1. 项目概述：企业级以太网VIP工程实践
这个项目源于去年我们为某大型制造企业部署的跨厂区网络改造工程。当时客户面临的核心痛点很典型：生产线数据采集系统频繁断连，视频监控卡顿，而传统单IP方案在设备切换时总有3-5秒的中断。我们最终采用以太网虚拟IP（VIP）技术，将网络可用性从99%提升到99.99%，切换延迟控制在200ms以内。今天我就把其中涉及的技术选型、配置细节和踩坑经验做个完整复盘。
以太网VIP技术本质上是通过ARP协议欺骗实现的IP地址漂移方案。当主设备故障时，备用设备会立即接管VIP地址，保持服务连续性。与普通负载均衡不同，VIP方案更适用于需要保持长连接的工业场景，比如Modbus TCP通信、实时视频流传输等。这个项目我们选用了Keepalived+VRRP的方案组合，在CentOS 7.6系统上实现了毫秒级切换。
2. 核心架构设计
2.1 网络拓扑规划
实际部署时我们采用了双活数据中心架构：
code复制[厂区A] -- 10G光纤 -- [核心交换机] -- 10G光纤 -- [厂区B]
| |
[VIP:192.168.100.100] [物理服务器集群]
关键设计要点：
- VIP与物理IP分离：每个节点有自己的固定IP（如192.168.100.101/102），VIP（192.168.100.100）作为服务入口
- 心跳线直连：除了业务网络，主备节点间需单独部署心跳链路（建议千兆以上）
- 避免ARP泛洪：在交换机配置静态ARP绑定
2.2 技术选型对比
我们评估过三种主流方案：
| 方案 | 切换时间 | 配置复杂度 | 适用场景 |
|---|---|---|---|
| Keepalived | 200-500ms | 中等 | 通用服务器 |
| CARP(BSD) | 1-2s | 简单 | 防火墙/路由器 |
| 硬件负载均衡器 | 50ms以下 | 高 | 金融级应用 |
选择Keepalived主要考虑到：
- 与现有Linux环境无缝集成
- 支持自定义健康检查脚本
- 社区资源丰富，故障易排查
3. 详细配置实现
3.1 基础环境准备
bash复制# 系统参数调优（所有节点）
echo "net.ipv4.ip_nonlocal_bind=1" >> /etc/sysctl.conf
echo "net.ipv4.conf.all.arp_ignore=1" >> /etc/sysctl.conf
echo "net.ipv4.conf.all.arp_announce=2" >> /etc/sysctl.conf
sysctl -p
重要提示：必须关闭NetworkManager服务，否则会导致VIP绑定异常：
bash复制systemctl stop NetworkManager
systemctl disable NetworkManager
3.2 Keepalived配置详解
主节点配置示例（/etc/keepalived/keepalived.conf）：
conf复制global_defs {
router_id PRODUCTION_MASTER
}
vrrp_script chk_nginx {
script "/usr/bin/killall -0 nginx"
interval 2
weight 50
}
vrrp_instance VI_1 {
state MASTER
interface eth0
virtual_router_id 51
priority 150
advert_int 1
virtual_ipaddress {
192.168.100.100/24 dev eth0 label eth0:1
}
track_script {
chk_nginx
}
}
备节点只需修改：
conf复制state BACKUP
priority 100
router_id PRODUCTION_BACKUP
3.3 健康检查优化
默认的ICMP检测对业务不可用不敏感，我们增加了应用层检查：
bash复制#!/bin/bash
# /usr/local/bin/check_service.sh
# 检查HTTP服务
curl -sI http://localhost/api/health | grep '200 OK' > /dev/null
if [ $? -ne 0 ]; then
exit 1
fi
# 检查特定进程
pgrep -f 'java -jar' > /dev/null || exit 1
exit 0
4. 故障排查实录
4.1 常见问题汇总
| 故障现象 | 可能原因 | 解决方案 |
|---|---|---|
| VIP不漂移 | 防火墙阻断VRRP协议(112) | 开放IP协议号112 |
| 脑裂现象 | 心跳延迟> advert_int | 调低advert_int或增加心跳线 |
| 服务中断但VIP未切换 | 健康检查脚本返回延迟 | 脚本增加超时控制 |
| ARP缓存问题 | 客户端缓存旧MAC地址 | 调小客户端arp缓存时间 |
4.2 诊断命令工具箱
bash复制# 查看VIP绑定状态
ip addr show eth0
# 检查VRRP通信
tcpdump -i eth0 vrrp -n
# 查看选举日志
journalctl -u keepalived -f
# 强制释放VIP（测试用）
systemctl restart keepalived
5. 生产环境优化建议
经过半年运行，我们总结出这些经验：
- 心跳网络独立：生产环境一定要用独立网卡或专线做心跳，我们曾因业务网络拥塞导致误切换
- 优先级动态调整：通过脚本根据负载自动调整priority，避免主节点恢复后不必要的切换
- 日志分级：调试阶段用debug模式，生产环境改为notice级别减少IO压力
- 监控集成：将Keepalived状态接入Prometheus，添加以下指标告警：
- VRRP状态变化次数
- 健康检查失败率
- 主备节点延迟差
6. 扩展应用场景
这个方案后来被我们复用到多个场景：
- 数据库高可用：MySQL主从切换时，应用层无需修改连接字符串
- 工业设备冗余：PLC控制器双机热备，保证生产线不间断
- 视频监控NVR：多台录像机共享VIP，实现存储无缝切换
有个特别有意思的案例：某客户在VIP方案基础上，配合tc命令做了QoS保障，在网络拥塞时优先保障VIP流量，这招在跨省专线场景下效果拔群。具体是在备节点上添加：
bash复制tc qdisc add dev eth0 root handle 1: prio bands 3
tc filter add dev eth0 protocol ip parent 1: prio 1 u32 match ip dst 192.168.100.100 flowid 1:1
最后分享一个排查神技：当遇到玄学故障时，用conntrack -L查看连接跟踪表，我们曾靠这个发现某款防火墙会异常丢弃VRRP报文。网络工程就是这样，越是基础的技术，越需要扎实的协议理解能力和排错经验积累。