TOA的作用与原理
当客户端请求通过负载均衡器（如LVS）转发时，后端服务器默认只能看到负载均衡器的IP，TOA技术通过在TCP报文的Option字段插入真实客户端IP，使后端服务通过内核态直接解析原始IP，适用于高并发场景（如CDN、游戏服务器）。
开启TOA的两种方式
方式1：动态加载内核模块（推荐）
步骤1：安装编译依赖
yum install -y gcc make kernel-devel-$(uname -r) # CentOS/RHEL apt install -y gcc make linux-headers-$(uname -r) # Ubuntu/Debian
步骤2：下载TOA模块源码
git clone https://github.com/Huawei/TCP_option_address.git cd TCP_option_address/src
步骤3：编译并加载模块
make insmod toa.ko
步骤4：验证加载状态
lsmod | grep toa # 查看模块 dmesg | tail -n 10 # 检查内核日志，无报错即成功
步骤5：设置开机自启
cp toa.ko /lib/modules/$(uname -r)/kernel/net/toa echo "toa" > /etc/modules-load.d/toa.conf
方式2：重新编译内核（适用于定制需求）
- 从内核官网下载与当前版本一致的源码
- 将TOA补丁合并到内核：
cd /usr/src/linux patch -p1 < /path/to/tcp_option_address.patch
- 启用TOA选项：
make menuconfig # 进入 Networking support → Networking options → TCP: TOA support 选 [*]
- 编译并安装内核：
make -j$(nproc) && make modules_install && make install reboot
关键注意事项
-
版本兼容性
- TOA模块必须与
uname -r完全匹配，否则编译失败。 - 升级内核后需重新编译模块。
- TOA模块必须与
-
常见错误处理
- 编译报错：确认
kernel-devel版本与当前内核一致。 - 加载失败：使用
dmesg检查错误，常见于内核符号冲突。
- 编译报错：确认
-
应用层验证
后端程序需调用getsockopt(fd, IPPROTO_TCP, TCP_TOA, ...)获取真实IP，参考以下C代码片段：struct toa_data toa; socklen_t len = sizeof(toa); getsockopt(sockfd, IPPROTO_TCP, TCP_TOA, &toa, &len);
生产环境建议
- 测试先行：在非生产环境验证模块稳定性。
- 回滚方案：准备
rmmod toa命令快速卸载模块。 - 监控：通过
/proc/net/toa_stats查看TOA统计信息（需内核支持）。 - 替代方案：若模块不稳定，可考虑TOA的替代方案（如Proxy Protocol）。
动态加载TOA模块是高效安全的选择,90%的场景可通过insmod完成，对于需要深度定制的场景（如云主机特殊内核），推荐重新编译内核，操作前务必备份数据，并在测试环境充分验证。
引用说明
- TOA开源项目地址：Huawei/TCP_option_address
- Linux内核文档：TCP Option Address RFC
- LVS原理参考：Linux Virtual Server
原创文章，发布者：酷番叔，转转请注明出处：https://cloud.kd.cn/ask/9175.html
