ELB如何实现故障切换

ELB故障切换的核心机制

• 健康检查与剔除：负载均衡器按配置的协议、端口、路径、间隔、超时、重试次数定期探测后端。探测失败达到阈值后，负载均衡器会将该实例标记为不健康，并停止向其转发流量；待探测恢复后自动重新加入。健康检查时间窗由上述参数共同决定，避免抖动引起频繁切换。不同协议的检查方式不同：
  • TCP：发送SYN，收到SYN-ACK即判成功，随后发送RST断开；若超时未收到 SYN-ACK 则失败。
  • HTTP/HTTPS：发起 HTTP GET，在超时内收到预设的状态码即成功。
  • UDP：发送 ICMP Echo Request 与 UDP 探测；在超时内收到 ICMP Echo Reply 且未收到 ICMP Port Unreachable 即成功。
    健康检查异常时，负载均衡器不会把流量转发到异常实例，从而实现对单实例或单可用区的自动故障切换。

跨可用区与跨区域的高可用设计

• 跨可用区（AZ）：在多 AZ 部署后端实例，并开启跨 AZ 负载均衡。当某 AZ 整体异常或健康检查大面积失败时，流量会被自动分发到其它健康 AZ，实现区域内的快速切换与容灾。
• 跨区域（Region）：在更大范围可用区失效时，可结合DNS 故障切换（如与 Route 53 健康检查联动），将域名解析从异常区域摘除，把流量切换到健康区域；也可使用云厂商提供的跨区域负载均衡/全局加速能力实现多活与切换。

与弹性伸缩和健康检查策略的协同

• 浅层健康检查 + ASG：将负载均衡器的浅层健康检查接入 Auto Scaling 组（ASG），可在实例自身异常（进程崩溃、系统故障）时快速替换实例，适合处理“本地故障”。浅层检查不深入探测外部依赖，能避免短暂依赖故障引发大规模误杀。
• 深度健康检查的风险：将“深度检查”（覆盖外部依赖）直接接入 ASG，容易在依赖短暂异常时导致所有实例同时被判不健康并被替换，延长恢复时间。推荐做法是：深度检查仅用于负载均衡层面的快速绕行，本地实例健康由心跳表 + setInstanceHealth API等方式识别并上报，再决定是否替换实例。

实践配置建议

• 健康检查参数：根据业务容忍度设置合理的时间窗。例如某些云数据仓库场景采用间隔 10 秒、超时 50 秒、重试 3 次的默认策略；通用场景建议让“成功阈值 = 失败阈值”，并尽量让超时 + 重试 < 检查间隔，以减少抖动与误判。
• 协议选择：应用层建议优先使用HTTP/HTTPS 健康检查，能更准确反映业务可用性；TCP 检查更轻量但容易受连接状态影响。UDP 检查在某些系统上可能因 ICMP 限速导致“探测成功但服务异常”的不一致，需要结合业务验证。
• 避免单点：对外入口统一通过 ELB，后端多实例跨 AZ 部署；必要时启用跨区域与 DNS 故障切换，并对关键路径配置监控与告警，定期演练切换流程。