H3C设备VRRP配置手册

1、VRRP简介vrrp（virtualrouterredundancyprotocol,虚拟路由冗余协议）是一种容错协议。通常，一个网络内的所有主机都设置一条缺省路由（如下图所示，10.100.10.1）,这样，主机发出的目的地址不在本网段的报文将被通过缺省路由发往路由器router,从而实现了主机与外部网络的通信。当路由器出现故障时，本网段内所有以此路由器为缺省路由下一跳的主机将断掉与外部的通信。LANinQbirwiHQ&t1Host2Host3熨-1局顶网组网方案vrrp就是为解决上述问题而提出的，它为具有多播或广播能力的局域网（如：以太网）设计。我们结合下图来看一下vrrp的实现

2、原理。vrrp将局域网的一组路由器（包括一个master即活动路由器和若干个backup即备份路由器）组织成一个虚拟路由器，称之为一个备份组。Mas曲WJOO.W.2'10.10(5,10.3BacklJPi电械百W10W0J0.llW.iOO.WjllanhHost1He2Host3K2-2VRRP这个虚拟的路由器拥有自己的ip地址10.100.10.1（这个ip地址可以和备份组内的某个路由器的接口地址相同），备份组内的路由器也有自己的ip地址（如master的ip地址为10.100.10.2,backup的ip地址为10.100.10.3）。局域网内的主机仅仅知道这个虚拟路由器的i

3、p地址10.100.10.1,而并不知道具体的master路由器的ip地址10.100.10.2以及backup路由器的ip地址10.100.10.3,它们将自己的缺省路由下一跳地址设置为该虚拟路由器的ip地址10.100.10.1。于是，网络内的主机就通过这个虚拟的路由器来与其它网络进行通信。如果备份组内的master路由器出现故障，backup路由器将会通过选举策略选出一个新的master路由器，继续向网络内的主机提供路由服务。从而实现网络内的主机不间断地与外部网络进行通信。关于vrrp协议的详细信息，可以参考rfc2338H3CH3CSecPathF100-C相关内容：报价|参数|图片|

4、论坛|评测VRRP配置vrrp的基本配置包括：1添加或删除虚拟ip地址2设置备份组的优先级3设置备份组的抢占方式和延迟时间vrrp的高级配置包括：1设置备份组的认证方式和认证字2设置备份组的定时器3设置监视指定接口4设置虚拟ip地址是否可以使用ping命令ping通5设置检查vrrp报文的ttl域2.2.1 添加或删除虚拟ip地址将一个本网段的ip地址指定给到一个虚拟路由器(也称为一个备份组)，或将一个指定到一个备份组虚拟ip地址从虚拟地址列表中删除。请在接口视图下进行下列配置。表2-1潇上侦册除虑拟IP地址操作命令ijijll口地加vrrpvrid出度/成IT)viiuabip此除才HIP地

5、址undovrrpvridvirtLia1-ip备份组号virtual-router-id范围从1到255，虚拟地址可以是备份组所在网段中未被分配的ip地址，也可以是属于备份组某接口的ip地址。对于后者，称拥有这个接口ip地址的防火墙为一个地址拥有者(ipaddressowner)。当指定第一个ip地址到一个备份组时，系统会创建这个备份组，以后再指定虚拟ip地址到这个备份组时，系统仅仅将这个地址添加到这个备份组的虚拟ip地址列表中。防火墙的一个接口可以同时加入到14个备份组中。而一个备份组最多可以配置16个虚拟ip地址。在对一个备份组进行其它配置之前，必须先通过指定一个虚拟ip地址的命令将这个

6、备份组创建起来。备份组中最后一个虚拟ip地址被删除后，这个备份组也将同时被删除掉。也就是这个接口上不再有这个备份组，这个备份组的所有配置都不再有效。2.2.2 设置备份组的优先级vrrp中根据优先级来确定参与备份组的每台防火墙的地位，备份组中优先级最高的防火墙将成为master。优先级的取值范围为0到255（数值越大表明优先级越高），但是可配置的范围最小值是1,最大值是254。优先级0为系统保留给特殊用途来使用，255则是系统保留给ip地址拥有者。请在接口视图下进行下列配置。S2-2设日下崂祖咛优先窝一操作命令谟置备份组的（£充缝vrrpvr回（湃曲电阪priorityphorfty

7、-va/u&恢为谀各山undovrrpvrid:/rtiiaApriority缺省情况下，优先级为100O对于所有vrrp组成员，存在配置优先级和运行优先级两种优先级，配置优先级即用vrrpvrid配置的优先级，非ip拥有者的运行优先级与配置优先级是相同的；ip拥有者的运行优先级是不可配置的，始终为255o设置备份组的抢占方式和延迟时间在非抢占方式下，一旦备份组中的某台防火墙成为master,只要它没有出现故障，其它路由器即使随后被配置更高的优先级，也不会成为master。如果防火墙设置为抢占方式，它一旦发现自己的优先级比当前的master的优先级高，就会成为master，相应地，原来

8、的master将会变成backup。在设置抢占的同时，还可以设置延迟时间。这样可以使得backup延迟一段时间成为master。其目的在性能不够稳定的网络中，backup可能因为网络堵塞而无法正常收到master的报文，使用vrrpvrid命令配置了抢占延迟时间后，可以避免因网络的短暂故障而导致的备份组内防火墙的状态频繁转换。延迟的时间以秒计，范围为0255o请在接口视图下进行下列配置。S2-3设邕加取消爵份蝎的抢占方式和延迟时1司授作冬4诜丁备f分组的抢占方式初廷世时间,7vrq-wid.timGrd色Li,fU描省伽的抢占似undovrrpvrid17门：旧匚。寸?4匚'preem

9、pt-mode缺省方式是抢占方式，延迟时间为0秒。取消抢占方式，则延迟时间就会自动变为0秒。2.2.3 设置认证方式及认证字vrrp提供了两种认证方式，分别是：simple:简单字符认证。md5：md5认证。在一个安全的网络中，可以采用缺省值，则防火墙对要发送的vrrp报文不进行任何认证处理，而收到vrrp报文的防火墙也不进行任何认证。在一个有可能受到安全威胁的网络中，可以将认证方式设置为simple，则发送vrrp报文的防火墙就会将认证字填入到vrrp报文中，而收到的vrrp报文的防火墙会将收到的vrrp报文中的认证字和本地配置的认证字进行比较，相同则认为是真实的、合法的vrrp报文，否则认

10、为是一个非法的报文，将其丢弃。这种情况下，应当设置长度为不超过8个字符的认证字。在一个非常不安全的网络中，可以将认证方式设置为md§则防火墙就会利用authenticationheader提供的认证方式和md5算法来对vrrp报文进行认证。如果以明文形式输入，长度为18个字符，如：1234567;如果以密文形式输入，长度必须为24，并且必须是密文形式，如：_(tt8fy5sq=Aq'maf41!对于没有通过认证的报文将做丢弃处理，并会向网管发送陷阱报文。表24设EUii：方式和认证字操作AAHU#爵疆证方规认站unpaullifhi活Usrinode(ind5K&y|

11、simplek即恢旌为玳省值undovrrpauthentication-rnade缺省认证方式为不进行认证。一个接口上的备份组要设置相同的认证方式和认证字。2.2.4 设置vrrp的定时器vrrp备份组中的master防火墙通过定时(adver-interval)发送vrrp报文来向组内的防火墙通知自己工作正常。如果backup超过一定时间(master-down-interval)没有收到master发送来的vrrp报文，则认为它已经无法正常工作。同时就会将自己的状态转变为master。用户可以通过设置定时器的命令来调整master发送vrrp报文的间隔时间(adver-interval)

12、。而backup的master-down-interval的间隔时间大约是adver-interval的3倍。如果网络流量过大或者不同的防火墙上的定时器差异等因素，会导致master-down-interval异常到时而导致状态转换。对于这种情况，可以通过将adver-interval的间隔时间延长和设置延迟时间的办法来解决。adver-interval的时间单位是秒。请在接口视图下进行下列配置。表24设五VRRP艰时甘操作人AiSStVRRP定MHvrrpvridmtE，蓦T*in。，advertiseMvgm自顷fi代H为Mi特值undovrrpvridtimeradvertise缺省情况

13、下，adver-interval的值是1秒，取值范围为1255设置监视指定接口能，而且在防火墙的其它接口不可用时，也可以使用备份功能。具体做法是通过设置监视某个接口的命令来实现。当被监视的接口down时，这个接口的防火墙的运行优先级会自动降低一个数额(priority-reduced),于是就会导致备份组内其它防火墙的运行优先级高于这个防火墙的运行优先级，从而使得其它运行优先级高的防火墙转变为master,达到对这个接口监视的目的。请在接口视图下进行下列配置。表2-6设置和取消监视接口操作命令诜的邮此指定接口vnpvridvun-/D(rackrhf事佑o瑚umbwreduced心rj巷jic

14、od取泊监楚按LIundovrrpvridvirtuaf-rGater-iDtrackintQrfacQ-nurvb&r缺省情况下，priority-reduced的值为10。当防火墙为ip地址拥有者时，不允许对其进行监视接口的配置。2.2.5 设置虚拟ip地址是否可以使用ping命令ping通本配置任务可以使用户能够使用ping命令来ping通备份组的虚拟ip地址。根据vrrp的标准协议，备份组的虚拟ip地址是无法使用ping命令来ping通的。这时防火墙连接的用户无法通过ping命令来判断一个ip地址是否被备份组使用。如果用户将自己的主机ip配置与备份组的虚拟ip地址相同的ip地址

15、，将会使本网段的报文都发送到用户的主机，导致本网段的数据不能被正确转发。使用下面的命令进行配置后，用户将可以使用ping命令ping通备份组的虚拟ip地址。请在系统视图下进行下列配置。表2-7设定虚忙IP地址是否可以使用ping命令ping诵操作命令彝WttIP屈削:M以使JIJping命令ivrrpphig-enbFe度定庞ftLIPifi址中可以.pinghpinci'undovrrpping-enable缺省情况下，用户不能使用ping命令ping通备份组的虚拟ip地址此配置需要在备份组建立之前就进行设定。此配置。2.2.8 设置是否需要检查vrrp报文的ttlvrrp协议规定v

16、rrp报文的ttl值只能为就会将此报文丢弃。可以使用下面的命令来设置取消检查vrrp请在接口视图下进行下列配置。如果防火墙上已经建立了备份组，系统将不允许再进行值255。如果backup检查到vrrp报文的ttl值不是255报文的ttl值。表2-8设直是否取混校查VRRP抿文的TTL值攥作二命令代置取消输'VRRP昌£勺TTLMl1fttl设性恢H松fieVRRP报丈的TTLl；undovrrpun-cliocktil缺省情况下，需要检查vrrp报文的ttl值H3CH3CSecPathF100-C相关内容：报价|参数|图片|论坛|评测VRRP配置vrrp的基本配置包括：1添加

17、或删除虚拟ip地址3设置备份组的抢占方式和延迟时间vrrp的高级配置包括：1设置备份组的认证方式和认证字2设置备份组的定时器3设置监视指定接口4设置虚拟ip地址是否可以使用ping命令ping通5设置检查vrrp报文的ttl域2.2.1 添加或删除虚拟ip地址将一个本网段的ip地址指定给到一个虚拟路由器(也称为一个备份组)，或将一个指定到一个备份组虚拟ip地址从虚拟地址列表中删除。请在接口视图下进行下列配置。S2-1潇加，册除虚拟IP地址操作W*添加堆叔IP地Mvrrpvridvirt/刊今而ua|4pviriual-Bddr&as虬阳拓IUP地址undovrrpvridvirtual

18、-ipvirtu&l-address备份组号virtual-router-id范围从1到255，虚拟地址可以是备份组所在网段中未被分配的ip地址，也可以是属于备份组某接口的ip地址。对于后者，称拥有这个接口ip地址的防火墙为一个地址拥有者(ipaddressowner)。当指定第一个ip地址到一个备份组时，系统会创建这个备份组，以后再指定虚拟ip地址到这个备份组时，系统仅仅将这个地址添加到这个备份组的虚拟ip地址列表中。防火墙的一个接口可以同时加入到14个备份组中。而一个备份组最多可以配置16个虚拟ip地址。在对一个备份组进行其它配置之前，必须先通过指定一个虚拟ip地址的命令将这个备份

19、组创建起来。备份组中最后一个虚拟ip地址被删除后，这个备份组也将同时被删除掉。也就是这个接口上不再有这个备份组，这个备份组的所有配置都不再有效。2.2.2 设置备份组的优先级vrrp中根据优先级来确定参与备份组的每台防火墙的地位，备份组中优先级最高的防火墙将成为master优先级的取值范围为0到255（数值越大表明优先级越高），但是可配置的范围最小值是1,最大值是254。优先级0为系统保留给特殊用途来使用，255则是系统保留给ip地址拥有者。请在接口视图下进行下列配置。S2-2设Fi下玲组的忧先损操作命令彼置备份组的£充缝vrrpvrbr4-Dpriority恢U为缺行山undovr

20、rpvrid；/Apriority缺省情况下，优先级为100O对于所有vrrp组成员，存在配置优先级和运行优先级两种优先级，配置优先级即用vrrpvrid配置的优先级，非ip拥有者的运行优先级与配置优先级是相同的；ip拥有者的运行优先级是不可配置的，始终为255o2.2.3 设置备份组的抢占方式和延迟时间在非抢占方式下，一旦备份组中的某台防火墙成为master,只要它没有出现故障，其它路由器即使随后被配置更高的优先级，也不会成为master。如果防火墙设置为抢占方式，它一旦发现自己的优先级比当前的master的优先级高，就会成为master，相应地，原来的master将会变成backup。在设

21、置抢占的同时，还可以设置延迟时间。这样可以使得backup延迟一段时间成为master。其目的在性能不够稳定的网络中，backup可能因为网络堵塞而无法正常收到master的报文，使用vrrpvrid命令配置了抢占延迟时间后，可以避免因网络的短暂故障而导致的备份组内防火墙的状态频繁转换。延迟的时间以秒计，范围为0255oS2-3设苴用取胡济份蝎的抢占方式和延返时1司授作人A设忤备附组的抢占。式和延二时间vrrfwid.praarnpt-modetimGrd但LifEdg驭消省伽的抢undovrrpvrid很渤-IDpreempt-mode缺省方式是抢占方式，延迟时间为0秒。取消抢占方式，则延迟

22、时间就会自动变为0秒。2.2.4 设置认证方式及认证字vrrp提供了两种认证方式，分别是：simple:简单字符认证。md5：md5认证。在一个安全的网络中，可以采用缺省值，则防火墙对要发送的vrrp报文不进行任何认证处理，而收到vrrp报文的防火墙也不进行任何认证。在一个有可能受到安全威胁的网络中，可以将认证方式设置为simple，则发送vrrp报文的防火墙就会将认证字填入到vrrp报文中，而收到的vrrp报文的防火墙会将收到的vrrp报文中的认证字和本地配置的认证字进行比较，相同则认为是真实的、合法的vrrp报文，否则认为是一个非法的报文，将其丢弃。这种情况下，应当设置长度为不超过8个字符

23、的认证字。在一个非常不安全的网络中，可以将认证方式设置为md§则防火墙就会利用authenticationheader提供的认证方式和md5算法来对vrrp报文进行认证。如果以明文形式输入，长度为18个字符，如：1234567;如果以密文形式输入，长度必须为24，并且必须是密文形式，如：_(tt8fy5sq=Aq'maf41!对于没有通过认证的报文将做丢弃处理，并会向网管发送陷阱报文。表24设EUii：方式和认证字操作AAHU#爵疆证方规认站unpaullifhi活Usrinode(ind5K&y|simplek即恢旌为玳省值undovrrpauthenticatio

24、n-rnade缺省认证方式为不进行认证。一个接口上的备份组要设置相同的认证方式和认证字。2.2.5 设置vrrp的定时器vrrp备份组中的master防火墙通过定时(adver-interval)发送vrrp报文来向组内的防火墙通知自己工作正常。如果backup超过一定时间(master-down-interval)没有收到master发送来的vrrp报文，则认为它已经无法正常工作。同时就会将自己的状态转变为master。用户可以通过设置定时器的命令来调整master发送vrrp报文的间隔时间(adver-interval)。而backup的master-down-interval的间隔时间大

25、约是adver-interval的3倍。如果网络流量过大或者不同的防火墙上的定时器差异等因素，会导致master-down-interval异常到时而导致状态转换。对于这种情况，可以通过将adver-interval的间隔时间延长和设置延迟时间的办法来解决。adver-interval的时间单位是秒。请在接口视图下进行下列配置。表24设五VRRP艰时甘操作人AiSStVRRP定MHvrrpvridmtE，蓦T*in。，advertiseMvgm自顷fi代H为Mi特值undovrrpvridtimeradvertise缺省情况下，adver-interval的值是1秒，取值范围为1255设置监视

26、指定接口能，而且在防火墙的其它接口不可用时，也可以使用备份功能。具体做法是通过设置监视某个接口的命令来实现。当被监视的接口down时，这个接口的防火墙的运行优先级会自动降低一个数额(priority-reduced),于是就会导致备份组内其它防火墙的运行优先级高于这个防火墙的运行优先级，从而使得其它运行优先级高的防火墙转变为master,达到对这个接口监视的目的。请在接口视图下进行下列配置。表2-6设置和取消监视接口操作命令诜的邮此指定接口vnpvridvun-/D(rackrhf事佑o瑚umbwreduced心rj巷jicod取泊监楚按LIundovrrpvridvirtuaf-rGater

27、-iDtrackintQrfacQ-nurvb&r缺省情况下，priority-reduced的值为10。当防火墙为ip地址拥有者时，不允许对其进行监视接口的配置。2.2.6 设置虚拟ip地址是否可以使用ping命令ping通本配置任务可以使用户能够使用ping命令来ping通备份组的虚拟ip地址。根据vrrp的标准协议，备份组的虚拟ip地址是无法使用ping命令来ping通的。这时防火墙连接的用户无法通过ping命令来判断一个ip地址是否被备份组使用。如果用户将自己的主机ip配置与备份组的虚拟ip地址相同的ip地址，将会使本网段的报文都发送到用户的主机，导致本网段的数据不能被正确转发

28、。使用下面的命令进行配置后，用户将可以使用ping命令ping通备份组的虚拟ip地址。请在系统视图下进行下列配置。表2-7设定虚忙IP地址是否可以使用ping命令ping诵操作命令彝WttIP屈削:M以使JIJping命令ivrrpphig-enbFe度定庞ftLIPifi址中可以.pinghpinci'undovrrpping-enable缺省情况下，用户不能使用ping命令ping通备份组的虚拟ip地址此配置需要在备份组建立之前就进行设定。此配置。2.2.8 设置是否需要检查vrrp报文的ttlvrrp协议规定vrrp报文的ttl值只能为就会将此报文丢弃。可以使用下面的命令来设置取

29、消检查vrrp请在接口视图下进行下列配置。如果防火墙上已经建立了备份组，系统将不允许再进行值255。如果backup检查到vrrp报文的ttl值不是255报文的ttl值。表2-8设有正否耿滴椅查VRRP握文的TTL值操作-一A命令罚取"fVRRP!TTL值以FLunchockttl设置恢重检、VRRPMzjTTLtiLundovnpun-checkttl2.4.1 缺省情况下，需要检查vrrp报文的ttl值H3CH3CSecPathF100-C相关内容：报价|参数|图片|论坛|评测VRRP典型配置举例vrrp单备份组举例1. 组网需求主机a把secpatha和secpathb组成的v

30、rrp备份组作为自己的缺省网关，访问internet上的主机bvrrp备份组构成：备份组号为1,虚拟ip地址为202.38.160.111,secpatha做master,secpathb做backup,允许抢占。I组网图:202.38.160.1正教R玲新IE10；0:202.38.160220233,160,111I202.33.160.3白图2-3VRRP"苜绢网图2. 配置步骤配置secpatha:h3c-ethernet1/0/0ipaddress202.38.160.124h3c-ethernet1/0/0vrrpvrid1virtual-ip202.38.160.111

31、h3c-ethernet1/0/0vrrpvrid1priority120配置secpathb:h3c-ethernet1/0/0ipaddress202.38.160.224备份组配置后不久就可以使用。主机a可将缺省网关设为202.38.160.111正常情况下，secpatha执行网关工作，当secpatha关机或出现故障，secpathb将接替执行网关工作。设置抢占方式，目的是当secpatha恢复工作后，能够继续成为master执行网关工作。2.4.2 vrrp监视接口举例组网需求即使secpatha仍然工作，但当其连接internet的接口不可用时，可能希望由secpathb来执行网

32、关工作。可通过配置监视接口来实现上述需求。为了便于说明，设备份组号为1,并增加授权字和计时器的配置（在该应用中不是必须的）。组网图如图2-3。配置步骤配置secpatha:#创建一个备份组。h3c-ethernet1/0/0vrrpvrid1virtual-ip202.38.160.111#设置备份组的优先级。h3c-ethernet1/0/0vrrpvrid1priority120#设置备份组的认证字。h3c-ethernet1/0/0vrrpauthentication-modemd5vrrppwd#设置master发送vrrp报文的间隔时间为5秒。h3c-ethernet1/0/0vrr

33、pvrid1timeradvertise5#设置监视接口。配置secpathb:#创建一个备份组。h3c-ethernet1/0/0vrrpvrid1virtual-ip202.38.160.111#设置备份组的认证字。h3c-ethernet1/0/0vrrpauthentication-modemd5vrrppwd#设置master发送vrrp报文的间隔时间为5秒。h3c-ethernet1/0/0vrrpvrid1timeradvertise5正常情况下，secpatha执行网关工作，当secpatha的接口ethernet2/0/0不可用时,secpatha的优先级降低30,低于secpathb优先级，secpathb将抢占成为master执行网关工作。当secpatha的接口ethernet2/0/0恢复工作后，secpatha能够继续成为master执行网关工作。2.4.3 多备份组举例组网需求在comware中，允许一台防火