LVS 群集持久连接配置(pcc+ppc+防火墙标示)

对于LVS的持久连接来说常见的分为三种PCC,PPC和基于防火墙标记的持久连接
1.PCC用来实现把某个用户的所有访问在超时时间内定向到同一台REALSERVER
2.PPC用来把某个用户对同一服务的访问在超时时间内定向到同一台sREALSERVER
3.基于防火墙标记的持久连接
拓扑图如下：




一．PCC用来实现把某个用户的所有访问在超时时间内定向到同一台REALSERVER
步骤如下：
1.对real server1和real server2 ip正确配置并
安装httpd服务，测试网页分别为test1 和 test2
2.使用命令sysctl -a |grep arp 查看arp_announce和arp_ignore的值
[root@localhost ~]# sysctl -a |grep arp
net.ipv4.conf.eth0.arp_ignore = 0
net.ipv4.conf.eth0.arp_announce = 0
将arp_announce的值改为2，将arp_ignore的值改为为1，/etc/sysctl.conf
[root@localhost ~]# echo "net.ipv4.conf.eth0.arp_announce = 2" >> /etc/sysctl.conf
[root@localhost ~]# echo "net.ipv4.conf.all.arp_announce = 2" >> /etc/sysctl.conf
[root@localhost ~]# echo "net.ipv4.conf.eth0.arp_ignore = 1" >> /etc/sysctl.conf
[root@localhost ~]# echo "net.ipv4.conf.all.arp_ignore = 1" >> /etc/sysctl.conf
[root@localhost ~]# sysctl -p #使服务生效
5.net.ipv4.conf.eth0.arp_announce = 2
6.net.ipv4.conf.all.arp_announce = 2
7.net.ipv4.conf.eth0.arp_ignore = 1
8.net.ipv4.conf.all.arp_ignore = 1
3.配置realserver1的loopback0:0的ip地址，子网掩码为4个 255
设置lo的ip




4.添加eth --》lo：0




5.在server1上添加路由，当director收到请求时就会转到lo：0 即ip为 10.101的网卡上
[root@localhost ~]# route add -host 192.168.10.101 dev lo:0
同理server2上是同样的配置。
6.Director的配置
在director上安装ipvsadm服务
[root@localhost ~]# mount /dev/cdrom /mnt/cdrom
[root@localhost ~]# cd /mnt/cdrom/Cluster
[root@localhost Cluster]# rpm -ivh ipvsadm-1.24-10.i386.rpm
7.声明服务，添加服务器
[root@localhost ~]# ipvsadm -A -t 192.168.10.101:0 -s rr -p 300 (单位是秒)
#默认时间是6分钟，这里设置为5分钟。0代表任何协议
[root@localhost ~]# ipvsadm -a -t 192.168.10.101:0 -r 192.168.10.200 -g
[root@localhost ~]# ipvsadm -a -t 192.168.10.101:0 -r 192.168.10.201 -g
[root@localhost ~]# ipvsadm -Ln
IP Virtual Server version 1.2.1 (size=4096)
Prot LocalAddress:Port Scheduler Flags
-> RemoteAddress:Port Forward Weight ActiveConn InActConn
TCP 192.168.10.101:0 rr persistent 300
-> 192.168.10.201:0 Route 1 0 0
-> 192.168.10.200:0 Route 1 0 0
8.保存配置，启动ipvsadm服务
[root@localhost Cluster]# service ipvsadm save
Saving IPVS table to /etc/sysconfig/ipvsadm: [确定]
[root@localhost Cluster]# service ipvsadm start
9.在外网访问如下：刷新网页，只有出现server2能够访问到。








此时测试一下会发现通过HTTP访问VIP和通过SSH登录VIP的时候都被定向到了同一台REALSERVER上面了
Directory上查看如下：
[root@localhost ~]# ipvsadm -Ln
IP Virtual Server version 1.2.1 (size=4096)
Prot LocalAddress:Port Scheduler Flags
-> RemoteAddress:Port Forward Weight ActiveConn InActConn
TCP 192.168.10.101:0 rr persistent 300
-> 192.168.10.201:0 Route 1 0 7
-> 192.168.10.200:0 Masq 1 0 0
可以发现只有数据与server2进行匹配。
二.PPC用来把某个用户对同一服务的访问在超时时间内定向到同一台REALSERVER
在director上设置如下
1.先把以前的规则清除 定义类型
[root@localhost ~]# ipvsadm -C
[root@localhost ~]# ipvsadm -A -t 192.168.10.101:80 -s wrr -p 300
[root@localhost ~]# ipvsadm -a -t 192.168.10.101:80 -r 192.168.10.201 -w 8 -g
[root@localhost ~]# ipvsadm -a -t 192.168.10.101:80 -r 192.168.10.200 -w 10 -g
2.等待5分钟，因为上次设置的影响，测试并刷新如下：




3.Director上查看如下：
[root@localhost ~]# ipvsadm
IP Virtual Server version 1.2.1 (size=4096)
Prot LocalAddress:Port Scheduler Flags
-> RemoteAddress:Port Forward Weight ActiveConn InActConn
TCP 192.168.10.101:http wrr persistent 300
-> 192.168.10.200:http Route 10 0 11
-> 192.168.10.201:http Route 8 0 0
只有server1上有匹配。
三．.基于防火墙标记的持久连接
　对于电子商务网站来说，用户在挑选商品的时候使用的是80端口来浏览的，当付款的时候则是通过443的ssl加密的方式，当然当用户挑选完商品付款的时候我们当然不希望https的443跳转到另外一台REALSERVER，很显然应该是同一REALSERVER才对，这时候就要用到基于防火墙标记的持久连接，通过定义端口的姻亲关系来实现
注意：清除以前的规则
1.首先两个REALSERVER要配置SSL，证书应该也是一样的
2.定义端口的姻亲关系，给80和443端口打上同样的防火墙标记
3.配置实现基于防火墙标记的LVS
4.Server上设置ssl（ http和https在同一个server上）
yum install mod_ssl 两个服务器上面都安装 （先要进行配置yum本地源）
[root@localhost ~]# yum install mod_ssl -y
[root@localhost tls]# pwd
/etc/pki/tls
5.[root@localhost tls]# vim openssl.cnf :88 ,90 s/match/optional 末行模式下进行输入替换令。 45 dir = /etc/pki/CA
88 countryName = optional
89 stateOrProvinceName = optional
90 organizationName = optional
134 [ req_distinguished_name ]
135 countryName = Country Name (2 letter code)
136 countryName_default = CN
140 stateOrProvinceName = State or Province Name (full name)
141 stateOrProvinceName_default = HN
143 localityName = Locality Name (eg, city)
144 localityName_default = ZZ
[root@localhost ~]# cd /etc/pki/CA
[root@localhost CA]# mkdir crl certs newcerts
[root@localhost CA]# touch index.txt serial
6.产生自己的私钥
[root@localhost CA]# openssl genrsa 1024 >private/cakey.pem
[root@localhost CA]# chmod 600 private/*
7.创建自己的证书文件
[root@localhost CA]# openssl req -new -key private/cakey.pem -x509 -out cacert.pem
[root@localhost CA]# ll
总计 32
-rw-r--r-- 1 root root 973 12-29 02:29 cacert.pem
8.安装mod_ssl
[root@localhost CA]# yum install mod_ssl -y
3.产生web的私钥，并放在/etc/httpd/certs/目录里
[root@localhost CA]# mkdir -pv /etc/httpd/certs
[root@localhost certs]# openssl genrsa 1024 >httpd.key
9.创建请求文件
[root@localhost certs]# openssl req -new -key httpd.key -out httpd.csr
10.在CA中心发布该证书
[root@localhost certs]# openssl req -new -key httpd.key -out httpd.csr
11.编辑ssl.conf文件使证书和web关联
[root@localhost conf.d]# pwd
/etc/httpd/conf.d
[root@localhost conf.d]# vim ssl.conf
119 SSLCertificateKeyFile /etc/httpd/certs/httpd.key
129 SSLCertificateChainFile /etc/pki/CA/cacert.pem
12.重启服务：
[root@localhost conf.d]# service httpd restart
对于server2也是如此设置的。不过可以通过scp 拷贝过来
[root@localhost certs]# scp 192.168.10.201:/etc/pki/tls/openssl.cnf /etc/pki/tls
[root@localhost certs]# scp 192.168.10.201:/etc/httpd/conf.d/ssl.conf /etc/httpd/conf.d
14.Directory配置如下
iptables规则中mangle表格的配置
[root@localhost ~]# iptables -t mangle -A PREROUTING -p tcp --dport 80 -d 192.168.10.101 -j MARK --set-mark 10
[root@localhost ~]# iptables -t mangle -A PREROUTING -p tcp --dport 443 -d 192.168.10.101 -j MARK --set-mark 10
[root@localhost ~]# ipvsadm -A -f 10 -s rr -p 300
[root@localhost ~]# ipvsadm -a -f 10 -r 192.168.10.201 -g
[root@localhost ~]# ipvsadm -a -f 10 -r 192.168.10.200 -g
在浏览器中访问：




在director中查看匹配
[root@localhost ~]# ipvsadm -Ln
IP Virtual Server version 1.2.1 (size=4096)
Prot LocalAddress:Port Scheduler Flags
-> RemoteAddress:Port Forward Weight ActiveConn InActConn
FWM 10 rr persistent 300
-> 192.168.10.201:0 Route 1 0 3
-> 192.168.10.200:0 Route 1 0 0
[root@localhost ~]# watch -n 1 "ipvsadm" #每隔1秒钟刷新一次
过了五分钟就会定向到server1上
[root@localhost ~]# ipvsadm -Ln
IP Virtual Server version 1.2.1 (size=4096)
Prot LocalAddress:Port Scheduler Flags
-> RemoteAddress:Port Forward Weight ActiveConn InActConn
FWM 10 rr persistent 300
-> 192.168.10.201:0 Route 1 0 0
-> 192.168.10.200:0 Route 1 0 9
实现的效果是，在300s的时间内，连接都是一台server，要是再有另一台ip主机连接就会到另一台服务器。