Keepalived与Docker容器状态检测的集成实践

问题背景

在使用Keepalived实现高可用方案时，经常需要监控关键服务的运行状态。当这些服务运行在Docker容器中时，如何正确配置Keepalived来检测容器状态成为一个常见挑战。

常见错误现象

许多管理员尝试直接在Keepalived配置中使用类似以下的命令：

vrrp_script check_container {
    script "docker ps -q -f name=haproxy | grep -q . && echo 1 || echo 0"
    interval 5
    weight -20
    fall 2
    rise 2
}

这会导致Keepalived报出两个关键错误：

1. Cannot find script docker in path - disabling - 找不到docker命令
2. Script user 'keepalived_script' does not exist - 脚本用户不存在

问题根源分析

这些问题源于三个技术限制：

1. 路径问题：Keepalived执行脚本时使用的PATH环境变量可能不包含docker命令所在目录
2. 管道限制：Keepalived本身不支持直接执行包含管道的复杂命令
3. SELinux限制：在启用SELinux的系统上，默认会阻止Keepalived执行外部脚本

解决方案

1. 创建专用脚本

首先需要创建一个独立的shell脚本，例如/etc/keepalived/ka_docker.sh，内容如下：

#!/bin/bash

docker ps -q -f name=haproxy | grep -q . && exit 1 || exit 0

注意这里使用exit代码而非echo输出，因为Keepalived只检查脚本的退出状态。

2. 设置正确的脚本权限

确保脚本具有可执行权限：

chmod 750 /etc/keepalived/ka_docker.sh

3. 处理SELinux限制

在启用SELinux的系统上，需要将脚本放置在特定目录或调整SELinux策略：

推荐方法是将脚本放在Keepalived专用目录：

mv /etc/keepalived/ka_docker.sh /usr/libexec/keepalived/
chmod u=rwx,g=rx,o=rx /usr/libexec/keepalived/ka_docker.sh

4. 修改Keepalived配置

更新vrrp_script配置指向完整路径：

vrrp_script check_container {
    script "/usr/libexec/keepalived/ka_docker.sh"
    interval 5
    weight -20
    fall 2
    rise 2
}

高级配置建议

1. 日志记录：在脚本中添加日志记录功能，便于调试
2. 超时处理：考虑添加超时机制，防止docker命令挂起
3. 状态反转：根据实际需求调整退出码逻辑
4. 多容器检查：扩展脚本以支持检查多个容器

最佳实践

1. 始终使用完整路径指定脚本和命令
2. 在SELinux环境中使用专用目录存放脚本
3. 保持脚本简单高效，避免复杂逻辑
4. 定期测试故障转移场景确保配置有效

通过以上方法，可以可靠地将Keepalived与Docker容器监控集成，构建稳定的高可用架构。