1. LVS-NAT模式基础认知第一次接触LVS的NAT模式时很多人会疑惑为什么要在负载均衡场景中使用网络地址转换这得从企业级应用的实际需求说起。当我们需要将一组后端服务器隐藏在单一VIP背后同时又要解决内外网地址转换问题时NAT模式就展现出其独特价值。LVSLinux Virtual Server作为四层负载均衡的经典实现其NAT模式通过巧妙的IP报文改写实现了请求流量从VIP到真实服务器Real Server的智能分发。与DR模式或TUN模式不同NAT模式下真实服务器可以直接使用私有地址这对很多受限于网络架构的企业环境来说是个福音。关键认知NAT模式的核心在于双向流量改写——入站请求的目标IP被修改为RS的IP出站响应的源IP又被改回VIP。这种两头翻译的特性使其成为跨网段负载均衡的理想选择。2. 实验环境规划与准备2.1 典型拓扑设计在我的实验环境中采用了最简化的三节点架构Client (测试端) - LVS (NAT网关) - Real Server x2 (后端服务)网络配置要点LVS节点需要双网卡eth0 (公网): 192.168.1.100/24 (VIP)eth1 (内网): 10.0.0.1/24Real Server:统一网关指向LVS内网IP (10.0.0.1)服务IP: 10.0.0.101/24 和 10.0.0.102/242.2 系统级准备工作在LVS节点上需要加载必要的内核模块modprobe ip_vs modprobe ip_vs_nat modprobe nf_conntrack验证模块加载lsmod | grep ip_vs每个Real Server上需要关闭ARP相关参数以避免地址冲突echo 1 /proc/sys/net/ipv4/conf/lo/arp_ignore echo 2 /proc/sys/net/ipv4/conf/lo/arp_announce3. 核心配置步骤详解3.1 IPVSADM规则配置在LVS节点上执行以下关键命令ipvsadm -A -t 192.168.1.100:80 -s rr ipvsadm -a -t 192.168.1.100:80 -r 10.0.0.101:80 -m ipvsadm -a -t 192.168.1.100:80 -r 10.0.0.102:80 -m参数解析-A添加虚拟服务-t指定TCP服务VIP和端口-s rr指定调度算法为轮询(Round Robin)-a添加真实服务器-r指定真实服务器地址-m启用NAT模式3.2 网络地址转换配置启用IP转发功能echo 1 /proc/sys/net/ipv4/ip_forward配置SNAT规则实现出站流量转换iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -j SNAT --to-source 192.168.1.1003.3 健康检查机制虽然基础配置不强制要求健康检查但生产环境强烈建议添加ipvsadm -E -t 192.168.1.100:80 -s wrr ipvsadm -e -t 192.168.1.100:80 -r 10.0.0.101:80 -m -w 3 ipvsadm -e -t 192.168.1.100:80 -r 10.0.0.102:80 -m -w 1这里我们将调度算法改为加权轮询并为不同RS设置不同权重。4. 关键原理深度解析4.1 报文转换过程拆解当客户端访问VIP时数据流经历以下转换入站报文源IP: Client_IP目标IP: VIP (192.168.1.100) → LVS修改目标IP为选中的RS_IP (如10.0.0.101)出站报文源IP: RS_IP (10.0.0.101)目标IP: Client_IP → LVS将源IP改回VIP (192.168.1.100)4.2 会话保持机制NAT模式默认依赖内核的conntrack模块维护会话状态。可以通过以下命令查看当前连接追踪conntrack -L对于需要特殊会话保持的应用可以启用持久化服务ipvsadm --set 3600 180 300参数分别表示持久化超时、TCP会话超时、UDP会话超时单位秒5. 性能调优与问题排查5.1 常见性能瓶颈LVS节点的NAT转换性能检查CPU负载mpstat -P ALL 1查看丢包统计ipvsadm -ln --stats连接跟踪表限制echo 655360 /proc/sys/net/netfilter/nf_conntrack_max5.2 典型问题排查指南现象可能原因排查命令客户端连接超时LVS未开启转发sysctl net.ipv4.ip_forwardRS收不到请求网关配置错误ip route showon RS响应无法返回SNAT规则缺失iptables -t nat -L -n负载不均衡调度算法配置错误ipvsadm -ln5.3 生产环境建议网卡优化ethtool -K eth0 tx off rx off tso off gso off内核参数调整echo 1024 /proc/sys/net/ipv4/vs/expire_nodest_conn echo 1 /proc/sys/net/ipv4/vs/expire_quiescent_template6. 进阶配置示例6.1 端口映射场景实现VIP的80端口到RS的8080端口映射ipvsadm -A -t 192.168.1.100:80 -s wlc ipvsadm -a -t 192.168.1.100:80 -r 10.0.0.101:8080 -m ipvsadm -a -t 192.168.1.100:80 -r 10.0.0.102:8080 -m6.2 多VIP配置为不同服务配置独立VIPipvsadm -A -t 192.168.1.100:80 -s rr ipvsadm -A -t 192.168.1.101:3306 -s wrr6.3 结合Keepalived实现高可用安装Keepalived后配置/etc/keepalived/keepalived.confvrrp_instance VI_1 { state MASTER interface eth0 virtual_router_id 51 priority 100 advert_int 1 virtual_ipaddress { 192.168.1.100/24 } } virtual_server 192.168.1.100 80 { delay_loop 6 lb_algo rr lb_kind NAT protocol TCP real_server 10.0.0.101 80 { weight 1 TCP_CHECK { connect_timeout 3 } } }7. 实际应用中的经验总结MTU问题当LVS和RS之间的MTU不一致时可能导致大包被丢弃。建议统一设置为1500ifconfig eth1 mtu 1500时间同步NAT依赖conntrack时间不同步会导致状态异常ntpdate pool.ntp.org监控建议除了常规的ipvsadm监控还可以通过以下命令获取更详细指标watch -n 1 ipvsadm -ln --rate --exact连接复用对于短连接高并发场景建议调整TIME_WAIT回收echo 1 /proc/sys/net/ipv4/tcp_tw_reuse我在某次部署中遇到的典型问题当RS的默认网关未指向LVS内网IP时响应报文会直接发送给客户端绕过LVS导致连接中断。这个问题通过tcpdump抓包发现tcpdump -i eth0 host 192.168.1.100 -nnv 
长河君 · 2026/11/4 3:29:43 · 阅读 1.2k LVS-NAT模式负载均衡原理与实践指南
1. LVS-NAT模式基础认知第一次接触LVS的NAT模式时很多人会疑惑为什么要在负载均衡场景中使用网络地址转换这得从企业级应用的实际需求说起。当我们需要将一组后端服务器隐藏在单一VIP背后同时又要解决内外网地址转换问题时NAT模式就展现出其独特价值。LVSLinux Virtual Server作为四层负载均衡的经典实现其NAT模式通过巧妙的IP报文改写实现了请求流量从VIP到真实服务器Real Server的智能分发。与DR模式或TUN模式不同NAT模式下真实服务器可以直接使用私有地址这对很多受限于网络架构的企业环境来说是个福音。关键认知NAT模式的核心在于双向流量改写——入站请求的目标IP被修改为RS的IP出站响应的源IP又被改回VIP。这种两头翻译的特性使其成为跨网段负载均衡的理想选择。2. 实验环境规划与准备2.1 典型拓扑设计在我的实验环境中采用了最简化的三节点架构Client (测试端) - LVS (NAT网关) - Real Server x2 (后端服务)网络配置要点LVS节点需要双网卡eth0 (公网): 192.168.1.100/24 (VIP)eth1 (内网): 10.0.0.1/24Real Server:统一网关指向LVS内网IP (10.0.0.1)服务IP: 10.0.0.101/24 和 10.0.0.102/242.2 系统级准备工作在LVS节点上需要加载必要的内核模块modprobe ip_vs modprobe ip_vs_nat modprobe nf_conntrack验证模块加载lsmod | grep ip_vs每个Real Server上需要关闭ARP相关参数以避免地址冲突echo 1 /proc/sys/net/ipv4/conf/lo/arp_ignore echo 2 /proc/sys/net/ipv4/conf/lo/arp_announce3. 核心配置步骤详解3.1 IPVSADM规则配置在LVS节点上执行以下关键命令ipvsadm -A -t 192.168.1.100:80 -s rr ipvsadm -a -t 192.168.1.100:80 -r 10.0.0.101:80 -m ipvsadm -a -t 192.168.1.100:80 -r 10.0.0.102:80 -m参数解析-A添加虚拟服务-t指定TCP服务VIP和端口-s rr指定调度算法为轮询(Round Robin)-a添加真实服务器-r指定真实服务器地址-m启用NAT模式3.2 网络地址转换配置启用IP转发功能echo 1 /proc/sys/net/ipv4/ip_forward配置SNAT规则实现出站流量转换iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -j SNAT --to-source 192.168.1.1003.3 健康检查机制虽然基础配置不强制要求健康检查但生产环境强烈建议添加ipvsadm -E -t 192.168.1.100:80 -s wrr ipvsadm -e -t 192.168.1.100:80 -r 10.0.0.101:80 -m -w 3 ipvsadm -e -t 192.168.1.100:80 -r 10.0.0.102:80 -m -w 1这里我们将调度算法改为加权轮询并为不同RS设置不同权重。4. 关键原理深度解析4.1 报文转换过程拆解当客户端访问VIP时数据流经历以下转换入站报文源IP: Client_IP目标IP: VIP (192.168.1.100) → LVS修改目标IP为选中的RS_IP (如10.0.0.101)出站报文源IP: RS_IP (10.0.0.101)目标IP: Client_IP → LVS将源IP改回VIP (192.168.1.100)4.2 会话保持机制NAT模式默认依赖内核的conntrack模块维护会话状态。可以通过以下命令查看当前连接追踪conntrack -L对于需要特殊会话保持的应用可以启用持久化服务ipvsadm --set 3600 180 300参数分别表示持久化超时、TCP会话超时、UDP会话超时单位秒5. 性能调优与问题排查5.1 常见性能瓶颈LVS节点的NAT转换性能检查CPU负载mpstat -P ALL 1查看丢包统计ipvsadm -ln --stats连接跟踪表限制echo 655360 /proc/sys/net/netfilter/nf_conntrack_max5.2 典型问题排查指南现象可能原因排查命令客户端连接超时LVS未开启转发sysctl net.ipv4.ip_forwardRS收不到请求网关配置错误ip route showon RS响应无法返回SNAT规则缺失iptables -t nat -L -n负载不均衡调度算法配置错误ipvsadm -ln5.3 生产环境建议网卡优化ethtool -K eth0 tx off rx off tso off gso off内核参数调整echo 1024 /proc/sys/net/ipv4/vs/expire_nodest_conn echo 1 /proc/sys/net/ipv4/vs/expire_quiescent_template6. 进阶配置示例6.1 端口映射场景实现VIP的80端口到RS的8080端口映射ipvsadm -A -t 192.168.1.100:80 -s wlc ipvsadm -a -t 192.168.1.100:80 -r 10.0.0.101:8080 -m ipvsadm -a -t 192.168.1.100:80 -r 10.0.0.102:8080 -m6.2 多VIP配置为不同服务配置独立VIPipvsadm -A -t 192.168.1.100:80 -s rr ipvsadm -A -t 192.168.1.101:3306 -s wrr6.3 结合Keepalived实现高可用安装Keepalived后配置/etc/keepalived/keepalived.confvrrp_instance VI_1 { state MASTER interface eth0 virtual_router_id 51 priority 100 advert_int 1 virtual_ipaddress { 192.168.1.100/24 } } virtual_server 192.168.1.100 80 { delay_loop 6 lb_algo rr lb_kind NAT protocol TCP real_server 10.0.0.101 80 { weight 1 TCP_CHECK { connect_timeout 3 } } }7. 实际应用中的经验总结MTU问题当LVS和RS之间的MTU不一致时可能导致大包被丢弃。建议统一设置为1500ifconfig eth1 mtu 1500时间同步NAT依赖conntrack时间不同步会导致状态异常ntpdate pool.ntp.org监控建议除了常规的ipvsadm监控还可以通过以下命令获取更详细指标watch -n 1 ipvsadm -ln --rate --exact连接复用对于短连接高并发场景建议调整TIME_WAIT回收echo 1 /proc/sys/net/ipv4/tcp_tw_reuse我在某次部署中遇到的典型问题当RS的默认网关未指向LVS内网IP时响应报文会直接发送给客户端绕过LVS导致连接中断。这个问题通过tcpdump抓包发现tcpdump -i eth0 host 192.168.1.100 -nnv