路由器VRRP協(xié)議適用解說

1、路由器VRRP協(xié)議適用解說3.1VRRP （Virtual Router Redundancy Protocol ,虛擬路由冗余協(xié)議）是一種容錯協(xié)議。通常，一個網(wǎng)絡(luò)內(nèi) 的所有主機(jī)都設(shè)置一條缺省路由（如下圖所示，10.100.10.1 ）,這樣，主機(jī)發(fā)出的目的地址不在本網(wǎng)段的報文將被通過缺省H由發(fā)往路由器RouterA ,從而實現(xiàn)了主機(jī)與外部網(wǎng)絡(luò)的通信。當(dāng)路由器RouterA壞掉時，本網(wǎng)段內(nèi)所有以 RouterA為缺省路由下一跳的主機(jī)將斷掉與外部的通信。H四 1H闔 2H013圖3-1局域網(wǎng)組網(wǎng)方案VRRP就是為解決上述問題而提出的，它為具有多播或廣播能力的局域網(wǎng)（如：以太網(wǎng)）設(shè)計。我們結(jié)合下圖

2、來看一下 VRRP的實現(xiàn)原理。VRRP將局域網(wǎng)的一組路由器（包括一個Master即活動路由器和若干個Backup即備份路由器）組織成一個虛擬路由器，稱之為一個備份組。圖3-2 VRRP 組網(wǎng)示意圖這個虛擬的路由器擁有自己的IP地址10.100.10.1 （這個IP地址可以和備份組內(nèi)的某個路由器的接口地址相同），備份組內(nèi)的路由器也有自己的IP地址（如Master的IP地址為10.100.10.2 , Backup的IP地址為10.100.10.3 ）。局域網(wǎng)內(nèi)的主機(jī)僅僅知道這個虛擬路由器的IP地址10.100.10.1 ,而并不知道具體的Master路由器的IP地址10.100.10.2以及Ba

3、ckup路由器的IP地址10.100.10.3 ,它們將自己的缺省路由下一跳地址設(shè)置為該虛擬路由器的IP地址10.100.10.1 o于是，網(wǎng)絡(luò)內(nèi)的主機(jī)就通過這個虛擬的路由器來與其它網(wǎng)絡(luò)進(jìn)行通信。如果備份組內(nèi)的Master路由器壞掉，Backup路由器將會通過選舉策略選出一個新 的Master路由器，繼續(xù)向網(wǎng)絡(luò)內(nèi)的主機(jī)提供路由服務(wù)。從而實現(xiàn)網(wǎng)絡(luò)內(nèi)的主機(jī)不間斷地與外部網(wǎng)絡(luò)進(jìn)行通 信。關(guān)于VRRP協(xié)議的詳細(xì)信息，可以參考RFC 2338。VRRP 配置VRRP的基本配置包括：l添加或刪除虛擬IP地址l設(shè)置虛擬IP地址是否可以被ping通l設(shè)置備份組的優(yōu)先級l設(shè)置備份組的搶占方式和延遲時間VRRP的

4、高級配置包括：l設(shè)置備份組的認(rèn)證方式和認(rèn)證字l設(shè)置備份組的定時器l設(shè)置監(jiān)視指定接口l設(shè)置檢查 VRRP報文的TTL域設(shè)定虛擬IP地址是否可以使用 ping命令ping通本配置任務(wù)可以使用戶能夠使用 ping命令來ping通備份組的虛擬IP地址。根據(jù)VRRP的標(biāo)準(zhǔn)協(xié)議，備份 組的虛擬IP地址是無法使用ping命令來ping通的。這時路由器連接的用戶無法通過 ping命令來判斷一個 IP地址是否被備份組使用。如果用戶將自己的主機(jī)IP配置與備份組的虛擬IP地址相同的IP地址，將會使本網(wǎng)段的報文都發(fā)送到用戶的主機(jī)，導(dǎo)致本網(wǎng)段的數(shù)據(jù)不能被正確轉(zhuǎn)發(fā)。H3C路由器提供給用戶如下功能：在進(jìn)行了相應(yīng)的配置后，用

5、戶將可以使用 ping命令ping通備份組的虛 擬IP地址。請在系統(tǒng)視圖下進(jìn)行下列配置。表3-1設(shè)定虛擬IP地址是否可以使用 ping命令ping通操作命令設(shè)定虛擬IP地址可以使用ping命令ping通vrrp ping-enable設(shè)定虛擬IP地址不可以使用 ping命令ping通undo vrrp ping-enable缺省情況下，用戶不能使用ping命令ping通備份組的虛擬IP地址。添加或刪除虛擬IP地址將一個本網(wǎng)段的IP地址指定到一個虛擬路由器（也稱為一個備份組），或?qū)⒅付ǖ揭粋€備份組的虛擬IP地址從虛擬地址列表中刪除。如果不指定刪除某一虛擬IP地址，則刪除此虛擬路由器上的所有虛擬I

6、P地址。請在以太網(wǎng)接口視圖或橋模板視圖下進(jìn)行下列配置。表3-2添加/刪除虛擬IP地址操作命令添加虛擬IP地址vrrp vrid virtual-router-ID virtual-ip virtual-address刪除虛擬IP地址undo vrrp vrid virtual-router-ID virtual-ip virtual-address 需要注意的是：如果一個橋組中存在非以太網(wǎng)類型的接口，則不允許在這個橋組所對應(yīng)的橋模板上配置VRRP。備份組號virtual-router-ID 范圍從1到255 ,虛擬地址可以是備份組所在網(wǎng)段中未被分配的IP地址，也可以是屬于備份組某接口的IP地址

7、。對于后者，稱擁有這個接口 IP地址的路由器為一個地址擁有者(IP Address Owner )。當(dāng)指定第一個IP地址到一個備份組時，系統(tǒng)會創(chuàng)建這個備份組，以后再指定虛擬IP地址到這個備份組時，系統(tǒng)僅僅將這個地址添加到這個備份組的虛擬IP地址列表中。在對一個備份組進(jìn)行其它配置之前，必須先通過指定一個虛擬IP地址的命令將這個備份組創(chuàng)建起來。備份組中最后一個虛擬IP地址被刪除后，這個備份組也將同時被刪除掉。也就是這個接口上不再有這個備 份組，這個備份組的所有配置都不再有效。&說明：l路由器上每個接口可以同時加入到 64個備份組中，每個備份組可配置的虛擬 IP地址個數(shù)為16個。當(dāng)配置的虛擬備份組個

8、數(shù)多于 14個時，要在接口使能混合模式(promiscuous ),否則會有直連路由不 通的情況，使得VRRP備份功能和負(fù)載分擔(dān)功能丟包。l當(dāng)本路由器上的 VRRP備份組的狀態(tài)是 master時，支持GRE通道的源IP是VRRP虛IP地址，IKEPeer的本地IP是VRRP虛IP地址。設(shè)置備份組的優(yōu)先級VRRP中根據(jù)優(yōu)先級來確定參與備份組的每臺路由器的地位，備份組中優(yōu)先級最高的路由器將成為 Mastero優(yōu)先級的取值范圍為 0到255 (數(shù)值越大表明優(yōu)先級越高)，但是可配置的范圍最小值是 1,最大值是254。 優(yōu)先級0為系統(tǒng)保留給特殊用途來使用， 255則是系統(tǒng)保留給IP地址擁有者。請在以太網(wǎng)

9、接口視圖或橋模板視圖下進(jìn)行下列配置。表3-3設(shè)置備份組的優(yōu)先級操作命令設(shè)置備份組的優(yōu)先級vrrp vrid virtual-router-ID priority priority-value恢復(fù)為缺省值undo vrrp vrid virtual-router-ID priority需要注意的是：如果一個橋組中存在非以太網(wǎng)類型的接口，則不允許在這個橋組所對應(yīng)的橋模板上配置VRRP。缺省情況下，優(yōu)先級的取值范圍為100 O備份接口的優(yōu)先級數(shù)值越大則優(yōu)先級越大。&說明：對于IP地址擁有者，存在配置優(yōu)先級和運(yùn)行優(yōu)先級兩種優(yōu)先級，配置優(yōu)先級即用vrrp vrid 配置的優(yōu)先級；運(yùn)行優(yōu)先級是不可配置的，

10、始終為255。設(shè)置備份組的搶占方式和延遲時間在非搶占方式下，一旦備份組中的某臺路由器成為Master ,只要它沒有出現(xiàn)故障，其它路由器即使隨后被配置更高的優(yōu)先級，也不會成為Master。如果路由器設(shè)置為搶占方式，它一旦發(fā)現(xiàn)自己的優(yōu)先級比當(dāng)前的Master的優(yōu)先級高，就會成為Master ,相應(yīng)地，原來的 Master將會變成 Backup。在設(shè)置搶占的同時，還可以設(shè)置延遲時間。這樣可以使得 Backup延遲一段時間成為 Master。其原因是這 樣的，在性能不夠穩(wěn)定的網(wǎng)絡(luò)中，Backup可能因為網(wǎng)絡(luò)堵塞而無法正常收到 Master的報文，使用vrrp vrid 命令配置了搶占延遲時間后，可以避

11、免因網(wǎng)絡(luò)的短暫故障而導(dǎo)致的備份路由器的狀態(tài)頻繁轉(zhuǎn)換。延遲的時間以秒計，范圍為 0255。請在接口視圖下進(jìn)行下列配置。表3-4設(shè)置和取消備份組的搶占方式和延遲時間操作命令設(shè)置備份組的搶占方式和延遲時間vrrp vrid virtual-router-ID preempt-mode timer delay delay-value 取消備份組的搶占方式undo vrrp vrid virtual-router-ID preempt-mode缺省方式是搶占方式，延遲時間為0。&說明：取消搶占方式，則延遲時間就會自動變?yōu)?秒。設(shè)置認(rèn)證方式及認(rèn)證字VRRP提供了兩種認(rèn)證方式，分別是：lSIMPLE :簡單

12、字符認(rèn)證lMD5 : MD5 認(rèn)證在一個安全的網(wǎng)絡(luò)中，可以采用缺省值，則路由器對要發(fā)送的VRRP報文不進(jìn)行任何認(rèn)證處理，而收到VRRP報文的路由器也不進(jìn)行任何認(rèn)證就認(rèn)為是一個真實的，合法的 VRRP報文，這種情況下，不需要設(shè) 置認(rèn)證字。在一個有可能受到安全威脅的網(wǎng)絡(luò)中，可以將認(rèn)證方式設(shè)置為SIMPLE ,則發(fā)送VRRP報文的路由器就會將認(rèn)證字填入到 VRRP報文中，而收到的 VRRP報文的路由器會將收到的VRRP報文中的認(rèn)證字和本地配置的認(rèn)證字進(jìn)行比較，相同則認(rèn)為是真實的、合法的 VRRP報文，否則認(rèn)為是一個非法的報文，將會丟 棄。這種情況下，應(yīng)當(dāng)設(shè)置長度為不超過8字節(jié)的認(rèn)證字。在一個非常不安

13、全的網(wǎng)絡(luò)中，可以將認(rèn)證方式設(shè)置為MD5 ,則路由器就會利用 Authentication Header 提供的認(rèn)證方式和 MD5算法來對VRRP報文進(jìn)行認(rèn)證。如果以明文形式輸入，長度為 18個字符，如： 1234567 ;如果以密文形式輸入，長度必須為24個字符，并且必須是密文形式，如：_(TT8FY5SQ=AQMAF4 。對于沒有通過認(rèn)證的報文將做丟棄處理，并會向網(wǎng)管發(fā)送陷阱報文。請在接口視圖下進(jìn)行下列配置。表3-5設(shè)置認(rèn)證方式和認(rèn)證字操作命令設(shè)置認(rèn)證方式和認(rèn)證字vrrp vrid virtual-router-id authentication-mode md5 key | simple

14、key 恢復(fù)為缺省值undo vrrp vrid virtual-router-id authentication-mode缺省認(rèn)證方式為不進(jìn)行認(rèn)證。&說明：一個接口上的備份組要設(shè)置相同的認(rèn)證方式和認(rèn)證字。設(shè)置VRRP的定時器VRRP備份組中的Master路由器通過定時(adver-interval )發(fā)送VRRP報文來向組內(nèi)的路由器通知自己 工作正常。如果 Backup超過一定時間(master-down-interval )沒有收到 Master發(fā)送來的 VRRP報文， 則認(rèn)為它已經(jīng)無法正常工作。同時就會將自己的狀態(tài)轉(zhuǎn)變?yōu)镸aster。用戶可以通過設(shè)置定時器的命令來調(diào)整Master發(fā)送VR

15、RP報文的間Pi時間(adver-interval )。而Backup的master-down-interval的間隔時間大約是 adver-interval的3倍。如果網(wǎng)絡(luò)流量過大或者不同的路由器上 的定時器差異等因素，會導(dǎo)致master-down-interval異常到時而導(dǎo)致狀態(tài)轉(zhuǎn)換。對于這種情況，可以通過將adver-interval的間隔時間延長和設(shè)置延遲時間的辦法來解決。adver-interval的時間單位是秒。請在接口視圖下進(jìn)行下列配置。表3-6設(shè)置VRRP定時器操作命令設(shè)置VRRP定時器vrrp vrid virtual-router-ID timer advertise a

16、dver-interval恢復(fù)為缺省值undo vrrp vrid virtual-router-ID timer advertise缺省情況下，adver-interval的值是1秒，取值范圍從1到255。設(shè)置監(jiān)視指定接口VRRP監(jiān)視接口功能，更好地擴(kuò)充了備份功能，即不僅在備份組所在的接口出現(xiàn)故障時提供備份功能，而 且在路由器的其它接口不可用時，也可以使用備份功能。具體做法是通過設(shè)置監(jiān)視某個接口的命令來實現(xiàn)。當(dāng)被監(jiān)視的接口 DOWN時，這個接口的路由器的優(yōu)先級會自動降低一個數(shù)額(priority-reduced ),于是就會導(dǎo)致備份組內(nèi)其它路由器的優(yōu)先級高于這個路由器的優(yōu)先級，從而使得其它優(yōu)

17、先級高的路由器轉(zhuǎn)變?yōu)镸aster ,達(dá)到對這個接口監(jiān)視的目的。請在接口視圖下進(jìn)行下列配置。表3-7設(shè)置和取消監(jiān)視接口操作命令設(shè)置監(jiān)視指定接口vrrp vrid virtual-router-ID track interface interface-type interface-number reduced priority-reduced 取消監(jiān)視指定接口undo vrrp vrid virtual-router-ID track interface interface-type interface-number 缺省情況下，priority-reduced 的值為10。VRRP不僅可以監(jiān)視物

18、理接口，還可以監(jiān)視邏輯接口，如 VT 口、Dialer 口等，VT 口及Dialer 口的UP、DOWN規(guī)則為：l對于MP,綁定 VT 口的所有 PPP鏈路的IPCP DOWN 時，VT 口 DOWN ;如有一條 PPP鏈路的 IPCP UP，貝U VT 口 UP。l對于 PPPoE Server , VT 口與 PPPoE Client 之間無任何 Session 時，VT 口 DOWN;如果 PPPoE成功創(chuàng)建了一條 Session，則VT 口 UP。l對于 PPPoE Client , Dialer 口與 PPPoE Server 之間無任何 Session 時，Dialer 口 DOW

19、N ；如果 PPPoE 成功創(chuàng)建一條 Session , Dialer 口 UP。l對于非撥號的 PPPoA ,當(dāng)VT 口上所有 PPP鏈路的IPCP DOWN 時，VT 口 DOWN ;如果有一條 PPP 鏈路的 IPCP UP , VT H UP ol對于 PPPoA Server，當(dāng) VT 口與 PPPoA Client 之間無任何 Session 時，VT 口 DOWN ;如果PPPoA 成功創(chuàng)建一條 Session 時，VT 口 UP。l對于 PPPoA Client ,當(dāng) Dialer 口與 PPPoA Server 之間無任何 Session 時，Dialer 口 DOWN ；如

20、果PPPoA 成功創(chuàng)建一條 Session 時，Dialer 口 UP。&說明：l當(dāng)路由器為IP地址擁有者時，不允許對其進(jìn)行監(jiān)視接口的配置。l VRRP監(jiān)視的VT 口與Dialer 口僅用于 MP、PPPoE、PPPoA應(yīng)用，不支持普通撥號，如 ISDN的 Dialer 接口。設(shè)置檢查 VRRP報文的TTL域請在以太網(wǎng)接口視圖下進(jìn)行下列配置。表3-8 配置檢查 VRRP報文的TTL域操作命令配置不檢查VRRP報文的TTL域vrrp un-check ttl配置檢查 VRRP報文的TTL域undo vrrp un-check ttl缺省情況下，檢查 VRRP報文的TTL域。VRRP顯示和調(diào)試在完

21、成上述配置后，在任意視圖下執(zhí)行display命令可以顯示VRRP配置后的運(yùn)行情況，通過查看顯示信息驗證配置的效果。在用戶視圖下，執(zhí)行 debugging 命令可以對VRRP進(jìn)行調(diào)試。表3-9 VRRP 顯示和調(diào)試操作命令顯示VRRP的概要信息display vrrp interface type number virtual-router-ID 顯示VRRP的詳細(xì)信息display vrrp verbose interface type number vrid virtual-router-ID 禁止對VRRP報文的調(diào)試undo debugging vrrp packet使能對VRRP狀態(tài)的調(diào)

22、試debugging vrrp state禁止對VRRP狀態(tài)的調(diào)試undo debugging vrrp state用戶可以通過打開 VRRP調(diào)試開關(guān)的命令來查看 VRRP的運(yùn)行情況。共有兩個調(diào)試開關(guān)，一個是 VRRP 的報文調(diào)試開關(guān)（packet ）, 一個是VRRP的狀態(tài)調(diào)試開關(guān)（state ）,缺省情況下是將調(diào)試開關(guān)關(guān)閉。VRRP典型配置舉例VRRP單備份組舉例.組網(wǎng)需求主機(jī)A把路由器A和路由器B組成的VRRP備份組作為自己的缺省網(wǎng)關(guān)，訪問 Internet上的主機(jī)B。VRRP備份組構(gòu)成：備份組號為 1 ,虛擬IP地址為202.38.160.111 ,路由器A做Master ,路由器B做

23、備 份路由器，允許搶占。.組網(wǎng)圖圖3-3 VRRP單備份組配置組網(wǎng)圖.配置步驟配置路由器A:H3C-Ethernet1/0/0 vrrp vrid 1 virtual-ip 202.38.160.111H3C-Ethernet1/0/0 vrrp vrid 1 priority 120H3C-Ethernet1/0/0 vrrp vrid 1 preempt-mode timer delay 5配置路由器B:H3C-Ethernet1/0/0 vrrp vrid 1 virtual-ip 202.38.160.111備份組配置后不久就可以使用。主機(jī)A可將缺省網(wǎng)關(guān)設(shè)為 202.38.160.11

24、1 o正常情況下，路由器 A執(zhí)行網(wǎng)關(guān)工作，當(dāng)路由器A關(guān)機(jī)或出現(xiàn)故障，路由器 B將接替執(zhí)行網(wǎng)關(guān)工作。設(shè)置搶占方式，目的是當(dāng)路由器 A恢復(fù)工作后，能夠繼續(xù)成為Master執(zhí)行網(wǎng)關(guān)工作。.4.2 VRRP 監(jiān)視接口舉例.組網(wǎng)需求即使路由器A仍然工作，但當(dāng)其連接Internet的接口不可用時，可能希望由路由器B來執(zhí)行網(wǎng)關(guān)工作?？赏ㄟ^配置監(jiān)視接口來實現(xiàn)上述需求。為了便于說明，設(shè)備份組號為 1,并增加授權(quán)字和計時器的配置（在該應(yīng)用中不是必須的）。.組網(wǎng)圖主機(jī)口圖3-4 VRRP監(jiān)視接口配置組網(wǎng)圖.配置步驟配置路由器A:創(chuàng)建一個備份組。H3C-Ethernet1/0/0 vrrp vrid 1 virtua

25、l-ip 202.38.160.111設(shè)置備份組的優(yōu)先級。H3C-Ethernet1/0/0 vrrp vrid 1 priority 120設(shè)置備份組的認(rèn)證字。H3C-Ethernet1/0/0 vrrp authentication-mode md5 H3C設(shè)置Master發(fā)送VRRP報文的間隔時間為 5秒。H3C-Ethernet1/0/0 vrrp vrid 1 timer advertise 5設(shè)置監(jiān)視接口。H3C-Ethernet1/0/0 vrrp vrid 1 track serial2/0/0 reduced 30配置路由器B :創(chuàng)建一個備份組。H3C-Ethernet1/0

26、/0 vrrp vrid 1 virtual-ip 202.38.160.111設(shè)置備份組的認(rèn)證字。H3C-Ethernet1/0/0 vrrp authentication-mode md5 H3C設(shè)置Master發(fā)送VRRP報文的間隔時間為 5秒。H3C-Ethernet1/0/0 vrrp vrid 1 timer advertise 5H3C-Ethernet1/0/0 vrrp vrid 1 preempt-mode timer delay 5正常情況下，路由器 A執(zhí)行網(wǎng)關(guān)工作，當(dāng)路由器A的接口 Serial2/0/0不可用時，路由器 A的優(yōu)先級降低30,低于路由器B優(yōu)先級，路由器

27、B將搶占成為Master執(zhí)行網(wǎng)關(guān)工作。當(dāng)路由器A的接口 Serial2/0/0恢復(fù)工作后，路由器 A能夠繼續(xù)成為Master執(zhí)行網(wǎng)關(guān)工作。3.4.3多備份組舉例.組網(wǎng)需求在Comware中，允許一臺路由器加入多個備份組。通過多備份組設(shè)置可以實現(xiàn)負(fù)荷分擔(dān)。如路由器A作為備份組1的Master,同時又兼職備份組 2的備份路由器，而路由器B正相反，作為備份組2的Master,并兼職備份組1的備份路由器。一部分主機(jī)使用備份 組1作網(wǎng)關(guān)，另一部分主機(jī)使用備份組2作為網(wǎng)關(guān)。這樣，以達(dá)到分擔(dān)數(shù)據(jù)流，而又相互備份的目的。.組網(wǎng)圖圖3-5 VRRP多備份組配置組網(wǎng)圖3.配置步驟配置路由器A:創(chuàng)建一個備份組1。H

28、3C-Ethernet1/0/0 vrrp vrid 1 virtual-ip 202.38.160.111設(shè)置備份組的優(yōu)先級。H3C-Ethernet1/0/0 vrrp vrid 1 priority 120創(chuàng)建一個備份組2。H3C-Ethernet1/0/0 vrrp vrid 2 virtual-ip 202.38.160.112配置路由器B :創(chuàng)建一個備份組1。H3C-Ethernet1/0/0 vrrp vrid 1 virtual-ip 202.38.160.111創(chuàng)建一個備份組2。H3C-Ethernet1/0/0 vrrp vrid 2 virtual-ip 202.38.160.112設(shè)置備份組2的優(yōu)先級。H3C-Ethernet1/0/0 vrrp vrid 2 priority 1203.4.4橋組與備份組配合舉例.組網(wǎng)需求如圖3-6 ,路由器上的兩個接口需要處于同一個物理網(wǎng)段，這種情況下，可將兩個接口加入同一個橋組, 然后在該橋組對應(yīng)的橋模板上配置備份組，達(dá)到備份目的。.組網(wǎng)圖為滿足送忡處網(wǎng)湍求，就需費(fèi)同 門路U器上的兩個也I處在同一了網(wǎng)中，這種看況下必須生月網(wǎng)杼圖3-6橋組與備份組配合使用3.配置步驟配