云环境必须用单播因云平台默认禁用组播，导致Keepalived VRRP心跳无法传输而引发双主；单播通过点对点通信绕过限制，需配置unicast_src_ip和unicast_peer并放行IP协议号112。
Keepalived 默认用组播（224.0.0.18）发 VRRP 心跳，但在 AWS、阿里云、腾讯云等多数云平台中，底层网络默认禁用组播——节点之间收不到彼此的心跳，就会各自认为“只有自己活着”，结果同时抢 VIP，出现双主、服务中断或脑裂。单播模式能彻底绕过这个限制，让心跳精准点对点送达。
为什么云环境必须用单播
云厂商的虚拟网络通常不转发组播报文，哪怕你配置正确，tcpdump 也抓不到 224.0.0.18 的 VRRP 包。这不是 Keepalived 的问题，是网络基础设施的硬性约束。单播不依赖组播路由，只要两个节点能互相 ping 通、端口未被安全组拦截（VRRP 协议走 IP 协议号 112，不是 TCP/UDP），通信就能建立。
核心配置要点（两节点示例）
假设有两台云服务器：
- KA1：内网 IP 172.25.254.50，规划为主节点
- KA2：内网 IP 172.25.254.60，规划为备节点
- VIP：172.25.254.100/24
关键动作是关闭组播、显式指定源和对端：
- 在 KA1 的 vrrp_instance 块中添加：
unicast_src_ip 172.25.254.50
unicast_peer { 172.25.254.60 } - 在 KA2 的对应块中反向配置：
unicast_src_ip 172.25.254.60
unicast_peer { 172.25.254.50 } - 注释或删除 vrrp_mcast_group4 行（如有），避免干扰
- virtual_router_id 两端必须完全一致（如 51），否则不视为同一组
验证通信是否真正生效
光改配置不够，得确认心跳真的在走单播：
- 在 KA1 上执行：
tcpdump -i eth0 'ip proto \112'（过滤 VRRP 协议报文） - 重启 KA2 的 keepalived：
systemctl restart keepalived - 观察 KA1 的 tcpdump 输出——应看到目标 IP 为 172.25.254.50 的 VRRP 包（即 KA2 主动发来的单播心跳）
- 同理，在 KA2 上抓包，应看到源为 172.25.254.50 的包
如果只看到本地发包、没收到对端，检查云平台安全组是否放行了 IP 协议号 112，或确认网卡名（interface）是否写错（如 enp0s3 而非 eth0）。
配套注意事项
单播模式下，这些细节容易忽略但直接影响稳定性：
- vrrp_strict 建议注释掉——它会校验更多字段，在单播路径下可能误判报文非法
- 防火墙需允许 IP 协议号 112（不是端口）：
iptables -I INPUT -p 112 -j ACCEPT - 两节点时间需同步（chrony/ntp），否则认证可能失败
- 若用多网卡，unicast_src_ip 必须填实际参与通信的网卡 IP，不能填 0.0.0.0 或 lo 地址
