可以不是真名1. Keepalived与VIP高可用架构解析
在分布式系统架构中，服务的高可用性(High Availability)是保障业务连续性的关键要素。Keepalived作为一款轻量级的高可用解决方案，通过VRRP协议实现虚拟IP(VIP)的自动漂移，当主节点发生故障时，备用节点能在秒级完成VIP接管，确保服务不间断。这种机制特别适合无状态服务的前端接入层，比如我们常见的Ingress-Nginx入口网关。
我最早接触Keepalived是在2016年某电商平台的架构升级中，当时用其实现了Nginx负载均衡器的高可用。相比其他方案，Keepalived的优势在于配置简单、资源占用低，且不依赖特定硬件。经过多年实践验证，这套方案在多个千万级PV的生产环境中表现稳定。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 环境准备与基础配置
2.1 系统要求与依赖安装
建议使用CentOS 7+/Ubuntu 18.04+等主流Linux发行版，确保内核版本支持VRRP协议。以下是基础环境准备步骤：
bash复制# 安装必要工具（所有节点）
yum install -y keepalived ipvsadm # CentOS/RHEL
apt-get install -y keepalived ipvsadm # Ubuntu/Debian
# 验证IPVS模块加载
lsmod | grep ip_vs
注意：虽然Keepalived可以单独使用，但配合IPVS（LVS）才能实现完整的负载均衡能力。生产环境建议同时安装ipvsadm工具包用于调试。
2.2 网络拓扑规划
典型的两节点主备架构网络参数示例：
| 节点类型 | 主机名 | 物理IP | 虚拟IP(VIP) | 角色优先级 |
|---|---|---|---|---|
| Master | lb-node1 | 192.168.1.10 | 192.168.1.100 | 100 |
| Backup | lb-node2 | 192.168.1.11 | 192.168.1.100 | 90 |
关键配置原则：
- 同一VRRP组内的节点必须配置相同的virtual_router_id
- 优先级范围1-254，主节点需明显高于备节点
- 确保节点间可通过多播地址224.0.0.18通信
3. Keepalived核心配置详解
3.1 主配置文件架构
/etc/keepalived/keepalived.conf的典型结构：
conf复制global_defs {
notification_email {
admin@example.com
}
smtp_server 127.0.0.1
smtp_connect_timeout 30
router_id LVS_DEVEL # 唯一标识，建议用主机名
}
vrrp_instance VI_1 {
state MASTER # 初始状态
interface eth0 # 绑定网卡
virtual_router_id 51 # 集群唯一ID
priority 100 # 选举权重
advert_int 1 # 心跳间隔(秒)
authentication {
auth_type PASS
auth_pass 1111 # 节点间认证密码
}
virtual_ipaddress {
192.168.1.100/24 dev eth0 label eth0:1
}
}
3.2 健康检查机制
通过track_script实现服务级高可用：
conf复制vrrp_script chk_nginx {
script "/usr/bin/killall -0 nginx" # 检查nginx进程是否存在
interval 2 # 检查频率(秒)
weight -20 # 检测失败时降低的优先级
}
vrrp_instance VI_1 {
track_script {
chk_nginx
}
}
实测建议：
- 对关键服务（如Nginx）建议设置weight为-20以上
- 复杂检查建议使用自定义脚本，返回0表示健康，非0表示异常
- 检查间隔不宜过短，避免误判（通常2-5秒）
4. 高级配置与调优
4.1 多VIP场景配置
单个节点支持多个VIP配置：
conf复制virtual_ipaddress {
192.168.1.100/24 dev eth0 label eth0:1
192.168.1.101/24 dev eth0 label eth0:2
}
# 或使用多个vrrp_instance
vrrp_instance VI_2 {
virtual_router_id 52
# 其他参数...
}
4.2 脑裂防护策略
通过添加nopreempt防止主备频繁切换：
conf复制vrrp_instance VI_1 {
nopreempt # 不自动抢占
preempt_delay 300 # 抢占延迟(秒)
}
同时建议在防火墙配置中限制VRRP协议（112端口）只允许特定节点访问：
bash复制iptables -A INPUT -p vrrp -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p vrrp -j DROP
5. 与Ansible的自动化集成
5.1 使用Ansible部署Keepalived
inventory文件示例：
ini复制[loadbalancer]
lb-node1 ansible_host=192.168.1.10 priority=100 state=MASTER
lb-node2 ansible_host=192.168.1.11 priority=90 state=BACKUP
playbook核心任务：
yaml复制- name: 部署Keepalived
hosts: loadbalancer
tasks:
- name: 安装软件包
package:
name: "{{ item }}"
state: present
loop:
- keepalived
- ipvsadm
- name: 配置keepalived.conf
template:
src: templates/keepalived.conf.j2
dest: /etc/keepalived/keepalived.conf
notify: restart keepalived
Jinja2模板关键部分：
jinja复制vrrp_instance VI_1 {
state {{ state }}
priority {{ priority }}
# 其他参数...
}
5.2 配置版本化管理
建议将Keepalived配置纳入Git版本控制，配合Ansible实现：
bash复制/etc/keepalived/
├── conf.d/
│ ├── vrrp.conf # 主配置
│ └── checks.conf # 健康检查配置
└── scripts/
└── check_nginx.sh # 自定义检查脚本
通过ansible-vault加密敏感信息：
yaml复制ansible-vault encrypt_string '1111' --name 'auth_pass'
6. 与Ingress-Nginx的集成实践
6.1 高可用Ingress架构
典型拓扑：
code复制Client -> VIP(Keepalived) -> Ingress-Nginx Pods -> Service -> Application Pods
配置要点：
- 在K8s节点外单独部署Keepalived节点
- 通过NodePort或HostNetwork模式暴露Ingress
- 配置健康检查指向Ingress的80/443端口
6.2 健康检查优化
自定义检查脚本示例（/etc/keepalived/check_ingress.sh）：
bash复制#!/bin/bash
curl -k -I https://localhost/healthz 2>/dev/null | grep '200 OK' >/dev/null
exit $?
对应的Keepalived配置：
conf复制vrrp_script chk_ingress {
script "/etc/keepalived/check_ingress.sh"
interval 3
timeout 2
rise 2
fall 2
weight -30
}
7. 监控与排错指南
7.1 关键监控指标
建议监控的指标项：
| 指标类别 | 具体指标 | 监控方式 |
|---|---|---|
| 节点状态 | VRRP状态(MASTER/BACKUP) | keepalived.status |
| VIP状态 | VIP绑定情况 | ip addr show eth0 |
| 健康检查 | 脚本执行结果 | 自定义脚本返回值 |
| 网络质量 | 多播包丢失率 | tcpdump统计VRRP包 |
7.2 常见问题排查
问题1：VIP无法漂移
- 检查项：
bash复制# 查看日志 journalctl -u keepalived -n 50 --no-pager # 验证VRRP通信 tcpdump -i eth0 vrrp -n # 检查防火墙规则 iptables -L -n | grep 112
问题2：脑裂现象
- 解决方案：
- 确认nopreempt参数配置正确
- 检查网络分区情况（ping测试）
- 增加advert_int到2秒以上
问题3：健康检查误判
- 优化方法：
conf复制vrrp_script chk_service { script "/path/to/script" interval 5 rise 3 # 连续成功3次才认为健康 fall 2 # 连续失败2次就认为异常 timeout 3 # 单次检查超时时间 }
8. 生产环境最佳实践
经过多个大型项目验证的配置经验：
-
网络层面
- 使用独立的心跳链路（管理网络）
- 开启网卡的多播支持
bash复制
ethtool -K eth0 multicast on -
性能调优
- 调整内核参数：
bash复制echo "net.ipv4.ip_nonlocal_bind=1" >> /etc/sysctl.conf sysctl -p -
安全加固
- 修改默认的VRRP组播地址：
conf复制global_defs { vrrp_mcast_group4 224.0.0.100 }- 使用复杂认证密码（避免简单的1111）
-
日志管理
- 单独配置日志文件：
conf复制global_defs { log_file /var/log/keepalived.log log_facility local0 }- 配合logrotate实现日志轮转
在最近的一次金融行业项目中，我们通过上述配置实现了99.999%的可用性目标。关键点在于：使用独立心跳网络、设置合理的健康检查参数、以及完善的监控告警机制。当主节点发生故障时，VIP切换时间控制在3秒内，业务几乎无感知。