Keepalived和conntrackd介绍

Keepalived介绍

Keepalived 是一个基于 Linux 平台的软件，用来为系统提供简单和稳定的高可用性（High Availability, HA）解决方案。Keepalived 主要通过 VRRP（Virtual Router Redundancy Protocol）协议实现虚拟路由器的冗余，这就意味着系统可以在一个主路由器宕机时，自动切换到备用路由器上，从而保证网络服务的持续可用性。

VRRP 协议

VRRP 是一个经典的网络协议，用来实现网络路径冗余和自动故障转移。这个协议通过在主路由器和一个或多个备用路由器之间共享一个虚拟IP地址。如果主路由器出现故障，一个备用路由器会取而代之成为新的主路由器，并且承担原来的虚拟IP，从而保证网络服务不中断。

Keepalived 的工作流程

• VRRP 实例：Keepalived 维护一个或多个VRRP实例，每个实例控制一个虚拟路由器（一个虚拟IP和一组实际的网络设备）。
• 选主过程：在任何时候，每个VRRP实例只有一个主节点。主节点会定期发送 VRRP 广告消息，告诉其他节点：“我还活着”。如果备用节点在配置的时间间隔内没有收到主节点的VRRP消息，它会假设主节点已经宕机，并且启动故障转移过程。
• 优先级：选择实例主节点的过程基于一个简单的优先级规则：优先级最高的节点被认为是主节点。优先级可以在配置中预设，也可以动态地根据节点的运行状态调整。

主要特性

1. 故障转移和恢复：Keepalived 可以监控服务器或路由器群集中节点的状态，并在主节点故障时自动将工作切换到备用节点，实现故障转移。当原主节点恢复正常后，可以根据配置决定是否自动恢复服务。
2. 健康检查：它也支持更复杂的健康检查机制，可以根据LVS（Linux Virtual Server）的实际运行情况来自动管理负载均衡和故障转移。
3. 负载均衡：通过与LVS结合，Keepalived 还可以实现负载均衡的功能。
4. 灵活配置：Keepalived 的配置文件允许管理员将复杂的健康检查和高可用性配置逻辑应用于网络设施，提供了诸如权重、延迟等多样化的配置选项。

应用场景

• Web 服务器负载均衡
• 数据库服务器冗余
• 共享存储系统的高可用性
• 网络路径和接口的冗余

在使用 Keepalived 时，通常需要有良好的网络基础知识，以正确地配置 VRRP 优先级、触发检查、故障转移设置等。它的配置文件通常位于 /etc/keepalived/keepalived.conf 。

部署了 Keepalived 的系统能够为最终用户提供透明的高可用性服务，无论是网络故障还是系统故障，都可以在几秒中内自动恢复，大大提高了服务的可靠性。

conntrackd介绍

conntrackd 是 Linux 系统上的一种服务守护进程，它主要用于同步多个防火墙之间的连接跟踪状态。它主要在 High Availability (HA) 配置中使用，以确保网络连接的持久性即使在故障转移的情况下也能保持不中断。

在 HA 环境中，特别是使用有状态防火墙或 NAT（网络地址转换）时，保存所有的连接状态是一项重要任务。为了在主机故障后能够无缝地故障转移，备用防火墙必须了解当前的连接状态。

连接跟踪 (Conntrack)

连接跟踪是 Linux 内核的一个特性，它跟踪网络连接的所有状态信息，例如 TCP/UDP 会话。该信息存储在一个名为 conntrack table 的内核表中，这些信息用于高级的网络功能，如 NAT, 防火墙的状态监控规则等。

conntrackd 的主要功能

• 状态同步：conntrackd 可以复制连接跟踪条目，并在主机之间同步这些连接状态，确保所有的节点都具有所有活跃（和之前的）连接的完整信息。

• 故障恢复：当一个节点宕机并重新启动后，conntrackd 能够将连接状态恢复回该节点，这样就可以保持连接不中断。

conntrackd 的工作方式

conntrackd 侦听内核的连接跟踪事件，当新连接建立、连接更新或连接终止时，它会从内核获取这些事件，并可以选择：

• 同步到备用防火墙节点：将连接状态发送到另一台或多台服务器。

• 从备用防火墙节点接收：载入从其他服务器接收的连接状态。

配置和使用

conntrackd 的配置文件通常位于 /etc/conntrackd/conntrackd.conf，在这个文件中你可以设定：

• 同步接口：指定用于同步数据的网络接口。
• 同步模式：有两种同步模式，FTP（故障切换协议）和 ALG（应用层网关）。
• 过滤策略：定义哪些连接应该被同步。
• 通信设置：设置 conntrackd 之间通信的 IP 地址和端口。
• 同步频率和性能优化选项。

一旦配置，你可以使用 conntrackd 服务的命令行工具管理守护进程，例如：

conntrackd -d       # 运行守护程序
conntrackd -s       # 显示守护程序的状态
conntrackd -f       # 执行内部缓存刷新

conntrackd 是 HA 防火墙和负载平衡器方案中不可或缺的一部分，特别在需要无缝故障转移时，使用 conntrackd 能够确保连接的无缝切换和恢复，从而提高整体的网络可用性和健壮性。

在理想情况下，使用 conntrackd 进行故障转移时，客户端侧的 TCP 连接应该是不会断开的。conntrackd 的主要作用就是为了防止这种情况发生，通过在多个防火墙或 NAT 设备之间同步连接状态信息，从而在其中一个设备发生故障时能确保连接状态无缝地在备用设备上继续。

当主机（主服务器）发生故障，conntrackd 会将连接跟踪表中记录的 TCP 连接状态传输到备机（备用服务器），允许备机准确地知道每个 TCP 连接的状态（例如，序列号、确认号等）。因此，如果主机故障的情况下，故障转移操作迅速且正确执行，那么客户端侧的 TCP 连接本身是不会中断的。

然而，是否导致 TCP 连接断开也取决于多个因素：

1. 故障转移的速度：故障转移必须足够快以避免连接超时。如果备机在客户端和服务器之间的网络超时时间内无法接管并开始接收和发送数据包，则连接可能会因为超时而断开。

2. 连接同步的准确性：conntrackd 必须同步包括 TCP 三次握手中状态的所有相关信息。如果任何关键信息丢失或者未能及时同步，则备机将不能正确接管连接。

3. 网络配置：故障转移时，备机必须能够用和前主机相同的 IP 地址开始接收和发送数据包。这通常通过虚拟IP和VRRP实现，但需要确保所有相关网络配置（例如路由和ARP缓存）都能够正确识别新的主机。

如果上述所有事情都正确且迅速地完成，则在 conntrackd 同步情况下客户端的 TCP 连接不应断开。

然而，在实践中，网络环境复杂多变，并且可能会出现配置错误、软硬件故障或其他不可预测的问题导致连接中断。因此，尽管 conntrackd 旨在提供无缝故障转移，但不能保证在任何情况下都能防止连接断开，这是网络设备和应用程序需要准备好处理网络连接中断的原因之一。