HAProxy无法释放绑定已移除VIP的TCP连接问题咨询

问题1：VIP移除后仍存在对应源IP TCP连接的原因 #

• TCP连接的状态由内核TCP协议栈维护，连接建立时基于四元组（源IP、源端口、目的IP、目的端口）生成唯一标识，本地IP删除属于三层配置变更，内核不会主动感知该变更并销毁已建立的连接，只要没有收到FIN或RST断开报文，连接会一直保持ESTAB状态。
• 你当前使用长轮询场景，客户端和服务端之间无异常流量触发断开逻辑，默认未开启TCP保活探测的情况下，内核不会主动检测连接有效性，因此残留连接会长期存在。
• 该类残留连接实际已经无法正常传输数据：本地不存在10.23.7.200的路由条目，服务端返回的响应报文会因路由异常被丢弃，但连接状态不会被自动清理。

问题2：手动删除残留TCP连接的方法 #

• 使用ss命令直接删除（推荐）：无需额外安装工具，要求iproute2版本≥4.10，主流CentOS7+、Debian9+等发行版均支持：
  单个指定连接删除：

  ss -K dst 172.18.156.42 dport = 13000
  

  批量删除所有源IP为10.23.7.200、端口为8500的残留连接：

  ss -K src 10.23.7.200 sport = 8500
  

• 使用tcpkill工具删除（适配旧版本系统）：需要先安装dsniff依赖包，执行后会主动向连接两端发送RST包强制断开：

  # CentOS/RHEL安装：yum install dsniff
  # Debian/Ubuntu安装：apt install dsniff
  tcpkill -i any host 172.18.156.42 and port 13000
  

问题3：HAProxy侧避免此类问题的配置参数 #

• 开启TCP保活探测：在frontend或defaults配置段添加option tcpka，开启TCP层保活机制，内核会定期向客户端发送保活探测包，无响应时自动断开无效连接，配合合理的超时参数使用：

  defaults
      option tcpka
      timeout client 300s  # 客户端空闲超时，需大于业务长轮询的最大等待时长，避免误断正常请求
  

• 配置合理的超时规则：
  • timeout client <时长>：控制客户端连接空闲的最大时长，建议设置为比Consul长轮询超时时间长30~60s即可，不要配置为无限大。
  • timeout http-keep-alive <时长>：HTTP模式下控制长连接的空闲保持时间，快速释放无效长连接占用的资源。
  • timeout client-fin <时长>：控制客户端半关闭连接的超时时间，清理半开残留连接。
• 绑定VIP时添加透明参数（可选）：如果HAProxy明确绑定VIP提供服务，可在bind配置中添加transparent参数，允许HAProxy在VIP不存在时仍能正常处理残留连接的断开逻辑：

  frontend consul_proxy
      bind 10.23.7.200:8500 transparent
      mode http
      default_backend consul_servers
  

• 配合Keepalived切换脚本（可选）：在Keepalived的notify_backup/notify_stop触发脚本中添加上述ss批量删除连接的命令，VIP被移除时自动清理所有对应残留连接。

内容的提问来源于stack exchange，提问作者lweiiii