负载均衡冗余实现零停机时间
停机代价高昂。. 对于大型企业而言，每离线一分钟可能损失 9,000 美元，每小时损失 540,000 美元。除了经济损失之外，即使是 1 秒的延迟也会导致用户流失，而未能履行正常运行时间承诺会损害客户信任并导致服务级别协议 (SLA) 罚款。实现高可用性 负载均衡器冗余 这是避免此类风险的关键。.
它的运作方式如下：
- 冗余 意味着部署多个负载均衡器以消除单点故障。.
- 故障转移系统 确保在某个负载均衡器发生故障时，流量能够无缝重定向。.
- 主动-被动 和 主动-主动 冗余配置是主要的冗余模型，每种模型都适用于不同的需求。.
- 健康检查、会话持久性和状态同步等工具可确保故障转移期间的平稳运行。.
从英国航空公司的系统故障到全球软件崩溃等真实案例，都凸显了冗余的重要性。制定正确的策略，可以避免中断、保持正常运行时间并维护您的声誉。.
38 单点故障和冗余（负载均衡器基础完整课程）
负载均衡器冗余的工作原理
主动-被动式与主动-主动式负载均衡器冗余比较
负载均衡器的冗余机制通过检测问题并自动重定向流量来确保服务不间断。让我们来详细了解不同的冗余模型，看看健康检查和同步机制如何保证一切平稳运行。.
主动-被动冗余与主动-主动冗余
在 主动-被动冗余, 主负载均衡器负责管理流量，而备用负载均衡器则保持待命状态，一旦主负载均衡器发生故障，备用负载均衡器即可立即接管。这种方法通常采用有状态故障转移，实时监控活跃用户会话，以确保无缝切换，避免连接中断。.
另一方面， 主动-主动冗余 它将流量分配到所有可用节点上。这种设置非常适合高流量环境，因为它能最大限度地利用资源。但是，如果一个节点发生故障，剩余节点必须处理全部负载，如果它们已经接近满负荷运转，则可能会造成压力。主备配置可以避免这个问题，但其容量仅限于故障转移期间单个活动节点的容量。.
| 特征 | 主动-被动 | 双活 |
|---|---|---|
| 交通处理 | 主服务器处理所有流量 | 流量分布在各个节点上 |
| 故障转移类型 | 故障时启动备用模式 | 流量转移到活动节点 |
| 可扩展性 | 仅限于单个节点的容量 | 可通过添加更多节点进行扩展 |
| 最适合 | 灾难恢复、维护 | 人流量大的环境 |
健康检查和故障转移机制
健康检查对于监控负载均衡器和服务器响应能力至关重要。这些检查有两种形式：
- 主动健康检查这些设备会定期发送探测请求（通常称为"心跳"），以验证系统健康状况，通常每 5 到 30 秒发送一次。.
- 被动健康检查这些设备可以监控实时用户交易，检测故障而不会产生额外的流量。.
当检测到问题时，故障转移机制会启动，将流量重定向到正常资源。故障转移期间的中断持续时间取决于 DNS 生存时间 (TTL) 设置和健康检查间隔。为了快速恢复，建议将 DNS TTL 设置为 30 到 60 秒，以确保客户端能够及时收到更新后的 IP 地址。.
连接排水 该过程在防止突发中断方面发挥着关键作用。它允许正在进行的会话在设定的时间段内（通常为 300 秒）自然结束，同时将新的连接路由到健康的节点。.
状态同步和会话持久性
故障转移不仅仅是重定向流量，它还需要保持会话的连续性。为了实现这一点，负载均衡器必须在冗余节点之间同步配置。虽然现代云负载均衡器作为无状态服务运行，不存储或复制应用层数据，但它们会复制配置设置，例如负载均衡规则、健康探测和后端池成员关系。这种同步确保了不同可用区之间的一致性。.
"负载均衡器是一种网络直通服务，它不会存储或复制应用程序数据。即使您在负载均衡器上启用了会话持久性，负载均衡器上也不会存储任何状态。" – Azure 文档
会话持久性 确保来自同一客户端的请求始终路由到同一后端实例。这通常使用哈希算法来实现，例如五元组流哈希（源 IP、端口、协议、目标 IP、目标端口），而不是存储会话状态。.
为了确保冗余机制无缝运行，主负载均衡器和备用负载均衡器的配置必须完全相同。SSL 证书、安全策略和流量管理设置都应匹配，以确保无论哪个负载均衡器处于活动状态，都能提供一致的处理。Terraform 等工具可以自动执行此同步过程，从而降低故障转移期间出错的风险。.
常见故障场景及冗余如何解决这些故障
即使最可靠的基础设施也会发生故障，但冗余设计有助于确保运营顺利进行。.
硬件和软件故障
硬件可能会发生意外故障。例如： 停电, 冷却系统故障， 和 硬件磨损 可能会导致可用区内的负载均衡节点宕机。在软件方面，诸如以下问题： 进程崩溃, 内核崩溃， 或者 SNAT端口耗尽 可能造成同样严重的服务中断。.
区域冗余 通过在多个物理隔离的可用区部署负载均衡器节点来应对这些挑战。如果某个可用区的硬件发生故障，其他可用区的节点可以接管其工作，确保流量持续畅通。为了维持高可用性，保持多个运行正常的后端实例随时准备处理负载也至关重要。.
对于诸如 SNAT 端口耗尽之类的软件问题，监控端口使用情况至关重要。即使看起来运行正常的负载均衡器，如果连接端口耗尽，也可能发生故障。解决方案包括手动分配端口或使用 NAT 网关来避免此类瓶颈。持续监控端口和网络健康状况有助于防止此类故障升级。.
这些策略为应对网络和地理挑战的更广泛解决方案奠定了基础。.
| 故障类型 | 具体场景 | 冗余解决方案 |
|---|---|---|
| 硬件 | 物理节点故障/断电 | 多节点集群/区域冗余部署 |
| 软件 | 负载均衡器进程崩溃 | 通过健康探测实现主备配置的故障转移 |
| 组态 | SNAT端口耗尽 | 手动端口分配/出站规则 |
| 瞬态 | 间歇性 API/网络故障 | 客户端重试逻辑/指数退避 |
网络冗余
网络层面的问题也会导致服务中断。连接问题可能会隔离整个可用区，使用户无法访问正常运行的后端服务器。网络路径上的单点故障可能会造成大范围的影响。.
跨区域负载均衡 确保每个负载均衡节点都能将流量路由到所有已注册的目标，无论其位于哪个区域。这可以防止当某个区域出现网络问题时导致流量分配不均。此外，来自多个区域（通常为三个）的健康检查能够更准确地反映网络连接状况。.
这 故障转移比率 此设置决定何时将流量重定向到备份池。例如，将此比例设置为 0.1，则仅当剩余健康主实例少于 10% 时才会触发故障转移。这样既可以避免在轻微网络故障期间进行不必要的故障转移，又能防止发生重大故障。.
地理冗余
区域性停电，无论是自然灾害、电网故障还是基础设施问题引起的，都可能导致特定区域内的所有资源瘫痪。.
全球负载均衡器 通过使用单个任播 IP 地址将流量路由到最近的正常区域，提供了一种解决方案。与依赖 TTL 设置和客户端缓存的基于 DNS 的故障转移不同，任播路由在网络层即时生效。这确保了流量能够立即重定向。此外，区域外部负载均衡器独立运行，因此一个区域的故障不会波及整个基础架构。.
这 过度配置模式 确保当某个区域离线时，其他区域能够应对增加的流量。通过在各个区域保持额外的容量，可以消除自动扩展带来的延迟，从而在中断期间保持性能稳定。Terraform 等工具可以自动同步所有区域的 SSL 证书、安全策略和流量管理设置，确保一致性和可靠性。.
sbb-itb-59e1987
构建零停机负载均衡架构
要构建零停机时间的负载均衡器，需要设定明确的正常运行时间目标、选择合适的冗余模型并严格测试故障转移流程。如下所述，这些要素构成了可靠架构的基础。.
设定正常运行时间目标和服务水平协议
目标正常运行时间是架构的基石，它影响着每一个决策。可用性每提高一个"9"，就像从 99.9% 至 99.99% 正常运行时间——会增加复杂性和成本。背景信息：
- 一个 99.9% SLA 每年允许约 8.76 小时的停机时间，这对于内部工具来说可能足够了。.
- 一个 99.99% SLA 将每年的使用时间减少到大约 52.6 分钟，这是面向客户的应用程序的常见基准。.
- 一个 99.999% SLA 将停机时间限制在每年仅 5 分钟，需要在多个区域采用主动-主动冗余。.
这些正常运行时间目标直接影响您的负载均衡器设计。近 50% 家企业报告称，停机造成的损失每小时超过 $ 百万美元，因此，将服务级别协议 (SLA) 承诺与基础设施投资相匹配是不可妥协的。.
选择合适的冗余模型
选择 主动-主动 和 主动-被动 冗余程度取决于您的系统需求和恢复目标。.
- 主动-主动冗余 这种方式非常适合关键任务系统。多个实例可以同时处理流量，从而确保接近零恢复时间目标 (RTO)。例如，Netflix 就采用了这种方法，在多个 AWS 区域部署微服务。他们的"Chaos Monkey"工具会随机关闭生产服务，以测试故障转移准备情况，从而确保为超过 2.3 亿用户提供不间断的服务。.
- 主动-被动冗余 适用于能够容忍短暂中断的系统。在这种情况下，会准备一个热备用系统，以便在故障转移期间进行扩展。. 冷备件, 虽然这种方式更具成本效益，但需要在故障发生时启动资源，从而导致更长的恢复时间。例如，Code.org 使用 AWS 应用程序负载均衡器成功应对了大型在线编程活动期间 400% 的流量激增，这表明正确的配置即使在极端需求下也能支持高可用性。.
一旦选定了冗余模型，持续监控就变得至关重要，以确保系统在压力下按预期运行。.
故障监测与测试
理论设计与弹性架构之间的区别在于持续监控和主动测试。除了基本的 TCP 检查之外，还要实施其他措施。 深度健康探测 验证关键依赖项，例如数据库连接和外部 API。包括 /健康 在应用程序中设置一个端点，用于确认内部系统运行正常，然后再返回 200 OK 状态码。至少从三个区域执行健康检查，以确保全球可访问性。.
注意端口分配，必要时配置手动端口分配或NAT网关。保持DNS TTL值较低（30到60秒之间），以确保最大中断持续时间等于DNS TTL值加上健康检查间隔乘以不健康阈值。.
混沌工程工具（例如 Azure Chaos Studio）可以模拟真实世界的故障，例如区域中断或实例终止，以测试故障转移机制。不要忘记验证…… 故障恢复过程 – 确保恢复后流量能够无缝返回主节点。此外，在客户端重试逻辑中实施带有随机抖动的指数退避算法，以避免在部分故障期间出现"重试风暴"。.
如何 服务器 支持高可用性
全球数据中心网络
Serverion 运营着一个遍布全球的数据中心网络，这些数据中心战略性地分布在全球各地，确保地理冗余，从而防范整个数据中心完全宕机的风险。通过在各个区域部署负载均衡器，流量会自动路由到最近的正常运行的数据中心。例如，如有必要，纽约的用户可能会被重定向到弗吉尼亚州的数据中心。无论您选择哪种方案，Serverion 都能确保流量的稳定传输。 主动-主动 设置——其中多个区域同时处理流量——或一种 主动-被动 Serverion 的基础设施配备了备用设施，可在中断期间随时接管，确保用户能够平稳重定向，无需手动更新 DNS。这种设计与冗余策略无缝集成，可跨区域提供不间断服务。.
冗余架构的托管解决方案
Serverion 提供一系列专为支持高可用性架构而设计的托管解决方案。其可扩展的 VPS 选项提供完整的 root 访问权限，非常适合创建自定义负载均衡配置。对于需要更高带宽和专用资源的应用，其专用服务器包含专用 IPv4 地址，可高效处理高流量。.
对于那些需要精确控制硬件部署位置的用户，Serverion 的托管服务允许您将设备分布在多个数据中心。这消除了单点故障，并使负载均衡节点能够分布在不同的数据中心。这种方法对于双活架构尤为有效，因为在双活架构中，堆栈的每个层级的性能和定制化都至关重要。.
支持零停机时间的功能
负载均衡器冗余的维护需要强大的底层基础设施来防止级联故障。Serverion 的 DNS 托管服务配备了低 TTL 设置，可确保在故障转移期间将流量快速重定向到正常运行的服务器。其 DDoS 防护系统将攻击流量分散到多个节点，防止过载导致服务中断。.
为了进一步提升可靠性，Serverion 提供价格合理的 SSL 证书以确保连接安全，并提供全天候服务器管理，实现主动健康监控。连接延迟释放等功能允许活跃用户在维护期间不间断地完成会话，而每 10 秒运行一次的自动健康探测则可快速检测问题并启动故障转移流程。这些工具共同确保了无缝、零停机时间的用户体验。.
结论
确保负载均衡器的冗余对于维持不间断服务至关重要。正如架构师兼顾问戴夫·帕滕 (Dave Patten) 精辟地指出：
"设计高可用性 (HA) 和灾难恢复 (DR) 不仅仅是技术上的必要，更是战略上的必然选择。"
通过主动-被动或主动-主动配置消除单点故障，即使在硬件、网络或数据中心发生故障时，服务也能保持运行。.
冗余的核心在于以下几个关键实践：使用 虚拟IP 为了实现无缝故障转移，需要持续监控系统健康状况，以便及早发现潜在问题，并将基础设施分布在多个区域或可用区。例如，基于 VRRP 的故障转移可以将中断时间缩短至仅一秒——最终用户几乎察觉不到。目标是 99.99% 正常运行时间的系统表明，冗余机制可以将重大中断转化为客户根本不会注意到的轻微、可控事件。.
Serverion 的全球网络正是这种理念的绝佳例证，其数据中心遍布多个地区，实现了地理冗余。无论您是在其拥有完整 root 权限的 VPS 平台上管理自定义负载均衡配置，还是部署专用服务器以满足高流量需求，亦或是使用托管服务将硬件分布在不同的机房，其基础设施都以零停机为首要目标。其 DNS 托管服务可确保在故障转移期间快速重定向流量，而内置的 DDoS 防护则可抵御可能使冗余系统不堪重负的攻击流量。.
真正具有弹性的架构包含自动化健康检查、连接断开和持续监控。有了这些措施，维护窗口将不再中断运营，硬件故障也将变成系统能够无缝处理的常规问题。这种规划确保用户无论后台发生什么，都能享受到始终如一的服务。除了减少停机时间，这种策略还能巩固企业在可靠性和稳定性方面的声誉。.
常见问题解答
主动-被动式和主动-主动式负载均衡器冗余有什么区别？
谈到冗余设计，有两种常见的方法： 主动-被动 和 主动-主动 设置。.
在 主动-被动配置，一个 主负载均衡器 管理所有流量，同时 备用单元 备用设备保持闲置状态，随时准备在主设备发生故障时接管。虽然这种设置简单易行，但故障切换过程中确实会造成短暂的服务中断。缺点之一是，备用设备在正常运行期间处于闲置状态，这可能会让人感觉错失了资源利用的机会。.
另一方面， 主动-主动配置 涉及 多个负载均衡器 多个负载均衡器协同工作以处理流量。这种方法可以最大限度地利用可用资源，降低延迟，并确保在某个负载均衡器离线时实现平稳过渡，将中断降至最低。然而，这种方法设置起来更复杂，需要同步会话数据或共享 IP 等功能来保持数据一致性并避免潜在问题。.
Serverion 为这两种模型都提供了支持，您可以根据应用程序的需求，灵活地选择简单易用的主动-被动模式，或者性能和可靠性更高的主动-主动模式。.
负载均衡器健康检查和故障转移系统如何防止停机？
负载均衡器的健康检查会持续监控后端服务器，通过发送诸如 TCP 握手或 HTTP 请求之类的小型探测包来确认其运行状况。如果服务器响应正常，则会继续轮换处理流量。但如果连续多次检查失败，则会暂时移除该服务器，直到其再次通过测试。此过程确保只有正常运行的服务器才能处理流量，从而降低服务中断的风险。.
故障转移机制通过在出现问题时重定向流量来补充这些健康检查。 主动-被动 设置完成后，如果主服务器离线，流量将切换到备用服务器池。同时，在 主动-主动 通过配置，多台服务器可以同时处理流量，并且任何故障服务器的负载都会自动分配到其他正常运行的服务器上。这些系统共同作用，使负载均衡器能够保持服务平稳运行，从而确保平台（例如）的稳定运行。 服务器 为用户提供可靠的性能并避免停机。.
地理冗余如何帮助确保服务不间断？
地理冗余是指将负载均衡器和服务器分布在不同地点的多个数据中心，以确保服务平稳运行。这种架构可以确保即使某个站点出现问题（例如断电、网络故障甚至自然灾害），服务也不会中断。流量会自动重定向到正常运行的区域，从而保证用户获得不间断的访问体验。.
Serverion 通过在全球各地运营数据中心，将这一理念付诸实践。他们的基础设施允许工作负载分布在不同的地理区域。如果某个站点离线，他们的系统会立即将流量转移到另一个站点，从而确保当今应用程序所需的可靠正常运行时间。.
