麒麟V10下Keepalived启动失败，常见原因有哪些？

Question

麒麟V10下Keepalived启动失败的常见原因包括：① SELinux或安全模块（如YUMA、TSM）强制拦截，导致`/usr/sbin/keepalived`权限被拒；② 依赖缺失，如`libnl3`、`openssl-libs`版本不兼容（麒麟V10默认使用OpenSSL 1.1.1k，而旧版Keepalived可能依赖1.0.x）；③ 配置文件语法错误（如`keepalived.conf`中`virtual_ipaddress`缩进错误、`track_script`未定义）；④ 网络接口名不匹配（麒麟V10默认启用一致性网络设备命名，如`ens33`而非`eth0`，配置中未同步更新）；⑤ systemd服务单元文件被修改或`LimitNOFILE`等资源限制过严；⑥ 内核模块`ip_vs`未加载（尤其在最小化安装场景）。建议通过`journalctl -u keepalived -n 50 -e`定位首条ERROR日志，并结合`keepalived -t -f /etc/keepalived/keepalived.conf`校验配置。

Answer 1

```html

一、现象层：服务启动失败的直观表现

执行 systemctl start keepalived 后返回 failed，且 systemctl status keepalived 显示 inactive (dead) 或 failed (Result: exit-code)；ps aux | grep keepalived 无进程存在；ip addr show 中未出现配置的 VIP。这是所有排查工作的起点，不具诊断性但具备强可观测性。

二、日志层：精准定位首因的关键入口

必须优先执行：
journalctl -u keepalived -n 50 -e
重点关注首条 ERROR 或 Permission denied 行。典型输出示例：

• SELinux is preventing /usr/sbin/keepalived from execute access on the file keepalived.
• Failed to load module 'ip_vs': No such file or directory
• keepalived[1234]: Configuration file /etc/keepalived/keepalived.conf syntax error

三、配置层：语法与语义双重校验

使用 Keepalived 内置语法检查器验证配置有效性：

keepalived -t -f /etc/keepalived/keepalived.conf

常见错误类型及修复对照表：

错误类型	典型报错	修复方式
缩进不一致	virtual_ipaddress block must be indented	统一使用 2 或 4 空格（禁止 Tab）
track_script 未定义	track_script 'chk_http' not defined	在 global_defs 下方补充 script 块并确保名称完全匹配
interface 名称不存在	Can't find interface eth0	执行 ip -br a 获取真实接口名（如 ens33），同步更新配置

四、依赖与运行时环境层：麒麟V10特有兼容性挑战

麒麟V10（SP1/SP2/SP3）基于 Linux Kernel 4.19+ & OpenSSL 1.1.1k 构建，与传统 CentOS/RHEL 生态存在关键差异：

• OpenSSL 版本断裂：Keepalived ≤ 2.0.19 默认链接 libssl.so.10，而麒麟V10仅提供 libssl.so.1.1；需重编译或安装适配包（如 keepalived-2.2.8-ky10 官方源版本）
• libnl3 依赖链：libnl-3.0 和 libnl-route-3.0 必须同时满足 ABI 兼容性；可通过 ldd /usr/sbin/keepalived | grep libnl 验证加载路径
• 内核模块缺失：最小化安装默认不加载 ip_vs 及其子模块（ip_vs_rr, ip_vs_wrr）；需执行：
  modprobe ip_vs && modprobe ip_vs_rr && echo 'ip_vs' >> /etc/modules

五、安全策略层：SELinux/YUMA/TSM 的静默拦截

麒麟V10默认启用 SELinux（Enforcing）及国产安全增强模块（YUMA/TSM）。即使配置正确，也可能被策略阻断：

# 检查 SELinux 拦截记录
ausearch -m avc -ts recent | grep keepalived

# 临时放行（仅用于验证）
setsebool -P keepalived_read_config on
setsebool -P keepalived_network_connect on

# 若启用 YUMA，需确认 /usr/sbin/keepalived 在白名单中（/etc/yuma/policy.conf）

六、系统服务管理层：systemd 单元深度调优

麒麟V10 的 systemd 对资源限制更严格。常见陷阱包括：

• LimitNOFILE=1024 过低 → VIP 绑定失败（尤其高并发场景）
• ProtectSystem=full 阻止写入 /proc/sys/net/ipv4/conf/*/arp_ignore
• CapabilityBoundingSet 缺失 CAP_NET_ADMIN CAP_NET_RAW

推荐覆盖式配置（/etc/systemd/system/keepalived.service.d/override.conf）：

[Service]
LimitNOFILE=65536
CapabilityBoundingSet=CAP_NET_ADMIN CAP_NET_RAW CAP_SYS_TIME
ProtectSystem=false
ReadWritePaths=/proc/sys/net/ipv4/conf/ /proc/sys/net/ipv4/vs/

七、根因溯源流程图（Mermaid）

graph TD
  A[keepalived 启动失败] --> B{journalctl 首条 ERROR?}
  B -->|Permission denied| C[SELinux/YUMA/TSM 拦截]
  B -->|No such file or directory| D[ip_vs 模块未加载]
  B -->|syntax error| E[keepalived.conf 校验失败]
  B -->|Failed to initialize netlink socket| F[libnl3 或 kernel headers 不匹配]
  C --> G[setsebool / yuma policy]
  D --> H[modprobe ip_vs* + 持久化]
  E --> I[keepalived -t -f + 修正缩进/接口名]
  F --> J[dnf reinstall libnl3* openssl-libs]

```