1. 為什么VRRP至今仍是網(wǎng)絡(luò)高可用的“壓艙石”第一次接觸VRRP是在一個園區(qū)網(wǎng)的改造項目里核心交換機雙機部署下面掛了三十多臺接入設(shè)備用戶要求“斷一臺核心業(yè)務(wù)不能斷”。當(dāng)時我第一反應(yīng)是用堆疊或者鏈路聚合但堆疊對設(shè)備型號和距離有硬性要求鏈路聚合只能解決鏈路冗余解決不了網(wǎng)關(guān)單點故障。后來老工程師一句話點醒我網(wǎng)關(guān)得有個“虛擬身份”兩臺設(shè)備輪流當(dāng)誰活著誰頂上。這就是VRRP要干的事。VRRP全稱Virtual Router Redundancy Protocol中文叫虛擬路由器冗余協(xié)議。它的核心思路非常樸素把兩臺或多臺物理設(shè)備虛擬成一臺邏輯上的“虛擬路由器”這臺虛擬路由器對外暴露一個虛擬IP和一個虛擬MAC終端設(shè)備把這個虛擬IP當(dāng)作默認(rèn)網(wǎng)關(guān)。平時由一臺設(shè)備Master真正承擔(dān)轉(zhuǎn)發(fā)任務(wù)其他設(shè)備Backup待命。一旦Master出問題Backup在幾秒甚至幾百毫秒內(nèi)接管終端完全無感知。這個機制解決的是網(wǎng)絡(luò)架構(gòu)里最容易被忽視卻最致命的問題——網(wǎng)關(guān)單點故障。你可以做雙上行鏈路、可以做端口聚合、可以做服務(wù)器雙網(wǎng)卡但只要網(wǎng)關(guān)是單臺設(shè)備這臺設(shè)備一掛整個網(wǎng)段全部失聯(lián)。VRRP的價值就在于用協(xié)議層面的冗余把網(wǎng)關(guān)這個“獨木橋”變成“雙通道”。適合讀這篇內(nèi)容的人大概有三類一是剛接觸網(wǎng)絡(luò)設(shè)備配置的運維新人需要一份能直接照著敲的配置參考二是有一定基礎(chǔ)但沒系統(tǒng)梳理過VRRP細(xì)節(jié)的工程師想搞清楚優(yōu)先級、搶占、認(rèn)證這些參數(shù)到底怎么配合三是準(zhǔn)備考證或者面試的朋友需要把VRRP的原理和實操串起來理解。我會從協(xié)議原理講到配置實操再到排錯思路盡量把每個參數(shù)背后的“為什么”說清楚。2. VRRP的報文交互與狀態(tài)機Master是怎么選出來的2.1 組播報文里的信息博弈VRRP的運行依賴一種特殊的組播報文目的地址是224.0.0.18協(xié)議號112。這個報文里攜帶了幾個關(guān)鍵字段虛擬路由器IDVRID、優(yōu)先級Priority、通告間隔Advertisement Interval、認(rèn)證信息等。所有參與同一個VRRP組的設(shè)備VRID必須一致否則各說各話組都建不起來。Master設(shè)備會周期性地發(fā)送VRRP通告報文告訴組內(nèi)其他設(shè)備“我還活著”。默認(rèn)間隔是1秒這個值可以調(diào)但調(diào)小會增加協(xié)議開銷調(diào)大則故障感知變慢。通告報文里的優(yōu)先級字段決定了誰有資格當(dāng)Master范圍是0到255數(shù)值越大越優(yōu)先。默認(rèn)值是100可配置范圍是1到254。0和255有特殊含義0表示設(shè)備主動放棄Master角色255保留給IP地址擁有者也就是虛擬IP真實配置在某臺設(shè)備上的情況。這里有個容易混淆的點IP地址擁有者。如果虛擬IP恰好就是某臺設(shè)備的真實接口IP那這臺設(shè)備的優(yōu)先級自動變成255且不可更改。它永遠(yuǎn)是Master除非它掛了。這種場景在實際中不多見因為通常我們會給虛擬IP單獨規(guī)劃一個地址不和物理接口IP重疊。2.2 三種狀態(tài)的流轉(zhuǎn)邏輯VRRP設(shè)備在三個狀態(tài)之間切換Initialize初始化、Master主、Backup備。啟動后先進(jìn)入Initialize接口UP且配置完整后根據(jù)優(yōu)先級決定進(jìn)入Master還是Backup。如果優(yōu)先級是255直接進(jìn)Master。否則先進(jìn)入Backup等待一個“主用超時時間”Master_Down_Interval。這個時間的計算公式是3 × 通告間隔 Skew_Time。Skew_Time是256 - 優(yōu)先級/ 256秒。舉個例子優(yōu)先級100通告間隔1秒Skew_Time就是(256-100)/256 ≈ 0.61秒Master_Down_Interval就是3×1 0.61 3.61秒。也就是說Backup要等大約3.6秒沒收到Master的通告才會認(rèn)為Master掛了然后發(fā)起選舉。選舉過程很簡單優(yōu)先級高的當(dāng)Master優(yōu)先級相同則比較接口IPIP大的贏。新Master產(chǎn)生后會立刻發(fā)送一個通告報文并開始響應(yīng)虛擬MAC的ARP請求。這里有個細(xì)節(jié)虛擬MAC的格式是0000-5E00-01XXXX就是VRID的十六進(jìn)制。比如VRID是1虛擬MAC就是00-00-5E-00-01-01。終端設(shè)備ARP請求虛擬IP時Master返回的就是這個虛擬MAC所以終端不需要感知Master的切換。2.3 搶占模式主動奪回與被動等待搶占模式是VRRP里一個很實用的開關(guān)。默認(rèn)情況下?lián)屨际情_啟的。意思是如果一臺優(yōu)先級更高的設(shè)備恢復(fù)了它會主動搶回Master角色。比如原Master優(yōu)先級120重啟后變成Backup優(yōu)先級100的設(shè)備正在當(dāng)Master。原Master恢復(fù)后發(fā)現(xiàn)自己的優(yōu)先級更高就會等待一個“搶占延時”默認(rèn)0秒然后發(fā)送通告重新成為Master。搶占延時這個參數(shù)很有講究。如果設(shè)為0設(shè)備一恢復(fù)就搶可能導(dǎo)致網(wǎng)絡(luò)震蕩——比如設(shè)備剛啟動路由還沒收斂搶過來反而丟包。通常建議設(shè)個幾秒到幾十秒等設(shè)備完全穩(wěn)定再搶。如果關(guān)閉搶占高優(yōu)先級設(shè)備恢復(fù)后也不會奪回Master除非當(dāng)前Master出故障。這種模式適合“主備角色固定、不希望頻繁切換”的場景。3. 配置前的規(guī)劃VRID、虛擬IP和優(yōu)先級怎么定3.1 VRID的分配不能拍腦袋VRID是VRRP組的身份證范圍1到255。同一個廣播域內(nèi)不同VRRP組的VRID必須不同否則會沖突。比如你有兩個網(wǎng)段每個網(wǎng)段跑一組VRRP那可以用VRID 1和VRID 2。但如果兩個網(wǎng)段在同一個VLAN里這種情況少見但存在就必須用不同的VRID。我的習(xí)慣是按VLAN ID來映射VRID。比如VLAN 10用VRID 10VLAN 20用VRID 20。這樣運維的時候一眼就能對上排查問題也方便。如果VLAN ID超過255那就取模或者重新規(guī)劃但盡量保持規(guī)律。虛擬MAC是根據(jù)VRID生成的所以VRID變了虛擬MAC也變。如果終端設(shè)備有ARP緩存或者靜態(tài)ARP綁定改VRID會導(dǎo)致短暫中斷。所以規(guī)劃階段就要定好后期盡量別動。3.2 虛擬IP的選擇獨立地址還是接口地址虛擬IP可以選兩種一種是單獨規(guī)劃一個沒人用的IP另一種是直接用某臺設(shè)備的接口IP。前面說過用接口IP的話那臺設(shè)備優(yōu)先級自動255永遠(yuǎn)是Master。這種模式叫“IP地址擁有者”模式配置簡單但失去了主備靈活性——那臺設(shè)備掛了備機接管但主機恢復(fù)后又會搶回來因為優(yōu)先級不可改。更常見的做法是單獨規(guī)劃虛擬IP。比如兩臺核心交換機的接口IP分別是192.168.1.252和192.168.1.253虛擬IP用192.168.1.254。終端網(wǎng)關(guān)指向254。這樣兩臺設(shè)備優(yōu)先級都可以手動設(shè)主備角色可控。虛擬IP必須和接口IP在同一個網(wǎng)段不能跨網(wǎng)段。而且虛擬IP不能和任何設(shè)備的接口IP沖突否則ARP會亂。配置前最好ping一下確認(rèn)沒人用。3.3 優(yōu)先級與搶占延時的配合優(yōu)先級默認(rèn)100建議主設(shè)備設(shè)120備設(shè)備設(shè)100。差值不用太大20足夠。差值太大沒必要差值太小比如101和100容易因為計算誤差導(dǎo)致意外切換。搶占延時建議主設(shè)備設(shè)30秒左右。為什么因為主設(shè)備重啟后路由協(xié)議比如OSPF可能需要時間收斂接口可能還在震蕩。如果立刻搶占流量過來了但路由沒準(zhǔn)備好反而丟包。等30秒設(shè)備穩(wěn)定了再搶平滑過渡。備設(shè)備的搶占延時可以設(shè)0因為它本來優(yōu)先級就低不會主動搶。但如果備設(shè)備優(yōu)先級也設(shè)了120比如雙主模式那就要考慮兩邊都設(shè)延時避免同時搶。4. 華為設(shè)備VRRP配置實操從接口到驗證的完整鏈路4.1 基礎(chǔ)配置主備設(shè)備的對稱與不對稱華為設(shè)備的VRRP配置在接口視圖下進(jìn)行。假設(shè)兩臺核心交換機接口VLANIF 10IP分別是192.168.1.252和192.168.1.253虛擬IP 192.168.1.254VRID 10。主設(shè)備配置interface Vlanif 10 ip address 192.168.1.252 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.1.254 vrrp vrid 10 priority 120 vrrp vrid 10 preempt-mode timer delay 30備設(shè)備配置interface Vlanif 10 ip address 192.168.1.253 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.1.254 vrrp vrid 10 priority 100注意備設(shè)備不需要配搶占延時因為默認(rèn)搶占開啟且延時0但它優(yōu)先級低不會主動搶。主設(shè)備配了30秒延時是為了恢復(fù)后不立刻搶。這里有個細(xì)節(jié)虛擬IP的配置命令在兩臺設(shè)備上必須完全一致包括VRID和虛擬IP地址。優(yōu)先級可以不同搶占延時可以不同但VRID和虛擬IP必須一樣否則組建不起來。4.2 認(rèn)證配置簡單密碼與MD5VRRP支持認(rèn)證防止非法設(shè)備加入組。華為設(shè)備支持兩種簡單字符認(rèn)證和MD5認(rèn)證。簡單認(rèn)證就是明文密碼MD5是哈希。配置命令vrrp vrid 10 authentication-mode simple cipher Huawei123或者vrrp vrid 10 authentication-mode md5 cipher Huawei123認(rèn)證模式兩端必須一致密碼也必須一致。如果一邊配了一邊沒配或者密碼不同VRRP組起不來設(shè)備會一直停留在Initialize狀態(tài)。我遇到過好幾次因為密碼大小寫不一致導(dǎo)致VRRP不生效的案例排查了半天才發(fā)現(xiàn)是密碼問題。注意認(rèn)證不是加密只是防止誤加入。簡單認(rèn)證的密碼在報文里是明文傳輸?shù)腗D5也只是哈希不能防重放攻擊。安全要求高的場景建議配合其他安全機制。4.3 監(jiān)控上行接口讓VRRP感知鏈路故障VRRP默認(rèn)只監(jiān)控自己的接口狀態(tài)。如果Master的上行接口掛了但它自己還活著VRRP不會切換流量到了Master卻出不去形成“黑洞”。解決方法是配置監(jiān)控上行接口vrrp vrid 10 track interface GigabitEthernet 0/0/1 reduced 30意思是如果GE0/0/1掛了優(yōu)先級降低30。原來120變成90低于備設(shè)備的100備設(shè)備就會搶占成為Master。這個降低值要算好。主設(shè)備優(yōu)先級120備設(shè)備100降低值必須大于20才能讓備設(shè)備贏。設(shè)30是安全的。如果降低值設(shè)10主設(shè)備變成110還是比備設(shè)備高不會切換。可以監(jiān)控多個接口每個接口配不同的降低值。比如監(jiān)控上行口降30監(jiān)控下行口降20。這樣根據(jù)故障位置不同切換策略也不同。4.4 驗證命令看狀態(tài)、看統(tǒng)計、看報文配置完了怎么確認(rèn)生效幾個常用命令display vrrp看VRRP組的狀態(tài)Master還是Backup優(yōu)先級多少虛擬IP是什么。display vrrp statistics看收發(fā)報文統(tǒng)計有沒有收到通告有沒有認(rèn)證失敗。display vrrp interface Vlanif 10 verbose看詳細(xì)狀態(tài)包括搶占模式、延時、監(jiān)控接口等。如果狀態(tài)一直是Initialize檢查接口是否UP、VRID是否沖突、認(rèn)證是否一致。如果狀態(tài)是Backup但一直不切換檢查優(yōu)先級和搶占配置。如果切換了但業(yè)務(wù)不通檢查虛擬MAC是否學(xué)到、ARP是否正常。5. 排錯實錄那些年VRRP不切換的奇葩原因5.1 優(yōu)先級相同導(dǎo)致的“雙Master”有一次客戶反饋網(wǎng)絡(luò)時通時斷排查發(fā)現(xiàn)兩臺設(shè)備都認(rèn)為自己是Master。原因是優(yōu)先級都設(shè)了100而且接口IP很接近選舉的時候IP大的贏了但另一臺沒收到通告因為鏈路問題也認(rèn)為自己是Master。結(jié)果兩個Master同時響應(yīng)ARP終端ARP表亂跳。解決辦法優(yōu)先級必須拉開差距至少差20。同時檢查鏈路確保通告報文能正常收發(fā)。如果鏈路本身有問題VRRP再牛也沒用。5.2 監(jiān)控接口配置了但沒生效另一個案例主設(shè)備上行口掛了但VRRP沒切換。檢查配置發(fā)現(xiàn)track命令配了但降低值設(shè)的是10主設(shè)備優(yōu)先級120降成110還是比備設(shè)備100高所以沒切。改成30后正常。還有個坑track的接口如果本身是down的配置的時候可能不生效。要先確保接口UP再配track?；蛘哂胻rack nqa之類的聯(lián)動但那是進(jìn)階用法。5.3 認(rèn)證密碼的“隱形字符”最坑的一次兩臺設(shè)備認(rèn)證密碼看起來一樣但就是不生效。后來用display current-configuration一看一邊密碼末尾多了個空格。復(fù)制粘貼的時候帶進(jìn)去的。刪掉空格后正常。所以配置認(rèn)證的時候盡量用cipher參數(shù)華為設(shè)備會加密顯示避免明文對比出錯。如果必須用simple配置完用display確認(rèn)一下看有沒有多余字符。5.4 虛擬MAC沖突導(dǎo)致的ARP異常虛擬MAC是根據(jù)VRID生成的如果兩個VRRP組用了同一個VRID虛擬MAC就一樣。如果這兩個組在同一個廣播域終端ARP表就會混亂。比如VLAN 10用VRID 10VLAN 20也用VRID 10但兩個VLAN在同一個物理網(wǎng)絡(luò)里比如都走同一個Trunk就會沖突。解決辦法VRID全局唯一至少在同一廣播域內(nèi)唯一。規(guī)劃的時候畫個表把VLAN、VRID、虛擬IP、虛擬MAC都列出來避免沖突。6. 進(jìn)階玩法VRRP與BFD聯(lián)動、多組負(fù)載分擔(dān)6.1 BFD聯(lián)動把切換時間壓到毫秒級VRRP默認(rèn)的故障檢測靠通告超時最快也要1秒左右通告間隔可以調(diào)到最小1秒但Master_Down_Interval至少3秒。對于金融、醫(yī)療等對中斷極度敏感的場景3秒太長了。這時候可以用BFDBidirectional Forwarding Detection聯(lián)動。BFD是一種快速檢測協(xié)議可以在毫秒級檢測到鏈路故障。配置VRRP與BFD聯(lián)動后BFD會話一斷VRRP立刻切換不用等通告超時。華為配置示例bfd vrrp vrid 10 track bfd-session 1具體配置涉及BFD會話的建立這里不展開但思路是用BFD做快速檢測VRRP做角色切換兩者配合切換時間可以壓到50毫秒以內(nèi)。6.2 多組負(fù)載分擔(dān)讓備機也干活默認(rèn)情況下備機是閑置的浪費資源。如果有多臺設(shè)備可以配多個VRRP組讓不同組的主設(shè)備分散在不同物理設(shè)備上。比如兩臺核心交換機配兩個VRRP組組1的主是設(shè)備A組2的主是設(shè)備B。終端一半用組1的虛擬IP做網(wǎng)關(guān)一半用組2的。這樣兩臺設(shè)備都在轉(zhuǎn)發(fā)流量資源利用率翻倍。配置要點每個組獨立配VRID、虛擬IP、優(yōu)先級。設(shè)備A在組1優(yōu)先級120在組2優(yōu)先級100設(shè)備B反過來。這樣組1的Master是A組2的Master是B。終端網(wǎng)關(guān)可以手動分也可以通過DHCP分配不同的網(wǎng)關(guān)。這種模式叫“負(fù)載分擔(dān)”或“多主模式”適合流量大、設(shè)備多的場景。但要注意每個組的虛擬IP必須不同終端配置也要對應(yīng)。如果終端是DHCP獲取網(wǎng)關(guān)需要在DHCP服務(wù)器上配兩個地址池或者用Option字段指定。6.3 VRRP與MSTP的配合在二層網(wǎng)絡(luò)中VRRP常和MSTP多生成樹協(xié)議配合使用。MSTP負(fù)責(zé)破環(huán)和負(fù)載分擔(dān)VRRP負(fù)責(zé)網(wǎng)關(guān)冗余。如果MSTP的根橋和VRRP的Master不在同一臺設(shè)備上流量可能繞路。比如MSTP根橋是設(shè)備A但VRRP Master是設(shè)備B終端流量先到A再到B多了一跳。優(yōu)化方法是讓MSTP根橋和VRRP Master在同一臺設(shè)備上。比如設(shè)備A是VLAN 10的MSTP根橋那設(shè)備A也做VLAN 10的VRRP Master。這樣流量路徑最優(yōu)。配置的時候MSTP優(yōu)先級和VRRP優(yōu)先級要對應(yīng)調(diào)整。7. 我在實際項目里踩過的坑和攢下的經(jīng)驗第一個經(jīng)驗配置前先畫拓?fù)鋱D。把設(shè)備、接口、IP、VRID、優(yōu)先級、虛擬IP都標(biāo)上貼到機柜上。后期維護的時候不用登錄設(shè)備就能知道大概配置。我見過太多項目配置完沒文檔半年后沒人記得VRID是多少改的時候提心吊膽。第二個經(jīng)驗切換測試必須做。配置完VRRP一定要手動斷掉主設(shè)備的上行口或者直接關(guān)機看備設(shè)備能不能接管終端業(yè)務(wù)是否中斷。測試的時候用長ping比如ping 1000個包看丟幾個。正常切換丟1到3個包算合格丟多了說明有問題。第三個經(jīng)驗日志和告警要配。VRRP切換是有日志的華為設(shè)備默認(rèn)會記錄。但很多人不看日志出了問題才去翻。建議配個SNMP告警或者Syslog服務(wù)器VRRP狀態(tài)一變就發(fā)通知。這樣能第一時間知道網(wǎng)絡(luò)發(fā)生了切換及時排查原因。第四個經(jīng)驗版本兼容性要注意。不同廠商、不同型號的設(shè)備VRRP實現(xiàn)可能有差異。比如VRRPv2和VRRPv3的報文格式不同混用可能不兼容。華為設(shè)備默認(rèn)是VRRPv2如果和別的廠商對接要確認(rèn)版本。VRRPv3支持IPv6VRRPv2只支持IPv4。如果網(wǎng)絡(luò)里有IPv6要用VRRPv3。第五個經(jīng)驗虛擬IP不要配在管理網(wǎng)段。有些工程師圖省事把虛擬IP配在管理網(wǎng)段結(jié)果VRRP切換導(dǎo)致管理IP也變遠(yuǎn)程登錄斷了沒法排查。建議虛擬IP和業(yè)務(wù)網(wǎng)段一致管理網(wǎng)段單獨規(guī)劃不要混用。第六個經(jīng)驗搶占延時不是越長越好。設(shè)太長主設(shè)備恢復(fù)了半天不搶備設(shè)備一直扛著如果備設(shè)備性能不如主設(shè)備業(yè)務(wù)會受影響。設(shè)太短主設(shè)備沒穩(wěn)定就搶容易震蕩。一般30到60秒比較合適具體看設(shè)備啟動和路由收斂時間。第七個經(jīng)驗注意VRRP和STP的收斂時間。如果VRRP切換了但STP還沒收斂流量可能走錯路。特別是在MSTP環(huán)境里VRRP切換后STP拓?fù)淇赡苓€沒更新導(dǎo)致短暫環(huán)路或丟包。解決辦法是配STP的快速收斂機制比如RSTP或者M(jìn)STP的快速遷移。第八個經(jīng)驗虛擬MAC不要靜態(tài)綁定。有些工程師為了“穩(wěn)定”在終端上靜態(tài)綁定虛擬MAC和虛擬IP。結(jié)果VRRP切換后虛擬MAC不變但物理設(shè)備變了終端還是能通。但如果虛擬MAC變了比如改了VRID終端就斷了。所以不建議靜態(tài)綁定讓ARP動態(tài)學(xué)習(xí)就好。第九個經(jīng)驗多組VRRP的優(yōu)先級要錯開。如果一臺設(shè)備跑了多個VRRP組每個組的優(yōu)先級要統(tǒng)一規(guī)劃。比如設(shè)備A在組1是120組2是100設(shè)備B在組1是100組2是120。這樣角色清晰不會出現(xiàn)一臺設(shè)備全是Master或者全是Backup的情況。如果一臺設(shè)備全是Master另一臺全是Backup負(fù)載不均衡浪費資源。第十個經(jīng)驗定期檢查VRRP狀態(tài)。網(wǎng)絡(luò)穩(wěn)定的時候沒人會去看VRRP。但設(shè)備重啟、鏈路抖動、配置變更都可能導(dǎo)致VRRP狀態(tài)異常。建議每月巡檢一次用display vrrp看看狀態(tài)是否和規(guī)劃一致。如果發(fā)現(xiàn)備設(shè)備變成了Master要查原因可能是主設(shè)備出過問題。這些經(jīng)驗都是實打?qū)嵅瘸鰜淼挠行┦前胍贡唤衅饋砼挪楣收蠐Q來的。VRRP本身不復(fù)雜但細(xì)節(jié)多配錯一個參數(shù)就可能不生效。希望這篇內(nèi)容能幫你少走點彎路一次配通。