議：原理、配置與排錯(cuò)實(shí)戰(zhàn)指南)
1. 為什么VRRP至今仍是網(wǎng)絡(luò)高可用的“壓艙石”第一次接觸VRRP是在一個(gè)園區(qū)網(wǎng)的改造項(xiàng)目里核心交換機(jī)雙機(jī)部署下面掛了三十多臺(tái)接入設(shè)備用戶要求“斷一臺(tái)核心業(yè)務(wù)不能斷”。當(dāng)時(shí)我第一反應(yīng)是用堆疊或者鏈路聚合但堆疊對(duì)設(shè)備型號(hào)和距離有硬性要求鏈路聚合只能解決鏈路冗余解決不了網(wǎng)關(guān)單點(diǎn)故障。后來(lái)老工程師一句話點(diǎn)醒我網(wǎng)關(guān)得有個(gè)“虛擬身份”兩臺(tái)設(shè)備輪流當(dāng)誰(shuí)活著誰(shuí)頂上。這就是VRRP要干的事。VRRP全稱Virtual Router Redundancy Protocol中文叫虛擬路由器冗余協(xié)議。它的核心思路非常樸素把兩臺(tái)或多臺(tái)物理設(shè)備虛擬成一臺(tái)邏輯上的“虛擬路由器”這臺(tái)虛擬路由器對(duì)外暴露一個(gè)虛擬IP和一個(gè)虛擬MAC終端設(shè)備把這個(gè)虛擬IP當(dāng)作默認(rèn)網(wǎng)關(guān)。平時(shí)由一臺(tái)設(shè)備Master真正承擔(dān)轉(zhuǎn)發(fā)任務(wù)其他設(shè)備Backup待命。一旦Master出問(wèn)題Backup在幾秒甚至幾百毫秒內(nèi)接管終端完全無(wú)感知。這個(gè)機(jī)制解決的是網(wǎng)絡(luò)架構(gòu)里最容易被忽視卻最致命的問(wèn)題——網(wǎng)關(guān)單點(diǎn)故障。你可以做雙上行鏈路、可以做端口聚合、可以做服務(wù)器雙網(wǎng)卡但只要網(wǎng)關(guān)是單臺(tái)設(shè)備這臺(tái)設(shè)備一掛整個(gè)網(wǎng)段全部失聯(lián)。VRRP的價(jià)值就在于用協(xié)議層面的冗余把網(wǎng)關(guān)這個(gè)“獨(dú)木橋”變成“雙通道”。適合讀這篇內(nèi)容的人大概有三類一是剛接觸網(wǎng)絡(luò)設(shè)備配置的運(yùn)維新人需要一份能直接照著敲的配置參考二是有一定基礎(chǔ)但沒(méi)系統(tǒng)梳理過(guò)VRRP細(xì)節(jié)的工程師想搞清楚優(yōu)先級(jí)、搶占、認(rèn)證這些參數(shù)到底怎么配合三是準(zhǔn)備考證或者面試的朋友需要把VRRP的原理和實(shí)操串起來(lái)理解。我會(huì)從協(xié)議原理講到配置實(shí)操再到排錯(cuò)思路盡量把每個(gè)參數(shù)背后的“為什么”說(shuō)清楚。2. VRRP的報(bào)文交互與狀態(tài)機(jī)Master是怎么選出來(lái)的2.1 組播報(bào)文里的信息博弈VRRP的運(yùn)行依賴一種特殊的組播報(bào)文目的地址是224.0.0.18協(xié)議號(hào)112。這個(gè)報(bào)文里攜帶了幾個(gè)關(guān)鍵字段虛擬路由器IDVRID、優(yōu)先級(jí)Priority、通告間隔Advertisement Interval、認(rèn)證信息等。所有參與同一個(gè)VRRP組的設(shè)備VRID必須一致否則各說(shuō)各話組都建不起來(lái)。Master設(shè)備會(huì)周期性地發(fā)送VRRP通告報(bào)文告訴組內(nèi)其他設(shè)備“我還活著”。默認(rèn)間隔是1秒這個(gè)值可以調(diào)但調(diào)小會(huì)增加協(xié)議開銷調(diào)大則故障感知變慢。通告報(bào)文里的優(yōu)先級(jí)字段決定了誰(shuí)有資格當(dāng)Master范圍是0到255數(shù)值越大越優(yōu)先。默認(rèn)值是100可配置范圍是1到254。0和255有特殊含義0表示設(shè)備主動(dòng)放棄Master角色255保留給IP地址擁有者也就是虛擬IP真實(shí)配置在某臺(tái)設(shè)備上的情況。這里有個(gè)容易混淆的點(diǎn)IP地址擁有者。如果虛擬IP恰好就是某臺(tái)設(shè)備的真實(shí)接口IP那這臺(tái)設(shè)備的優(yōu)先級(jí)自動(dòng)變成255且不可更改。它永遠(yuǎn)是Master除非它掛了。這種場(chǎng)景在實(shí)際中不多見因?yàn)橥ǔＮ覀儠?huì)給虛擬IP單獨(dú)規(guī)劃一個(gè)地址不和物理接口IP重疊。2.2 三種狀態(tài)的流轉(zhuǎn)邏輯VRRP設(shè)備在三個(gè)狀態(tài)之間切換Initialize初始化、Master主、Backup備。啟動(dòng)后先進(jìn)入Initialize接口UP且配置完整后根據(jù)優(yōu)先級(jí)決定進(jìn)入Master還是Backup。如果優(yōu)先級(jí)是255直接進(jìn)Master。否則先進(jìn)入Backup等待一個(gè)“主用超時(shí)時(shí)間”Master_Down_Interval。這個(gè)時(shí)間的計(jì)算公式是3 × 通告間隔 Skew_Time。Skew_Time是256 - 優(yōu)先級(jí)/ 256秒。舉個(gè)例子優(yōu)先級(jí)100通告間隔1秒Skew_Time就是(256-100)/256 ≈ 0.61秒Master_Down_Interval就是3×1 0.61 3.61秒。也就是說(shuō)Backup要等大約3.6秒沒(méi)收到Master的通告才會(huì)認(rèn)為Master掛了然后發(fā)起選舉。選舉過(guò)程很簡(jiǎn)單優(yōu)先級(jí)高的當(dāng)Master優(yōu)先級(jí)相同則比較接口IPIP大的贏。新Master產(chǎn)生后會(huì)立刻發(fā)送一個(gè)通告報(bào)文并開始響應(yīng)虛擬MAC的ARP請(qǐng)求。這里有個(gè)細(xì)節(jié)虛擬MAC的格式是0000-5E00-01XXXX就是VRID的十六進(jìn)制。比如VRID是1虛擬MAC就是00-00-5E-00-01-01。終端設(shè)備ARP請(qǐng)求虛擬IP時(shí)Master返回的就是這個(gè)虛擬MAC所以終端不需要感知Master的切換。2.3 搶占模式主動(dòng)奪回與被動(dòng)等待搶占模式是VRRP里一個(gè)很實(shí)用的開關(guān)。默認(rèn)情況下?lián)屨际情_啟的。意思是如果一臺(tái)優(yōu)先級(jí)更高的設(shè)備恢復(fù)了它會(huì)主動(dòng)搶回Master角色。比如原Master優(yōu)先級(jí)120重啟后變成Backup優(yōu)先級(jí)100的設(shè)備正在當(dāng)Master。原Master恢復(fù)后發(fā)現(xiàn)自己的優(yōu)先級(jí)更高就會(huì)等待一個(gè)“搶占延時(shí)”默認(rèn)0秒然后發(fā)送通告重新成為Master。搶占延時(shí)這個(gè)參數(shù)很有講究。如果設(shè)為0設(shè)備一恢復(fù)就搶可能導(dǎo)致網(wǎng)絡(luò)震蕩——比如設(shè)備剛啟動(dòng)路由還沒(méi)收斂搶過(guò)來(lái)反而丟包。通常建議設(shè)個(gè)幾秒到幾十秒等設(shè)備完全穩(wěn)定再搶。如果關(guān)閉搶占高優(yōu)先級(jí)設(shè)備恢復(fù)后也不會(huì)奪回Master除非當(dāng)前Master出故障。這種模式適合“主備角色固定、不希望頻繁切換”的場(chǎng)景。3. 配置前的規(guī)劃VRID、虛擬IP和優(yōu)先級(jí)怎么定3.1 VRID的分配不能拍腦袋VRID是VRRP組的身份證范圍1到255。同一個(gè)廣播域內(nèi)不同VRRP組的VRID必須不同否則會(huì)沖突。比如你有兩個(gè)網(wǎng)段每個(gè)網(wǎng)段跑一組VRRP那可以用VRID 1和VRID 2。但如果兩個(gè)網(wǎng)段在同一個(gè)VLAN里這種情況少見但存在就必須用不同的VRID。我的習(xí)慣是按VLAN ID來(lái)映射VRID。比如VLAN 10用VRID 10VLAN 20用VRID 20。這樣運(yùn)維的時(shí)候一眼就能對(duì)上排查問(wèn)題也方便。如果VLAN ID超過(guò)255那就取?；蛘咧匦乱?guī)劃但盡量保持規(guī)律。虛擬MAC是根據(jù)VRID生成的所以VRID變了虛擬MAC也變。如果終端設(shè)備有ARP緩存或者靜態(tài)ARP綁定改VRID會(huì)導(dǎo)致短暫中斷。所以規(guī)劃階段就要定好后期盡量別動(dòng)。3.2 虛擬IP的選擇獨(dú)立地址還是接口地址虛擬IP可以選兩種一種是單獨(dú)規(guī)劃一個(gè)沒(méi)人用的IP另一種是直接用某臺(tái)設(shè)備的接口IP。前面說(shuō)過(guò)用接口IP的話那臺(tái)設(shè)備優(yōu)先級(jí)自動(dòng)255永遠(yuǎn)是Master。這種模式叫“IP地址擁有者”模式配置簡(jiǎn)單但失去了主備靈活性——那臺(tái)設(shè)備掛了備機(jī)接管但主機(jī)恢復(fù)后又會(huì)搶回來(lái)因?yàn)閮?yōu)先級(jí)不可改。更常見的做法是單獨(dú)規(guī)劃虛擬IP。比如兩臺(tái)核心交換機(jī)的接口IP分別是192.168.1.252和192.168.1.253虛擬IP用192.168.1.254。終端網(wǎng)關(guān)指向254。這樣兩臺(tái)設(shè)備優(yōu)先級(jí)都可以手動(dòng)設(shè)主備角色可控。虛擬IP必須和接口IP在同一個(gè)網(wǎng)段不能跨網(wǎng)段。而且虛擬IP不能和任何設(shè)備的接口IP沖突否則ARP會(huì)亂。配置前最好ping一下確認(rèn)沒(méi)人用。3.3 優(yōu)先級(jí)與搶占延時(shí)的配合優(yōu)先級(jí)默認(rèn)100建議主設(shè)備設(shè)120備設(shè)備設(shè)100。差值不用太大20足夠。差值太大沒(méi)必要差值太小比如101和100容易因?yàn)橛?jì)算誤差導(dǎo)致意外切換。搶占延時(shí)建議主設(shè)備設(shè)30秒左右。為什么因?yàn)橹髟O(shè)備重啟后路由協(xié)議比如OSPF可能需要時(shí)間收斂接口可能還在震蕩。如果立刻搶占流量過(guò)來(lái)了但路由沒(méi)準(zhǔn)備好反而丟包。等30秒設(shè)備穩(wěn)定了再搶平滑過(guò)渡。備設(shè)備的搶占延時(shí)可以設(shè)0因?yàn)樗緛?lái)優(yōu)先級(jí)就低不會(huì)主動(dòng)搶。但如果備設(shè)備優(yōu)先級(jí)也設(shè)了120比如雙主模式那就要考慮兩邊都設(shè)延時(shí)避免同時(shí)搶。4. 華為設(shè)備VRRP配置實(shí)操?gòu)慕涌诘津?yàn)證的完整鏈路4.1 基礎(chǔ)配置主備設(shè)備的對(duì)稱與不對(duì)稱華為設(shè)備的VRRP配置在接口視圖下進(jìn)行。假設(shè)兩臺(tái)核心交換機(jī)接口VLANIF 10IP分別是192.168.1.252和192.168.1.253虛擬IP 192.168.1.254VRID 10。主設(shè)備配置interface Vlanif 10 ip address 192.168.1.252 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.1.254 vrrp vrid 10 priority 120 vrrp vrid 10 preempt-mode timer delay 30備設(shè)備配置interface Vlanif 10 ip address 192.168.1.253 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.1.254 vrrp vrid 10 priority 100注意備設(shè)備不需要配搶占延時(shí)因?yàn)槟J(rèn)搶占開啟且延時(shí)0但它優(yōu)先級(jí)低不會(huì)主動(dòng)搶。主設(shè)備配了30秒延時(shí)是為了恢復(fù)后不立刻搶。這里有個(gè)細(xì)節(jié)虛擬IP的配置命令在兩臺(tái)設(shè)備上必須完全一致包括VRID和虛擬IP地址。優(yōu)先級(jí)可以不同搶占延時(shí)可以不同但VRID和虛擬IP必須一樣否則組建不起來(lái)。4.2 認(rèn)證配置簡(jiǎn)單密碼與MD5VRRP支持認(rèn)證防止非法設(shè)備加入組。華為設(shè)備支持兩種簡(jiǎn)單字符認(rèn)證和MD5認(rèn)證。簡(jiǎn)單認(rèn)證就是明文密碼MD5是哈希。配置命令vrrp vrid 10 authentication-mode simple cipher Huawei123或者vrrp vrid 10 authentication-mode md5 cipher Huawei123認(rèn)證模式兩端必須一致密碼也必須一致。如果一邊配了一邊沒(méi)配或者密碼不同VRRP組起不來(lái)設(shè)備會(huì)一直停留在Initialize狀態(tài)。我遇到過(guò)好幾次因?yàn)槊艽a大小寫不一致導(dǎo)致VRRP不生效的案例排查了半天才發(fā)現(xiàn)是密碼問(wèn)題。注意認(rèn)證不是加密只是防止誤加入。簡(jiǎn)單認(rèn)證的密碼在報(bào)文里是明文傳輸?shù)腗D5也只是哈希不能防重放攻擊。安全要求高的場(chǎng)景建議配合其他安全機(jī)制。4.3 監(jiān)控上行接口讓VRRP感知鏈路故障VRRP默認(rèn)只監(jiān)控自己的接口狀態(tài)。如果Master的上行接口掛了但它自己還活著VRRP不會(huì)切換流量到了Master卻出不去形成“黑洞”。解決方法是配置監(jiān)控上行接口vrrp vrid 10 track interface GigabitEthernet 0/0/1 reduced 30意思是如果GE0/0/1掛了優(yōu)先級(jí)降低30。原來(lái)120變成90低于備設(shè)備的100備設(shè)備就會(huì)搶占成為Master。這個(gè)降低值要算好。主設(shè)備優(yōu)先級(jí)120備設(shè)備100降低值必須大于20才能讓備設(shè)備贏。設(shè)30是安全的。如果降低值設(shè)10主設(shè)備變成110還是比備設(shè)備高不會(huì)切換。可以監(jiān)控多個(gè)接口每個(gè)接口配不同的降低值。比如監(jiān)控上行口降30監(jiān)控下行口降20。這樣根據(jù)故障位置不同切換策略也不同。4.4 驗(yàn)證命令看狀態(tài)、看統(tǒng)計(jì)、看報(bào)文配置完了怎么確認(rèn)生效幾個(gè)常用命令display vrrp看VRRP組的狀態(tài)Master還是Backup優(yōu)先級(jí)多少虛擬IP是什么。display vrrp statistics看收發(fā)報(bào)文統(tǒng)計(jì)有沒(méi)有收到通告有沒(méi)有認(rèn)證失敗。display vrrp interface Vlanif 10 verbose看詳細(xì)狀態(tài)包括搶占模式、延時(shí)、監(jiān)控接口等。如果狀態(tài)一直是Initialize檢查接口是否UP、VRID是否沖突、認(rèn)證是否一致。如果狀態(tài)是Backup但一直不切換檢查優(yōu)先級(jí)和搶占配置。如果切換了但業(yè)務(wù)不通檢查虛擬MAC是否學(xué)到、ARP是否正常。5. 排錯(cuò)實(shí)錄那些年VRRP不切換的奇葩原因5.1 優(yōu)先級(jí)相同導(dǎo)致的“雙Master”有一次客戶反饋網(wǎng)絡(luò)時(shí)通時(shí)斷排查發(fā)現(xiàn)兩臺(tái)設(shè)備都認(rèn)為自己是Master。原因是優(yōu)先級(jí)都設(shè)了100而且接口IP很接近選舉的時(shí)候IP大的贏了但另一臺(tái)沒(méi)收到通告因?yàn)殒溌穯?wèn)題也認(rèn)為自己是Master。結(jié)果兩個(gè)Master同時(shí)響應(yīng)ARP終端ARP表亂跳。解決辦法優(yōu)先級(jí)必須拉開差距至少差20。同時(shí)檢查鏈路確保通告報(bào)文能正常收發(fā)。如果鏈路本身有問(wèn)題VRRP再牛也沒(méi)用。5.2 監(jiān)控接口配置了但沒(méi)生效另一個(gè)案例主設(shè)備上行口掛了但VRRP沒(méi)切換。檢查配置發(fā)現(xiàn)track命令配了但降低值設(shè)的是10主設(shè)備優(yōu)先級(jí)120降成110還是比備設(shè)備100高所以沒(méi)切。改成30后正常。還有個(gè)坑track的接口如果本身是down的配置的時(shí)候可能不生效。要先確保接口UP再配track?；蛘哂胻rack nqa之類的聯(lián)動(dòng)但那是進(jìn)階用法。5.3 認(rèn)證密碼的“隱形字符”最坑的一次兩臺(tái)設(shè)備認(rèn)證密碼看起來(lái)一樣但就是不生效。后來(lái)用display current-configuration一看一邊密碼末尾多了個(gè)空格。復(fù)制粘貼的時(shí)候帶進(jìn)去的。刪掉空格后正常。所以配置認(rèn)證的時(shí)候盡量用cipher參數(shù)華為設(shè)備會(huì)加密顯示避免明文對(duì)比出錯(cuò)。如果必須用simple配置完用display確認(rèn)一下看有沒(méi)有多余字符。5.4 虛擬MAC沖突導(dǎo)致的ARP異常虛擬MAC是根據(jù)VRID生成的如果兩個(gè)VRRP組用了同一個(gè)VRID虛擬MAC就一樣。如果這兩個(gè)組在同一個(gè)廣播域終端ARP表就會(huì)混亂。比如VLAN 10用VRID 10VLAN 20也用VRID 10但兩個(gè)VLAN在同一個(gè)物理網(wǎng)絡(luò)里比如都走同一個(gè)Trunk就會(huì)沖突。解決辦法VRID全局唯一至少在同一廣播域內(nèi)唯一。規(guī)劃的時(shí)候畫個(gè)表把VLAN、VRID、虛擬IP、虛擬MAC都列出來(lái)避免沖突。6. 進(jìn)階玩法VRRP與BFD聯(lián)動(dòng)、多組負(fù)載分擔(dān)6.1 BFD聯(lián)動(dòng)把切換時(shí)間壓到毫秒級(jí)VRRP默認(rèn)的故障檢測(cè)靠通告超時(shí)最快也要1秒左右通告間隔可以調(diào)到最小1秒但Master_Down_Interval至少3秒。對(duì)于金融、醫(yī)療等對(duì)中斷極度敏感的場(chǎng)景3秒太長(zhǎng)了。這時(shí)候可以用BFDBidirectional Forwarding Detection聯(lián)動(dòng)。BFD是一種快速檢測(cè)協(xié)議可以在毫秒級(jí)檢測(cè)到鏈路故障。配置VRRP與BFD聯(lián)動(dòng)后BFD會(huì)話一斷VRRP立刻切換不用等通告超時(shí)。華為配置示例bfd vrrp vrid 10 track bfd-session 1具體配置涉及BFD會(huì)話的建立這里不展開但思路是用BFD做快速檢測(cè)VRRP做角色切換兩者配合切換時(shí)間可以壓到50毫秒以內(nèi)。6.2 多組負(fù)載分擔(dān)讓備機(jī)也干活默認(rèn)情況下備機(jī)是閑置的浪費(fèi)資源。如果有多臺(tái)設(shè)備可以配多個(gè)VRRP組讓不同組的主設(shè)備分散在不同物理設(shè)備上。比如兩臺(tái)核心交換機(jī)配兩個(gè)VRRP組組1的主是設(shè)備A組2的主是設(shè)備B。終端一半用組1的虛擬IP做網(wǎng)關(guān)一半用組2的。這樣兩臺(tái)設(shè)備都在轉(zhuǎn)發(fā)流量資源利用率翻倍。配置要點(diǎn)每個(gè)組獨(dú)立配VRID、虛擬IP、優(yōu)先級(jí)。設(shè)備A在組1優(yōu)先級(jí)120在組2優(yōu)先級(jí)100設(shè)備B反過(guò)來(lái)。這樣組1的Master是A組2的Master是B。終端網(wǎng)關(guān)可以手動(dòng)分也可以通過(guò)DHCP分配不同的網(wǎng)關(guān)。這種模式叫“負(fù)載分擔(dān)”或“多主模式”適合流量大、設(shè)備多的場(chǎng)景。但要注意每個(gè)組的虛擬IP必須不同終端配置也要對(duì)應(yīng)。如果終端是DHCP獲取網(wǎng)關(guān)需要在DHCP服務(wù)器上配兩個(gè)地址池或者用Option字段指定。6.3 VRRP與MSTP的配合在二層網(wǎng)絡(luò)中VRRP常和MSTP多生成樹協(xié)議配合使用。MSTP負(fù)責(zé)破環(huán)和負(fù)載分擔(dān)VRRP負(fù)責(zé)網(wǎng)關(guān)冗余。如果MSTP的根橋和VRRP的Master不在同一臺(tái)設(shè)備上流量可能繞路。比如MSTP根橋是設(shè)備A但VRRP Master是設(shè)備B終端流量先到A再到B多了一跳。優(yōu)化方法是讓MSTP根橋和VRRP Master在同一臺(tái)設(shè)備上。比如設(shè)備A是VLAN 10的MSTP根橋那設(shè)備A也做VLAN 10的VRRP Master。這樣流量路徑最優(yōu)。配置的時(shí)候MSTP優(yōu)先級(jí)和VRRP優(yōu)先級(jí)要對(duì)應(yīng)調(diào)整。7. 我在實(shí)際項(xiàng)目里踩過(guò)的坑和攢下的經(jīng)驗(yàn)第一個(gè)經(jīng)驗(yàn)配置前先畫拓?fù)鋱D。把設(shè)備、接口、IP、VRID、優(yōu)先級(jí)、虛擬IP都標(biāo)上貼到機(jī)柜上。后期維護(hù)的時(shí)候不用登錄設(shè)備就能知道大概配置。我見過(guò)太多項(xiàng)目配置完沒(méi)文檔半年后沒(méi)人記得VRID是多少改的時(shí)候提心吊膽。第二個(gè)經(jīng)驗(yàn)切換測(cè)試必須做。配置完VRRP一定要手動(dòng)斷掉主設(shè)備的上行口或者直接關(guān)機(jī)看備設(shè)備能不能接管終端業(yè)務(wù)是否中斷。測(cè)試的時(shí)候用長(zhǎng)ping比如ping 1000個(gè)包看丟幾個(gè)。正常切換丟1到3個(gè)包算合格丟多了說(shuō)明有問(wèn)題。第三個(gè)經(jīng)驗(yàn)日志和告警要配。VRRP切換是有日志的華為設(shè)備默認(rèn)會(huì)記錄。但很多人不看日志出了問(wèn)題才去翻。建議配個(gè)SNMP告警或者Syslog服務(wù)器VRRP狀態(tài)一變就發(fā)通知。這樣能第一時(shí)間知道網(wǎng)絡(luò)發(fā)生了切換及時(shí)排查原因。第四個(gè)經(jīng)驗(yàn)版本兼容性要注意。不同廠商、不同型號(hào)的設(shè)備VRRP實(shí)現(xiàn)可能有差異。比如VRRPv2和VRRPv3的報(bào)文格式不同混用可能不兼容。華為設(shè)備默認(rèn)是VRRPv2如果和別的廠商對(duì)接要確認(rèn)版本。VRRPv3支持IPv6VRRPv2只支持IPv4。如果網(wǎng)絡(luò)里有IPv6要用VRRPv3。第五個(gè)經(jīng)驗(yàn)虛擬IP不要配在管理網(wǎng)段。有些工程師圖省事把虛擬IP配在管理網(wǎng)段結(jié)果VRRP切換導(dǎo)致管理IP也變遠(yuǎn)程登錄斷了沒(méi)法排查。建議虛擬IP和業(yè)務(wù)網(wǎng)段一致管理網(wǎng)段單獨(dú)規(guī)劃不要混用。第六個(gè)經(jīng)驗(yàn)搶占延時(shí)不是越長(zhǎng)越好。設(shè)太長(zhǎng)主設(shè)備恢復(fù)了半天不搶備設(shè)備一直扛著如果備設(shè)備性能不如主設(shè)備業(yè)務(wù)會(huì)受影響。設(shè)太短主設(shè)備沒(méi)穩(wěn)定就搶容易震蕩。一般30到60秒比較合適具體看設(shè)備啟動(dòng)和路由收斂時(shí)間。第七個(gè)經(jīng)驗(yàn)注意VRRP和STP的收斂時(shí)間。如果VRRP切換了但STP還沒(méi)收斂流量可能走錯(cuò)路。特別是在MSTP環(huán)境里VRRP切換后STP拓?fù)淇赡苓€沒(méi)更新導(dǎo)致短暫環(huán)路或丟包。解決辦法是配STP的快速收斂機(jī)制比如RSTP或者M(jìn)STP的快速遷移。第八個(gè)經(jīng)驗(yàn)虛擬MAC不要靜態(tài)綁定。有些工程師為了“穩(wěn)定”在終端上靜態(tài)綁定虛擬MAC和虛擬IP。結(jié)果VRRP切換后虛擬MAC不變但物理設(shè)備變了終端還是能通。但如果虛擬MAC變了比如改了VRID終端就斷了。所以不建議靜態(tài)綁定讓ARP動(dòng)態(tài)學(xué)習(xí)就好。第九個(gè)經(jīng)驗(yàn)多組VRRP的優(yōu)先級(jí)要錯(cuò)開。如果一臺(tái)設(shè)備跑了多個(gè)VRRP組每個(gè)組的優(yōu)先級(jí)要統(tǒng)一規(guī)劃。比如設(shè)備A在組1是120組2是100設(shè)備B在組1是100組2是120。這樣角色清晰不會(huì)出現(xiàn)一臺(tái)設(shè)備全是Master或者全是Backup的情況。如果一臺(tái)設(shè)備全是Master另一臺(tái)全是Backup負(fù)載不均衡浪費(fèi)資源。第十個(gè)經(jīng)驗(yàn)定期檢查VRRP狀態(tài)。網(wǎng)絡(luò)穩(wěn)定的時(shí)候沒(méi)人會(huì)去看VRRP。但設(shè)備重啟、鏈路抖動(dòng)、配置變更都可能導(dǎo)致VRRP狀態(tài)異常。建議每月巡檢一次用display vrrp看看狀態(tài)是否和規(guī)劃一致。如果發(fā)現(xiàn)備設(shè)備變成了Master要查原因可能是主設(shè)備出過(guò)問(wèn)題。這些經(jīng)驗(yàn)都是實(shí)打?qū)嵅瘸鰜?lái)的有些是半夜被叫起來(lái)排查故障換來(lái)的。VRRP本身不復(fù)雜但細(xì)節(jié)多配錯(cuò)一個(gè)參數(shù)就可能不生效。希望這篇內(nèi)容能幫你少走點(diǎn)彎路一次配通。 VRRP虛擬路由器冗余協(xié)議：原理、配置與排錯(cuò)實(shí)戰(zhàn)指南
1. 為什么VRRP至今仍是網(wǎng)絡(luò)高可用的“壓艙石”第一次接觸VRRP是在一個(gè)園區(qū)網(wǎng)的改造項(xiàng)目里核心交換機(jī)雙機(jī)部署下面掛了三十多臺(tái)接入設(shè)備用戶要求“斷一臺(tái)核心業(yè)務(wù)不能斷”。當(dāng)時(shí)我第一反應(yīng)是用堆疊或者鏈路聚合但堆疊對(duì)設(shè)備型號(hào)和距離有硬性要求鏈路聚合只能解決鏈路冗余解決不了網(wǎng)關(guān)單點(diǎn)故障。后來(lái)老工程師一句話點(diǎn)醒我網(wǎng)關(guān)得有個(gè)“虛擬身份”兩臺(tái)設(shè)備輪流當(dāng)誰(shuí)活著誰(shuí)頂上。這就是VRRP要干的事。VRRP全稱Virtual Router Redundancy Protocol中文叫虛擬路由器冗余協(xié)議。它的核心思路非常樸素把兩臺(tái)或多臺(tái)物理設(shè)備虛擬成一臺(tái)邏輯上的“虛擬路由器”這臺(tái)虛擬路由器對(duì)外暴露一個(gè)虛擬IP和一個(gè)虛擬MAC終端設(shè)備把這個(gè)虛擬IP當(dāng)作默認(rèn)網(wǎng)關(guān)。平時(shí)由一臺(tái)設(shè)備Master真正承擔(dān)轉(zhuǎn)發(fā)任務(wù)其他設(shè)備Backup待命。一旦Master出問(wèn)題Backup在幾秒甚至幾百毫秒內(nèi)接管終端完全無(wú)感知。這個(gè)機(jī)制解決的是網(wǎng)絡(luò)架構(gòu)里最容易被忽視卻最致命的問(wèn)題——網(wǎng)關(guān)單點(diǎn)故障。你可以做雙上行鏈路、可以做端口聚合、可以做服務(wù)器雙網(wǎng)卡但只要網(wǎng)關(guān)是單臺(tái)設(shè)備這臺(tái)設(shè)備一掛整個(gè)網(wǎng)段全部失聯(lián)。VRRP的價(jià)值就在于用協(xié)議層面的冗余把網(wǎng)關(guān)這個(gè)“獨(dú)木橋”變成“雙通道”。適合讀這篇內(nèi)容的人大概有三類一是剛接觸網(wǎng)絡(luò)設(shè)備配置的運(yùn)維新人需要一份能直接照著敲的配置參考二是有一定基礎(chǔ)但沒(méi)系統(tǒng)梳理過(guò)VRRP細(xì)節(jié)的工程師想搞清楚優(yōu)先級(jí)、搶占、認(rèn)證這些參數(shù)到底怎么配合三是準(zhǔn)備考證或者面試的朋友需要把VRRP的原理和實(shí)操串起來(lái)理解。我會(huì)從協(xié)議原理講到配置實(shí)操再到排錯(cuò)思路盡量把每個(gè)參數(shù)背后的“為什么”說(shuō)清楚。2. VRRP的報(bào)文交互與狀態(tài)機(jī)Master是怎么選出來(lái)的2.1 組播報(bào)文里的信息博弈VRRP的運(yùn)行依賴一種特殊的組播報(bào)文目的地址是224.0.0.18協(xié)議號(hào)112。這個(gè)報(bào)文里攜帶了幾個(gè)關(guān)鍵字段虛擬路由器IDVRID、優(yōu)先級(jí)Priority、通告間隔Advertisement Interval、認(rèn)證信息等。所有參與同一個(gè)VRRP組的設(shè)備VRID必須一致否則各說(shuō)各話組都建不起來(lái)。Master設(shè)備會(huì)周期性地發(fā)送VRRP通告報(bào)文告訴組內(nèi)其他設(shè)備“我還活著”。默認(rèn)間隔是1秒這個(gè)值可以調(diào)但調(diào)小會(huì)增加協(xié)議開銷調(diào)大則故障感知變慢。通告報(bào)文里的優(yōu)先級(jí)字段決定了誰(shuí)有資格當(dāng)Master范圍是0到255數(shù)值越大越優(yōu)先。默認(rèn)值是100可配置范圍是1到254。0和255有特殊含義0表示設(shè)備主動(dòng)放棄Master角色255保留給IP地址擁有者也就是虛擬IP真實(shí)配置在某臺(tái)設(shè)備上的情況。這里有個(gè)容易混淆的點(diǎn)IP地址擁有者。如果虛擬IP恰好就是某臺(tái)設(shè)備的真實(shí)接口IP那這臺(tái)設(shè)備的優(yōu)先級(jí)自動(dòng)變成255且不可更改。它永遠(yuǎn)是Master除非它掛了。這種場(chǎng)景在實(shí)際中不多見因?yàn)橥ǔＮ覀儠?huì)給虛擬IP單獨(dú)規(guī)劃一個(gè)地址不和物理接口IP重疊。2.2 三種狀態(tài)的流轉(zhuǎn)邏輯VRRP設(shè)備在三個(gè)狀態(tài)之間切換Initialize初始化、Master主、Backup備。啟動(dòng)后先進(jìn)入Initialize接口UP且配置完整后根據(jù)優(yōu)先級(jí)決定進(jìn)入Master還是Backup。如果優(yōu)先級(jí)是255直接進(jìn)Master。否則先進(jìn)入Backup等待一個(gè)“主用超時(shí)時(shí)間”Master_Down_Interval。這個(gè)時(shí)間的計(jì)算公式是3 × 通告間隔 Skew_Time。Skew_Time是256 - 優(yōu)先級(jí)/ 256秒。舉個(gè)例子優(yōu)先級(jí)100通告間隔1秒Skew_Time就是(256-100)/256 ≈ 0.61秒Master_Down_Interval就是3×1 0.61 3.61秒。也就是說(shuō)Backup要等大約3.6秒沒(méi)收到Master的通告才會(huì)認(rèn)為Master掛了然后發(fā)起選舉。選舉過(guò)程很簡(jiǎn)單優(yōu)先級(jí)高的當(dāng)Master優(yōu)先級(jí)相同則比較接口IPIP大的贏。新Master產(chǎn)生后會(huì)立刻發(fā)送一個(gè)通告報(bào)文并開始響應(yīng)虛擬MAC的ARP請(qǐng)求。這里有個(gè)細(xì)節(jié)虛擬MAC的格式是0000-5E00-01XXXX就是VRID的十六進(jìn)制。比如VRID是1虛擬MAC就是00-00-5E-00-01-01。終端設(shè)備ARP請(qǐng)求虛擬IP時(shí)Master返回的就是這個(gè)虛擬MAC所以終端不需要感知Master的切換。2.3 搶占模式主動(dòng)奪回與被動(dòng)等待搶占模式是VRRP里一個(gè)很實(shí)用的開關(guān)。默認(rèn)情況下?lián)屨际情_啟的。意思是如果一臺(tái)優(yōu)先級(jí)更高的設(shè)備恢復(fù)了它會(huì)主動(dòng)搶回Master角色。比如原Master優(yōu)先級(jí)120重啟后變成Backup優(yōu)先級(jí)100的設(shè)備正在當(dāng)Master。原Master恢復(fù)后發(fā)現(xiàn)自己的優(yōu)先級(jí)更高就會(huì)等待一個(gè)“搶占延時(shí)”默認(rèn)0秒然后發(fā)送通告重新成為Master。搶占延時(shí)這個(gè)參數(shù)很有講究。如果設(shè)為0設(shè)備一恢復(fù)就搶可能導(dǎo)致網(wǎng)絡(luò)震蕩——比如設(shè)備剛啟動(dòng)路由還沒(méi)收斂搶過(guò)來(lái)反而丟包。通常建議設(shè)個(gè)幾秒到幾十秒等設(shè)備完全穩(wěn)定再搶。如果關(guān)閉搶占高優(yōu)先級(jí)設(shè)備恢復(fù)后也不會(huì)奪回Master除非當(dāng)前Master出故障。這種模式適合“主備角色固定、不希望頻繁切換”的場(chǎng)景。3. 配置前的規(guī)劃VRID、虛擬IP和優(yōu)先級(jí)怎么定3.1 VRID的分配不能拍腦袋VRID是VRRP組的身份證范圍1到255。同一個(gè)廣播域內(nèi)不同VRRP組的VRID必須不同否則會(huì)沖突。比如你有兩個(gè)網(wǎng)段每個(gè)網(wǎng)段跑一組VRRP那可以用VRID 1和VRID 2。但如果兩個(gè)網(wǎng)段在同一個(gè)VLAN里這種情況少見但存在就必須用不同的VRID。我的習(xí)慣是按VLAN ID來(lái)映射VRID。比如VLAN 10用VRID 10VLAN 20用VRID 20。這樣運(yùn)維的時(shí)候一眼就能對(duì)上排查問(wèn)題也方便。如果VLAN ID超過(guò)255那就取?；蛘咧匦乱?guī)劃但盡量保持規(guī)律。虛擬MAC是根據(jù)VRID生成的所以VRID變了虛擬MAC也變。如果終端設(shè)備有ARP緩存或者靜態(tài)ARP綁定改VRID會(huì)導(dǎo)致短暫中斷。所以規(guī)劃階段就要定好后期盡量別動(dòng)。3.2 虛擬IP的選擇獨(dú)立地址還是接口地址虛擬IP可以選兩種一種是單獨(dú)規(guī)劃一個(gè)沒(méi)人用的IP另一種是直接用某臺(tái)設(shè)備的接口IP。前面說(shuō)過(guò)用接口IP的話那臺(tái)設(shè)備優(yōu)先級(jí)自動(dòng)255永遠(yuǎn)是Master。這種模式叫“IP地址擁有者”模式配置簡(jiǎn)單但失去了主備靈活性——那臺(tái)設(shè)備掛了備機(jī)接管但主機(jī)恢復(fù)后又會(huì)搶回來(lái)因?yàn)閮?yōu)先級(jí)不可改。更常見的做法是單獨(dú)規(guī)劃虛擬IP。比如兩臺(tái)核心交換機(jī)的接口IP分別是192.168.1.252和192.168.1.253虛擬IP用192.168.1.254。終端網(wǎng)關(guān)指向254。這樣兩臺(tái)設(shè)備優(yōu)先級(jí)都可以手動(dòng)設(shè)主備角色可控。虛擬IP必須和接口IP在同一個(gè)網(wǎng)段不能跨網(wǎng)段。而且虛擬IP不能和任何設(shè)備的接口IP沖突否則ARP會(huì)亂。配置前最好ping一下確認(rèn)沒(méi)人用。3.3 優(yōu)先級(jí)與搶占延時(shí)的配合優(yōu)先級(jí)默認(rèn)100建議主設(shè)備設(shè)120備設(shè)備設(shè)100。差值不用太大20足夠。差值太大沒(méi)必要差值太小比如101和100容易因?yàn)橛?jì)算誤差導(dǎo)致意外切換。搶占延時(shí)建議主設(shè)備設(shè)30秒左右。為什么因?yàn)橹髟O(shè)備重啟后路由協(xié)議比如OSPF可能需要時(shí)間收斂接口可能還在震蕩。如果立刻搶占流量過(guò)來(lái)了但路由沒(méi)準(zhǔn)備好反而丟包。等30秒設(shè)備穩(wěn)定了再搶平滑過(guò)渡。備設(shè)備的搶占延時(shí)可以設(shè)0因?yàn)樗緛?lái)優(yōu)先級(jí)就低不會(huì)主動(dòng)搶。但如果備設(shè)備優(yōu)先級(jí)也設(shè)了120比如雙主模式那就要考慮兩邊都設(shè)延時(shí)避免同時(shí)搶。4. 華為設(shè)備VRRP配置實(shí)操?gòu)慕涌诘津?yàn)證的完整鏈路4.1 基礎(chǔ)配置主備設(shè)備的對(duì)稱與不對(duì)稱華為設(shè)備的VRRP配置在接口視圖下進(jìn)行。假設(shè)兩臺(tái)核心交換機(jī)接口VLANIF 10IP分別是192.168.1.252和192.168.1.253虛擬IP 192.168.1.254VRID 10。主設(shè)備配置interface Vlanif 10 ip address 192.168.1.252 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.1.254 vrrp vrid 10 priority 120 vrrp vrid 10 preempt-mode timer delay 30備設(shè)備配置interface Vlanif 10 ip address 192.168.1.253 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.1.254 vrrp vrid 10 priority 100注意備設(shè)備不需要配搶占延時(shí)因?yàn)槟J(rèn)搶占開啟且延時(shí)0但它優(yōu)先級(jí)低不會(huì)主動(dòng)搶。主設(shè)備配了30秒延時(shí)是為了恢復(fù)后不立刻搶。這里有個(gè)細(xì)節(jié)虛擬IP的配置命令在兩臺(tái)設(shè)備上必須完全一致包括VRID和虛擬IP地址。優(yōu)先級(jí)可以不同搶占延時(shí)可以不同但VRID和虛擬IP必須一樣否則組建不起來(lái)。4.2 認(rèn)證配置簡(jiǎn)單密碼與MD5VRRP支持認(rèn)證防止非法設(shè)備加入組。華為設(shè)備支持兩種簡(jiǎn)單字符認(rèn)證和MD5認(rèn)證。簡(jiǎn)單認(rèn)證就是明文密碼MD5是哈希。配置命令vrrp vrid 10 authentication-mode simple cipher Huawei123或者vrrp vrid 10 authentication-mode md5 cipher Huawei123認(rèn)證模式兩端必須一致密碼也必須一致。如果一邊配了一邊沒(méi)配或者密碼不同VRRP組起不來(lái)設(shè)備會(huì)一直停留在Initialize狀態(tài)。我遇到過(guò)好幾次因?yàn)槊艽a大小寫不一致導(dǎo)致VRRP不生效的案例排查了半天才發(fā)現(xiàn)是密碼問(wèn)題。注意認(rèn)證不是加密只是防止誤加入。簡(jiǎn)單認(rèn)證的密碼在報(bào)文里是明文傳輸?shù)腗D5也只是哈希不能防重放攻擊。安全要求高的場(chǎng)景建議配合其他安全機(jī)制。4.3 監(jiān)控上行接口讓VRRP感知鏈路故障VRRP默認(rèn)只監(jiān)控自己的接口狀態(tài)。如果Master的上行接口掛了但它自己還活著VRRP不會(huì)切換流量到了Master卻出不去形成“黑洞”。解決方法是配置監(jiān)控上行接口vrrp vrid 10 track interface GigabitEthernet 0/0/1 reduced 30意思是如果GE0/0/1掛了優(yōu)先級(jí)降低30。原來(lái)120變成90低于備設(shè)備的100備設(shè)備就會(huì)搶占成為Master。這個(gè)降低值要算好。主設(shè)備優(yōu)先級(jí)120備設(shè)備100降低值必須大于20才能讓備設(shè)備贏。設(shè)30是安全的。如果降低值設(shè)10主設(shè)備變成110還是比備設(shè)備高不會(huì)切換。可以監(jiān)控多個(gè)接口每個(gè)接口配不同的降低值。比如監(jiān)控上行口降30監(jiān)控下行口降20。這樣根據(jù)故障位置不同切換策略也不同。4.4 驗(yàn)證命令看狀態(tài)、看統(tǒng)計(jì)、看報(bào)文配置完了怎么確認(rèn)生效幾個(gè)常用命令display vrrp看VRRP組的狀態(tài)Master還是Backup優(yōu)先級(jí)多少虛擬IP是什么。display vrrp statistics看收發(fā)報(bào)文統(tǒng)計(jì)有沒(méi)有收到通告有沒(méi)有認(rèn)證失敗。display vrrp interface Vlanif 10 verbose看詳細(xì)狀態(tài)包括搶占模式、延時(shí)、監(jiān)控接口等。如果狀態(tài)一直是Initialize檢查接口是否UP、VRID是否沖突、認(rèn)證是否一致。如果狀態(tài)是Backup但一直不切換檢查優(yōu)先級(jí)和搶占配置。如果切換了但業(yè)務(wù)不通檢查虛擬MAC是否學(xué)到、ARP是否正常。5. 排錯(cuò)實(shí)錄那些年VRRP不切換的奇葩原因5.1 優(yōu)先級(jí)相同導(dǎo)致的“雙Master”有一次客戶反饋網(wǎng)絡(luò)時(shí)通時(shí)斷排查發(fā)現(xiàn)兩臺(tái)設(shè)備都認(rèn)為自己是Master。原因是優(yōu)先級(jí)都設(shè)了100而且接口IP很接近選舉的時(shí)候IP大的贏了但另一臺(tái)沒(méi)收到通告因?yàn)殒溌穯?wèn)題也認(rèn)為自己是Master。結(jié)果兩個(gè)Master同時(shí)響應(yīng)ARP終端ARP表亂跳。解決辦法優(yōu)先級(jí)必須拉開差距至少差20。同時(shí)檢查鏈路確保通告報(bào)文能正常收發(fā)。如果鏈路本身有問(wèn)題VRRP再牛也沒(méi)用。5.2 監(jiān)控接口配置了但沒(méi)生效另一個(gè)案例主設(shè)備上行口掛了但VRRP沒(méi)切換。檢查配置發(fā)現(xiàn)track命令配了但降低值設(shè)的是10主設(shè)備優(yōu)先級(jí)120降成110還是比備設(shè)備100高所以沒(méi)切。改成30后正常。還有個(gè)坑track的接口如果本身是down的配置的時(shí)候可能不生效。要先確保接口UP再配track?；蛘哂胻rack nqa之類的聯(lián)動(dòng)但那是進(jìn)階用法。5.3 認(rèn)證密碼的“隱形字符”最坑的一次兩臺(tái)設(shè)備認(rèn)證密碼看起來(lái)一樣但就是不生效。后來(lái)用display current-configuration一看一邊密碼末尾多了個(gè)空格。復(fù)制粘貼的時(shí)候帶進(jìn)去的。刪掉空格后正常。所以配置認(rèn)證的時(shí)候盡量用cipher參數(shù)華為設(shè)備會(huì)加密顯示避免明文對(duì)比出錯(cuò)。如果必須用simple配置完用display確認(rèn)一下看有沒(méi)有多余字符。5.4 虛擬MAC沖突導(dǎo)致的ARP異常虛擬MAC是根據(jù)VRID生成的如果兩個(gè)VRRP組用了同一個(gè)VRID虛擬MAC就一樣。如果這兩個(gè)組在同一個(gè)廣播域終端ARP表就會(huì)混亂。比如VLAN 10用VRID 10VLAN 20也用VRID 10但兩個(gè)VLAN在同一個(gè)物理網(wǎng)絡(luò)里比如都走同一個(gè)Trunk就會(huì)沖突。解決辦法VRID全局唯一至少在同一廣播域內(nèi)唯一。規(guī)劃的時(shí)候畫個(gè)表把VLAN、VRID、虛擬IP、虛擬MAC都列出來(lái)避免沖突。6. 進(jìn)階玩法VRRP與BFD聯(lián)動(dòng)、多組負(fù)載分擔(dān)6.1 BFD聯(lián)動(dòng)把切換時(shí)間壓到毫秒級(jí)VRRP默認(rèn)的故障檢測(cè)靠通告超時(shí)最快也要1秒左右通告間隔可以調(diào)到最小1秒但Master_Down_Interval至少3秒。對(duì)于金融、醫(yī)療等對(duì)中斷極度敏感的場(chǎng)景3秒太長(zhǎng)了。這時(shí)候可以用BFDBidirectional Forwarding Detection聯(lián)動(dòng)。BFD是一種快速檢測(cè)協(xié)議可以在毫秒級(jí)檢測(cè)到鏈路故障。配置VRRP與BFD聯(lián)動(dòng)后BFD會(huì)話一斷VRRP立刻切換不用等通告超時(shí)。華為配置示例bfd vrrp vrid 10 track bfd-session 1具體配置涉及BFD會(huì)話的建立這里不展開但思路是用BFD做快速檢測(cè)VRRP做角色切換兩者配合切換時(shí)間可以壓到50毫秒以內(nèi)。6.2 多組負(fù)載分擔(dān)讓備機(jī)也干活默認(rèn)情況下備機(jī)是閑置的浪費(fèi)資源。如果有多臺(tái)設(shè)備可以配多個(gè)VRRP組讓不同組的主設(shè)備分散在不同物理設(shè)備上。比如兩臺(tái)核心交換機(jī)配兩個(gè)VRRP組組1的主是設(shè)備A組2的主是設(shè)備B。終端一半用組1的虛擬IP做網(wǎng)關(guān)一半用組2的。這樣兩臺(tái)設(shè)備都在轉(zhuǎn)發(fā)流量資源利用率翻倍。配置要點(diǎn)每個(gè)組獨(dú)立配VRID、虛擬IP、優(yōu)先級(jí)。設(shè)備A在組1優(yōu)先級(jí)120在組2優(yōu)先級(jí)100設(shè)備B反過(guò)來(lái)。這樣組1的Master是A組2的Master是B。終端網(wǎng)關(guān)可以手動(dòng)分也可以通過(guò)DHCP分配不同的網(wǎng)關(guān)。這種模式叫“負(fù)載分擔(dān)”或“多主模式”適合流量大、設(shè)備多的場(chǎng)景。但要注意每個(gè)組的虛擬IP必須不同終端配置也要對(duì)應(yīng)。如果終端是DHCP獲取網(wǎng)關(guān)需要在DHCP服務(wù)器上配兩個(gè)地址池或者用Option字段指定。6.3 VRRP與MSTP的配合在二層網(wǎng)絡(luò)中VRRP常和MSTP多生成樹協(xié)議配合使用。MSTP負(fù)責(zé)破環(huán)和負(fù)載分擔(dān)VRRP負(fù)責(zé)網(wǎng)關(guān)冗余。如果MSTP的根橋和VRRP的Master不在同一臺(tái)設(shè)備上流量可能繞路。比如MSTP根橋是設(shè)備A但VRRP Master是設(shè)備B終端流量先到A再到B多了一跳。優(yōu)化方法是讓MSTP根橋和VRRP Master在同一臺(tái)設(shè)備上。比如設(shè)備A是VLAN 10的MSTP根橋那設(shè)備A也做VLAN 10的VRRP Master。這樣流量路徑最優(yōu)。配置的時(shí)候MSTP優(yōu)先級(jí)和VRRP優(yōu)先級(jí)要對(duì)應(yīng)調(diào)整。7. 我在實(shí)際項(xiàng)目里踩過(guò)的坑和攢下的經(jīng)驗(yàn)第一個(gè)經(jīng)驗(yàn)配置前先畫拓?fù)鋱D。把設(shè)備、接口、IP、VRID、優(yōu)先級(jí)、虛擬IP都標(biāo)上貼到機(jī)柜上。后期維護(hù)的時(shí)候不用登錄設(shè)備就能知道大概配置。我見過(guò)太多項(xiàng)目配置完沒(méi)文檔半年后沒(méi)人記得VRID是多少改的時(shí)候提心吊膽。第二個(gè)經(jīng)驗(yàn)切換測(cè)試必須做。配置完VRRP一定要手動(dòng)斷掉主設(shè)備的上行口或者直接關(guān)機(jī)看備設(shè)備能不能接管終端業(yè)務(wù)是否中斷。測(cè)試的時(shí)候用長(zhǎng)ping比如ping 1000個(gè)包看丟幾個(gè)。正常切換丟1到3個(gè)包算合格丟多了說(shuō)明有問(wèn)題。第三個(gè)經(jīng)驗(yàn)日志和告警要配。VRRP切換是有日志的華為設(shè)備默認(rèn)會(huì)記錄。但很多人不看日志出了問(wèn)題才去翻。建議配個(gè)SNMP告警或者Syslog服務(wù)器VRRP狀態(tài)一變就發(fā)通知。這樣能第一時(shí)間知道網(wǎng)絡(luò)發(fā)生了切換及時(shí)排查原因。第四個(gè)經(jīng)驗(yàn)版本兼容性要注意。不同廠商、不同型號(hào)的設(shè)備VRRP實(shí)現(xiàn)可能有差異。比如VRRPv2和VRRPv3的報(bào)文格式不同混用可能不兼容。華為設(shè)備默認(rèn)是VRRPv2如果和別的廠商對(duì)接要確認(rèn)版本。VRRPv3支持IPv6VRRPv2只支持IPv4。如果網(wǎng)絡(luò)里有IPv6要用VRRPv3。第五個(gè)經(jīng)驗(yàn)虛擬IP不要配在管理網(wǎng)段。有些工程師圖省事把虛擬IP配在管理網(wǎng)段結(jié)果VRRP切換導(dǎo)致管理IP也變遠(yuǎn)程登錄斷了沒(méi)法排查。建議虛擬IP和業(yè)務(wù)網(wǎng)段一致管理網(wǎng)段單獨(dú)規(guī)劃不要混用。第六個(gè)經(jīng)驗(yàn)搶占延時(shí)不是越長(zhǎng)越好。設(shè)太長(zhǎng)主設(shè)備恢復(fù)了半天不搶備設(shè)備一直扛著如果備設(shè)備性能不如主設(shè)備業(yè)務(wù)會(huì)受影響。設(shè)太短主設(shè)備沒(méi)穩(wěn)定就搶容易震蕩。一般30到60秒比較合適具體看設(shè)備啟動(dòng)和路由收斂時(shí)間。第七個(gè)經(jīng)驗(yàn)注意VRRP和STP的收斂時(shí)間。如果VRRP切換了但STP還沒(méi)收斂流量可能走錯(cuò)路。特別是在MSTP環(huán)境里VRRP切換后STP拓?fù)淇赡苓€沒(méi)更新導(dǎo)致短暫環(huán)路或丟包。解決辦法是配STP的快速收斂機(jī)制比如RSTP或者M(jìn)STP的快速遷移。第八個(gè)經(jīng)驗(yàn)虛擬MAC不要靜態(tài)綁定。有些工程師為了“穩(wěn)定”在終端上靜態(tài)綁定虛擬MAC和虛擬IP。結(jié)果VRRP切換后虛擬MAC不變但物理設(shè)備變了終端還是能通。但如果虛擬MAC變了比如改了VRID終端就斷了。所以不建議靜態(tài)綁定讓ARP動(dòng)態(tài)學(xué)習(xí)就好。第九個(gè)經(jīng)驗(yàn)多組VRRP的優(yōu)先級(jí)要錯(cuò)開。如果一臺(tái)設(shè)備跑了多個(gè)VRRP組每個(gè)組的優(yōu)先級(jí)要統(tǒng)一規(guī)劃。比如設(shè)備A在組1是120組2是100設(shè)備B在組1是100組2是120。這樣角色清晰不會(huì)出現(xiàn)一臺(tái)設(shè)備全是Master或者全是Backup的情況。如果一臺(tái)設(shè)備全是Master另一臺(tái)全是Backup負(fù)載不均衡浪費(fèi)資源。第十個(gè)經(jīng)驗(yàn)定期檢查VRRP狀態(tài)。網(wǎng)絡(luò)穩(wěn)定的時(shí)候沒(méi)人會(huì)去看VRRP。但設(shè)備重啟、鏈路抖動(dòng)、配置變更都可能導(dǎo)致VRRP狀態(tài)異常。建議每月巡檢一次用display vrrp看看狀態(tài)是否和規(guī)劃一致。如果發(fā)現(xiàn)備設(shè)備變成了Master要查原因可能是主設(shè)備出過(guò)問(wèn)題。這些經(jīng)驗(yàn)都是實(shí)打?qū)嵅瘸鰜?lái)的有些是半夜被叫起來(lái)排查故障換來(lái)的。VRRP本身不復(fù)雜但細(xì)節(jié)多配錯(cuò)一個(gè)參數(shù)就可能不生效。希望這篇內(nèi)容能幫你少走點(diǎn)彎路一次配通。