check脚本： /etc/keepalived/check.sh，master和node都一样。2、当主库异常时，此时vip飘到备库节点，依旧可以访问，但只读不可写。1、主从均正常时，访问vip可以直接到达主库进行处理。3、当主库恢复时，此时vip飘回主库，读写均恢复。

我们需要定时执行一个任务，并且保证每次执行时都需要上一次已经执行完了，即保证同一时间只有一个在运行。

m addrtype --dst-type LOCAL其作用就是：把目标地址类型属于主机系统的本地网络地址的数据包，在数据包进入NAT表PREROUTING链时，都让它们直接jump到一个名为DOCKER的链。addrtype就是这样的一个扩展模块，提供的是Address type match的功能。引用的方式就是 -m 模块名。该模块支持按源地址或目标地址类型去做匹配，支持的地址类型有很多种，比

iptables的recent模块用于限制一段时间内的连接数, 是谨防大量请求攻击的必杀绝技!善加利用该模块可充分保证服务器安全。

如何实现keepalived vip监控与告警。

当我们没有配置keepalived的garp，而使用默认的garp配置的时候，会有一些不够健壮！比如：当keepalived节点切换为master时会发出garp包，但是默认情况下后面不会重复去refresh自己的信息，那么如果这时候sdn网关或者交换机没有学到，那么就有导致流量不通，并且不会再重发，问题将得不到解决。

原因：机器迁移后网关那边的arp表没有刷新，流量还是转发到老的端口，但是机器已经迁移到别的端口了，于是网络不通。因为keepalied默认情况下是发vrrp在实现主备切换，然后garp只在master选中的时候播出去或者收到低优先级的vrrp报文的时候播出去，然后不会再定时播了，网关那边arp表过期的时候会主动发grap来问，master回复，这样就能知道master是谁。

在DR模式下时，会存在一个问题，所有的realserver和director都配置了VIP，从网络模型中，我们知道，最终传输的是mac地址，那么这个时候，到底谁的mac地址是准确的呢？我们要保证请求的VIP必须是director，这样我们的负载均衡才是生效的，因此要在realserver上进行ARP抑制配置，禁止它处理外部的arp请求，也不允许自己向外部广播ARP数据。lvs改写的是mac地址的，

ipvs只有DNAT和de-DNAT功能 ,它独立与iptables和conntrack,实现了自己的一套连接跟踪表和NAT机制。ipvs仅仅在做DNAT后对conntrack连接进行更新,防止回包因为没有记录而被丢弃。

virtual_router_id 取值在0-255之间，用来区分多个instance的VRRP组播。