用。
• AV-271940：在配备 Intel i40e 网卡的 Linux Server Cloud 服务引擎上，配置巨帧（Jumbo MTU）时可能出现丢包。
• AV-272438：当处理 HTTP 请求时删除配置了 DataScripts 的虚拟服务，可能导致 SE 故障。
• AV-273323：若 Avi 控制器或服务引擎进程被快速连续重启，或从崩溃中恢复，偶尔会无法以正确配置启动。
• AV-273826：当证书包含纯数字的 SAN 标签时，在 Avi Load Balancer 界面中导入或更新 SSL 证书会因 SAN 校验错误而失败。
• AV-276324：由于 InfiniBand 驱动挂接网卡存在延迟，SE 可能无法获取 Mellanox bond 接口用于数据面处理。
• AV-276533：在与证书吊销列表（CRL）交互时，UI 行为不一致：在界面中保存一个已存在的 CRL 文件对象时，若请求正文未变化会返回 400 Bad Request；界面还会错误地显示证书校验失败（x509: certificate signed by unknown authority），而其他 API 均正常、控制器门户证书也完全有效。
• AV-277402：运行在 vmxnet3 环境中的 Avi 服务引擎，因毫秒级网卡抖动（NIC flapping）造成间歇性网络流量中断。
• AV-277774：切换虚拟服务 PCAP 开关时，到 L4 SSL 虚拟服务的客户端连接会断开，并报错 Connection closed abnormally: conn deleted due to config update。
• AV-278107：升级到 32.1.1 版本后，vCenter 与 NSX 云状态一直停留在 IN_PROGRESS。
• AV-278241：升级后的 NSX 服务引擎存在 DPDK 热插拔问题，导致虚拟服务放置失败，接口进入故障状态并报错 Failed to create VNIC in SE_DP. Please re-apply configuration。
• AV-280754：Avi Load Balancer 控制器界面无法显示或配置 HTTP 策略内容切换动作中的特定服务器，遮蔽了已配置的目标服务器。
• AV-280862：即使某个可用区（AZ）下没有任何服务引擎或虚拟服务，也无法将其从服务引擎组中移除。
• AV-280874：使用 vmware.alb.avi_pool Ansible 模块对 Avi 池进行部分更新（顺序启用/禁用）时，会误删除池中所有已配置的服务器成员，并把 Fail Action 重置为 Undefined，造成流量中断。
• AV-281443：由于系统中存在计划备份，控制器升级到 31.1.1 或更高版本时会在 MigrateConfig 步骤失败，报错 Model Scheduler key not found in db。
• AV-281572：NTLM 认证在 POST 请求中失败，客户端在收到 401 未授权响应后被提前关闭连接。
• AV-282110：Avi Load Balancer 控制器在所有网络接口上开放了未经认证的 514 端口（TCP/UDP）syslog 监听，而未严格绑定到 localhost，从而触发安全扫描告警，并允许外部主机发送伪造日志。
• AV-282133：使用 HTTP Cookie 持久化配置文件时，若服务引擎内存耗尽，可能导致服务引擎故障。
• AV-282269：在备用节点健康监控设为 false 的主备部署中，若某个池配置了已禁用的池成员随后又被删除，则对该池的后续更新会使虚拟服务失败，报错 Pool Update Failed。
• AV-282375：无法通过 Avi 界面或 CLI 为 System-Persistence-Http-Cookie 设置安全属性（HttpOnly、Secure=true、SameSite=Strict / Lax）。相关改进见下方“主要变更”。
• AV-283179：在 NSX 云环境中，启用虚拟服务会失败并报错 placement segment not found…
• AV-283347：通过 CLI 配置 IP 地址组，会导致此前保存的 IP 组从 Avi Load Balancer 界面中消失。
• AV-283371：运行在 Google Cloud Platform C3 实例、使用 GVE 适配器的服务引擎，在极高负载下可能因 vNIC 发送停滞而失败。
• AV-283569：只读（Read-Only）权限用户在界面中无法查看“系统设置”屏幕中的详情。
• AV-284500：执行 CLI 命令 attach serviceengine 会失败，报错 Connection refused 或 Permission denied (publickey)。
• AV-284734：升级到 Avi Load Balancer 32.1.2 版本后，所有 LDAPS 健康监控器失效，导致关联的池服务器被标记为 OPER_DOWN。
• AV-284739：在虚拟服务中配置健康监控器后，由于当防火墙阻断到默认网关的 ICMP（ping）流量时服务引擎会停止发送健康监控报文，池中的服务器被标记为宕机。
• AV-284742：对所分配角色下的 GSLB 配置拥有“No Access”权限的用户，无法通过界面查看 GSLB 服务池成员的状态。
• AV-285407：在 GSLB 从站点（follower site）上，界面不显示成员状态，show gslbservice CLI 命令也失败，报错 Object does not exist。
• AV-285490：在传统主备组上发生服务引擎切换后，SNI 子虚拟服务池在 Avi Load Balancer 界面中错误显示为“Unavailable”状态，并提示 Waiting for Virtual Service。
• AV-285834：升级到 32.1.2 版本后，从从站点启用或禁用 GSLB 池成员会返回 401（未授权）错误，导致用户被登出界面。
• AV-285947：使用 WAF 中的 AllowList 绕过对大型分块编码（chunked）HTTP 请求的处理，会导致 CPU 占用过高。
• AV-288719：池与池服务器可能错误地在 Avi Load Balancer 控制器界面中报告 Oper_Inactive 或 Unavailable 状态，原因为 Waiting for Virtual Service。
• AV-289007：在部署了 Avi Load Balancer 的 VMware Cloud Foundation Automation（VCFA）环境中，点击网关虚拟服务的 Analytics 页面会错误地跳转到 Avi Load Balancer 应用仪表板，而不是显示虚拟服务分析页面。

主要变更

• 账户锁定策略现已适用于 /api/user-password/* 端点（更新、重置和过期）。反复输入错误的当前密码将导致账户被锁定，以防止未经授权的密码猜测。
• 自 32.1.3 起，可通过 CLI 修改持久化 Cookie 上的 SameSite 属性值，从而维持客户端到特定服务器的持久性。
• 移除了“在新服务引擎首次连接控制器时禁用其身份验证”的能力（allow_unauthenticated_nodes 选项）。该选项仅用于不常见的旧版部署模型，不影响当前标准的 Avi Load Balancer 部署模型。自 31.2.3 起，所有新部署的服务引擎都必须使用从控制器获取的有效、未过期且唯一的身份验证令牌进行配置；升级到 31.2.3 前，请确保 allow_unauthenticated_nodes 已设置为 false。
• 此前 se-log-agent 进程可能超出其分配的内存上限，挤占核心负载均衡任务的内存，导致连接中断或内存溢出（OOM）；自 32.1.3 起对 se-log-agent 进程的内存占用做了上限限制。内存配置较小（4 GB 及以下）的服务引擎在高流量时段可能出现日志流吞吐下降。
• 自 32.1.3 起，使用 SHA-1 的弱算法被弃用，未来版本将完全移除相关支持。32.1.3 的新部署默认使用会阻止下列弱算法的证书策略配置：SIGNATURE_ALGORITHM_MD5、SIGNATURE_ALGORITHM_SHA1、OCSP_HASH_SHA1。升级影响与现有部署的处置方式，可参阅官方的证书安全策略配置说明。
• 功能弃用：随着 32.1.3 引入虚拟补丁（Virtual Patching）变更，应用规则（application rules）功能（已于 2024-06-30 弃用）不再可用；应用规则源将被 CVE 专用签名取代。

VMware Avi Load Balancer 32.1.2 更新内容

VMware Avi Load Balancer 32.1.1 新功能

兼容性

Avi Load Balancer 与 VMware vSphere 互操作性：

【图片占位 2：升级路径表截图，来源：32.1.x Release Notes 的 Checklist for Upgrade to 32.1.x】

• 最低可升级版本为 22.1.4，跨多个大版本升级时需按升级路径逐级进行。
• 升级到 32.1.3 前，确保系统配置 allow_unauthenticated_nodes 已设置为 false，否则升级将被阻止。
• 自 31.1.1 起，Avi Load Balancer 要求 VMware vCenter 与 ESXi 7.0 或更高版本，升级前请先将环境升级到位。
• 升级前请确认控制器已应用有效许可证；仅使用内置评估（Eval/Trial）许可证时，升级会被阻止。

相关文件

VMware Avi Load Balancer 32.1.2

文件列表：

• 文件完整(约50G)
• 链接

VMware Avi Load Balancer 32.1.3（2026 年 9 月 3 日发布）

文件列表：

• controller-32.1.3-9105.ova
• 链接

转载自：https://www.ittel.cn/archives/71098.html