Keepalived中使用VMAC时主机网络访问问题的分析与解决

问题现象

在使用Keepalived的VMAC(virtual MAC)功能时，管理员发现当VRRP实例处于Master状态时，无法通过主机的物理接口IP(eth0)访问主机，而虚拟IP(VIP)可以正常访问。该问题在Raspberry Pi设备上使用Keepalived 2.2.7版本时出现，升级到2.3.2版本后有所改善但仍存在间歇性丢包问题。

技术背景

VMAC是Keepalived提供的一种虚拟MAC地址功能，它通过创建虚拟网络接口(vrrp.X)来承载VIP，而不是直接绑定到物理接口。这种方式可以解决某些ARP缓存问题，但也会带来路由层面的复杂性。

根本原因分析

通过排查发现问题的核心在于路由表配置：

1. 当启用VMAC后，系统会自动创建两条路由：

   • 10.10.10.0/24 dev vrrp.44 (VIP接口)
   • 10.10.10.0/24 dev eth0 (物理接口)

2. 由于vrrp.44接口的路由具有默认的kernel优先级，它会优先于物理接口路由被使用

3. 这导致发往主机物理IP的流量被错误地路由到vrrp.44接口，而该接口的MAC地址与物理接口不同，造成通信失败

解决方案

方案一：使用/32子网掩码

将VIP配置为/32而非/24，避免覆盖整个子网的路由：

virtual_ipaddress {
  10.10.10.20/32
}

这种方法最适合VIP仅用于服务终端的场景，不会影响物理接口的路由。

方案二：调整路由优先级

手动配置物理接口路由的metric值低于默认值(100)：

ip route add 10.10.10.0/24 dev eth0 metric 50

或在网络配置中永久设置。

方案三：简化配置

移除不必要的配置项：

1. 删除native_ipv6参数
2. 统一使用单播(unicast)配置
3. 除非特殊需要，可以移除vmac_xmit_base参数

最佳实践建议

1. 版本选择：尽量使用Keepalived 2.3.2或更新版本

2. 配置检查：

   • 避免手动修改sysctl参数，Keepalived会自动管理所需设置
   • IPv6和IPv4配置应保持一致(都使用单播或组播)

3. 网络设计：

   • 明确区分VIP路由和物理接口路由
   • 考虑使用更精确的子网掩码(/32或/128)
   • 测试时使用tcpdump检查流量路径

总结

Keepalived的VMAC功能虽然能解决某些ARP问题，但需要特别注意路由配置。通过合理设置VIP子网掩码和路由优先级，可以确保VMAC和物理接口的共存。管理员应根据实际网络需求选择最适合的配置方案，并在变更后进行充分测试验证。