VMware Avi Load Balancer原 NSX Advanced Load BalancerNSX 高级负载均衡器是 VMware 多云应用交付平台采用控制面与数据面分离架构提供 L4-L7 负载均衡、全局流量调度GSLB、Web 应用防火墙与容器 Ingress 服务支持虚拟机、容器与裸金属部署具备 API 自动化、弹性扩缩、自愈与应用可视化分析能力适配混合云与 VCF 环境。32.1.3 是 32.1.x 系列的最新补丁版本本文介绍其主要更新内容。VMware Avi Load Balancer 功能特色多云负载均衡支持全局服务器负载均衡GSLB、DNS/IPAM、容器注入服务等功能可在多云环境中实现应用交付简化跨云服务部署。Web应用防火墙提供Web应用防火墙功能支持SSL卸载、客户端证书认证等安全服务保障Web应用安全。容器Ingress服务优化容器化应用部署支持Kubernetes等容器化环境提供网络流量管理和安全防护。弹性扩展与高可用采用控制平面与数据平面分离设计支持Linux服务器云如OEL 9.5、RHEL 9.5、Ubuntu 22.04并持续优化性能参数如引入Intel QuickAssist Technology。订阅模式与兼容性以服务单元计价可单独采购无需捆绑其他VMware产品。32.1.3 修复了服务引擎内存压力、证书到期告警、SIP 呼叫建立、LDAPS 健康监控等 56 项问题并增强了虚拟补丁与证书链管理能力。VMware Avi Load Balancer 32.1.3 更新内容发布日期2026 年 9 月 3 日。本版本在修复问题的同时带来了负载均衡与安全方面的多项功能增强。新增功能Cloud Connector在 NSX 云集成中管理网络现可直接选择已配置的 NSX VPC 子网作为服务引擎管理网络。核心负载均衡DNS DataScript 支持动态向 DNS 响应中添加自定义 TXT 记录。Web 应用防火墙增强虚拟补丁Virtual Patching提供更精简的流程来部署 CVE 签名。安全支持灵活的证书链Certificate Chaining可绕过自动证书链为叶 SSL/TLS 证书手动定义自定义信任路径。VMware Cloud Foundation自 VCF 9.1.1 与 Avi Load Balancer 32.1.3 起分布式传输网关DTGW模式支持免 TEPTEP-lessVLAN 连接与 EVPN-VXLAN 连接。修复问题AV-259798在内存 16 GB 及以上的服务引擎上因日志代理log agent过度占用内存引发内存压力高流量时可能出现连接中断。AV-260602当虚拟服务同时把 TCP 和 UDP 配置为 L4 协议时SIP 虚拟服务可能间歇性丢弃呼叫建立消息。AV-262293当默认告警阈值设为 30 天、且上传的 SSL 证书有效期恰好为 30 天时Avi Load Balancer 不会触发首次 30 天证书到期告警只有到达下一档7 天阈值时才生成告警。AV-263400在已配置接收端缩放RSS的 SE 组上对启用了“VS 关闭时移除监听端口”的 L2 横向扩展虚拟服务可能因丢包导致连接被终止。AV-263462若在同一次更新中同时配置了某个池和一条使用该池的 L4 策略创建或更新虚拟服务时可能导致服务引擎故障。AV-264189当虚拟服务中配置了不完整或待处理的 SSL 证书时Avi 服务引擎会因段错误SIGSEGV意外失败。AV-264200对于端口数超过 15 个的虚拟服务NSX 上不会创建 NSX 分布式防火墙服务。AV-264643当流量规模打开连接数吞吐量超过服务引擎规格配置时可能出现 I/O 错误。AV-265142通过 UDP 基于 FQDN 配置的 SE 日志流在端点 IP 地址变化后无法更新目标 IP。AV-265481使用 UDP 快速路径与直接服务器返回DSR的横向扩展 DNS 虚拟服务可能导致服务引擎故障。AV-267222由于不含选项零 MSS的 TCP SYN 报文触发 VMXNET3 驱动停滞导致 SE 数据面DP失败。AV-267251当控制器的管理 IP 配置为 FQDN、且底层 IP 地址发生变化时重新连接 SE 会导致服务引擎失败。AV-267339当某个池被大量虚拟服务共享时对池的 PATCH 更新调用会失败并报错 Cannot change Pool because of referred Virtual Service: Timed out while executing the checks!AV-267509当控制器部署在基于 VM 的环境中时Linux Service Cloud 环境下的服务引擎升级到 32.1.1 版本不生效。AV-267527在配置 AWS 商业云服务C2S或隔离的自定义分区云编排时Avi 控制器初始化 AWS 云访问失败报错 Invalid Configuration: Missing Region 等。AV-268512Avi Load Balancer 的自动证书续订只获取叶证书无法获取或绑定所需的中间证书与根证书。AV-269495对首次不成功的 CONNECT 请求升级连接到隧道后会导致首个成功连接上的后续 HTTP 处理被跳过。AV-269550已解析的 CNAME 记录被放入 DNS 响应的 Additional 段而非 Answer 段。AV-270367当具有自定义角色的本地用户启用或禁用非显著性日志时分配给虚拟服务的 SSL 配置文件与 SSL 证书会自动回退为默认值默认证书与 system-standard-PFS 配置文件导致受影响的虚拟服务流量中断。AV-270467Avi Load Balancer 无法为系统默认证书生成到期告警导致 System-Default-Secure-Channel-Cert 到期并使服务引擎进入分区partitioned状态。AV-270473使用 /api/macro API 端点删除嵌套对象时失败报错“Cannot delete, object is referred by”而用 POST 创建同样结构却是成功的。AV-271485对使用直接服务器返回DSR的虚拟服务在流量高峰或服务器状态变化后打开连接数被错误地报告为过高。AV-271697因界面UI中删除选项不可用、CLI 删除又报错 No backup object named backup-uuid导致无法移除过期的配置备份引用。AV-271940在配备 Intel i40e 网卡的 Linux Server Cloud 服务引擎上配置巨帧Jumbo MTU时可能出现丢包。AV-272438当处理 HTTP 请求时删除配置了 DataScripts 的虚拟服务可能导致 SE 故障。AV-273323若 Avi 控制器或服务引擎进程被快速连续重启或从崩溃中恢复偶尔会无法以正确配置启动。AV-273826当证书包含纯数字的 SAN 标签时在 Avi Load Balancer 界面中导入或更新 SSL 证书会因 SAN 校验错误而失败。AV-276324由于 InfiniBand 驱动挂接网卡存在延迟SE 可能无法获取 Mellanox bond 接口用于数据面处理。AV-276533在与证书吊销列表CRL交互时UI 行为不一致在界面中保存一个已存在的 CRL 文件对象时若请求正文未变化会返回 400 Bad Request界面还会错误地显示证书校验失败x509: certificate signed by unknown authority而其他 API 均正常、控制器门户证书也完全有效。AV-277402运行在 vmxnet3 环境中的 Avi 服务引擎因毫秒级网卡抖动NIC flapping造成间歇性网络流量中断。AV-277774切换虚拟服务 PCAP 开关时到 L4 SSL 虚拟服务的客户端连接会断开并报错 Connection closed abnormally: conn deleted due to config update。AV-278107升级到 32.1.1 版本后vCenter 与 NSX 云状态一直停留在 IN_PROGRESS。AV-278241升级后的 NSX 服务引擎存在 DPDK 热插拔问题导致虚拟服务放置失败接口进入故障状态并报错 Failed to create VNIC in SE_DP. Please re-apply configuration。AV-280754Avi Load Balancer 控制器界面无法显示或配置 HTTP 策略内容切换动作中的特定服务器遮蔽了已配置的目标服务器。AV-280862即使某个可用区AZ下没有任何服务引擎或虚拟服务也无法将其从服务引擎组中移除。AV-280874使用 vmware.alb.avi_pool Ansible 模块对 Avi 池进行部分更新顺序启用/禁用时会误删除池中所有已配置的服务器成员并把 Fail Action 重置为 Undefined造成流量中断。AV-281443由于系统中存在计划备份控制器升级到 31.1.1 或更高版本时会在 MigrateConfig 步骤失败报错 Model Scheduler key not found in db。AV-281572NTLM 认证在 POST 请求中失败客户端在收到 401 未授权响应后被提前关闭连接。AV-282110Avi Load Balancer 控制器在所有网络接口上开放了未经认证的 514 端口TCP/UDPsyslog 监听而未严格绑定到 localhost从而触发安全扫描告警并允许外部主机发送伪造日志。AV-282133使用 HTTP Cookie 持久化配置文件时若服务引擎内存耗尽可能导致服务引擎故障。AV-282269在备用节点健康监控设为 false 的主备部署中若某个池配置了已禁用的池成员随后又被删除则对该池的后续更新会使虚拟服务失败报错 Pool Update Failed。AV-282375无法通过 Avi 界面或 CLI 为 System-Persistence-Http-Cookie 设置安全属性HttpOnly、Securetrue、SameSiteStrict / Lax。相关改进见下方“主要变更”。AV-283179在 NSX 云环境中启用虚拟服务会失败并报错 placement segment not found…AV-283347通过 CLI 配置 IP 地址组会导致此前保存的 IP 组从 Avi Load Balancer 界面中消失。AV-283371运行在 Google Cloud Platform C3 实例、使用 GVE 适配器的服务引擎在极高负载下可能因 vNIC 发送停滞而失败。AV-283569只读Read-Only权限用户在界面中无法查看“系统设置”屏幕中的详情。AV-284500执行 CLI 命令 attach serviceengine 会失败报错 Connection refused 或 Permission denied (publickey)。AV-284734升级到 Avi Load Balancer 32.1.2 版本后所有 LDAPS 健康监控器失效导致关联的池服务器被标记为 OPER_DOWN。AV-284739在虚拟服务中配置健康监控器后由于当防火墙阻断到默认网关的 ICMPping流量时服务引擎会停止发送健康监控报文池中的服务器被标记为宕机。AV-284742对所分配角色下的 GSLB 配置拥有“No Access”权限的用户无法通过界面查看 GSLB 服务池成员的状态。AV-285407在 GSLB 从站点follower site上界面不显示成员状态show gslbservice CLI 命令也失败报错 Object does not exist。AV-285490在传统主备组上发生服务引擎切换后SNI 子虚拟服务池在 Avi Load Balancer 界面中错误显示为“Unavailable”状态并提示 Waiting for Virtual Service。AV-285834升级到 32.1.2 版本后从从站点启用或禁用 GSLB 池成员会返回 401未授权错误导致用户被登出界面。AV-285947使用 WAF 中的 AllowList 绕过对大型分块编码chunkedHTTP 请求的处理会导致 CPU 占用过高。AV-288719池与池服务器可能错误地在 Avi Load Balancer 控制器界面中报告 Oper_Inactive 或 Unavailable 状态原因为 Waiting for Virtual Service。AV-289007在部署了 Avi Load Balancer 的 VMware Cloud Foundation AutomationVCFA环境中点击网关虚拟服务的 Analytics 页面会错误地跳转到 Avi Load Balancer 应用仪表板而不是显示虚拟服务分析页面。主要变更账户锁定策略现已适用于 /api/user-password/* 端点更新、重置和过期。反复输入错误的当前密码将导致账户被锁定以防止未经授权的密码猜测。自 32.1.3 起可通过 CLI 修改持久化 Cookie 上的 SameSite 属性值从而维持客户端到特定服务器的持久性。移除了“在新服务引擎首次连接控制器时禁用其身份验证”的能力allow_unauthenticated_nodes 选项。该选项仅用于不常见的旧版部署模型不影响当前标准的 Avi Load Balancer 部署模型。自 31.2.3 起所有新部署的服务引擎都必须使用从控制器获取的有效、未过期且唯一的身份验证令牌进行配置升级到 31.2.3 前请确保 allow_unauthenticated_nodes 已设置为 false。此前 se-log-agent 进程可能超出其分配的内存上限挤占核心负载均衡任务的内存导致连接中断或内存溢出OOM自 32.1.3 起对 se-log-agent 进程的内存占用做了上限限制。内存配置较小4 GB 及以下的服务引擎在高流量时段可能出现日志流吞吐下降。自 32.1.3 起使用 SHA-1 的弱算法被弃用未来版本将完全移除相关支持。32.1.3 的新部署默认使用会阻止下列弱算法的证书策略配置SIGNATURE_ALGORITHM_MD5、SIGNATURE_ALGORITHM_SHA1、OCSP_HASH_SHA1。升级影响与现有部署的处置方式可参阅官方的证书安全策略配置说明。功能弃用随着 32.1.3 引入虚拟补丁Virtual Patching变更应用规则application rules功能已于 2024-06-30 弃用不再可用应用规则源将被 CVE 专用签名取代。VMware Avi Load Balancer 32.1.2 更新内容发布日期2026 年 7 月 6 日。本版本以已知问题修复与安全更新为主。修复问题AV-252057与 Avi Load Balancer 控制器的 CLI 连接可能出现超时错误导致新连接无法访问 Avi CLI。AV-262358控制器升级到 30.2.6 版本后部分服务引擎可能变得无响应导致无法对受影响的服务引擎执行启用、禁用或升级等任何后续操作。AV-267170当虚拟服务仍存在、而相应云配置的数据网络已被删除时NSX 云的删除操作可能一直停留在进行中状态。AV-267509在 Linux Server Cloud 环境中当控制器部署在基于 VM 的环境中时服务引擎升级到 32.1.1 版本不生效。AV-267516升级到 31.2.1 或更高版本并保留先前版本中的部分服务引擎组时虚拟服务可能进入错误状态。服务引擎上的 VIP 编程仍在进行中不影响流量。AV-267951当池服务器在收到完整 POST 请求体之前就提前返回错误响应时若已禁用 Proxy Expect Header虚拟服务可能把剩余请求体误当作同一连接上的新请求从而导致意外的 400 Bad Request 响应。AV-268184由于 mTLS 握手问题配置为“请求”或“要求”客户端证书验证的 L7 虚拟服务可能在客户端证书有效的情况下仍然请求失败。AV-268360当用户在多个浏览器标签页中同时向启用了 OAuth 的虚拟服务上的应用进行身份验证时身份验证可能失败并返回 401 Unauthorized 响应。AV-268368在 Avi Load Balancer 31.2.1 及更高版本中通过 L7 虚拟服务上传大文件速度缓慢。AV-268492在增强型虚拟主机EVH模式下应用配置文件的 HTTP 正文大小限制未被强制执行导致过大的 POST 请求被错误接受HTTP 200而非被拒绝HTTP 413。AV-268672在主备Active-ActiveGSLB 环境中当请求由与会话发起站点不同的站点处理时OAuth 登录可能失败并返回 401 Unauthorized。AV-269403在“虚拟服务 日志”界面中除非在虚拟服务设置中启用了非显著性日志记录否则“非显著日志Non-significant Logs”复选框不可勾选导致无法查看由用户自定义客户端日志过滤器定义的日志。AV-270579当内容切换规则同时配置了池和特定服务器 IP 时更新所引用池的默认服务器端口会导致服务器查找失败使虚拟服务返回 HTTP 500 错误。AV-271218在界面的拓扑Topology视图中使用连接池组时不会显示虚拟服务的连接池。AV-271477当 HTTP 响应策略规则针对 Cache-Control 标头时服务引擎可能因段错误SIGSEGV而失败。AV-273284当虚拟服务配置了应用 Cookie 持久化且 Cookie 值为空时服务引擎会错误地触发“内存限制已超Memory limit exceeded”错误导致应用请求处理被中断。AV-276855NSX 云中无效的 Tier-1 和分段Segment配置会导致与有效 Tier-1 对象关联的虚拟服务失败。AV-283255从 22.1 版本升级到 32.1.x 版本后控制器管理访问的系统配置更新未反映到 iptables 中。安全公告本版本修复了 CVE-2026-47866、CVE-2026-47867、CVE-2026-47868、CVE-2026-47869、CVE-2026-47870 和 CVE-2026-47871VMSA-2026-0005。其中认证绕过漏洞 CVE-2026-47865 仅影响 32.1.1 及更早的版本分支本版本不受其影响。主要变更移除了“在新服务引擎首次连接控制器时禁用其身份验证”的能力allow_unauthenticated_nodes 选项。该选项仅用于不常见的旧版部署模型不影响当前标准的 Avi Load Balancer 部署模型。自 32.1.2 起所有新部署的服务引擎都必须使用从控制器获取的有效、未过期且唯一的身份验证令牌进行配置升级到 32.1.2 前请确保 allow_unauthenticated_nodes 已设置为 false。账户锁定策略现已适用于 /api/user-password/* 端点更新、重置和过期。反复输入错误的当前密码将导致账户被锁定以防止未经授权的密码猜测。通过 File Service 和 File Object API 进行文件上传时文件名现仅允许使用字母、数字、点、连字符或下划线包含其他特殊字符的文件名将被阻止上传必须重命名后才能成功处理。自 32.1.2 起支持为 SE_SHM_MEM_HIGH 和 SE_CONN_MEM_HIGH 事件配置阈值。VMware Avi Load Balancer 32.1.1 新功能32.1.12026 年 5 月 12 日发布是 32.1.x 系列的首个版本主要增强包括VCF 9.1 原生集成成为 VCF 9.1 的即插即用组件可通过 VCF Operations 自动化部署并全生命周期管理 Avi Controller通过 VCF Automation 以自助方式提供负载均衡服务并支持基于租户的配额与隔离。自动发现与集成与 vCenter、NSX Manager 直接同步自动映射网络分段、VPC、项目与计算集群。VKS 支持AKOAvi Kubernetes Operator可在 vSphere Kubernetes ServiceVKS集群上自动部署提供 L4/L7 负载均衡。Cloud Connector与 vCenter / NSX Manager 交换敏感数据如用户凭据前先进行 TLS 证书校验。核心负载均衡新增 MCPModel Context Protocol负载均衡支持基于 HTTP 的有状态 AI 工作负载提供会话保持与 OAuth 2.0 授权NSX 安全组可自动同步为 Avi IP 组。Service Engine增强网络栈ENS性能优化。许可全新的安全许可工作流以数字签名的订阅文件取代 25 位序列号。界面基于 VMware Clarity 框架增强“池 日志”界面。兼容性Avi Load Balancer 与 VMware vSphere 互操作性【图片占位 2升级路径表截图来源32.1.x Release Notes 的 Checklist for Upgrade to 32.1.x】版本系列升级来源版本升级到 32.1.1升级到 32.1.2升级到 32.1.322.1.x22.1.4 – 22.1.7支持支持支持30.1.x30.1.1 – 30.1.2支持支持支持30.2.x30.2.1 – 30.2.7支持支持支持31.1.x31.1.1 – 31.1.2支持支持支持31.2.x31.2.1 – 31.2.2支持支持支持31.2.x31.2.3不支持不支持支持32.1.x32.1.1—支持支持32.1.x32.1.2不支持—支持最低可升级版本为 22.1.4跨多个大版本升级时需按升级路径逐级进行。升级到 32.1.3 前确保系统配置 allow_unauthenticated_nodes 已设置为 false否则升级将被阻止。自 31.1.1 起Avi Load Balancer 要求 VMware vCenter 与 ESXi 7.0 或更高版本升级前请先将环境升级到位。升级前请确认控制器已应用有效许可证仅使用内置评估Eval/Trial许可证时升级会被阻止。相关文件VMware Avi Load Balancer 32.1.2文件列表ItemFile NameSizeCLI Packages – Standalone CLI Shellavi_shell-32.1.2-9077.tar.gz2.00 MBVMWARE – Controller OVAcontroller-32.1.2-9077.ova3.83 GBUpgrade – VMware / OpenStack / AWS / KVM / CSPcontroller-32.1.2-9077.pkg3.58 GBOpenStack / KVM / CSP – Controller Qcow2controller-32.1.2-9077.qcow23.78 GBOpenStack / KVM / CSP – Controller Raw Imagecontroller-32.1.2-9077.raw.gz3.54 GBMicrosoft Azure – Controller VHDcontroller-32.1.2-9077.vhd11.00 GBUpgrade – Container Clouds / Linux Servercontroller_docker-32.1.2-9077.tgz4.47 GBLinux Server Cloud (Bare Metal) – Docker Install Imagedocker_install-32.1.2-9077.tar.gz5.58 GBController GCPgcp_controller-32.1.2-9077.tar.gz3.54 GB开源组件许可声明Open Source LicensesAvi_Load_Balancer_open_source_licenses_32_1_2.txt2.32 MB控制器首次登录的默认管理员账号密码首次登录后请立即修改Default_password.txt15 BLicense Hub OVAVMware vDefend 与 Avi Load Balancer 的集中许可证管理平台License-Hub-2.0.0.0.0.25630952.ova11.04 GBLicense Hub – VMware vDefend 与 Avi Load Balancer Notices 文件License_Hub_for_VMware_vDefend_and_VMware_Avi_Load_Balancers-Notices_File.txt6.37 MB文件完整(约50G)链接VMware Avi Load Balancer 32.1.32026 年 9 月 3 日发布文件列表controller-32.1.3-9105.ova链接转载自https://www.ittel.cn/archives/71098.html
