1、VRRP原理及配置,ISSUE 5.1,日期：,杭州华三通信技术有限公司 版权所有，未经授权不得使用与传播,掌握VRRP的应用 熟悉VRRP的工作原理 掌握VRRP的基本配置 熟悉VRRP的基本维护,课程目标,学习完本课程，您应该能够：,第一章 VRRP应用 第二章 VRRP原理 第三章 VRRP配置 第四章 VRRP实例及维护,目录,动动脑,目前有哪些技术可以实现链路/设备备份？,普通网络存在的问题,在如下局域网络中，终端用户存在被孤立的可能 。一旦交换机的三层虚接口故障，局域网用户就被孤立，不能实现与外部网络的通信。VRRP（Virtual Router Redundancy Protoc
2、ol）正是为了解决此问题而诞生。,10.0.0.1,10.0.0.9,10.0.0.8,10.0.0.7,10.0.0.6,IP网,VRRP的应用（一）,VRRP以虚拟路由器的形式为终端用户提供服务，而实际负责数据转发的路由器由一组运行VRRP协议的路由器选举产生，从而实现三层网关的备份。,10.0.0.1,10.0.0.9,10.0.0.8,10.0.0.7,10.0.0.6,10.0.0.2,10.0.0.3,IP网,VRRP的应用（二）,在同一VLAN虚接口下提供多组VRRP组，不同VRRP选择不同的路由器或三层交换机担当Master，相互实现备份。同时通过VLAN内主机设置不同的Vir
3、tual IP为网关地址实现负载分担。,10.0.0.1,10.0.0.9,10.0.0.8,10.0.0.7,10.0.0.6,10.0.0.2,10.0.0.3,10.0.0.4,IP网,第一章 VRRP应用 第二章 VRRP原理 第三章 VRRP配置 第四章 VRRP实例及维护,目录,VRRP协议概述,VRRP使用IP报文作为传输协议进行协议报文的传送。其协议号为112。 VRRP协议报文使用固定的组播地址224.0.0.18进行发送。 VRRP通过协议报文选举Master，除Maser外，其它路由器作为Backup对Master进行备份。 Master 充当Virtual Router
4、完成网关的所有功能。 Virtual Router由LAN上唯一的Virtual Router ID标识。并具有如下的MAC地址：00-00-5E-00-01-vrid.,VRRP的主备原理,1. VRRP 根据优先级来确定备份组中每台交换机的 角色（Master 交换机或Backup 交换机）。优先 级越高，则越有可能成为Master 交换机。VRRP 优先级的取值范围为0 到255（数值越大表明优先级越高），可配置的范围是1 到254，优先级0 为系统保留给特殊用途来使用，255 则是系统保留给IP 地址拥有者。当交换机为IP 地址拥有者时，其优先级始终为255。因此，当备份组内存在IP
5、地址拥有者时，只要其工作正常，则为Master 交换机。,VRRP备份组的工作方式,备份组中的交换机具有以下两种工作方式： 非抢占方式：如果备份组中的交换机工作在非抢占方式下，则只要Master 交换机没有出现故障，Backup 交换机即使随后被配置了更高的优先级也不会成为Master 交换机。 抢占方式：如果备份组中的交换机工作在抢占方式下，它一旦发现自己的优先级比当前的Master 交换机的优先级高，就会对外发送VRRP 通告报文。导致备份组内交换机重新选举Master 交换机，并最终取代原有的Master 交换机。相应地，原来的Master 交换机将会变成Backup 交换机。,VRRP
6、两种认证方式,VRRP 提供了两种认证方式： simple：简单字符认证。在一个有可能受到安全威胁的网络中，可以将认证方式设置为simple。发送VRRP 报文的交换机将认证字填入到VRRP 报文中，而收到VRRP 报文的交换机会将收到的VRRP 报文中的认证字和本地配置的认证字进行比较。如果认证字相同，则认为接收到的报文是真实、合法的VRRP 报文；否则认为接收到的报文是一个非法报文。md5：MD5 认证。在一个非常不安全的网络中，可以将认证方式设置为md5。发送VRRP报文的交换机利用认证字和MD5 算法对VRRP 报文进行加密，加密后的报文保存在Authentication Header
7、（认证头）中。收到VRRP 报文的交换机会利用认证字解密报文，检查该报文的合法性。 一个安全的网络中，用户也可以不设置认证方式。,VRRP协议报文格式,VRRP目前只有Advertisement报文，其格式如下：,0 4 8 16 24 32,VRRP的选举,在VRRP组内，可以分别指定各路由器的选举优先级。 当VRRP进行选举时，首先比较选举优先级，优先级高者获胜成为该VRRP组的Master，失败者成为Backup。 如果两个VRRP Router具有相同的优先级，IP地址大者获胜成为Master。 Master周期性发送Advertisement，Backup接收Advertisemen
8、t。Backup如果一定时间内未收到Advertisement，认为Master Down，进行新一轮的Master选举。,VRRP的状态迁移,VRRP Router在备份组内除Master和Backup状态外，还可能处于Initial状态，其状态迁移如下图所示：,Initial,Master,Backup,Startup& priority=255 Startup& priority!=255 Shutdown Master_down_timer expire | Priority=0 in received packet | Priority in received packet Own
9、priority,1,2,3,3,5,4,复习复习,谁能说说VRRP的工作流程：VRRP选举流程？ VRRP主备倒换过程？,第一章 VRRP应用 第二章 VRRP原理 第三章 VRRP配置 第四章 VRRP实例及维护,目录,H3C系列交换机的VRRP,H3C系列交换机提供的VRRP可以实现如下配置： 设定虚拟IP地址是否可以使用ping命令ping通 设置虚拟IP地址和MAC地址的对应形式 添加或删除虚拟IP地址 设置备份组的优先级 设置备份组的抢占方式和延迟时间 设置备份组的认证方式和认证字 设置备份组的定时器 设置监视指定接口,VRRP配置,设定虚拟IP地址是否可以使用ping命令ping
10、通 vrrp ping-enable 注意：请在备份组建立之前进行设定，否则系统不允许再使用此命令来设定虚拟IP地址是否可以使用ping命令ping通 。 设置虚拟IP地址和MAC地址的对应形式 vrrp method real-mac | virtual-mac Real-mac表示使用以太网交换机接口的实际MAC地址和虚拟IP地址映射 Virtual-mac表示使用虚拟MAC地址和虚拟IP地址映射 注意：备份组的IP地址和MAC地址的对应形式需要在配置备份组之前就设定。如果在交换机上已经创建了备份组，系统将不允许在设置备份组的IP地址MAC地址的对应关系。,VRRP配置,添加或删除虚拟IP
11、地址 vrrp vrid virtual-router-ID virtual-ip virtual-address undo vrrp vrid virtual-router-ID virtual-ip virtual-address 设置备份组的优先级 vrrp vrid vrid priority priority 优先级取值范围为0255，供用户配置使用的为1254，0保留给特殊用途使用，255保留给虚拟IP地址拥有者使用。缺省优先级为100 IP地址拥有者的优先级不可配置,VRRP配置（续）,设置备份组的抢占方式和延迟时间 vrrp vrid virtual-router-ID pre
12、empt-mode timer delay delay-value 缺省方式是抢占模式，延迟时间为0 设置备份组的认证方式和认证字 vrrp authentication-mode authentication-type authentication-key VRRP提供三种认证方式： NONE：不进行认证，仅用于安全的网络 SIMPLE：简单字符认证，用于可能收到安全威胁的网络，认证字符长度不超过8字符 MD5：利用Authentication Header提供的认证方式和MD5算法来认证，通常用于安全要求较高，但网络本身存在安全隐患的网络,VRRP配置（续）,设置备份组的定时器 vrrp
13、vrid virtual-router-ID timer advertise adver-interval Master-down-interval为3倍advertise-interval 设置监视指定接口 vrrp vrid virtual-router-ID track vlan-interface interface-num reduced value-reduced H3C系列交换机还可以通过监听接口状况实现备份功能，当监视接口出现故障时，自动降低交换机所在备份组的优先级，从而实现备份,VRRP显示和调试,显示VRRP的状态信息 display vrrp interface vlan
14、-interface interface-num virtual-router-ID display vrrp vlan-interface 20 vlan-interface20 | Virtual Router 10State : backupVirtual IP : 10.10.10.2Priority : 100Preempt : YES Delay Time : 0Timer : 3Auth Type : NONE 打开/关闭VRRP调试开关 debugging vrrp state | packet undo debugging vrrp state | packet ,第一章 V
15、RRP应用 第二章 VRRP原理 第三章 VRRP配置 第四章 VRRP实例及维护,目录,VRRP配置举例,网络结构图 两个三层交换机运行VRRP协议,10.0.0.9,10.0.0.8,10.0.0.7,10.0.0.6,10.0.0.2,10.0.0.3,Switch_A,Switch_B,IP网,单备份组的实现,在上述网络结构中，配置一个备份组，虚拟路由器ID为1，虚拟IP地址为10.0.0.1 配置Switch_A： Switch_A-vlan-interface2 vrrp vrid 1 virtual-ip 10.0.0.1 Switch_A-vlan-interface2 vrr
16、p vrid 1 priority 100 配置Switch B： Switch_B-vlan-interface2 vrrp vrid 1 virtual-ip 10.0.0.1 其它配置如路由，虚接口等配置请参见相关部分,多备份组实现负荷分担,同一网络结构图，配置两个备份组，其ID为1和2，虚拟网关分别为10.0.0.1和10.0.0.4正常情况下，Switch_A为1组的Master，Switch_B为2组的Master。局域网内部分用户以10.0.0.1为缺省网关，部分用户以10.0.0.4为缺省网关。 配置Switch_A： Switch_A-vlan-interface2 vrrp
17、 vrid 1 virtual-ip 10.0.0.1 Switch_A-vlan-interface2 vrrp vrid 1 priority 120 Switch_A-vlan-interface2 vrrp vrid 2 virtual-ip 10.0.0.4 配置Switch_B： Switch_B-vlan-interface2 vrrp vrid 1 virtual-ip 10.0.0.1 Switch_B-vlan-interface2 vrrp vrid 2 virtual-ip 10.0.0.4 Switch_B-vlan-interface2 vrrp vrid 2 pr
18、iority 120,监视接口实现备份,监视交换机的网络出接口状态，实现备份 配置Switch A： Switch_A-vlan-interface2 vrrp vrid 1 virtual-ip 10.0.0.1 Switch_A-vlan-interface2 vrrp vrid 1 priority 120 Switch_A-vlan-interface2 vrrp authentication-mode md5 switch Switch_A-vlan-interface2 vrrp vrid 1 track vlan-interface 3 reduced 30 配置Switch B
19、： Switch_B-vlan-interface2 vrrp vrid 1 virtual-ip 10.0.0.1 Switch_B-vlan-interface2 vrrp vrid 1 priority 100 Switch_B-vlan-interface2 vrrp authentication-mode md5 switch,实战演戏如何规划VRRP,要求： 各设备有区别于业务网段的统一管理Vlan； 网关设置在路由器上； 业务VLAN10，VLAN11能够互通； 路由器需要做到负载分担VLAN10，VLAN11的业务流量； 当RT5，或者RT6路由器某一台出现故障的时候，VLAN
20、10，VLAN11业务不受影响。,实战演戏VRRP典型配置,VRRP故障诊断与排错,VRRP配置比较简单，通常通过查看配置文件和调试信息即可完成故障排除 故障之一：控制台上频频给出配置错误的提示 这表明交换机收到了错误的VRRP报文 故障之二：同一个备份组出现多个Master交换机 多个Master并存时间较短，属于正常情况 多个Master长时间共存，有可能是Master之间收不到VRRP报文，或者收到的报文不合法 故障之三：VRRP的状态频繁转换 备份组的定时器时间间隔设置太小 加大定时器时间间隔 设置抢占延迟时间,VRRP的产生和应用 VRRP的原理 VRRP协议基础 VRRP选举 VRRP状态迁移 VRRP的配置 VRRP单网关备份 VRRP负载分担 VRRP接口状态监控,本章总结,
