lvs负载均衡实现
1、cluster（集群）概念
1>系统扩展方式：
Scale UP：向上扩展，增强
Scale Out：向外扩展，增加设备，调度分配问题，Cluster
2>Cluster：集群，为解决某个特定问题将多台计算机组合起来形成的单个系统
3>Linux Cluster类型：
LB：Load Balancing，负载均衡
HA：High Availiablity，高可用，SPOF ( single Point Of failure )
MTBF：Mean Time Between Failure平均无故障时间
MTTR：Mean Time To Restoration ( repair )平均恢复前时间
A=MTBF/ ( MTBF+MTTR) (0,1) : 99%, 99.5%，99.9%, 99.99%, 99.999%
HPC：High-performance computing，高性能www.top500.org
4>分布式系统：
分布式存储：云盘
分布式计算：hadoop，Spark
5>LB Cluster的实现
硬件
F5 Big-IP
Citrix Netscaler
A10 A10
软件
Ivs：Linux Virtual Server
nginx：支持七层调度
haproxy：支持七层调度
基于工作的协议层次划分：
传输层(通用)：DPORT
LVS：
nginx：stream
haproxy：mode tcp
应用层(专用)：针对特定协议，自定义的请求模型分类
proxy server：
http：nginx, httpd, haproxy(mode http), ..
fastcgi：nginx, httpd, ..
mysql：mysql-proxy, ...
6>会话保持：负载均衡
(1)session sticky：同一用户调度固定服务器
Source IP：LVS sh算法(对某一特定服务而言)
Cookie，同一个cookie往一台机器调度
(2)session replication：每台服务器拥有全部session
session multicast cluster
(3)session server：专门的session服务器
Memcached，Redis
7>HA集群实现方案
keepalived：vrrp协议
ais:应用接口规范
heartbeat
cman + rgmanager(RHCS)
coresync_pacemaker
8>负载均衡集群设计时要注意的问题
(1)是否需要会话保持
(2)是否需要共享存储
共享存储：NAS，SAN ，DS (分布式存储)
数据同步
2、LVS介绍：Linux Virtual Server，负载调度器，集成于内核（章文嵩 阿里）
官网: http://www.linuxvirtualserver.org/
VS：Virtual Server，负责调度
RS：Real Server，负责真正提供服务
L4：四层路由器或交换机
1>工作原理：VS根据请求报文的目标IP和目标协议及端口将其调度转发至某RS，根据调度算法来挑选RS
iptables/netfilter :
iptables：用户空间的管理工具
netfilter：内核空间上的框架
流入：PREROUTING→INPUT
流出：OUTPUT→POSTROUTING
转发：PREROUTING→FORWARD→POSTROUTING
DNAT：目标地址转换；PREROUTING
2>Ivs集群类型中的术语：
VS：Virtual Server，Director Server(DS)，Dispatcher(调度器)，Load Balancer
RS：Real Server(Ivs)，upstream server(nginx)，backend server(haproxy)
CIP：Client IP
VIP：Virtual serve IP VS外网的IP
DIP：Director IP VS内网的IP（调度器连接内网的IP）
RIP：Real server IP
访问流程: CIP <--> VIP == DIP <--> RIP
3、Ivs：ipvsadm/ipvs
ipvsadm：用户空间的命令行工具，规则管理器
用于管理集群服务及RealServer
ipvs：工作于内核空间netfilter的INPUT钩子上的框架
4、Ivs集群的类型：
Ivs-nat：修改请求报文的目标IP，多目标IP的DNAT
Ivs-dr：操纵封装新的MAC地址
Ivs-tun：在原请求IP报文之外新加一个IP首部
Ivs-fulInat：修改请求报文的源和目标IP
3、LVS-NAT：
本质是多目标IP的DNAT，通过将请求报文中的目标地址和目标端口修改为某挑出的RS的RIP和PORT实现转发
1>RIP和DIP应在同一个IP网络（交换机相连），且应使用私网地址，RS的网关要指向DIP（同一网段）；RIP和DIP也可以不在同一个IP网络（路由器相连），RS网段指向路由器
2>请求报文和响应报文都必须经由Director转发，Director易于成为系统瓶颈
3>支持端口映射，可修改请求报文的目标PORT
4>VS必须是Linux系统，RS可以是任意OS系统
4、LVS-DR：Direct Routing，直接路由，LVS默认模式，应用最广泛，通过为请求报文重新封装一个MAC首部进行转发，源MAC是DIP所在的接口的MAC，目标MAC是某挑选出的RS的RIP所在接口的MAC地址；源IP/PORT，以及目标IP/PORT均保持不变
1>Director和各RS都配置有VIP（VIP地址不冲突的解决：不arp广播，不应答；配置路由表绑定VIP和LVSMac地址）
2>确保前端路由器将目标IP为VIP的请求报文发往Director
(1)在前端网关做静态绑定VIP和Director的MAC地址
(2)在RS上使用arptables工具
arptables -A IN -d $VIP -j DROP
arptables -A OUT -S $VIP -j mangle --mangle-ip-s $RIP
(3)常用：在RS上修改内核参数以限制arp通告及应答级别/proc/sys/net/ipv4/conf/al/arp_ignore（忽略）、/proc/sys/net/ipv4/confall/arp_announce（公布）
3>RS的RIP可以使用私网地址，也可以是公网地址，RIP与DIP在同一IP网络，RIP的网关不能指向DIP，以确保响应报文不会经由Director
4>RS和Director要在同一个物理网络
5>请求报文要经由Director，但响应报文不经由Director，而由RS直接发往Client
6>不支持端口映射(端口不能修败)
7>RS可使用大多数OS系统
8、LVS-TUN
转发方式：不修改请求报文的IP首部 ( 源IP为CIP，目标IP为VIP )，而在原IP报文之外再封装一个IP首部 (源IP是DIP，目标IP是RIP )，将报文发往挑选出的目标RS，RS直接响应给客户端 ( 源IP是VIP，目标IP是CIP )
1>DIP，VIP，RIP应该是公网地址（DIP和RIP也可以是私网地址：拉专线）
2>RS的网关一般不能指向DIP
3>请求报文要经由Director，但响应不能经由Director
4>不支持端口映射
5>RS的OS须支持隧道功能（看到两个ip地址）
9、Ivs-fullnat：通过同时修改请求报文的源IP地址和目标IP地址进行转发
CIP --> DIP
VIP --> RIP
1>VIP是公网地址，RIP和DIP是私网地址，且通常不在同一IP网络，因此，RIP的网关一般不会指向DIP
2>RS收到的请求报文源地址是DIP，因此，只需响应给DIP，但Director还要将其发往Client
3>请求和响应报文都经由Director
4>支持端口映射
注意：此类型kernel默认不支持
10、LVS工作总结
Ivs-nat与lvs-fullnat：请求和响应报文都经由Director
Ivs-nat：RIP的网关要指向DIP
Ivs-fullnat：RIP和DIP未必在同一IP网络，但要能通信
Ivs-dr与lvs-tun：请求报文要经由Director，但响应报文由RS直接发往Client
Ivs-dr：通过封装新的MAC首部实现，通过MAC网络转发
Ivs-tun：通过在原IP报文外封装新IP头实现转发，支持远距离通信
11、ipvs scheduler：根据其调度时是否考虑各RS当前的负载状态
两种：静态方法和动态方法（考不考虑后端真实服务器的负载压力）
静态方法：仅根据算法本身进行调度
(1)RR：roundrobin，轮询
(2)WRR：Weighted RR，加权轮询（按比例）
(3)SH：Source Hashing，实现session sticky，源IP地址hash，将来自于同一个IP地址的请求始终发往第一次挑中的RS，从而实现会话绑定
(4)DH：Destination Hashing，目标地址哈希，将发往同一个目标地址的请求始终转发至第一 次挑中的RS，典型使用场景是正向代理缓存场景中的负载均衡，如：宽带运营商
动态方法：主要根据每RS当前的负载状态及调度算法进行调度Overhead=value较小的RS将被调度
(1)LC：least connections（最少连接）适用于长连接应用
Overhead=activeconns*256+inactiveconns（活动连接数*256+非活动连接）
(2)WLC：Weighted LC，默认调度方法
Overhead=(activeconns*256+inactiveconns)/weight（活动连接数*256+非活动连接）/权重
(3)SED：Shortest Expection Delay，初始连接高权重优先
Overhead=(activeconns+1)*256/weight
(4)NQ：Never Queue，第一轮均匀分配，后续SED
(5)LBLC：Locality-Based LC，动态的DH算法，使用场景：根据负载状态实现正向代理
(6)LBLCR：LBLC with Replication，带复制功能的LBLC，解决LBLC负载不均衡问题，从负载重的复制到负载轻的RS
12、ipvsadm/ipvs :
ipvs :
grep -i -C 10 "ipvs" /boot/config-VERSION-RELEASE.x86_64
支持的协议: TCP，UDP，AH，ESP，AH_ESP，SCTP
ipvs集群：
管理集群服务
管理服务上的RS
13、程序包：ipvsadm
Unit File：ipvsadm.service
主程序：/usr/sbin/ipvsadm
规则保存工具：/usr/sbin/ipvsadm-save
规则重载工具：/usr/sbin/ipvsadm-restore
配置文件：/etc/sysconfig/ipvsadm-config
14、ipvsadm命令
核心功能:
集群服务管理：增、删、改
集群服务的RS管理：增、删、改
ipvsadm -A|E -t|u|f service-address [-s scheduler] [-p [timeout]] [-M netmask] [--pepersistence_ engine] [-b sched-flags]
ipvsadm -D -t|u|f service-address 删除
ipvsadm-C 清空定义的所有内容
ipvsadm-R 重载
ipvsadm -S [-n] 保存
ipvsadm -L|l [options] 查看
--numeric，-n：以数字形式输出地址和端口号
--exact：扩展信息，精确值
--connection，-c：当前ipvs连接输出
--stats：统计信息
--rate：输出速率信息
ipvsadm -Z [-t|u|f service-address] 清空计算器
ipvs规则：/proc/net/ip_vs
ipvs连接：/proc/net/ip_vs_conn
1>管理集群服务：增、改、删
增、改：
ipvsadm -A|E -t|u|f service-address [-s scheduler] [-p [timeout]]
删除：
ipvsadm -D -t|u|f service-address
-t：TCP协议的端口，VIP:TCP_PORT
-u：UDP协议的端口，VIP:UDP_PORT
-f：firewall MARK，标记，一个数字
[-s scheduler]：指定集群的调度算法，默认为wlc
2>管理集群上的RS：增、改、删
增、改：ipvsadm -a|e -t|u|f service-address -r server-address [-g|i|m] [-w weight]
删: ipvsadm -d -t|u|f service-address -r server-address
RIP:[port] 如省略port，不作端口映射
Ivs类型：
-g：gateway，dr类型，默认
-i：ipip，tun类型
-m：masquerade，nat类型
-w weight：权重
3>保存：建议保存至/etc/sysconfig/ipvsadm
ipvsadm-save -n > /PATH/TO/IPVSADM_FILE //不加-n会地址解析（有错） ipvsadm -Sn > /PATH/TO/IPVSADM_FILE systemctl stop ipvsadm.service //停止自动保存至/etc/sysconfig/ipvsadm
设为开机自启动，开机加载ipvsadm规则
重载:
ipvsadm-restore < /PATH/FROM/IPVSADM_FILE ipvsadm -R < /PATH/FROM/IPVSADM_FILE systemctl restart ipvsadm.service
15、LVS-NAT实战：
1>环境规划：centos7系统
2>前期准备：各节点分别，关闭防火墙、禁用selinux；virtual server还要另外开启核心转发功能
各个节点分别操作：
systemctl stop firewalld systemctl disable firewalld vim /etc/selinux/config SELINUX=disabled //将SELINUX设为disabled
[root@centos7 ~]#echo net.ipv4.ip_forward=1 >> /etc/sysctl.conf //开启ip_forward [root@centos7 ~]#sysctl -p net.ipv4.ip_forward = 1 [root@centos7 ~]#sysctl -a|grep ip_for net.ipv4.ip_forward = 1 net.ipv4.ip_forward_use_pmtu = 0 sysctl: reading key "net.ipv6.conf.all.stable_secret" sysctl: reading key "net.ipv6.conf.default.stable_secret" sysctl: reading key "net.ipv6.conf.ens32.stable_secret" sysctl: reading key "net.ipv6.conf.ens34.stable_secret" sysctl: reading key "net.ipv6.conf.lo.stable_secret"
3>设置网卡主机地址，如上图规划，要求CIP和VIP在一个网段，DIP和RIP在一个网段，后端real-server部署web服务，client访问测试，virtual-server调度服务器根据不同调度算法进行调度。
4>real-server部署web服务
real-server1节点： [root@real-server1 ~]# yum install httpd -y [root@real-server1 ~]# echo real-server1 > /var/www/html/index.html //创建测试页面 [root@real-server1 ~]# systemctl start httpd //启动服务 real-server2节点： [root@real-server2 ~]# yum install httpd -y [root@real-server2 ~]# echo real-server2 > /var/www/html/index.html //创建测试页面 [root@real-server2 ~]# systemctl start httpd //启动服务
5>real-server进行访问测试
[root@lvs ~]#curl 192.168.100.102
real-server1
[root@lvs ~]#curl 192.168.100.103
real-server2 //real-server，web服务部署完成
因virtual-server上没有web服务所以client对virtual-server访问测试也无法连接（暂时未配置lvs）
[root@client ~]#curl 172.20.0.101
curl: (7) Failed connect to 172.20.0.101:80; Connection refused
6>配置virtual-server
[root@lvs ~]# yum install ipvsadm -y [root@lvs ~]# ipvsadm -A -t 172.20.0.101:80 -s rr //增加集群，设置rr轮询调度 [root@lvs ~]# ipvsadm -Ln //查看 IP Virtual Server version 1.2.1 (size=4096) Prot LocalAddress:Port Scheduler Flags -> RemoteAddress:Port Forward Weight ActiveConn InActConn TCP 172.20.0.101:80 rr [root@lvs ~]# ipvsadm -a -t 172.20.0.101:80 -r 192.168.100.102 -m //新添集群real-server [root@lvs ~]# ipvsadm -a -t 172.20.0.101:80 -r 192.168.100.103 -m [root@lvs ~]# ipvsadm -Ln IP Virtual Server version 1.2.1 (size=4096) Prot LocalAddress:Port Scheduler Flags -> RemoteAddress:Port Forward Weight ActiveConn InActConn TCP 172.20.0.101:80 rr -> 192.168.100.102:80 Masq 1 0 0 -> 192.168.100.103:80 Masq 1 0 0
7>客户端访问测试
[root@client ~]# curl 172.20.0.101 real-server2 [root@client ~]# curl 172.20.0.101 real-server1 [root@client ~]# curl 172.20.0.101 real-server2 [root@client ~]# curl 172.20.0.101 real-server1
8>更改调度算法为wrr（加权轮询），测试
[root@lvs ~]#ipvsadm -E -t 172.20.0.101:80 -s wrr
[root@lvs ~]#ipvsadm -Ln //查看
IP Virtual Server version 1.2.1 (size=4096)
Prot LocalAddress:Port Scheduler Flags
-> RemoteAddress:Port Forward Weight ActiveConn InActConn
TCP 172.20.0.101:80 wrr //已经更改
-> 192.168.100.102:80 Masq 1 0 0
-> 192.168.100.103:80 Masq 1 0 0 [root@lvs ~]#ipvsadm -d -t 172.20.0.101:80 -r 192.168.100.103 //删除 [root@lvs ~]#ipvsadm -d -t 172.20.0.101:80 -r 192.168.100.102 //删除 [root@lvs ~]#ipvsadm -a -t 172.20.0.101:80 -r 192.168.100.102 -m -w 3 //新添加权 [root@lvs ~]#ipvsadm -a -t 172.20.0.101:80 -r 192.168.100.103 -m [root@lvs ~]#ipvsadm -Ln IP Virtual Server version 1.2.1 (size=4096) Prot LocalAddress:Port Scheduler Flags -> RemoteAddress:Port Forward Weight ActiveConn InActConn TCP 172.20.0.101:80 wrr -> 192.168.100.102:80 Masq 3 0 0 -> 192.168.100.103:80 Masq 1 0 0
client测试：
[root@client ~]# curl 172.20.0.101
real-server2
[root@client ~]# curl 172.20.0.101
real-server1
[root@client ~]# curl 172.20.0.101
real-server1
[root@client ~]# curl 172.20.0.101
real-server1
[root@client ~]# curl 172.20.0.101
real-server2
等等，各种调度算法依次进行测试。
16、LVS-DR实战：
DR模型中各主机上均需要配置VIP，解决地址冲突的方式有3种：
(1)在前端网关做静态绑定
(2)在各RS使用arptables
(3)在各RS修改内核参数，来限制arp响应和通告的级别
限制响应级别: arp_ignore：/proc/sys/net/ipv4/conf/lo/arp_ignore
0：默认值，表示可使用本地任意接口，上配置的任意地址进行响应
1：仅在请求的目标IP配置在本地主机的接收到请求报文的接口上时，才给予响应
限制通告级别：arp_announce：/proc/sys/net/ipv4/conf/all/arp_announce
0：默认值，把本机所有接口的所有信息向每个接口的网络进行通告
1：尽量避免将接口信息向非直接连接网络进行通告
2：必须避免将接口信息向非本网络进行通告
1>环境规划：centos7系统
2>前期准备各节点分别关闭防火墙，将selinux设为disabled，开启router节点的ip_forward转发功能
3>client节点设置路由表，指向下一跳地址：172.20.0.101
[root@client ~]# vim /etc/vim /etc/sysconfig/network-scripts/ifcfg-ens32 DEVICE=ens32 BOOTPROTO="static" IPADDR=172.20.0.123 PREFIX=16 GATEWAY=172.20.0.101
[root@client ~]# systemctl restart network
4>router设置
[root@router ~]# vim /etc/vim /etc/sysconfig/network-scripts/ifcfg-ens32 DEVICE=ens32 BOOTPROTO="static" IPADDR=192.168.109.129 PREFIX=24 [root@router ~]# vim /etc/vim /etc/sysconfig/network-scripts/ifcfg-ens34 DEVICE=ens32 BOOTPROTO="static" IPADDR=172.20.0.101 PREFIX=16
[root@router ~]# systemctl restart network
[root@router ~]#echo net.ipv4.ip_forward=1 >> /etc/sysctl.conf //开启ip_forward
[root@router ~]#sysctl -p
net.ipv4.ip_forward = 1
[root@router ~]#sysctl -a|grep ip_for
net.ipv4.ip_forward = 1
net.ipv4.ip_forward_use_pmtu = 0
sysctl: reading key "net.ipv6.conf.all.stable_secret"
sysctl: reading key "net.ipv6.conf.default.stable_secret"
sysctl: reading key "net.ipv6.conf.ens32.stable_secret"
sysctl: reading key "net.ipv6.conf.ens34.stable_secret"
sysctl: reading key "net.ipv6.conf.lo.stable_secret"
5>LVS设置
[root@lvs ~]# vim /etc/vim /etc/sysconfig/network-scripts/ifcfg-ens32 //设置DIP，设置网关（得有，但不需要指向router，因为请求报文需要网关才能到达LVS调度，而响应报文不走lvs调度器，所以得有但不需要指向router） DEVICE=ens32 BOOTPROTO="static" IPADDR=192.168.109.130 PREFIX=24 GATEWAY=192.168.109.101
[root@lvs ~]# systemctl restart network
[root@lvs ~]# ip addr add 192.168.109.7/32 dev lo //设置VIP绑定至lo回环网卡
[root@lvs ~]# yum install ipvsadm -y
[root@lvs ~]# ipvsadm -A -t 192.168.109.7:80 -s rr //设置轮询调度算法
[root@lvs ~]# ipvsadm -Ln
IP Virtual Server version 1.2.1 (size=4096)
Prot LocalAddress:Port Scheduler Flags
-> RemoteAddress:Port Forward Weight ActiveConn InActConn
TCP 192.168.109.7:80 rr
[root@lvs ~]# ipvsadm -a -t 192.168.109.7:80 -r 192.168.109.131
[root@lvs ~]# ipvsadm -a -t 192.168.109.7:80 -r 192.168.109.132
[root@lvs ~]# ipvsadm -Ln
IP Virtual Server version 1.2.1 (size=4096)
Prot LocalAddress:Port Scheduler Flags
-> RemoteAddress:Port Forward Weight ActiveConn InActConn
TCP 192.168.109.7:80 rr
-> 192.168.109.131:80 Route 1 0 0
-> 192.168.109.132:80 Route 1 0 0
6>real-server1设置：
[root@real-server1 ~]# vim /etc/sysconfig/network-scripts/ifcfg-ens32 TYPE="Ethernet" BOOTPROTO="static" IPADDR=192.168.109.131 PREFIX=24 GATEWAY=192.168.109.129 //设置网关指向router DEVICE="ens32" ONBOOT="yes"
[root@real-server1 ~]# systemctl restart network
[root@real-server1 ~]# ip addr add 192.168.109.7/32 dev lo //设置VIP绑定至lo回环网卡
[root@real-server1 ~]# echo 1 > /proc/sys/net/ipv4/conf/lo/arp_ignore //修改内核参数，来限制arp响应和通告的级别，使其不响应、不应答
[root@real-server1 ~]# echo 1 > /proc/sys/net/ipv4/conf/all/arp_ignore
[root@real-server1 ~]# echo 2 > /proc/sys/net/ipv4/conf/all/arp_announce
[root@real-server1 ~]# echo 2 > /proc/sys/net/ipv4/conf/lo/arp_announce
7>real-server2设置：
[root@real-server2 ~]# vim /etc/sysconfig/network-scripts/ifcfg-ens32 TYPE="Ethernet" BOOTPROTO="static" IPADDR=192.168.109.132 PREFIX=24 GATEWAY=192.168.109.129 //设置网关指向router DEVICE="ens32" ONBOOT="yes" [root@real-server2 ~]# systemctl restart network [root@real-server2 ~]# ip addr add 192.168.109.7/32 dev lo //设置VIP绑定至lo回环网卡 [root@real-server2 ~]# echo 1 > /proc/sys/net/ipv4/conf/lo/arp_ignore //修改内核参数，来限制arp响应和通告的级别，使其不响应、不应答 [root@real-server2 ~]# echo 1 > /proc/sys/net/ipv4/conf/all/arp_ignore [root@real-server2 ~]# echo 2 > /proc/sys/net/ipv4/conf/all/arp_announce [root@real-server2 ~]# echo 2 > /proc/sys/net/ipv4/conf/lo/arp_announce
8>client客户端访问测试
[root@client ~]# curl 192.168.109.7 real-server2 [root@client ~]# curl 192.168.109.7 real-server1 [root@client ~]# curl 192.168.109.7 real-server2 [root@client ~]# curl 192.168.109.7 real-server1
