Keepalived 集群节点间怎么配置加密通信-linux运维-PHP中文网

keepalived 不支持加密通信，vrrp 报文始终明文传输，auth_pass 仅作简单校验且明文暴露；提升安全需依赖外部手段：限制组播/单播范围、启用单播、隔离心跳网络、强化防火墙与基础配置。

keepalived 集群节点间怎么配置加密通信

Keepalived 本身不提供加密通信能力，VRRP 协议报文始终以明文方式传输，包括认证字段（如 auth_pass）也仅做简单校验，不加密。所谓“加密通信”在 Keepalived 中并不存在官方实现，它不支持 TLS、IPsec 加密隧道或任何链路层/网络层加密机制。

实际能做的，是通过外部手段增强通信安全性，而非在 Keepalived 配置内开启加密开关。

authentication { auth_type PASS; auth_pass ... } 仅用于防止非法节点伪造 VRRP 报文加入集群，属于身份校验机制；
密码明文写在配置中，8 字符内有效，超出被截断，且在网络中以明文形式出现在 VRRP 报文的认证字段里；
官方明确说明：PASS 认证不加密通信，HA（IPSEC-AH）方式已基本弃用，且需底层内核和网络设备支持，生产环境不可靠。

限制组播/单播报文可达范围

绘蛙AI抠图
绘蛙AI抠图是一款AI图片处理工具，绘蛙推出的 AI 智能抠图工具。

下载
- 在交换机侧 ACL 限制 224.0.0.18 组播流量仅在集群节点间转发；
- 或在主机防火墙（如 iptables / nftables）放行且仅允许集群节点 IP 互访 VRRP 端口（协议号 112）。
改用单播替代默认组播
避免广播域内任意设备嗅探 VRRP 流量：
```
unicast_src_ip 192.168.10.10
unicast_peer {
    192.168.10.11
    192.168.10.12
}
```
配合防火墙规则，只允许列表内 IP 发送/接收 VRRP 报文。
隔离心跳网络
使用专用物理网卡（如 ens33）承载 VRRP 通信，与业务、管理网络分离，减少暴露面。
强化基础防护
- 关闭非必要接口的 VRRP 响应（确保 interface 指向正确网卡）；
- 禁用 vrrp_strict 模式时注意风险（该模式会拒绝非标准 VRRP 包，但可能影响兼容性）；
- 定期轮换 auth_pass，避免长期使用弱口令（如 1111、password）。

不复杂但容易忽略