LVS三种模式原理

1： LVS-DR 模式  (Direct Routing)直接路由模式

 (调度器与实际服务器都有一块网卡连在同一物理网段上)

DR模式的工作过程：

当一个client发送一个WEB请求到VIP，LVS服务器根据VIP选择对应的real-server的Pool，根据算法，在Pool中选择一台Real-server，LVS在hash表中记录该次连接，然后将client的请求包发给选择的Real-server，最后选择的Real-server把应答包直接传给client；当client继续发包过来时，LVS根据更才记录的hash表的信息，将属于此次连接的请求直接发到刚才选择的Real-server上；当连接中止或者超时，hash表中的记录将被删除。

 

DR模式的几个细节：

LVS和Real-server必须在相同的网段

DR模式在转发client的包时，只修改了包目的MAC地址为选定的Real-server的mac地址，所以如果LVS和Real-server在不通的广播域内，那么Real-server就没办法接收到转发的包。下面是mac地址的修改过程

LVS不需要开启路由转发：

LVS的DR模式不需要开启路由转发功能，就可以正常的工作，出于安全考虑，如果不需要转发功能，最好关闭。

ARP问题：

通常，DR模式需要在Real-server上配置VIP，配置的方式为：

/sbin/ifconfig lo:0 inet VIP netmask 255.255.255.255

原因在于，当LVS把client的包转发给Real-server时，因为包的目的IP地址是VIP，那么如果Real-server收到这个包后，发现包的目的IP不是自己的系统IP，那么就会认为这个包不是发给自己的，就会丢弃这个包，所以需要将这个IP地址绑到网卡上；当发送应答包给client时，Real-server就会把包的源和目的地址调换，直接回复给client。

关于ARP广播：

・  上面绑定VIP的掩码是”255.255.255.255″，说明广播地址是其本身，那么他就不会将ARP发送到实际的自己该属于的广播域了，这样防止与LVS上VIP冲突，而导致IP冲突。

・  另外在Linux的Real-server上，需要设置ARP的广播

echo 1 > /proc/sys/net/ipv4/ip_forward
echo 0 >/proc/sys/net/ipv4/conf/all/arp_announce

arp_announce 用来限制，是否使用发送的端口的ip地址来设置ARP的源地址：

・  “0″代表是用ip包的源地址来设置ARP请求的源地址。

・  “1″代表不使用ip包的源地址来设置ARP请求的源地址，如果ip包的源地址是和该端口的IP地址相同的子网，那么用ip包的源地址，来设置ARP请求的源地址，否则使用”2″的设置。

・  “2″代表不使用ip包的源地址来设置ARP请求的源地址，而由系统来选择最好的接口来发送。

当内网的机器要发送一个到外部的ip包，那么它就会请求路由器的Mac地址，发送一个arp请求，这个arp请求里面包括了自己的ip地址和Mac地址，而linux默认是使用ip的源ip地址作为arp里面的源ip地址，而不是使用发送设备上面的，这样在lvs这样的架构下，所有发送包都是同一个VIP地址，那么arp请求就会包括VIP地址和设备 Mac，而路由器收到这个arp请求就会更新自己的arp缓存，这样就会造成ip欺骗了，VIP被抢夺，所以就会有问题。

arp_ignore

“0″,代表对于arp请求，任何配置在本地的目的ip地址都会回应，不管该arp请求的目的地址是不是接口的ip；如果有多个网卡，并且网卡的ip都是一个子网，那么从一个端口进来的arp请求，别的端口也会发送回应。 “1″,代表如果arp请求的目的地址，不是该arp请求包进入的接口的ip地址，那么不回应。 “2″,要求的更苛刻，除了”1″的条件外，还必须要求arp发送者的ip地址和arp请求进入的接口的ip地址是一个网段的。 (后面略)

2:LVS-TUN  模式

IP Tunneling的工作过程

1> client 发送request包到LVS服务器的VIP上。

2> VIP按照算法选择后端的一个Real-server，并将记录一条消息到hash表中，然后将client的request包封装到一个新的IP包里，新IP包的目的IP是Real-server的IP，然后转发给Real-server。

3> Real-server收到包后，解封装，取出client的request包，发现他的目的地址是VIP，而Real-server发现在自己的lo:0口上有这个IP地址，于是处理client的请求，然后将relpy这个request包直接发给client。

4> 该client的后面的request包，LVS直接按照hash表中的记录直接转发给Real-server，当传输完毕或者连接超时，那么将删除hash表中的记录。

IP Tunneling的几个细节问题

LVS和Real-server不需要在一个网段：

由于通过IP Tunneling 封装后，封装后的IP包的目的地址为Real-server的IP地址，那么只要Real-server的地址能路由可达，Real-server在什么网络里都可以，这样可以减少对于公网IP地址的消耗，但是因为要处理IPTunneling封装和解封装的开销，那么效率不如DR模式。

Real-server的系统设置：

由于需要Real-server支持IP Tunneling，所以设置与DR模式不太一样，LVS不需要设置tunl设备，LVS本身可以进行封装 i) 需要配置VIP在tunl设备上：(VIP：172.16.1.254)

shell> ifconfig tunl0 172.16.1.254 netmask 255.255.255.255

shell> ifconfig tunl0

tunl0 Link encap:IPIP Tunnel HWaddr

inet addr:172.16.1.254 Mask:255.255.255.255

UP RUNNING NOARP MTU:1480 Metric:1

RX packets:0 errors:0 dropped:0 overruns:0 frame:0

TX packets:0 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:0

RX bytes:0 (0.0 b) TX bytes:0 (0.0 b)

当添加tunl0设备时，自动载入需要的模块：

shell> lsmod |grep ipip

ipip 7516 0

tunnel4 2700 1 ipip

其中，ipip依赖于tunnel4，假如现在删除tunnel4的话：

shell> rmmod tunnel4

ERROR: Module tunnel4 is in use by ipip

如果添加tunl0失败，那么可能是内核没有开启tunneling功能，默认是以模块形式，加载到内核里的

ARP问题：

如果LVS和Real-server不在一个网络内，不需要处理ARP问题，如果在相同网络，由于请求数据包来了之后需要解开MAC地址IP地址，较DR模式复杂，所以相同网络还是DR更加效率

 内核的包转发：

IP Tunneling模式不需要开启ip_forward功能

3:LVS-NAT  模式

 

client：202.100.1.2

VIP：202.103.106.5

Real-server：172.16.0.2 和 172.16.0.3（提供http和ftp服务）

1> client发送request到LVS的VIP上，VIP选择一个Real-server，并记录连接信息到hash表中，然后修改client的request的目的IP地址为Real-server的地址，将请求发给Real-server;

2> Real-server收到request包后，发现目的IP是自己的IP，于是处理请求，然后发送reply给LVS;

3> LVS收到reply包后，修改reply包的的源地址为VIP，发送给client;

4> 从client来的属于本次连接的包，查hash表，然后发给对应的Real-server。

5> 当client发送完毕，此次连接结束或者连接超时，那么LVS自动从hash表中删除此条记录

NAT模式的几个细节问题

NAT模式的Bugs

・  在Linux的2.6版本，LVS-NAT不能做防火墙，在只有一个网关的情况下，没有任何问题。

・  防火墙不兼容：LVS的架构中，LVS的前端不能设置防火墙，修复的补丁”NFCT” patch。

・  源路由问题

ICMP重定向问题

一. 对于路由器来说，只有当如下条件同时满足的时候，才进行重定向

・  数据包的入接口和路由后的指定的出接口是同一个接口。

・  数据包的源IP地址和该包应走的下一跳IP地址属于同一个网段。

・  数据报非源路由的（这种情况应该比较少见了，源路由多见于Token Ring）。

・  系统开启重定向功能