第4章 高可用性设计

本课程对应[日]宫田宽士《图解服务器端网络架构》，曾薇薇译、乌尼日其其格审校，人民邮电出版社/图灵教育，2015年4月第1版第1次印刷，376页、478千字、16开，ISBN 9787115388179；原书ISBN 9784797373516。图灵官方资料标明467张图表，官方试读PDF包含CIP、版次页和完整目录。首版正式结构为第0章加第1至5章，共171个目录节点；课程不会用2024年第2版、云原生、Service Mesh或现代API网关替换原书内容。

从一条可证伪的通信流开始

先预测：设备成双不等于高可用；若忽略STP阻塞、FHRP网关、状态同步、回程路径和故障后容量，切换会形成环路、黑洞或连接中断。把预测写成“需求、正常路径、状态/表项、单故障路径、告警与恢复”五列，再接线、配置或测试。若结果与预测不同，先修正设计模型，不要把现场补丁当作架构成立。

本章的主问题是：按物理、数据链路、网络、传输到应用层配置链路聚合、网卡绑定、设备虚拟化、STP、FHRP及防火墙/负载均衡冗余并理清通信流。每个箭头要注明源/目的、接口、VLAN、地址、协议端口和设备责任；每个冗余结论要说明丢失哪个故障域、剩余容量和状态如何接管。

验收不变量是：任一链路或单台设备故障后，剩余路径无环、状态一致、容量足够，正反向流量按设计恢复且管理面能观察到切换。单次ping成功、设备状态为up或拓扑图看似对称，都不能单独证明业务双向通信、容量、故障切换和恢复成立。

核心词汇与首版边界

链路聚合、STP、BPDU、FHRP、状态同步

这些词汇固定在2015年首版语境。第2版新增或更新的技术、云上托管网络、容器网络和Service Mesh可以另行比较，但不改变本页目录分母。

核心机制深读

物理冗余必须跨故障域

链路聚合提高并行带宽并容忍成员故障，服务器网卡绑定形成逻辑接口，设备堆叠或虚拟化把多机作为逻辑节点。若两条链路仍共用模块、电源或管道，它们不是独立冗余。

动手试：先写预期拓扑、通信流、接口/状态表变化和告警，再执行一次正常验证与一次单故障验证。若结果不同，修正设计规则而不是只改现场配置。

二层冗余先消除环路

STP选出根网桥，计算根端口和指定端口，阻塞其他路径；RSTP/MSTP改进收敛与实例控制。BPDU Guard等可选功能必须按端口角色使用，错误过滤BPDU会让环路失去控制。

三层冗余要同时处理网关和上行

FHRP让终端使用虚拟IP/MAC作为默认网关，设备间选活动节点；动态或静态路由确保活动设备仍有上行路径。网关切换成功但路由缺失，流量仍然无法到达。

有状态设备需要复制上下文

防火墙和负载均衡器不仅持有IP，还持有连接、NAT、持久化和健康状态。高可用对需要心跳、配置一致、状态同步和故障仲裁；切换测试必须观察既有连接与新连接分别如何处理。

串联与并联都要画正反向通信流

串联路径清晰但每层都可能成为单点，并联更灵活却容易出现非对称。逐跳标出活动/备用接口、VLAN、网关、NAT、状态所有者和故障后的选择，并验证单故障下剩余容量。

原书目录核对清单

本页承担24个目录或复习节点，正文、图解、实验和题目必须能反向定位每一项：

• 4.1 冗余技术
• 4.1.1 物理层的冗余技术
• 4.1.1.1 将多条物理链路集结成一条逻辑链路
• 4.1.1.2 将多个物理网卡集结成一个逻辑网卡
• 4.1.1.3 将多台物理设备集结成一台逻辑设备
• 4.1.1.4 当上行链路中断时，让下行链路也随之中断
• 4.1.2 数据链路层的冗余技术
• 4.1.2.1 STP的关键在于根网桥和阻塞端口
• 4.1.2.2 STP有三种
• 4.1.2.3 同时启用多项可选功能
• 4.1.2.4 利用BPDU切断桥接环路
• 4.1.3 网络层的冗余技术
• 4.1.3.1 FHRP
• 4.1.3.2 利用路由协议确保通往上层设备的路径
• 4.1.4 从传输层到应用层的冗余技术
• 4.1.4.1 防火墙的冗余技术
• 4.1.4.2 负载均衡器的冗余技术
• 4.2 高可用性设计
• 4.2.1 高可用性设计
• 4.2.1.1 串联式结构
• 4.2.1.2 单路并联式结构
• 4.2.2 理清通信流
• 4.2.2.1 串联式结构
• 4.2.2.2 单路并联式结构

可复现实验

LACP members -> logical port-channel -> one forwarding adjacency
member failure -> remaining members carry traffic within capacity

root bridge -> root/designated ports forwarding
redundant port blocking -> topology change -> reconverge without loop

client -> virtual gateway -> active firewall/LB -> server
fail active -> virtual identity + state -> standby -> verify forward and return path

独立证据门

第4章 高可用性设计 的最小证据包包含：首版节点、需求编号、物理/逻辑拓扑、端口/VLAN/IP/路由/NAT/策略表、正反向通信流、容量与单故障、监控日志、恢复步骤、偏差、责任人与复核人。

练习

本章回顾

“第4章 高可用性设计”的核心是按物理、数据链路、网络、传输到应用层配置链路聚合、网卡绑定、设备虚拟化、STP、FHRP及防火墙/负载均衡冗余并理清通信流。真正掌握不是背设备名，而是把需求、责任层、通信流、状态、容量、故障、监控和恢复连成可施工且可证伪的闭环。

← 上一页：第3章 数据安全设计和负载均衡设计 · 下一页：第5章 管理设计 →

原版目录概念补充核对

以下条目补齐官方目录中容易被示例主线掩盖的概念。它们不重复罗列目录，而是明确每项概念的机制、适用边界和验收证据。

4.1.1 物理层的冗余技术：机制、边界与证据

第4章 高可用性设计中的4.1.1 物理层的冗余技术属于可施工的物理约束，介质、距离、速率/双工、连接器、端口容量、供电与散热要按完整链路核对。验证时把两端规格和余量写入端口表，再用错误计数、光功率或负载测试确认最弱一段仍满足峰值与单故障条件。

4.1.1.1 将多条物理链路集结成一条逻辑链路：机制、边界与证据

第4章 高可用性设计中的4.1.1.1 将多条物理链路集结成一条逻辑链路属于可施工的物理约束，介质、距离、速率/双工、连接器、端口容量、供电与散热要按完整链路核对。验证时把两端规格和余量写入端口表，再用错误计数、光功率或负载测试确认最弱一段仍满足峰值与单故障条件。

4.1.1.2 将多个物理网卡集结成一个逻辑网卡：机制、边界与证据

第4章 高可用性设计中的4.1.1.2 将多个物理网卡集结成一个逻辑网卡属于可施工的物理约束，介质、距离、速率/双工、连接器、端口容量、供电与散热要按完整链路核对。验证时把两端规格和余量写入端口表，再用错误计数、光功率或负载测试确认最弱一段仍满足峰值与单故障条件。

4.1.1.3 将多台物理设备集结成一台逻辑设备：机制、边界与证据

第4章 高可用性设计中的4.1.1.3 将多台物理设备集结成一台逻辑设备属于可施工的物理约束，介质、距离、速率/双工、连接器、端口容量、供电与散热要按完整链路核对。验证时把两端规格和余量写入端口表，再用错误计数、光功率或负载测试确认最弱一段仍满足峰值与单故障条件。

4.1.1.4 当上行链路中断时，让下行链路也随之中断：机制、边界与证据

第4章 高可用性设计中的4.1.1.4 当上行链路中断时，让下行链路也随之中断需要落到明确的流量路径、责任设备和状态表，而不能停留在设备名称。画出正常与单故障路径，固定输入后只改变一个链路、表项或容量条件，再以双向抓包、设备状态、告警和恢复结果核对设计。

4.1.2 数据链路层的冗余技术：机制、边界与证据

第4章 高可用性设计中的4.1.2 数据链路层的冗余技术只有在明确故障域、剩余容量和状态接管条件后才算高可用。先记录正常主备/集群状态，再单独中断链路、节点或依赖，测量检测与收敛时间，并确认恢复后不会双主、丢会话或长期降级。

4.1.2.1 STP的关键在于根网桥和阻塞端口：机制、边界与证据

第4章 高可用性设计中的4.1.2.1 STP的关键在于根网桥和阻塞端口属于可施工的物理约束，介质、距离、速率/双工、连接器、端口容量、供电与散热要按完整链路核对。验证时把两端规格和余量写入端口表，再用错误计数、光功率或负载测试确认最弱一段仍满足峰值与单故障条件。

4.1.2.2 STP有三种：机制、边界与证据

第4章 高可用性设计中的4.1.2.2 STP有三种需要落到明确的流量路径、责任设备和状态表，而不能停留在设备名称。画出正常与单故障路径，固定输入后只改变一个链路、表项或容量条件，再以双向抓包、设备状态、告警和恢复结果核对设计。

4.1.2.3 同时启用多项可选功能：机制、边界与证据

第4章 高可用性设计中的4.1.2.3 同时启用多项可选功能需要落到明确的流量路径、责任设备和状态表，而不能停留在设备名称。画出正常与单故障路径，固定输入后只改变一个链路、表项或容量条件，再以双向抓包、设备状态、告警和恢复结果核对设计。

4.1.2.4 利用BPDU切断桥接环路：机制、边界与证据

第4章 高可用性设计中的4.1.2.4 利用BPDU切断桥接环路需要落到明确的流量路径、责任设备和状态表，而不能停留在设备名称。画出正常与单故障路径，固定输入后只改变一个链路、表项或容量条件，再以双向抓包、设备状态、告警和恢复结果核对设计。

4.1.3 网络层的冗余技术：机制、边界与证据

第4章 高可用性设计中的4.1.3 网络层的冗余技术只有在明确故障域、剩余容量和状态接管条件后才算高可用。先记录正常主备/集群状态，再单独中断链路、节点或依赖，测量检测与收敛时间，并确认恢复后不会双主、丢会话或长期降级。

4.1.3.1 FHRP：机制、边界与证据

第4章 高可用性设计中的4.1.3.1 FHRP需要落到明确的流量路径、责任设备和状态表，而不能停留在设备名称。画出正常与单故障路径，固定输入后只改变一个链路、表项或容量条件，再以双向抓包、设备状态、告警和恢复结果核对设计。

4.1.3.2 利用路由协议确保通往上层设备的路径：机制、边界与证据

第4章 高可用性设计中的4.1.3.2 利用路由协议确保通往上层设备的路径属于可施工的物理约束，介质、距离、速率/双工、连接器、端口容量、供电与散热要按完整链路核对。验证时把两端规格和余量写入端口表，再用错误计数、光功率或负载测试确认最弱一段仍满足峰值与单故障条件。

4.1.4 从传输层到应用层的冗余技术：机制、边界与证据

第4章 高可用性设计中的4.1.4 从传输层到应用层的冗余技术只有在明确故障域、剩余容量和状态接管条件后才算高可用。先记录正常主备/集群状态，再单独中断链路、节点或依赖，测量检测与收敛时间，并确认恢复后不会双主、丢会话或长期降级。

4.1.4.1 防火墙的冗余技术：机制、边界与证据

第4章 高可用性设计中的4.1.4.1 防火墙的冗余技术同时影响允许哪些流量以及请求如何分配，规则顺序、会话保持、健康检查和返回路径必须形成闭环。用允许、拒绝、节点摘除和会话续接四类样本核对策略命中、后端选择、连接表与客户端结果。

4.1.4.2 负载均衡器的冗余技术：机制、边界与证据

第4章 高可用性设计中的4.1.4.2 负载均衡器的冗余技术同时影响允许哪些流量以及请求如何分配，规则顺序、会话保持、健康检查和返回路径必须形成闭环。用允许、拒绝、节点摘除和会话续接四类样本核对策略命中、后端选择、连接表与客户端结果。

4.2 高可用性设计：机制、边界与证据

第4章 高可用性设计中的4.2 高可用性设计只有在明确故障域、剩余容量和状态接管条件后才算高可用。先记录正常主备/集群状态，再单独中断链路、节点或依赖，测量检测与收敛时间，并确认恢复后不会双主、丢会话或长期降级。

4.2.1 高可用性设计：机制、边界与证据

第4章 高可用性设计中的4.2.1 高可用性设计只有在明确故障域、剩余容量和状态接管条件后才算高可用。先记录正常主备/集群状态，再单独中断链路、节点或依赖，测量检测与收敛时间，并确认恢复后不会双主、丢会话或长期降级。

4.2.1.1 串联式结构：机制、边界与证据

第4章 高可用性设计中的4.2.1.1 串联式结构需要落到明确的流量路径、责任设备和状态表，而不能停留在设备名称。画出正常与单故障路径，固定输入后只改变一个链路、表项或容量条件，再以双向抓包、设备状态、告警和恢复结果核对设计。

4.2.1.2 单路并联式结构：机制、边界与证据

第4章 高可用性设计中的4.2.1.2 单路并联式结构需要落到明确的流量路径、责任设备和状态表，而不能停留在设备名称。画出正常与单故障路径，固定输入后只改变一个链路、表项或容量条件，再以双向抓包、设备状态、告警和恢复结果核对设计。

4.2.2 理清通信流：机制、边界与证据

第4章 高可用性设计中的4.2.2 理清通信流需要落到明确的流量路径、责任设备和状态表，而不能停留在设备名称。画出正常与单故障路径，固定输入后只改变一个链路、表项或容量条件，再以双向抓包、设备状态、告警和恢复结果核对设计。

4.2.2.1 串联式结构：机制、边界与证据

第4章 高可用性设计中的4.2.2.1 串联式结构需要落到明确的流量路径、责任设备和状态表，而不能停留在设备名称。画出正常与单故障路径，固定输入后只改变一个链路、表项或容量条件，再以双向抓包、设备状态、告警和恢复结果核对设计。

4.2.2.2 单路并联式结构：机制、边界与证据

第4章 高可用性设计中的4.2.2.2 单路并联式结构需要落到明确的流量路径、责任设备和状态表，而不能停留在设备名称。画出正常与单故障路径，固定输入后只改变一个链路、表项或容量条件，再以双向抓包、设备状态、告警和恢复结果核对设计。