Consul作为分布式系统的服务发现与配置工具，提供服务注册、健康检查、KV存储和多数据中心支持。在微服务架构中，Consul注册中心负责维护服务实例的实时状态，配合健康检查机制实现故障自动摘除。本文讲解Consul集群搭建、服务注册与健康检查的配置方法。

Consul集群架构与Server节点部署

Consul采用Raft一致性算法，生产环境推荐部署3或5个Server节点以保证容错能力。Server节点负责数据存储和一致性协调，Client节点运行在业务服务器上提供本地服务注册和查询功能。

以三节点Server集群为例，首先在每台服务器安装Consul：

# 下载安装
wget https://releases.hashicorp.com/consul/1.18.0/consul_1.18.0_linux_amd64.zip
unzip consul_1.18.0_linux_amd64.zip
mv consul /usr/local/bin/

mkdir -p /etc/consul.d /var/lib/consul

# Server节点1配置（10.0.1.11）
cat > /etc/consul.d/consul.hcl << 'EOF'
datacenter = "dc1"
data_dir = "/var/lib/consul"
server = true
bootstrap_expect = 3
node_name = "server-1"
bind_addr = "10.0.1.11"
client_addr = "0.0.0.0"
retry_join = ["10.0.1.12", "10.0.1.13"]
ui_config {
  enabled = true
}
connect {
  enabled = true
}
acl {
  enabled = true
  default_policy = "deny"
  enable_token_persistence = true
}
EOF

consul agent -config-dir=/etc/consul.d

其余两个Server节点配置相同，只需修改node_name、bind_addr和retry_join中的IP地址。bootstrap_expect=3表示等待3个Server节点加入后开始Leader选举。

Client节点部署与服务注册

Client节点部署在业务服务器上，不参与Raft选举，负责本地服务注册和DNS查询转发：

# Client节点配置（10.0.2.21）
cat > /etc/consul.d/consul.hcl << 'EOF'
datacenter = "dc1"
data_dir = "/var/lib/consul"
server = false
node_name = "client-web-1"
bind_addr = "10.0.2.21"
client_addr = "0.0.0.0"
retry_join = ["10.0.1.11", "10.0.1.12", "10.0.1.13"]
EOF

consul agent -config-dir=/etc/consul.d

服务注册通过JSON配置文件定义。以下示例注册一个Web服务，包含HTTP健康检查：

cat > /etc/consul.d/web-service.json << 'EOF'
{
  "service": {
    "name": "web",
    "id": "web-1",
    "tags": ["http", "primary"],
    "address": "10.0.2.21",
    "port": 8080,
    "check": {
      "id": "web-http-check",
      "name": "Web HTTP Health Check",
      "http": "http://10.0.2.21:8080/health",
      "method": "GET",
      "interval": "10s",
      "timeout": "5s",
      "deregister_critical_service_after": "30s"
    }
  }
}
EOF

consul reload

健康检查类型与配置策略

Consul支持多种健康检查类型，适用于不同场景：

HTTP检查：适用于Web服务和REST API，通过HTTP响应码判断服务状态。2xx视为通过，4xx/5xx视为失败：

"check": {
  "http": "http://127.0.0.1:8080/health",
  "interval": "10s",
  "timeout": "3s"
}

TCP检查：仅检测端口连通性，适用于数据库等非HTTP协议服务：

"check": {
  "tcp": "127.0.0.1:3306",
  "interval": "10s",
  "timeout": "3s"
}

脚本检查：执行自定义脚本，退出码0为通过，1为告警，其他为失败：

"check": {
  "args": ["/usr/local/bin/check_redis.sh", "127.0.0.1", "6379"],
  "interval": "15s",
  "timeout": "10s"
}

TTL检查：由服务主动上报心跳，Consul不主动发起检查：

# 注册时定义TTL检查
"check": {
  "ttl": "30s"
}

# 服务端主动上报心跳
curl -X PUT http://127.0.0.1:8500/v1/agent/check/pass/web-ttl-check

deregister_critical_service_after参数控制服务在连续检查失败多久后自动注销。生产环境建议设置为30s到60s，避免短暂网络抖动导致服务频繁上下线。

服务发现查询与DNS接口

Consul提供HTTP API和DNS两种查询接口。DNS接口更便于与现有基础设施集成：

# DNS查询格式：[service_name].service.[datacenter].consul
dig @127.0.0.1 -p 8600 web.service.dc1.consul

# HTTP API查询
curl http://127.0.0.1:8500/v1/health/service/web?passing

# 查询结果示例
[
  {
    "Node": {
      "Node": "client-web-1",
      "Address": "10.0.2.21"
    },
    "Service": {
      "ID": "web-1",
      "Service": "web",
      "Address": "10.0.2.21",
      "Port": 8080
    },
    "Checks": [
      {
        "Status": "passing",
        "Name": "Web HTTP Health Check"
      }
    ]
  }
]

Watch机制与服务变更通知

Consul Watch机制可以在服务状态变化时触发回调，实现自动配置更新和故障告警：

cat > /etc/consul.d/watch-web.json << 'EOF'
{
  "watches": [
    {
      "type": "service",
      "service": "web",
      "state": "critical",
      "handler": "/usr/local/bin/consul-alert.sh"
    }
  ]
}
EOF

# 告警脚本
cat > /usr/local/bin/consul-alert.sh << 'SCRIPT'
#!/bin/bash
data=$(cat)
service_name=$(echo "$data" | jq -r '.[0].Service.Service')
node_name=$(echo "$data" | jq -r '.[0].Node.Node')
echo "$(date): Service $service_name on $node_name is critical" >> /var/log/consul-alerts.log
SCRIPT
chmod +x /usr/local/bin/consul-alert.sh

ACL安全配置与Token管理

生产环境必须启用ACL，防止未授权的服务注册和查询。启用ACL后，所有操作需要携带Token：

# 初始化ACL
consul acl bootstrap

# 创建服务注册策略
consul acl policy create -name "service-registration"   -rules 'service_prefix "" { policy = "write" } node_prefix "" { policy = "write" }'

# 为Client节点创建Token
consul acl token create -description "Client Token"   -policy-name "service-registration" -format=json

Client节点配置文件中添加ACL Token：

cat >> /etc/consul.d/consul.hcl << 'EOF'
acl {
  enabled = true
  default_policy = "deny"
  tokens {
    default = "上一步生成的Token"
  }
}
EOF

consul reload

Consul注册中心的稳定运行是微服务架构的基础。通过合理的集群拓扑设计、多维度健康检查配置和ACL安全策略，可以构建高可用的服务发现体系。配合Watch机制实现故障自动响应，大幅降低运维人工介入成本。