附件下载
VRRP技术介绍.pdf(230.99 KB)
目 录
如图1所示，通常，同一网段内的所有主机都设置一条相同的以网关为下一跳的缺省路由。主机发往其他网段的报文将通过缺省路由发往网关，再由网关进行转发，从而实现主机与外部网络的通信。当网关发生故障时，本网段内所有以网关为缺省路由的主机将无法与外部网络通信。
缺省路由为用户的配置操作提供了方便，但是对缺省网关设备提出了很高的稳定性要求。增加出口网关是提高系统可靠性的常见方法，此时如何在多个出口之间进行选路就成为需要解决的问题。
VRRP（Virtual Router Redundancy Protocol，虚拟路由器冗余协议）将可以承担网关功能的路由器加入到备份组中，形成一台虚拟路由器，由VRRP的选举机制决定哪台路由器承担转发任务，局域网内的主机只需将虚拟路由器配置为缺省网关。
VRRP是一种容错协议，在提高可靠性的同时，简化了主机的配置。在具有多播或广播能力的局域网（如以太网）中，借助VRRP能在某台设备出现故障时仍然提供高可靠的缺省链路，有效避免单一链路发生故障后网络中断的问题，而无需修改动态路由协议、路由发现协议等配置信息。
VRRP协议的实现有VRRPv2和VRRPv3两个版本。其中，VRRPv2基于IPv4，VRRPv3基于IPv6。
VRRP将局域网内的一组路由器划分在一起，称为一个备份组。备份组由一个Master路由器和多个Backup路由器组成，功能上相当于一台虚拟路由器。
VRRP备份组具有以下特点：
l 虚拟路由器具有IP地址。局域网内的主机仅需要知道这个虚拟路由器的IP地址，并将其设置为缺省路由的下一跳地址。
l 网络内的主机通过这个虚拟路由器与外部网络进行通信。
l 备份组内的路由器根据优先级，选举出Master路由器，承担网关功能。当备份组内承担网关功能的Master路由器发生故障时，其余的路由器将取代它继续履行网关职责，从而保证网络内的主机不间断地与外部网络进行通信。
图2 VRRP组网示意图
如图2所示，Router A、Router B和Router C组成一个虚拟路由器。此虚拟路由器有自己的IP地址。局域网内的主机将虚拟路由器设置为缺省网关。Router A、Router B和Router C中优先级最高的路由器作为Master路由器，承担网关的功能。其余两台路由器作为Backup路由器。
VRRP根据优先级来确定备份组中每台路由器的角色（Master路由器或Backup路由器）。优先级越高，则越有可能成为Master路由器。
VRRP优先级的取值范围为0到255（数值越大表明优先级越高），优先级0为系统保留给特殊用途来使用，255则是系统保留给IP地址拥有者（接口IP地址与虚拟IP地址相同的路由器）。当路由器为IP地址拥有者时，其优先级始终为255。因此，当备份组内存在IP地址拥有者时，只要其工作正常，则为Master路由器。
备份组中的路由器具有以下两种工作方式：
l 非抢占方式：如果备份组中的路由器工作在非抢占方式下，则只要Master路由器没有出现故障，Backup路由器即使随后被配置了更高的优先级也不会成为Master路由器。
l 抢占方式：如果备份组中的路由器工作在抢占方式下，它一旦发现自己的优先级比当前的Master路由器的优先级高，就会对外发送VRRP通告报文。导致备份组内路由器重新选举Master路由器，并最终取代原有的Master路由器。相应地，原来的Master路由器将会变成Backup路由器。
VRRP提供了两种认证方式：
l simple：简单字符认证。在一个有可能受到安全威胁的网络中，可以将认证方式设置为simple。发送VRRP报文的路由器将认证字填入到VRRP报文中，而收到VRRP报文的路由器会将收到的VRRP报文中的认证字和本地配置的认证字进行比较。如果认证字相同，则认为接收到的报文是真实、合法的VRRP报文；否则认为接收到的报文是一个非法报文。
l md5：MD5认证。在一个非常不安全的网络中，可以将认证方式设置为md5。发送VRRP报文的路由器利用认证字和MD5算法对VRRP报文进行加密，加密后的报文保存在Authentication Header（认证头）中。收到VRRP报文的路由器会利用认证字解密报文，检查该报文的合法性。
在一个安全的网络中，用户也可以不设置认证方式。
VRRP定时器分为两种：VRRP通告报文间隔时间定时器和VRRP抢占延迟时间定时器。
VRRP备份组中的Master路由器会定时发送VRRP通告报文，通知备份组内的路由器自己工作正常。
用户可以通过设置VRRP定时器来调整Master路由器发送VRRP通告报文的时间间隔。如果Backup路由器在等待了3个间隔时间后，依然没有收到VRRP通告报文，则认为自己是Master路由器，并对外发送VRRP通告报文，重新进行Master路由器的选举。
在性能不够稳定的网络中，Backup路由器可能因为网络堵塞而无法正常收到Master路由器的报文，导致备份组内的成员频繁的进行主备状态转换。用户可以通过设置VRRP抢占延迟时间的方法来解决这个问题。
设置了VRRP抢占延迟时间后，Backup路由器会在等待了3倍的通告报文时间间隔后，再等待VRRP抢占延迟时间。如在此期间还是没有收到VRRP通告报文，则此Backup路由器将认为自己是Master路由器，对外发送VRRP通告报文，触发备份组内路由器进行Master路由器的选举。
VRRP使用组播报文，由Master路由器定时发出来通告它的存在。使用这些报文可以检测虚拟路由器的各种参数，还可以用于Master路由器的选举。
基于IPv4的VRRP报文格式如图3所示。
图3 基于IPv4的VRRP报文格式
各字段解释如下：
l Version：协议版本号，VRRPv2对应的版本号为2。
l Type：VRRP报文的类型。VRRP报文只有一种类型，即VRRP通告报文（Advertisement），该字段取值为1。
l Virtual Rtr ID（VRID）：虚拟路由器号（即备份组号），取值范围1～255。
l Priority：路由器在备份组中的优先级，取值范围0～255，数值越大表明优先级越高。
l Count IP Addrs：备份组虚拟IP地址的个数。1个备份组可对应多个虚拟IP地址。
l Auth Type：认证类型。该值为0表示无认证，为1表示简单字符认证，为2表示MD5认证。
l Adver Int：发送通告报文的时间间隔，单位为秒。
l Checksum：16位校验和，用于检测VRRP报文中的数据破坏情况。
l IP Address：备份组虚拟IP地址表项。所包含的地址数定义在Count IP Addrs字段。
l Authentication Data：验证字，目前只用于简单字符认证，对于其它认证方式一律填0。
基于IPv6的VRRP报文格式如图4所示。
图4 基于IPv6的VRRP报文格式
各字段解释如下：
l Version：协议版本号，VRRPv3对应的版本号为3。
l Type：VRRP报文的类型。VRRP报文只有一种类型，即VRRP通告报文（Advertisement），该字段取值为1。
l Virtual Rtr ID（VRID）：虚拟路由器号（即备份组号），取值范围1～255。
l Priority：路由器在备份组中的优先级，取值范围0～255，数值越大表明优先级越高。
l Count IPv6 Addrs：备份组虚拟IPv6地址的个数。1个备份组可对应多个虚拟IPv6地址。
l Auth Type：认证类型。该值为0表示无认证，为1表示简单字符认证。VRRPv3不支持MD5认证。
l Adver Int：发送通告报文的时间间隔，单位为厘秒。
l Checksum：16位校验和，用于检测VRRPv3报文中的数据破坏情况。
l IPv6 Address：备份组虚拟IPv6地址表项。所包含的地址数定义在Count IPv6 Addrs字段。
l Authentication Data：验证字，目前只用于简单字符认证，对于其它认证方式一律填0。
VRRP的工作过程如下：
(1) 路由器使能VRRP功能后，会根据优先级确定自己在备份组中的角色。优先级高的路由器成为Master路由器，优先级低的成为Backup路由器。Master路由器定期发送VRRP通告报文，通知备份组内的其他设备自己工作正常；Backup路由器则启动定时器等待通告报文的到来。
(2) 在抢占方式下，当Backup路由器收到VRRP通告报文后，会将自己的优先级与通告报文中的优先级进行比较。如果大于通告报文中的优先级，则成为Master路由器；否则将保持Backup状态。
(3) 在非抢占方式下，只要Master路由器没有出现故障，备份组中的路由器始终保持Master或Backup状态，Backup路由器即使随后被配置了更高的优先级也不会成为Master路由器。
(4) 如果Backup路由器的定时器超时后仍未收到Master路由器发送来的VRRP通告报文，则认为Master路由器已经无法正常工作，此时Backup路由器会认为自己是Master路由器，并对外发送VRRP通告报文。备份组内的路由器根据优先级选举出Master路由器，承担报文的转发功能。
VRRP的监视接口功能更好地扩充了备份功能：不仅能在备份组中某路由器的接口出现故障时提供备份功能，还能在路由器的其它接口不可用时提供备份功能。当被监视的接口处于down状态时，拥有该接口的路由器的优先级会自动降低一个指定的数额，从而可能导致备份组内其它路由器的优先级高于这个路由器的优先级，使优先级高的Backup路由器转变为Master路由器。
通过VRRP监视Track项功能，可以实现：
l 对上行链路的监控。当上行链路出现故障，局域网内的主机无法通过路由器访问外部网络时，被监视Track项的状态会变为negative，并将路由器的优先级降低指定的数额。从而，使得备份组内其它路由器的优先级高于这个路由器的优先级，成为Master路由器，保证局域网内主机与外部网络的通信不会中断。
l 在Backup路由器上监视Master路由器的状态。当Master路由器出现故障时，工作在切换模式的Backup路由器能够迅速成为Master路由器，以保证通信不会中断。
主备备份方式表示业务仅由Master路由器承担。当Master路由器出现故障时，才会从其他Backup路由器选举出一个接替工作。主备备份方式仅需要一个备份组，不同路由器在该备份组中拥有不同优先级，优先级最高的路由器将成为Master路由器，如图5中所示。
初始情况下，Router A为Master路由器并承担转发任务，Router B和Router C是Backup路由器且都处于就绪监听状态。如果Router A发生故障，则备份组内处于Backup状态的Router B和Router C路由器将根据优先级选出一个新的Master路由器，这个新Master路由器继续向网络内的主机提供路由服务。
在路由器的一个接口上可以创建多个备份组，使得该路由器可以在一个备份组中作为Master路由器，在其他的备份组中作为Backup路由器。
负载分担方式是指多台路由器同时承担业务，因此负载分担方式需要两个或者两个以上的备份组，每个备份组都包括一个Master路由器和若干个Backup路由器，各备份组的Master路由器可以各不相同，如图6中所示。
同一台路由器同时加入多个VRRP备份组，在不同备份组中有不同的优先级。
在图6中，有三个备份组存在：
l 备份组1：对应虚拟路由器1。Router A作为Master路由器，Router B和Router C作为Backup路由器。
l 备份组2：对应虚拟路由器2。Router B作为Master路由器，Router A和Router C作为Backup路由器。
l 备份组3：对应虚拟路由器3。Router C作为Master路由器，Router A和Router B作为Backup路由器。
为了实现业务流量在Router A、Router B和Router C之间进行负载分担，需要将局域网内的主机的缺省网关分别设置为虚拟路由器1、2和3。在配置优先级时，需要确保三个备份组中各路由器的VRRP优先级形成交叉对应。
VRRP技术介绍.pdf(230.99 KB)