Pavlo Golub：vip-manager v5 发布：你需要了解的事项
内容提要
vip-manager v5更新带来重要变更：配置重构，需移除弃用参数；DCS不可达时自动移除VIP，避免脑裂但可能短暂中断；修复etcd watch取消后的VIP状态同步问题。升级前需在非生产环境测试，更新监控告警和故障处理流程，确保配置与v5兼容。
延伸解读
升级前必读：配置重构的潜在风险
vip-manager v5 对配置进行了重构，移除了所有弃用参数。如果仍使用旧版配置，v5 可能无法启动或行为异常。升级前务必逐项核对 vip-manager.yml，删除不再识别的参数，并将重命名的键更新为新名称。建议将配置纳入版本控制，以便清晰对比 v4 与 v5 的差异，避免因配置问题导致服务中断。
DCS 不可达时 VIP 自动移除的影响
v5 在 DCS 不可达时会自动移除 VIP，这是为了避免脑裂而做出的正确性选择。但这也意味着，即使 PostgreSQL 本身健康，短暂的 DCS 故障也可能导致应用连接中断。运维团队需调整监控和告警，将 DCS 健康状态与 VIP 可用性关联起来，并更新故障处理手册，明确 DCS 故障时 VIP 消失是预期行为。
etcd watch 取消后的状态同步改进
v5 修复了 etcd watch 取消后可能出现的 VIP 状态陈旧问题。此前，watch 取消可能导致 VIP 未及时更新，甚至出现“幽灵主节点”。现在 v5 会重新同步领导状态，确保 VIP 与真实领导节点一致。这一改进降低了因 etcd 瞬时故障导致的 VIP 分配不一致风险，使故障恢复更可预测。
Q&A
vip-manager v5 有哪些重要的破坏性变更？
vip-manager v5 有两个重要的破坏性变更：配置重构（移除了弃用参数）和当 DCS 不可达时自动移除 VIP。此外，还修复了 etcd watch 取消后 VIP 状态同步的问题。
升级到 vip-manager v5 前，配置文件需要做哪些调整？
需要检查所有节点上的 vip-manager.yml，对照 v5 文档或示例配置，移除所有已弃用的参数，并将重命名的键更新为新名称。建议将配置纳入版本控制，以便追踪变更。
为什么 vip-manager v5 在 DCS 不可达时会移除 VIP？
这是为了避免脑裂（split-brain）情况。当 DCS 不可达时，vip-manager 无法确认谁是真正的领导者，因此选择移除 VIP，而不是继续将流量发送到可能已失去领导权的节点，从而保证一致性。
vip-manager v5 在 DCS 故障时对应用有什么影响？
当 DCS 故障时，VIP 会被移除，可能导致应用短暂中断，即使 PostgreSQL 本身健康。这增加了 DCS 健康与服务可用性之间的耦合，需要监控和告警系统适应这一变化。
vip-manager v5 修复了 etcd watch 取消后的什么问题？
修复了 etcd watch 取消后可能出现的 VIP 状态过期问题，现在 v5 会重新同步领导状态，确保 VIP 分配与 etcd 中的实际领导状态一致，减少了不一致 VIP 分配的风险。
升级到 vip-manager v5 前，应该做哪些测试？
应在非生产环境重建拓扑（至少 2-3 个节点加 DCS），部署 v5 并模拟 DCS 故障和领导者切换，观察 VIP 移动和移除情况，确保应用能适应新行为。
升级到 vip-manager v5 后，监控和告警需要如何调整？
需要添加或调整针对 DCS 连接问题和 VIP 缺失的告警，并更新 runbook，明确 DCS 故障时 VIP 移除是正常现象，操作人员应首先检查 DCS 和网络。
vip-manager v5 对故障转移流程有什么影响？
当 DCS 故障时，VIP 会被移除，因此故障转移流程应预期这一行为，不要先调试 PostgreSQL，而是检查 DCS 健康。手动强制 VIP 应谨慎并记录。
