一、容灾场景

本实践面向通过 BLB 对外或对内提供服务的业务，解决以下问题：

• 单台后端服务器故障后，如何恢复服务；
• 同城一个可用区故障后，如何由其他可用区承接业务；
• 整个地域或地域入口不可用时，如何切换至异地；

二、容灾架构

推荐采用“地域内高可用 + 跨地域独立站点”的分层业务设计：

1. 同城主备：区分 BLB 的主备可用区部署与业务应用跨可用区部署。
2. 跨 AZ 多活：后端应用在同地域多个 AZ 同时服务，由 BLB 健康检查与调度承接后端故障。
3. 跨地域切换：每个地域预建独立 BLB、应用与数据依赖，通过入口解析或其他已验证的流量调度机制切换。

三、BLB 容灾能力

四、容灾方案如何选择

三类容灾方案可组合：主地域内部采用跨 AZ 应用多活，异地采用独立站点灾备。

五、容灾方案详情

5.1 方案一：同城主备

1客户端
2   │
3业务域名 / 内网服务入口
4   │
5   BLB
6   │
7   ├── AZ-A：主业务池，正常承接流量
8   └── AZ-B：备业务池，完成部署、预热及接管检查
9                  │
10          具备容灾能力的数据与中间件

这里包含三层保护：

• BLB 实例层：使用已确认支持的主备可用区部署模式。注意：该能力当前为白名单，您可以提工单咨询。
• BLB 后端层：使用主备目标组，将主业务池与备业务池分别配置为主集合与备集合；主集合健康度低于阈值时，由 BLB 自动完成流量切换。
• 业务层：应用和数据具备从主池向备池接管的流程。

5.2 方案二：跨 AZ 应用多活

本文“多活”指后端应用多活。上线前应在目标地域、VPC、实例类型与监听协议下验证跨 AZ 后端挂载及转发。如果目标是 AZ 亲和或主备接替而非同时承接流量，应使用 5.1 的主备目标组，不要与本节的跨 AZ 多活方案混用。

单后端或单 AZ 故障时，以 BLB 健康检查剔除异常后端为主要流量收敛机制，同时检查剩余容量并执行限流、降级。

1                    BLB
2
3                     │
4         同一业务对应的可服务后端池
5               ┌─────┴─────┐
6          AZ-A 应用集群   AZ-B 应用集群
7          正常承接流量   正常承接流量
8               └─────┬─────┘
9             高可用的数据与中间件

5.3 方案三：跨地域独立站点切换

跨地域入口切换由 DNS 或其他调度机制承担，不是 BLB 自身提供的全局故障切换能力。

1                    业务域名
2                       │
3          DNS / 已验证的外部流量调度机制
4               ┌───────┴───────┐
5          主地域入口          备地域入口
6          EIP-A → BLB-A       EIP-B → BLB-B
7               │                   │
8          本地应用集群         本地应用集群
9               │                   │
10          主地域数据系统 ──复制──→ 备地域数据系统

FAQ：为什么不以“单 BLB 挂异地后端”作为地域容灾主方案

百度智能云支持应用型 BLB 通过 IP 组挂载异地后端。

但若入口只有主地域的 BLB：

• 主地域入口故障可能使本地及异地后端同时不可达；
• 跨地域链路成为实时请求路径的额外依赖；
• 业务时延和健康检查受跨地域网络质量影响。

因此，该能力适合经验证的跨地域后端访问场景，不能替代双地域独立入口。

六、总结

BLB 容灾应分别建设负载均衡层、应用层和数据层，再验证它们能否协同恢复业务：

• 同城可采用主备目标组实现后端主备自动切换，并优先评估 BLB 主备可用区部署，为应用准备独立故障域；
• 跨 AZ 多活依赖后端分布、健康检查、剩余容量和高可用依赖；
• 跨地域采用独立 BLB 与独立站点，通过外部入口机制完成切换；

相关文档

• BLB 选型指南：实例类型、部署模式与主备可用区
• 产品特性：监听器、健康检查、连接与会话保持
• 创建和管理普通型 BLB 实例
• 一般类问题：公网访问、后端通信与调度说明
• 使用 IP 组功能在跨地域 VPC 挂载后端服务器
• 使用限制：IP 组跨 VPC 场景支持矩阵
• 应用型 BLB 实例：服务器组、健康检查与监听配置