虚拟路由器冗余协议:解决出现单点失效的路由协议-中文百科频道

简介

虚拟路由器冗余协议

VRRP是一种选择协议，它可以把一个虚拟路由器的责任动态分配到局域网上的VRRP路由器中的一台。控制虚拟路由器IP地址的VRRP路由器称为主路由器，它负责转发数据包到这些虚拟IP地址。一旦主路由器不可用，这种选择过程就提供了动态的故障转移机制，这就允许虚拟路由器的IP地址可以作为终端主机的默认第一跳路由器。是一种LAN接入设备备份协议。一个局域网络内的所有主机都设置缺省网关，这样主机发出的目的地址不在本网段的报文将被通过缺省网关发往三层交换机，从而实现了主机和外部网络的通信。

VRRP是一种路由容错协议，也可以叫做备份路由协议。一个局域网络内的所有主机都设置缺省路由，当网内主机发出的目的地址不在本网段时，报文将被通过缺省路由发往外部路由器，从而实现了主机与外部网络的通信。当缺省路由器down掉（即端口关闭）之后，内部主机将无法与外部通信，如果路由器设置了VRRP时，那么这时，虚拟路由将启用备份路由器，从而实现全网通信。

在VRRP协议中，有两组重要的概念：VRRP路由器和虚拟路由器，主控路由器和备份路由器。VRRP路由器是指运行VRRP的路由器，是物理实体；虚拟路由器是指VRRP协议创建的，是逻辑概念。一组VRRP路由器协同工作，共同构成一台虚拟路由器。该虚拟路由器对外表现为一个具有唯一固定的IP地址和MAC地址的逻辑路由器。处于同一个VRRP组中的路由器具有两种互斥的角色：主控路由器和备份路由器，一个VRRP组中有且只有一台处于主控角色的路由器，可以有一个或者多个处于备份角色的路由器VRRP协议从路由器组中选出一台作为主控路由器，负责ARP解析和转发IP数据包，组中的其他路由器作为备份的角色并处于待命状态，当由于某种原因主控路由器发生故障时，其中的一台备份路由器能在瞬间的时延后升级为主控路由器，由于此切换非常迅速而且不用改变IP地址和MAC地址，故对终端使用者系统是透明的。

工作原理

虚拟路由器冗余协议

VRRP的工作过程如下：

路由器开启VRRP功能后，会根据优先级确定自己在备份组中的角色。优先级高的路由器成为主用路由器，优先级低的成为备用路由器。主用路由器定期发送VRRP通告报文，通知备份组内的其他路由器自己工作正常；备用路由器则启动定时器等待通告报文的到来。

VRRP在不同的主用抢占方式下，主用角色的替换方式不同：

l在抢占方式下，当主用路由器收到VRRP通告报文后，会将自己的优先级与通告报文中的优先级进行比较。如果大于通告报文中的优先级，则成为主用路由器；否则将保持备用状态。

l在非抢占方式下，只要主用路由器没有出现故障，备份组中的路由器始终保持主用或备用状态，备份组中的路由器即使随后被配置了更高的优先级也不会成为主用路由器。

如果备用路由器的定时器超时后仍未收到主用路由器发送来的VRRP通告报文，则认为主用路由器已经无法正常工作，此时备用路由器会认为自己是主用路由器，并对外发送VRRP通告报文。备份组内的路由器根据优先级选举出主用路由器，承担报文的转发功能。

在实际组网中一般会进行VRRP负载分担方式的设置。负载分担方式是指多台路由器同时承担业务，避免设备闲置，因此需要建立两个或更多的备份组实现负载分担。VRRP负载分担方式具有以下特点：

每个备份组都包括一个主用路由器和若干个备用路由器。

各备份组的主用路由器可以不相同。

同一台路由器可以加入多个备份组，在不同备份组中有不同的优先级，使得该路由器可以在一个备份组中作为主用路由器，在其他的备份组中作为备用路由器。

VRRP在提高可靠性的同时，简化了主机的配置。在具有多播或广播能力的局域网中，借助VRRP能在某台路由器出现故障时仍然提供高可靠的缺省链路，有效避免单一链路发生故障后网络中断的问题，而无需修改动态路由协议、路由发现协议等配置信息。

一个VRRP路由器有唯一的标识：VRID，范围为0—255｡该路由器对外表现为唯一的虚拟MAC地址，地址的格式为00-00-5E-00-01-[VRID]｡主控路由器负责对ARP请求用该MAC地址做应答｡这样，无论如何切换，保证给终端设备的是唯一一致的IP和MAC地址，减少了切换对终端设备的影响｡

VRRP控制报文只有一种：VRRP通告(advertisement)｡它使用IP多播数据包进行封装，组地址为224.0.0.18，发布范围只限于同一局域网内｡这保证了VRID在不同网络中可以重复使用｡为了减少网络带宽消耗只有主控路由器才可以周期性的发送VRRP通告报文｡备份路由器在连续三个通告间隔内收不到VRRP或收到优先级为0的通告后启动新的一轮VRRP选举｡

在VRRP路由器组中，按优先级选举主控路由器，VRRP协议中优先级范围是0—255｡若VRRP路由器的IP地址和虚拟路由器的接口IP地址相同，则该VRRP路由器被称为该IP地址的所有者；IP地址所有者自动具有最高优先级：255｡优先级0一般用在IP地址所有者主动放弃主控者角色时使用｡可配置的优先级范围为1—254｡优先级的配置原则可以依据链路的速度和成本､路由器性能和可靠性以及其它管理策略设定｡主控路由器的选举中，高优先级的虚拟路由器获胜，因此，如果在VRRP组中有IP地址所有者，则它总是作为主控路由的角色出现｡对于相同优先级的候选路由器，按照IP地址大小顺序选举｡VRRP还提供了优先级抢占策略，如果配置了该策略，高优先级的备份路由器便会剥夺当前低优先级的主控路由器而成为新的主控路由器｡

为了保证VRRP协议的安全性，提供了两种安全认证措施：明文认证和IP头认证｡明文认证方式要求：在加入一个VRRP路由器组时，必须同时提供相同的VRID和明文密码｡适合于避免在局域网内的配置错误，但不能防止通过网络监听方式获得密码｡IP头认证的方式提供了更高的安全性，能够防止报文重放和修改等攻击｡

应用实例

VRRP协议的工作机理与CISCO公司的HSRP（Hot Standby Routing Protocol）有许多相似之处。但二者主要的区别是在CISCO的HSRP中，需要单独配置一个IP地址作为虚拟路由器对外体现的地址，这个地址不能是组中任何一个成员的接口地址。

使用VRRP协议，不用改造网络结构，最大限度保护了投资，只需最少的管理费用，却大大提升了网络性能，具有重大的应用价值。

最典型的VRRP应用：RTA、RTB组成一个VRRP路由器组，假设RTB的处理能力高于RTA，则将RTB配置成IP地址所有者，H1、H2、H3的默认网关设定为RTB。则RTB成为主控路由器，负责ICMP重定向、ARP应答和IP报文的转发；一旦RTB失败，RTA立即启动切换，成为主控，从而保证了对客户透明的安全切换。

在VRRP应用中，RTB在线时RTA只是作为后备，不参与转发工作，闲置了路由器RTA和链路L1。通过合理的网络设计，可以达到备份和负载分担双重效果。让RTA、RTB同时属于互为备份的两个VRRP组：在组1中RTA为IP地址所有者；组2中RTB为IP地址所有者。将H1的默认网关设定为RTA；H2、H3的默认网关设定为RTB。这样，既分担了设备负载和网络流量，又提高了网络可靠性。

配置方式

spanning-tree 开启生成树（默认为mstp）

spanning-tree mst configuration 进入mst配置模式

revision 1 指定MST revision number 为1

name region1 指定mst配置名称

instance 0 vlan 1-9, 11-19, 21-4094 缺省情况下vlan都属于实例0

instance 1 vlan 10 手工指定vlan10属于实例1

instance 2 vlan 20 手工指定vlan20属于实例2

spanning-tree mst 1 priority 0 指定实例1的优先级为0（为根桥）

spanning-tree mst 2 priority 4096 指定实例2的优先级为4096

interface GigabitEthernet 0/1

switchport access vlan 10 配置g0/1属于vlan10

interface GigabitEthernet 0/2

switchport access vlan 20 配置g0/2属于vlan 20!interface GigabitEthernet 0/3!

interface GigabitEthernet 0/24 设置g0/24为trunk接口且允许vlan10/20通过

switchport mode trunk!interface VLAN 10 创建vlan 10 svi接口

ip address 192.168.10.1 255.255.255.0 配置ip地址

vrrp 1 priority 120 配置vrrp组1 优先级为120

vrrp 1 ip 192.168.10.254 配置vrrp组 1虚拟ip地址为 192.168.10.254!

interface VLAN 20 创建vlan 20 svi接口

ip address 192.168.20.1 255.255.255.0 配置ip地址

vrrp 2 ip 192.168.20.254 配置vrrp组 2虚拟ip地址为 192.168.20.254

默认vrrp组的优先级为100默认不显示!

line con 0

line vty 0 4

验证配置

s1#show vlan

VLAN Name Status Ports1 VLAN0001 STATIC Gi0/3, Gi0/4, Gi0/5, Gi0/6

Gi0/7, Gi0/8, Gi0/9, Gi0/10

Gi0/11, Gi0/12, Gi0/13, Gi0/14

Gi0/15, Gi0/16, Gi0/17, Gi0/18

Gi0/19, Gi0/20, Gi0/21, Gi0/22

Gi0/23, Gi0/24

10 VLAN0010 STATIC Gi0/1, Gi0/24

20 VLAN0020 STATIC Gi0/2, Gi0/24

接下来的同级设备照上面大体框架配置既可。

VRRP术语

1、Virtual Router

虚拟路由器，一个抽象对象，基于子网接口，包括一个虚拟路由器标识符（VRID）和一个或多个IP地址，这个（些）IP地址又称为虚拟IP地址，虚拟IP地址作为主机的默认网关。

2、VRRP Router

VRRP路由器，即运行VRRP协议的路由器，一个VRRP路由器可以加入到一个或多个虚拟路由器中。

3、IP Address Owner

IP地址拥有者，虚拟路由器的虚拟IP地址与接口的真实IP地址相同的VRRP路由器。

4、Virtual Router Master

虚拟主路由器，负责转发通过虚拟路由器的三层数据包，对虚拟路由器的IP地址的ARP请求进行回应。如果某个VRRP路由器是IP地址拥有者，则它总是虚拟主路由器。

5、Virtual Router Backup

虚拟备份路由器，不转发三层数据包，不应答虚拟IP地址的ARP请求，当虚拟主路由器出现故障时接替虚拟主路由器的工作。

特点

1、IP地址备份，VRRP的主要功能。可以在网络中提供多个VirtuaI Router选举的负载均衡以及在单一的网络中支持多重逻辑IP子网络。

2、最优路径指示。从VRRP组内多个路由器的路由中，保证Master收敛到现成可用最优先的路由器。

3、最小化不必要的服务中断。在主路由正常工作期间，不触发其他低优先级别路由器选择主路由的服务。

4、广泛的安全性。它可在多种不同的交互环境中采用不同的安全策略，它只需极少的配置和开销就可以进行严格的验证。

5、在可扩展网络有效的工作。

VRRP状态机

协议对VRRP规定了3种状态：INITIALIZE，MASTER和BACKUP。简单地说，INITIALIZE即初始态，MASTER即主用状态，也就是在VRRP备份组中真正起作用的路由器，BACKUP即备用状态，是MASTER的备份。对于不同状态的实现，有如下要求：

(1)INITIALIZE：

路由器启动时，如果路由器的优先级是255(最高优先级，当且仅当配置的VRRP虚拟IP地址和接口IP相同，即所谓IP地址拥有者)，要发送VRRP通告信息，并发送广播ARP信息通告路由器IP地址对应的MAC地址为路由虚拟MAC，设置通告信息定时器准备定时发送VRRP通告信息，转为MASTER状态：否则进入BACKUP状态，设置定时器检查定时检查是否收到MASTER的通告信息。

(2)MASTER

主机状态下的路由器要完成如下功能：

设置定时通告定时器；

用VRRP虚拟MAC地址响应路由器IP地址的ARP请求；

转发目的MAC是VRRP虚拟MAC的数据包；

如果是虚拟路由器IP的拥有者，将接受目的地址是虚拟路由器IP的数据包，否则丢弃；

当收到shutdown的事件时删除定时通告定时器，发送优先值级为0的通告包，转初始化状态；

如果定时通告定时器超时时，发送VRRP通告信息；

收到VRRP通告信息时，如果优先值为0，发送VRRP通告信息：否则，判断数据的优先级是否高于本机，或相等而且实际IP地址大于本地实际IP，设置定时通告定时器，复位主机超时定时器，转BACKUP状态；否则的话，丢弃该通告包。

(3)BACKUP

备机状态下的路由器要实现以下功能：

设置主机超时定时器；

不能响应针对虚拟路由器IP的ARP请求信息；

丢弃所有目的MAC地址是虚拟路由器MAC地址的数据包；

不接受目的是虚拟路由器IP的所有数据包；

当收到shutdown的事件时删除主机超时定时器，转初始化状态；

主机超时定时器超时的时候，发送VRRP通告信息，广播ARP地址信息，转MASTER状态；

收到VRRP通告信息时。如果优先值为0，表示进入与MASTER选举，否则判断数据的优先级是否高于本机，如果高的话承认MASTER有效，复位主机超时定时器；否则的话，丢弃该通告包。

选举机制

VRRP使用选举机制来确定路由器的状态(Master或Backup)。运行VRRP的一组路由器对外组成了一个虚拟路由器，其中一台路由器处于Master状态，其他的处于Backup状态。

运行VRRP的路由器都会发送和接收VRRP通告消息，在通告消息中包含了自身的VRRP优先级信息。VRRP通过比较路由器的优先级进行选举，优先级高的路由器将成为主路由器，其他路由器都为备份路由器。

虚拟路由器和VRRP路由器都有自己的lP地址(虚拟路由器的lP地址可以和VRRP备份组内的某个路由器的接口地址相同)。如果VRRP组中存在lP地址拥有者，即虚拟地址与某台VRRP路由器的地址相同时，IP地址拥有者将成为主路由器，并且拥有最高优先级255。如果VRRP组中不存在IP地址拥有者。VRRP路由器将通过比较优先级来确定主路由器。路由器可配置的优先级范围为1～254，默认情况下VRRP路由器的优先级为100。当优先级相同时，VRRP将通过比较IP地址来进行选举，lP地址大的路由器将成为主路由器。