Bond0 Аварийное переключение, когда горит индикатор соединения: сеть высокой доступности

Конфигурация:

Два коммутатора, каждый с отдельным интернет-маршрутом
Серверы Centos с eth0 и eth1 связаны в качестве активной резервной копии на bond0, eth0 на коммутаторе и eth1 на другом
/etc/modprobe.conf настроен так, для bond0:

alias bond0 bonding

options bond0 mode=1 primary=eth0 miimon=100
eth0 иногда был подключен к первичному коммутатору, иногда к вторичному.

Сценарий:

У вторичного переключателя сбой памяти
Индикаторы канала продолжают гореть, но коммутатор больше не обрабатывает трафик

Так как мы использовали miimon, который просто получает статус ссылки, ни один из наших серверов не отключил эту ссылку от своей связи, когда переключатель вышел из строя. Это вызвало сбои в сети, и на серверах, где eth0 был в этом вторичном коммутаторе, они стали полностью недоступными. По иронии судьбы, это хуже, чем если бы кто-то просто выдернул все кабели, поскольку они не вышли из строя.

Я тестировал arp_interval как альтернативу, но, насколько я понимаю, arp_interval имеет два ограничения:

arp_ip_target принимает только один IP-адрес, что означает, что если этот IP-адрес выйдет из строя, bond0 ошибочно подумает, что ссылка должна быть отключена, и отключит ее. Я использовал шлюз в качестве IP-адреса, но если шлюз выйдет из строя, было бы неплохо, если бы внутренний трафик до коммутатора продолжался. arp_ip_target этого тоже не сделает; он просто отключит все интерфейсы, даже до последнего.
arp_interval зависит от некоторого объема сетевого трафика (?), где очень тихий канал может быть отключен по ошибке.

Есть ли способ обойти эти ограничения arp_interval? Может miimon лучше настроить? Есть ли лучший способ достичь высокой доступности сети? Мы думали обрабатывать отказоустойчивость вручную с помощью демона на каждом сервере, вместо использования arp_interval (т.е. контролировать сами ссылки и использовать ifenslave, чтобы поднимать и опускать их). Мы уже не стремимся к производительности; надежность - действительно наш приоритет.

Вы уверены, что тщательно его протестировали?

в соответствии с этот:

arp_ip_target указывает IP-адреса, которые будут использоваться в качестве одноранговых узлов мониторинга ARP, когда arp_interval> 0. Несколько IP-адресов должны быть разделены запятыми.

У меня установлен режим mode = 1 на нескольких серверах [хотя и с одним IP-адресом], и он работает нормально, даже без трафика. отказоустойчивость тестировалась несколько раз с трафиком и без него.