双机热备需keepalived+nginx协同：主备ip同子网、vip动态绑定、防火墙放行vrrp（112）及80/443、selinux设permissive、网卡名严格匹配；nginx配置完全一致；keepalived中state/priority/virtual_router_id三要素联动；必须配置nginx健康检查脚本防假活。
搭建双机热备的 Keepalived + Nginx 反代网关，核心是让两台服务器共用一个虚拟 IP（VIP），主节点正常时流量全走它，一旦 Nginx 崩溃或机器宕机，VIP 几秒内自动漂移到备节点，客户端访问不受影响。
网络与系统基础必须对齐
两台服务器不是装完软件就能协同工作，底层一致是前提：
- 使用同一子网内的静态 IP（如主：192.168.1.10，备：192.168.1.11），VIP（如 192.168.1.100）不配置在任何物理网卡上，由 Keepalived 动态绑定
- 关闭 firewalld 或放行 TCP 80/443 端口 + VRRP 协议（IP 协议号 112）
- SELinux 设为 permissive 模式（setenforce 0），避免拦截 VRRP 组播通信
- 用 ip a 确认实际网卡名（如 ens33、eth0），Keepalived 配置中 interface 必须严格匹配
Nginx 反向代理配置必须完全一致
切换不是只换 IP，而是换“服务能力”。若主备返回不同后端、不同状态码或页面，用户立刻感知异常：
- 监听端口、upstream 名称、后端服务器列表（如 192.168.1.20:8080 和 192.168.1.21:8080）必须逐字相同
- proxy_set_header X-Real-IP $remote_addr 和 proxy_pass http://your_upstream 不可遗漏
- 启用健康检查（如 max_fails=3 fail_timeout=30s）并在两台机器上同步参数
- 配置完成后务必执行 nginx -t 校验语法，再 systemctl restart nginx
Keepalived 主备角色靠三要素联动生效
VRRP 不靠“名字”判断主备，而是三个硬性参数共同作用：
- state：主节点设为 MASTER，备节点为 BACKUP
- priority：主节点优先级更高（如 100），备节点略低（如 90），数值必须不同
- virtual_router_id：主备必须完全一致（如 51），它是 VRRP 组的“身份证”，错一个就无法形成心跳组
所有配置写在 /etc/keepalived/keepalived.conf 的 vrrp_instance 块内，virtual_ipaddress 块只写 VIP，不带掩码。
必须加 Nginx 健康检查脚本防“假活”
默认 Keepalived 只检测网络层连通性。如果 Nginx 进程僵死但系统还在响应 ping，VIP 就不会漂移——这是最常见故障点：
- 在 /etc/keepalived/nginx_check.sh 中写真实探测逻辑：
curl -I http://127.0.0.1 | grep "HTTP/1.1 200" > /dev/null - 在 keepalived.conf 中定义 vrrp_script chk_nginx，设置 interval 2（每 2 秒检查）、weight -5（失败则降低本节点优先级）
- 将该脚本绑定到 vrrp_instance 下的 track_script，确保检测失败时 priority 跌至低于备节点，强制触发切换
不复杂但容易忽略。
