VRRP协议

VRRP协议

一、VRRP概念

• 虚拟路由冗余协议VRRP（Virtual Router Redundancy Protocol）通过把几台路由设备联合组成一台虚拟的路由设备，将虚拟路由设备的IP地址作为用户的默认网关实现与外部网络通信。当网关设备发生故障时，VRRP机制能够选举新的网关设备承担数据流量，从而保障网络的可靠通信。

• 利用VRRP，一组路由器(同一个LAN中的接口）协同工作，但只有一个处于Master状态，处于该状态的 路由器（的接口）承担实际的数据流量转发任务。

• 在一个VRRP组内的多个路由器接口共用一个虚拟IP地址，该地址被作为局域网内所有主机的缺省网关地址 VRRP决定哪个路由器是Master，Master路由器负责接收发送至用户网关的数据包并进行转发，以及响 应PC对于其网关IP地址的ARP请求 Backup路由器侦听Master路由器的状态，并在Master路由器发生故障时，接替其工作，从而保证业务 流量的平滑切换

• VRRP概述：

  1. VRRP路由器（VRRP Router）：运行VRRP协议的设备，它可能属于一个或多个虚拟路由器。
  2. 虚拟路由器（Virtual Router）：又称VRRP备份组，由一个Master设备和多个Backup设备组成，被当作一个共享局域网内主机的缺省网关。
  3. Master路由器（Virtual Router Master）：承担转发报文任务的VRRP设备。
  4. Backup路由器（Virtual Router Backup）：一组没有担转发任务的VRRP设备，当Master设备出现故障时，它们将通过竞选成为新的Master设备。
  5. VRID：虚拟路由器的标识。
  6. 虚拟IP地址(Virtual IP Address)：虚拟路由器的IP地址，一个虚拟路由器可以有一个或多个IP地址，由用户配置。
  7. IP地址拥有者（IP Address Owner）：如果一个VRRP设备将虚拟路由器IP地址作为真实的接口地址，则该设被称为IP地址拥有者。如果IP地址拥有者是可用的，通常它将成为Master。
  8. 虚拟MAC地址（Virtual MAC Address）：虚拟路由器根据虚拟路由器ID生成的MAC地址。一个虚拟路由器拥有一个虚拟MAC地址，**格式为：00-00-5E-00-01-{VRID}(VRRP for IPv4)；00-00-5E-00-02-{VRID}(VRRP for IPv6)。**当虚拟路由器回应ARP请求时，使用虚拟MAC地址，而不是接口的真实MAC地址。

二、VRRP作用

• 在具有多播或广播能力的局域网（如以太网）中，借助VRRP能在网关设备出现故障时仍然提供高可靠的缺省链路，无需修改主机及网关设备的配置信息便可有效避免单一链路发生故障后的网络中断问题。

三、VRRP工作原理

1. VRRP组中的设备选举出Master,Master设备通过发送免费ARP报文，将虚拟MAC地址通知给与它连 接的设备或主机，从而承担报文转发任务

2. Master设备周期性向备份组内所有Backup设备发送VRRP通告报文

3. 如果Master设备出现故障，VRRP备份组中的Backup设备重新选举新的Master

4. VRRP组状态切换时，Master设备由一台设备切换为另外一台设备，新的Master设备会立即发送携 带虚拟路由器的虚拟MAC地址和虚拟IP地址信息的免费ARP报文，刷新与它连接的主机或设备中的 MAC表项，从而把用户流量引到新的Master设备上来，整个过程对用户完全透明

5. 原Master设备故障恢复时，若该设备为IP地址拥有者（则其优先级为255），将直接切换到Master 状态。若该设备优先级小于255，将首先切换至Backup状态，且至优先级恢复为故障前配置的优先 级

6. Backup设备的优先级高于Master设备时，由Backup设备的工作方式（抢占方式和非抢占方式）决 定是否重新选举Master

四、VRRP报文格式-IPV4

![外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传](https://img-home.csdnimg.cn/images/20230724024159.png?在这里插入图片描述

origin_url=C%3A%5CUsers%5CLaoHuoZi%5Ctypora_work%5Cyunjisuan%5Cassets%5Cimage-20240304152746820.png&pos_id=img-1GOWiFxj-1709541683273)

字段解释：

五、VRRP报文主要区别

• 支持的网络类型不同。VRRPv3适用于IPv4和IPv6两种网络，而VRRPv2仅适用于IPv4网络。

• 认证功能不同。VRRPv3不支持认证功能，而VRRPv2支持认证功能。

• VRRPv2版本保留报文的认证字段，是为了兼容早期版本（RFC2338），VRRP认证并不能提高安全性。

• 发送通告报文的时间间隔的单位不同。VRRPv3支持的是厘秒级，而VRRPv2支持的是秒级。

六、VRRP认证

• 无认证方式：

  • 设备对要发送的VRRP通告报文不进行任何认证处理，收到通告报文的设备也不进行任何认证，认为收到的都是真实的、合法的VRRP报文。

• 简单字符（Simple）认证方式：

  • 发送VRRP通告报文的设备将认证方式和认证字填充到通告报文中，而收到通告报文的设备则会将报文中的认证方式和认证字与本端配置的认证方式和认证字进行匹配。如果相同，则认为接收到的报文是合法的VRRP通告报文；否则认为接收到的报文是一个非法报文，并丢弃这个报文。

• MD5认证方式：

  • 发送VRRP通告报文的设备利用MD5算法对认证字进行加密，加密后保存在Authentication Data字段中。收到通告报文的设备会对报文中的认证方式和解密后的认证字进行匹配，检查该报文的合法性。

七、VRRP工作状态

• VRRP协议中定义了三种状态机：初始状态（Initialize）、活动状态（Master）、备份状态（Backup）。其中，只有处于Master状态的设备才可以转发那些发送到虚拟IP地址的报文。

1、Initialize：

该状态为VRRP不可用状态，在此状态时设备不会对VRRP报文做任何处理。
通常刚配置VRRP时或设备检测到故障时会进Initialize状态。
收到接口Up的消息后，如果设备的优先级为255，则直接成为Master设备；如果设备的优先级小于255，则会先切换至Backup状态。

2、Masster：

当VRRP设备处于Master状态时，它将会做下列工作：

定时（Advertisement Interval）发送VRRP通告报文。
以虚拟MAC地址响应对虚拟IP地址的ARP请求。
转发目的MAC地址为虚拟MAC地址的IP报文。
如果它是这个虚拟IP地址的拥有者，则接收目的IP地址为这个虚拟IP地址的IP报文。否则，丢弃这个IP报文。
如果收到比自己优先级大的报文，立即成为Backup。
如果收到与自己优先级相等的VRRP报文且本地接口IP地址小于对端接口IP，立即成为Backup。

3、Backup：

当VRRP设备处于Backup状态时，它将会做下列工作：

接收Master设备发送的VRRP通告报文，判断Master设备的状态是否正常。

对虚拟IP地址的ARP请求，不做响应。

丢弃目的IP地址为虚拟IP地址的IP报文。

如果收到优先级和自己相同或者比自己大的报文，则重置Master_Down_Interval定时器，不进一步比较IP地址。

Master_Down_Interval定时器：Backup设备在该定时器超时后仍未收到通告报文，则会转换为Master状态。

如果收到比自己优先级小的报文且该报文优先级是0时，定时器时间设置为Skew_time（偏移时间），如果该报文优先级不是0，丢弃报文，立刻成为Master。

八、VRRP案例

1、拓扑

![外链图片

2、配置

# AR6
int g0/0/0 
ip add 10.1.1.30 24
vrrp vrid 1 virtual-ip 10.1.1.1 
vrrp vrid 1 priority 120
vrrp vrid 1 preempt-mode timer delay 6
###配置Master设备的抢占时延为6秒(缺省值为0，立即抢占)，以防频繁地进行状态
切换
vrrp vrid 1 track interface GigabitEthernet0/0/1 reduced 30
###跟踪上行接口G0/0/1的状态，如端口故障则Master优先级降低30 (缺省值为10)
q
int g0/0/1 
ip add 20.1.1.10 24
q
ip route-static 192.168.1.0 24 20.1.1.20 # 配置静态路由

# AR7
int g0/0/0
ip add 10.1.1.40 24
vrrp vrid 1 virtual-ip 10.1.1.1
vrrp vrid 1 priority 115
q
int g0/0/1 ip add 30.1.1.10 24
q
ip route-static 192.168.1.0 24 30.1.1.20
q

# AR5
int g0/0/0
ip add 20.1.1.20 24
int g0/0/1
ip add 30.1.1.20 24
int g0/0/2
ip add 192.168.1.1 24
q
ip route-static 10.1.1.0 24 20.1.1.10
ip route-static 10.1.1.0 24 30.1.1.10

3、测试