如何用PromQL检测Metallb中IP跨节点频繁切换的异常

核心PromQL表达式 #

sum by (ip) (count_over_time(metallb_speaker_announced[5m])) >= 3
and
count by (ip) (count_over_time(metallb_speaker_announced[5m]) > 0) >= 2

表达式拆解与说明 #

针对你提到的metallb_speaker_announced指标（带ip、node等核心标签），这个表达式会筛选出过去5分钟内同时满足以下两个异常条件的IP：

• 该IP的总宣布次数≥3次
• 宣布该IP的不同节点数量≥2个

各部分细节：

• count_over_time(metallb_speaker_announced[5m])：统计过去5分钟内，每个(ip, node)标签组合对应的宣布事件次数（适配指标每次IP跳转触发计数的特性）
• sum by (ip) (...) >= 3：按ip标签聚合所有节点的宣布次数，过滤出总次数达到3次及以上的IP
• count by (ip) (...) > 0 >= 2：按ip标签聚合，统计有多少个不同节点曾宣布过该IP（仅统计存在宣布记录的节点），过滤出节点数量≥2的IP

可选标签过滤 #

如果需要限定特定Metallb实例或Kubernetes命名空间，可在指标中添加标签过滤规则，示例如下：

sum by (ip) (count_over_time(metallb_speaker_announced{kubernetes_namespace="metallb", app_kubernetes_io_instance="metallb-system"}[5m])) >= 3
and
count by (ip) (count_over_time(metallb_speaker_announced{kubernetes_namespace="metallb", app_kubernetes_io_instance="metallb-system"}[5m]) > 0) >= 2

逻辑适配业务背景 #

同一节点多次宣布IP属于无害的正常场景，此表达式仅聚焦多节点交替宣布且总次数较多的异常情况（对应网卡抖动、集群网络不稳定等问题）。

内容的提问来源于stack exchange，提问作者carrotcakeslayer