主页 / server / 问题 / 634903
Accepted
Utegrad
Asked: 2014-10-10 14:39:19 +0800 CST

VIP 未从备份 keepalived 中删除

  • 772

我可能不明白这应该如何工作，但我无法弄清楚为什么具有这个基本 vrrp_instance 的 BACKUP 系统会立即转换为 master 并且似乎永远不会尊重优先级。

为什么虚拟 IP 地址不会在备份系统都健康且在线时从备份系统中删除？

看起来两个系统都在广播 vrrp 广告。从tcpdump备份系统：

betaproxyslc01.fakecorp.com > vrrp.mcast.net: vrrp betaproxyslc01.fakecorp.com > vrrp.mcast.net: VRRPv2, Advertisement, vrid 51, prio 150 , authtype simple, intvl 1s, length 20, >addrs: virtual-app .fakecorp.com auth "password" 15:52:24.541637 IP (tos 0xc0, ttl 255, id 1611, offset 0, flags [none], proto VRRP (112), length 40)

betaproxyslc02.fakecorp.com > vrrp.mcast.net: vrrp betaproxyslc02.fakecorp.com > vrrp.mcast.net: VRRPv2, Advertisement, vrid 51, prio 100, authtype simple, intvl 1s, length 20, >addrs: virtual-app .fakecorp.com auth "password" 15:52:25.410073 IP (tos 0xc0, ttl 255, id 1779, offset 0, flags [none], proto VRRP (112), length 40)

但是虚拟IP地址在两个主机上都显示了一个ip addr命令。

这是配置：

global_defs {
   notification_email {
   [email protected]
   }
   notification_email_from [email protected]
   smtp_server mysmtpserver.fakecorp.com
   smtp_connect_timeout 30
   router_id BETAPROXYSLC01
}

vrrp_script chk_haproxy{
   script "killall -0 haproxy"
   interval 2 # check every 2 seconds
   weight 2   # add 2 points of prio if OK
}

vrrp_instance VI_1 {
    state MASTER
    interface eth0
    virtual_router_id 51
    priority 150
    advert_int 1
    notify /usr/local/bin/notify.sh
    authentication {
        auth_type PASS
        auth_pass keep0ut!
    }
    virtual_ipaddress {
        10.10.0.40
    }
    track_script{
        chk_haproxy
    }
}

BACKUP服务器的router_id不同，状态为BACKUP，优先级为100。其他设置相同。

这是在 CentOS 7 上安装的，带有 Keepalived v1.2.10 (06/10,2014)，一个 Hyper-V 来宾 VM，具有 3.10.0-123.8.1.el7.x86_64 内核。

linux

2 个回答

  1. Best Answer

    路由器之间的 VRRP 通信使用多播 IP 地址 224.0.0.18 [1]和 IP 协议号 112 [2]。

    因此，您只需要允许带有这些特定参数的传入和传出流量，VRRP 就可以正常工作。通常提到的防火墙规则是多余的并且不必要地广泛制定。

    我建议你使用这些防火墙规则：

    firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 0 --in-interface eth0 --destination 224.0.0.18 --protocol vrrp -j ACCEPT
firewall-cmd --direct --permanent --add-rule ipv4 filter OUTPUT 0 --out-interface eth0 --destination 224.0.0.18 --protocol vrrp -j ACCEPT
firewall-cmd --reload

    [1] https://www.rfc-editor.org/rfc/rfc5798#section-5.1.1.2
    [2] https://www.rfc-editor.org/rfc/rfc5798#section-5.1.1.4

    • 5

  2. 参考本页末尾的防火墙信息，我可以通过以下方式打开防火墙使其正常工作：

    firewall-cmd --direct --add-rule ipv4 filter INPUT 0 -i eth0 -d 224.0.0.0/8 -j ACCEPT
firewall-cmd --direct --perm --add-rule ipv4 filter INPUT 0 -i eth0 -d 224.0.0.0/8 -j ACCEPT
firewall-cmd --direct --add-rule ipv4 filter INPUT 0 -p vrrp -i eth0 -j ACCEPT
firewall-cmd --direct --perm --add-rule ipv4 filter INPUT 0 -p vrrp -i eth0 -j ACCEPT
firewall-cmd --direct --add-rule ipv4 filter OUTPUT 0 -p vrrp -o eth0 -j ACCEPT
firewall-cmd --direct --perm --add-rule ipv4 filter OUTPUT 0 -p vrrp -o eth0 -j ACCEPT

    只有前（两个）选项似乎是必要的。一旦我将规则设置为接受到多播地址的流量，备份系统就会注意到 vrrp 流量，恢复到备份模式，并撤回 VIP。我想让我感到困惑的是，我可以使用 tcpdump 在两个系统上看到来自两个系统的多播流量。

    • 1

相关问题