OpenWrt中Keepalived配置后VIP无法漂移？

Question

在OpenWrt中配置Keepalived后，虚拟IP（VIP）无法正常漂移，常见原因之一是VRRP组播通信受阻。由于OpenWrt默认防火墙策略可能未放行VRRP协议（协议号112），导致主备节点间无法收发VRRP通告报文，备用节点始终处于backup状态，无法触发VIP接管。需检查并修改防火墙规则，显式允许VRRP通信，同时确认网络接口配置与VRRP绑定接口一致，确保多播可达性。

Answer 1

OpenWrt中Keepalived虚拟IP漂移异常的深度排查与解决方案

1. 问题背景与现象描述

在高可用性（HA）网络架构中，Keepalived常用于实现虚拟IP（VIP）的动态漂移。然而，在OpenWrt系统中部署Keepalived后，常出现VIP无法正常切换的问题。典型表现为：主节点宕机后，备用节点未接管VIP，始终停留在BACKUP状态。通过抓包分析可发现，VRRP通告报文未能正常收发，初步判断为通信受阻。

2. 根本原因初探：VRRP协议通信机制

VRRP（Virtual Router Redundancy Protocol）使用IP协议号112，采用组播方式发送通告报文，默认组播地址为224.0.0.18，TTL为1。这意味着VRRP报文仅限于本地子网传播，且需依赖链路层多播支持。若防火墙或接口配置不当，将直接导致主备节点“失联”。

3. 常见故障点分析

• 防火墙未放行协议号112
• VRRP绑定接口与实际物理/逻辑接口不一致
• 交换机或桥接设备不支持IGMP Snooping或多播转发
• Keepalived配置中priority、vrrp_version、virtual_router_id不匹配
• 网络延迟或丢包导致超时误判
• OpenWrt默认zone策略限制跨zone通信
• 容器化或虚拟化环境中多播穿透问题
• Docker或LXC网络模式影响多播可达性
• IPv6环境下VRRPv3支持不完整
• 系统时间不同步引发状态震荡

4. 防火墙规则配置详解

OpenWrt使用firewall4（nftables）作为默认防火墙后端。需显式添加规则允许VRRP协议通行：

config rule
    option name 'Allow-VRRP'
    option proto 'vrrp'
    option src 'lan'
    option dest 'lan'
    option target 'ACCEPT'
    option family 'ipv4'

或将协议号112加入允许列表：

iptables -I INPUT -p 112 -j ACCEPT
iptables -I OUTPUT -p 112 -j ACCEPT

5. 接口与网络拓扑验证流程图

graph TD
            A[启动Keepalived服务] --> B{检查VRRP绑定接口}
            B -->|接口正确| C[确认接口属于同一广播域]
            B -->|接口错误| D[修改keepalived.conf中的interface字段]
            C --> E{防火墙是否放行proto 112?}
            E -->|否| F[添加nftables规则放行VRRP]
            E -->|是| G[使用tcpdump监听vrrp流量]
            G --> H{能否捕获224.0.0.18报文?}
            H -->|否| I[检查交换机多播设置]
            H -->|是| J[验证priority与preempt配置]
            J --> K[触发主备切换测试]

6. 实际排错命令与日志分析

命令	用途
tcpdump -i br-lan proto 112	监听VRRP报文收发
ip link show dev br-lan	确认接口状态与MAC
logread | grep keepalived	查看Keepalived运行日志
nft list ruleset | grep 112	检查nftables规则是否生效
ubus call service list '{\"name\":\"keepalived\"}'	查询服务状态
vconfig add eth0 100	测试VLAN内VRRP可行性
bridge fdb show | grep 01:00:5e:00:00:12	检查二层多播MAC学习
cat /proc/net/igmp	查看IGMP组成员关系
sysctl net.ipv4.ip_forward	确保路由转发开启
arping -I br-lan 192.168.1.1	测试本地链路连通性

7. Keepalived配置关键参数校验

以下为一个典型的OpenWrt兼容配置片段：

vrrp_instance VI_1 {
    state MASTER
    interface br-lan
    virtual_router_id 51
    priority 100
    advert_int 1
    authentication {
        auth_type PASS
        auth_pass yourpass
    }
    virtual_ipaddress {
        192.168.1.100/24 dev br-lan
    }
}

必须确保所有节点的virtual_router_id、interface、子网掩码一致，且advert_int不宜过大（建议1秒）。

8. 多播可达性增强策略

在复杂网络环境中，可采取以下措施提升多播可靠性：

1. 启用交换机IGMP Snooping并静态绑定组播MAC
2. 避免跨三层设备部署VRRP实例
3. 使用unicast_peer替代组播（Keepalived高级功能）
4. 配置BFD联动快速检测链路故障
5. 在OpenWrt中加载ebtables模块过滤不必要的广播
6. 使用multicast_snooping参数优化桥接行为
7. 定期执行ping 224.0.0.18测试多播基础连通性
8. 部署独立管理通道用于健康检查
9. 结合脚本监控/var/run/keepalived.pid存活状态
10. 利用SNMP trap上报状态变更事件