LVS keepalived DSR で振り分け先サーバからVIPにアクセスしたときの問題

前提と問題

LVS keepalived で DSR のロードバランシングを行っています。

上図のように apache, mysql(クラスタリング) を同居させたリアルサーバが２台あり、冗長化しています。
ブラウザからは http://192.168.1.5/ にアクセスすることでapacheへのアクセスがロードバランシングされ、apache からは mysql://192.168.1.5/ にアクセスすることにより、mysql接続がロードバランシングされます。
この冗長化により、いずれかのサーバがダウンしても稼働を継続させることができます。

問題としては、上図の 192.168.1.4 から VIPである 192.168.1.5 に対してアクセスを行った場合、192.168.1.4 自身が自分でパケットを受け取り処理していまうことです。

具体的な例

例えば、 192.168.1.4 の apache は生きているが、mysql がダウンした場合、 192.168.1.4 の apache から VIPである 192.168.1.5 に対してアクセスしますが、そのパケットを 192.168.1.4 自身が受け取り、処理しようとしてしまいます。
当然、 192.168.1.4 の mysql はダウンしているため、応答しません。

片系の mysql のみがダウンした場合でもサービスを継続できるような方法がありましたら教えてください。
お力をお貸しいただければ幸いです。

TaichiYanagiya

2016/12/09 16:44

インターフェース lo に IPエイリアスで 192.168.1.5 が付いていて、 REDIRECT よりも先に見ているのではないでしょうか。

行動規範の内容に同意します

回答2件

ベストアンサー

LVS DSR の場合、リアルサーバー(192.168.1.3, 192.168.1.4)側で VIP 宛のパケットを受け取る方法として、(A) lo に VIP を付ける方法と (B) iptables REDIRECT を使う方法があります。

###(A) lo に VIP を付ける場合
自ホストに VIP が付いているので、リアルサーバー(192.168.1.3, 192.168.1.4)から VIP への接続は、LVS に向かわず、自ホスト宛として処理されます。

###(B) iptables REDIRECT を使う場合
手元の環境では、以下のようになりました。

(1) 192.168.1.4 → LVS → 192.168.1.3 は OK
(2) 192.168.1.4 → LVS → 192.168.1.4 は NG

(2) で、LVS からのパケット(src:192.168.1.4, dst:VIP)は届くのですが、REDIRECT が効かずに破棄されてしまうように見えます。
おそらく、source IP が自ホストのため、何らかの制限(スプーフィング対策など)がかかるのではないかと思いますが、許可する方法はわかりませんでした。

したがって、(A), (B) どちらの場合も、リアルサーバー → VIP で DSR 型のロードバランスはできなさそうです。

なお、mosa さんの環境において、192.168.1.4 の mysql がダウンした場合、LVS のヘルスチェックにより振り分け先から外れますから、(B) の 192.168.1.4 → LVS → 192.168.1.4 とはならないはずで、(A) ではないかと思いました。

投稿2016/12/11 15:42

TaichiYanagiya

総合スコア12202

mosa

2016/12/12 00:48

ありがとうございます。わかりやすく説明していただいて助かります。 (A), (B) どちらの方式でも無理そうなのですね。。。 NATでやってみようと思います。今回、私は(B)の方式でやったつもりです。特にローカルループバックの設定も変更していません。リアルサーバに対しては iptables REDIRECT のみ行ったつもりなのですが、もしかしたら私のほうで何か設定を誤っているかもしれません。 192.168.1.4 の mysql がダウンした場合、LVS のヘルスチェックにより振り分け先から外れてはいますが、LVSにパケットは転送されず、ローカルで処理されてしまっています。・・・こう書くといかにも(A)のように見えてしまいますが。。。