实践案例 https://llinux.cn/%E8%B4%9F%E8%BD%BD%E5%9D%87%E8%A1%A1%E4%B8%8E%E9%AB%98%E5%8F%AF%E7%94%A8/%E5%AE%9E%E8%B7%B5%E6%A1%88%E4%BE%8B/ 阿征的运维笔记 zh 基于 HAProxy + Keepalived 实现高可用 https://llinux.cn/%E8%B4%9F%E8%BD%BD%E5%9D%87%E8%A1%A1%E4%B8%8E%E9%AB%98%E5%8F%AF%E7%94%A8/%E5%AE%9E%E8%B7%B5%E6%A1%88%E4%BE%8B/%E5%9F%BA%E4%BA%8E-haproxy-+-keepalived-%E5%AE%9E%E7%8E%B0%E9%AB%98%E5%8F%AF%E7%94%A8-lb/ https://llinux.cn/%E8%B4%9F%E8%BD%BD%E5%9D%87%E8%A1%A1%E4%B8%8E%E9%AB%98%E5%8F%AF%E7%94%A8/%E5%AE%9E%E8%B7%B5%E6%A1%88%E4%BE%8B/%E5%9F%BA%E4%BA%8E-haproxy-+-keepalived-%E5%AE%9E%E7%8E%B0%E9%AB%98%E5%8F%AF%E7%94%A8-lb/ <h2 id="架构概览">架构概览<a class="td-heading-self-link" href="#%e6%9e%b6%e6%9e%84%e6%a6%82%e8%a7%88" aria-label="Heading self-link"></a></h2> <p>Keepalived 配置两个 VIP：一个对外提供服务，一个对内提供服务。</p> <ul> <li>对外 VIP：绑定在公网网卡（或防火墙 NAT 后），暴露给互联网用户，配合防火墙规则严格限制来源/端口/协议。</li> <li>对内 VIP：绑定在内网网卡，供内网服务器、办公网络、跳板机等访问，不经过公网，安全性更高。</li> </ul> <div class="highlight code-sample"> <div class="includecode" > <pre tabindex="0"><code>互联网用户 ↓ (公网 IP → NAT) 防火墙 → 对外 VIP (e.g. 10.0.0.100) → HAProxy节点1/2 (Keepalived 主备) 内网用户/服务器 ↓ (内网直接访问) → 对内 VIP (e.g. 192.168.1.100) → HAProxy节点1/2 (Keepalived 主备) 后端真实服务器 (web/api/mysql 等) ← 只接受来自 HAProxy 的内网流量</code></pre> </div> </div><h2 id="环境说明">环境说明<a class="td-heading-self-link" href="#%e7%8e%af%e5%a2%83%e8%af%b4%e6%98%8e" aria-label="Heading self-link"></a></h2> <table> <thead> <tr> <th>虚拟机名称</th> <th>hostname</th> <th>OS</th> <th>CPU</th> <th>内存</th> <th>磁盘</th> <th>IP</th> <th>VIP</th> </tr> </thead> <tbody> <tr> <td>生产环境-北京机房-负载均衡01</td> <td>prod-bj-lb01</td> <td>Ubuntu 22.04</td> <td>8U</td> <td>16G</td> <td>300G</td> <td>172.16.0.230</td> <td>172.16.0.100（对内）、172.16.0.200（对外）</td> </tr> <tr> <td>生产环境-北京机房-负载均衡02</td> <td>prod-bj-lb02</td> <td>Ubuntu 22.04</td> <td>8U</td> <td>16G</td> <td>300G</td> <td>172.16.0.231</td> <td>172.16.0.100（对内）、172.16.0.200（对外）</td> </tr> </tbody> </table> <h2 id="注意事项">注意事项<a class="td-heading-self-link" href="#%e6%b3%a8%e6%84%8f%e4%ba%8b%e9%a1%b9" aria-label="Heading self-link"></a></h2> <ol> <li>两台主机需位于同二层网络，否则 VIP 无法正常漂移（因为依赖 VRRP 协议）。</li> <li>两台虚拟机跨机房或跨物理机部署，以避免单点故障。</li> <li>两台 HAProxy 的配置文件（<code>/etc/haproxy/haproxy.cfg</code>）需保持一致，包括后端服务器列表、健康检查配置等。</li> <li>Keepalived 使用 VRRP 协议（组播），记得在防火墙中放行相关流量，否则会出现“脑裂”（两台机器都抢占 VIP）。</li> <li>确保两台虚拟机的时间同步。</li> </ol> <h2 id="第一阶段环境准备两台机器同步操作">第一阶段：环境准备（两台机器同步操作）<a class="td-heading-self-link" href="#%e7%ac%ac%e4%b8%80%e9%98%b6%e6%ae%b5%e7%8e%af%e5%a2%83%e5%87%86%e5%a4%87%e4%b8%a4%e5%8f%b0%e6%9c%ba%e5%99%a8%e5%90%8c%e6%ad%a5%e6%93%8d%e4%bd%9c" aria-label="Heading self-link"></a></h2> <h3 id="1-修改内核参数">1. 修改内核参数：<a class="td-heading-self-link" href="#1-%e4%bf%ae%e6%94%b9%e5%86%85%e6%a0%b8%e5%8f%82%e6%95%b0" aria-label="Heading self-link"></a></h3> <ul> <li>必须启用内核的非本地IP绑定功能，否则HAProxy在尝试监听VIP时可能启动失败（原因是两台机器中总有一台是从节点，从节点默认无法绑定VIP）。</li> </ul> <div class="highlight code-sample"> <div class="includecode" > <div class="highlight"><pre tabindex="0" class="chroma"><code class="language-sh" data-lang="sh"><span class="line"><span class="cl"><span class="c1"># 允许内核绑定非本地</span> </span></span><span class="line"><span class="cl"><span class="nb">echo</span> <span class="s2">&#34;net.ipv4.ip_nonlocal_bind = 1&#34;</span> &gt;&gt; /etc/sysctl.conf </span></span><span class="line"><span class="cl"> </span></span><span class="line"><span class="cl"><span class="c1"># 加载新的内核参数</span> </span></span><span class="line"><span class="cl">sysctl -p</span></span></code></pre></div> </div> </div><h3 id="2-安装-haproxy-和-keepalived">2. 安装 HAProxy 和 Keepalived<a class="td-heading-self-link" href="#2-%e5%ae%89%e8%a3%85-haproxy-%e5%92%8c-keepalived" aria-label="Heading self-link"></a></h3> <div class="highlight code-sample"> <div class="includecode" > <div class="highlight"><pre tabindex="0" class="chroma"><code class="language-sh" data-lang="sh"><span class="line"><span class="cl">apt install -y haproxy keepalived</span></span></code></pre></div> </div> </div><h3 id="3-创建健康检查脚本">3. 创建健康检查脚本<a class="td-heading-self-link" href="#3-%e5%88%9b%e5%bb%ba%e5%81%a5%e5%ba%b7%e6%a3%80%e6%9f%a5%e8%84%9a%e6%9c%ac" aria-label="Heading self-link"></a></h3> <p>在两台机器上创建一个脚本，用于监控 HAProxy 的状态。如果 HAProxy 挂了，Keepalived 会自动漂移 VIP。</p>