《vrrp协议 综合测试支持部》由会员分享，可在线阅读，更多相关《vrrp协议 综合测试支持部（64页珍藏版）》请在金锄头文库上搜索。
1、VRRP协议,综合测试支持部,理解VRRP的基本概念 掌握VRRP的基本工作原理 掌握我司设备VRRP特性 解释使用VRRP过程中遇到的一些问题,课程目标,学习完本课程，您应该能够：,VRRP的产生 VRRP的原理 我司VRRP的特性 使用VRRP时的常见问题,目录,VRRP的产生,对于局域网中的端主机，存在多种方法可以使其知道它的第一跳路由器地址,其中包括： 运行某种动态路由协议，比如运行RIP或者OSPF 配置ICMP Router Discovery Protocol(IRDP) 配置静态缺省路由，即配置网关。,VRRP的产生,采用动态路由协议，由于管理开销、处理开销、安全原因以及在某些
2、平台上不支持等原因而不现实。 设想：在一个网络上的所有主机都运行邻居或者路由发现协议，往往主机数量都非常庞大，这样就不得不使用较大的定时器值以减小协议开销，而这又会给检测死亡邻居过程带来明显的延迟，最终导致长得不可接受的“黑洞”时间。,VRRP的产生,VRRP的产生,在实际应用中，使用配置静态缺省路由，即在主机配置网关的方法相当普遍，这种方法具有最小化的配置和运行开销，并且被所有基于IP的应用所支持。 但是，这种方法也有缺点，即增加了单点故障的可能性。缺省路由器的不可用将带来灾难性的结果：当缺省路由器失效时，所有相连的端主机将由于不能检测到可以替换的其他可用路径而造成网络中断。,VRRP的产生
3、,综合以上两种方法存在的问题，设计产生了虚拟路由器冗余协议（VRRP），采用了静态缺省路由的方法，并且很好的避免了单点故障。 协议定义的选举过程提供了一个当负责转发的主路由器失效时，备份路由器可以接替负责转发的动态容错机制。VRRP协议的这一优点使得每一个端主机不用配置任何动态路由协议或者路由发现协议，就可以获得更高的可靠性。,VRRP的产生,VRRP的产生 VRRP的原理 我司VRRP的特性 使用VRRP时的常见问题,目录,VRRP全称Virtual Router Redundancy Protocol（虚拟路由器冗余协议）。 简单来说，VRRP是一种容错协议，它保证当主机的下一跳路由器坏掉
4、时，可以及时的由另一台路由器来代替，从而保持通讯的连续性和可靠性。,概述,虚拟路由器 VRRP协议管理的抽象对象，可以由虚拟路由器标识（VRID）和一组IP地址来定义 虚拟路由器的主路由器 负责转发发往虚拟路由器IP地址的报文，响应虚拟路由器IP地址ARP请求 虚拟路由器的备份路由器 当主路由器失效时，接替主路由器,VRRP基本概念,虚拟路由器的IP Address 虚拟路由器使用的IP地址,可以用其接口上的真实地址作为虚拟路由器的IP地址 ，也可以单独配置一个IP地址 虚拟路由器的MAC地址 00-00-5e-00-01-xx ，00 00 5E 由IANA分配。00 01 为分配给VRRP
5、协议的地址块。xx为VRRP虚拟路由器标识。该映射在一个网络中提供最多255个VRRP路由器组。,VRRP相关概念,VRRP协议只有一种报文，即主路由器定时向其它成员发送的组播报文。 VRRP协议报文封装在IP报文中，通过组播方式进行发送。,VRRP报文结构,VRRP报文结构,Version 版本号 报文中的version字段指VRRP协议版本 ，目前普遍应用的为版本 2 Type 类型 type字段定义了VRRP报文的类型。本版本的协议仅定义了一个报文类型： 1 ADVERTISEMENT 通告， 带有未知类型的报文将被丢弃,VRRP报文,Virtual Rtr ID (VRID) 虚拟路由
6、器标识（VRID）字段标识了此报文所报告状态的虚拟路由器。可配置的范围是1-255。没有缺省值。 Priority Priority字段申明了发送此报文的VRRP路由器的优先级。值越高优先级越高。该字段为8位无符号整型。缺省的VRRP路由器优先级为100。 注：如果VRRP路由器是虚拟路由器地址的IP地址所有者，那么其优先级必须为255。优先级值0 用于指示当前虚拟路由器的主路由器停止参与VRRP组。主要用于触发备用路由器快速地迁移到主路由器，而不用等待当前主路由器超时。,VRRP报文,Authentication Type 认证类型 认证类型字段用于标识要用到的认证方法。在一个虚拟路由器组内
7、认证类型是唯一的。认证类型字段是一个8位无符号整型。如果报文携带未知的认证类型或者该认证类型和本地配置的认证方法不匹配，那么该报文必须被丢弃。 目前定义的认证方法有： 0 - No Authentication 不认证 1 - Reserved 保留 2 - Reserved 保留,VRRP报文,Authentication Data 验证字 验证字，目前只有明文认证才用到该部分，对于其它认证方式，一律填0。 收到未知验证类型，或者错误验证字都会丢弃,VRRP报文,Advertisement Interval VRRP通告间隔时间，单位为秒。缺省为1秒。这个字段主要用于错误配置路由器时的故障定
8、位和解决。 Checksum 校验和字段用于检测VRRP消息的数据是否出错。 IP Address IP 地址字段为虚拟路由器的一个或者多个IP地址。IP地址的数量在“Count IP Addrs”字段中说明。IP地址字段用于错误配置路由器时的故障定位和解决。,VRRP报文,VRRP报文的源MAC 00-00-5e-00-01-xx VRRP报文的目的MAC 01-00-5e-00-00-12,VRRP报文的二层封装,源地址 报文被发出的接口的主IP地址 目的地址 IANA给VRRP分配的IP组播地址为224.0.0.18。这是一个本地范围的组播地址。不论TTL的值是多少，路由器都被 禁止转发
9、以此地址为目标地址的报文。 TTL TTL必须为255。当VRRP路由器收到TTL不等于255的VRRP 协议报文后，必须 丢弃。 协议号 IANA分配给VRRP的IP协议号为112（十进制） 一般抓包时显示0X70（十六进制）,VRRP报文的三层封装,抓包结果,VRRP报文,VRRP组播报文的TTL为何是255 ?,一个问题,VRRP组播报文是用来在备份组中路由器之间维护Master/Backup关系的，只在本网段进行传播，不能被路由器转发。根据这些条件，VRRP组播报文的TTL设成1就可以了。但是，RFC2338规定VRRP组播报文的TTL必须是255，TTL不等于255的报文将被丢弃。这
10、种设计主要是从安全方面考虑的。VRRP可以通过明文或MD5认证来保证安全，但是无论哪种认证方式都会消耗一些资源。在本网段的安全可以得到保证的情况下，攻击主要来自其它的网段，将TTL设定为255而不必使用认证就可以轻松应对这样的攻击。因为来自其它网段的报文要经过路由器转发，TTL必然小于255。,答案,优先级为255,VRRP报文,优先级为0,多IP地址,VRRP报文,明文验证,VRID 虚拟路由器标识。可配置的范围在1-255（十进制）。没有缺省值。 Priority 优先级参数用于在一组VRRP路由器中选举主路由器。255 被保留给拥有虚拟路由器IP地址的IP地址所有者。0被保留给主路由器指
11、示其将放弃虚拟路由器的Master的责任。虚拟路由器的备用路由器可以使用1-254（十进制）的优先级。缺省值为100。 IP_Addresses 虚拟路由器的IP地址，一个或者多个，可配置，没有缺省值。,VRRP的3个参数,Advertisement_Interval 主路由器发送VRRP组播报文的时间间隔，缺省为1秒，用户可修改。 Master-down-interval 间隔时间是adver-interval的3倍 Skew_Time 。 Preempt_delay 抢占时间延迟，默认为0，即立即抢占。 Skew_Time skew Master_Down_Interval 单位为秒。计算
12、方法为： （256-优先级）/256,4个计时器,Preempt_Mode 抢占模式，控制具有更高优先级的备用路由器可否抢占具有较低优先级的主路由器，使自己成为Master。当值为真时，允许抢占；当值为假时，禁止抢占。缺省值为真。 注意：存在的例外情况是，虚拟路由器IP地址拥有者的路由器总是抢占的，并且独立于该标志位的设置。,1个模式,组成虚拟路由器的路由器会有三种状态机，分别是： Initialize Master Backup,VRRP的状态机,VRRP的状态机,INITIALIZE,MASTER,BACKUP,收到一个比自己本地的优先级 大的ADVERTISEMENT报文,MASTER_
13、DOWN_TIMER到时,收到ShutDown消息,收到Startup,且优先级为255,收到Startup，且优先级小于255,收到ShutDown消息,Initialize 系统启动后进入此状态，当收到接口startup的消息，将转入Backup或Master状态（优先级为255时）。在此状态时，不会对VRRP报文做任何处理。,VRRP的状态机,Master 定期发送VRRP通告消息。 响应对虚拟IP地址的ARP请求，并且响应的是虚拟MAC地址，而不是接口的真实MAC地址。 转发目的MAC地址为虚拟MAC地址的IP报文。 如果它是这个虚拟IP地址的拥有者（IP Address Owner）
14、，则接收目的IP地址为这个虚拟IP地址的IP报文。否则，丢弃这个IP报文。 在Master状态中只有接收到比自己的优先级大的VRRP报文时，才会转为Backup，当接收到接口的Shutdown事件时，转为Initialize。,VRRP的状态机,Backup 当路由器处于BACKUP状态时，它将会做下列工作： 接收Master发送的VRRP广播报文，从中了解Master。 对虚拟IP地址的ARP请求，不做响应。 丢弃目的MAC地址为虚拟MAC地址的IP报文。 丢弃目的IP地址为虚拟IP地址的IP报文。 接收到VRRP报文后： 如果收到报文的优先级为0 将状态设置为Master，开始发送报文 如
15、果收到报文优先级小于本地优先级 而且 本地设置了抢占方式，一段时间后转为Master状态,VRRP的状态机,Backup 否则正常接收，对定时器进行重置 处于Backup状态的设备，当3adver_interval(256 - Priority) / 256时间没有收到Master发来的VRRP报文，则认为当前的Master已经Down掉，将自己转为Master状态，发送VRRP报文,VRRP的状态机,根据优先级的大小挑选主路由器，优先级最大的为主路由器，若优先级相同，则比较接口的主IP地址，主IP地址大的就成为主路由器，由它提供实际的路由服务。 其它路由器作为备份路由器，随时监测主路由器的状
16、态。当主路由器正常工作时，它会每隔一段时间（Advertisement_Interval）发送一个VRRP组播报文，以通知组内的备份路由器，主路由器处于正常工作状态。当组内的备份路由器长时间（Master_Down_Interval）没有接收到来自主路由器的报文，则将自己转为主路由器。当组内有多台备份路由器时，将有可能产生多个主路由器。这时每一个主路由器就会比较VRRP报文中的优先级(priority)和自己本地的优先级，如果本地的优先级小于VRRP中的优先级，则将自己的状态转为备份路由器，否则保持自己的状态不变。通过这样一个过程，就会将优先级最大的路由器选成新的主路由器，完成VRRP的备份功能。,VRRP的工作过程,ARP查询处理 当内部主机通过ARP查询虚拟路由器IP地址对应的MAC地址时，MASTER路由器回复的MAC地址为虚拟的VRRP的MAC地址，而不是实际网卡的MAC地址，这
