虚拟路由器冗余协议——VRRP

15.2.1 实验目的

1)理解VRRP的工作原理

2)掌握VRRP的配置和测试

15.2.2 实验原理

1.VRRPHSRP的区别

VRRP的工作原理和HSRP非常类似,不过VRRP是国际上的标准,允许在不同厂商的设备之间运行。HSRPVRRP差别如下:

1在功能上,VRRPHSRP非常相似,但是就安全而言,VRRPHSRP的一个主要优势:它允许参与VRRP组的设备间建立认证机制.并且,不像HSRP那样要求虚拟路由器不能是其中一个路由器的ip地址,但是VRRP允许这种情况发生.

2)另外一个不同是VRRP的状态机比HSRP的要简单,HSRP有6个状态(初始(Initial)状态,学习(Learn)状态,监听(Listen)状态,对话(Speak)状态,备份(Standby)状态,活动(Active)状态), VRRP只有3个状态(初始状态(Initialize)、主状态(Master)、备份状态(Backup)。 

3)HSRP有三种报文,分别是呼叫(Hello)报文,告辞(Resign)报文,突变(Coup)报文; 

VRRP只有一种报文:VRRP广播报文.由主路由器定时发出来通告它的存在,使用这些报文可以检测虚拟路由器各种参数,还可以用于主路由器的选举。

4) HSRP将报文承载在UDP报文上,而VRRP承载在TCP报文上(HSRP 使用UDP 1985端口,向组播地址224.0.0.2 发送hello消息。)

5) VRRP的安全:VRRP协议包括三种主要的认证方式:无认证,简单的明文密码和使用 MD5 HMAC ip认证的强认证. HSRP不支持认证。

6)VRRP包括一个保护VRRP分组不会被另外一个远程网络添加内容的机制(设置TTL值=255,并在接受时检查),这限制了可以进行本地攻击的大部分缺陷.而另一方面,HSRP在它的消息中使用的TTL值是1.

2.VRRP工作过程与配置

VRRP(Virtual Router Redundancy Protocol)是一种LAN接入设备容错协议,VRRP将局域网的一组路由器(包括一个Master即活动路由器和若干个Backup即备份路由器)组织成一个虚拟路由器,称之为一个备份组,如图15-4所示。


VRRP将局域网的一组路由器,如图二中的RouterARouterB 组织成一个虚拟的路由器。这个虚拟的路由器拥有自己的IP地址192.168.1.3,称为路由器的虚拟IP地址。同时,物理路由器RouterA ,RouterB也有自己的IP地址(如RouterAIP地址为192.168.1.1RouterBIP地址为192.168.1.2)。局域网内的主机仅仅知道这个虚拟路由器的IP地址192.168.1.3,而并不知道备份组内具体路由器的IP地址。在配置时,将局域网主机的默认网关设置为该虚拟路由器的IP地址192.168.1.3。于是,网络内的主机就通过这个虚拟的路由器来与其它网络进行通信,实际的数据处理由备份组内Master路由器执行。如果备份组内的Master路由器出现故障时,备份组内的其它Backup路由器将会接替成为新的Master,继续向网络内的主机提供路由服务。从而实现网络内的主机不间断地与外部网络进行通信。

VRRP通过多台路由器实现冗余,任何时候只有一台路由器为主路由器,其他的为备份路由器。路由器间的切换对用户是完全透明的,用户不必关心具体过程,只要把缺省路由器设为虚拟路由器的IP地址即可。路由器间的切换过程:

⑴ VRRP协议采用竞选的方法选择主路由器。比较各台路由器优先级的大小,优先级最大的为主路由器,状态变为Master。 若路由器的优先级相同,则比较网络接口的主IP地址,主IP地址大的就成为主路由器,由它提供实际的路由服务。

⑵ 主路由器选出后,其它路由器作为备份路由器,并通过主路由器发出的VRRP报文监测主路由器的状态。当主路由器正常工作时,它会每隔一段时间发送一个VRRP组播报文,以通知备份路由器,主路由器处于正常工作状态。如果组内的备份路由器长时间没有接收到来自主路由器的报文,则将自己状态转为Master 。当组内有多台备份路由器时,重复第1步的竞选过程。通过这样一个过程就会将优先级最大的路由器选成新的主路由器,从而实现VRRP的备份功能。

命令 

 

Router(config)#track target_id interface interface_id line-protocol

定义跟踪目标对应的接口

Router(config-if)# vrrp group_number ip ip_address

设置VRRP组号和虚拟IP地址

Router(config-if)# vrrp  group_number  priority priority_value

配置VRRP的优先级,如果不设置该项,默认优先级为100 ,该值越大,抢占为活动路由器的优先权越

Router(config-if)vrrp group_number preempt

该设置允许该路由器在优先级是最高时成为活动路由器。

Router(config-if)vrrp group_number timer hello_time  hold_Time

设置该路由器的hello_timehold_time

Router(config-if)# vrrp group_number

Authentication  md5   key-string   password

配置认证密码,防止非法设备加入到HSRP组中,同一个组的密码必须一致

Router(config-if)# vrrp group_number track target_id decrement priority_value

表明跟踪的接口,如果该接口出故障了,优先级降低该值。降低的值应该选择合适的值,使得其他路由器能成为活动路由器。

3.VRRP配置实例

地址表:

设备

接口

IP地址

子网掩码

R1

Fa 0/0

192.168.13.1

255.255.255.0

S0/0/0

192.168.12.1

255.255.255.0

R2

Fa 0/0

172.16.1.1

255.255.255.0

S0/0/0

192.168.12.2

255.255.255.0

S0/0/1

192.168.23.2

255.255.255.0

R3

Fa 0/0

192.168.13.2

255.255.255.0

S0/0/0

192.168.23.3

255.255.255.0

PC1

NIC

192.168.13.100

255.255.255.0

PC2

NIC

192.168.13.200

255.255.255.0

PC3

NIC

172.16.1.100

255.255.255.0

                                 表15-3 IP地址表



(1)步骤 1 :配置ip地址和路由协议等,
R1(config)#interface fa 0/0
R1(config-if)#ip add 192.168.13.1 255.255.255.0
R1(config-if)#no shut
R1(config-if)#exit
R1(config)#int s0/0/0
R1(config-if)#ip add 192.168.12.1 255.255.255.0
R1(config-if)#no shut
R1(config-if)#exit
R1(config)#router rip
R1(config-router)#network 192.168.12.0
R1(config-router)#network 192.168.13.0
R1(config-rotuer)#passive-interface fa 0/0
//配置路由器R1:把fa0/0接口设为被动接口,防止从该接口发送rip信息给R3
R2(config)#int fa 0/0
R2(config-if)#ip add 172.16.1.1 255.255.255.0
R2(config-if)#no shut
R2(config-if)#exit
R2(config)#int s0/0/0
R2(config-if)#clock rate 128000
R2(config-if)#ip add 192.168.12.2 255.255.255.0
R2(config-if)#no shut
R2(config-if)#exit
R2(config)#int s0/0/1
R2(config-if)#clock rate 128000
R2(config-if)#ip add 192.168.23.2 255.255.255.0
R2(config-if)#no shut
R2(config-if)#exit
R2(config)#router rip
R2(config-router)#network 172.16.0.0
R2(config-router)#network 192.168.23.0
R2(config-router)#network 192.168.12.0
R2(config-router)#passive-interface fa 0/0
//配置路由器R3:把fa0/0接口设为被动接口,防止从该接口发送rip信息给R1
R3(config)#int fa 0/0
R3(config-if)#ip add 192.168.13.3 255.255.255.0
R3(config-if)#no shut
R3(config-if)#exit
R3(config)#int s0/0/0
R3(config-if)#iip add 192.168.23.3 255.255.255.0
R3(config-if)#no shut
R3(config-if)#exit
R3(config)#router rip
R3(config-router)#network 192.168.23.0
R3(config-router)#network 192.168.13.0
R3(config-router)#passive-interface fa 0/0
//配置路由器R3:把fa0/0接口设为被动接口,防止从该接口发送rip信息给PC3
(2)步骤2 :配置多个vrrp组并跟踪接口,
在R1:
R1(config)#track 100 interface s0/0/0 line-protocol
//vrrp的端口跟踪和hsrp有些不同,需要在全局配置模式下,先定义跟踪目标,才配置vrrp中跟踪目标,这里定义目标100是s0/0/0接口。
R1(config)#inter fa 0/0
R1(config-if)#vrrp 1 ip 192.168.13.254
R1(config-if)#vrrp 1 priority 120
R1(config-if)#vrrp 1 preempt
R1(config-if)#vrrp 1 authentication md5 key-string cisco
R1(config-if)#vrrp 1 track 100 decrement 30  
//跟踪目标100定义的S0/0/0接口,一旦接口出现故障,优先级降低30
R1(config-if)#vrrp 2 ip 192.168.13.253
R1(config-if)#vrrp 2 preempt
R1(config-if)#vrrp 2 authentication md5 key-string cisco
在R3上:
R3 (config)#track 100 interface s0/0/0 line-protocol
//配置vrrp中跟踪目标,这里定义目标100是s0/0/0接口。
R3 (config)#interface fa 0/0
R3 (config-if)#vrrp 1 ip 192.168.13.254
R3 (config-if)#vrrp 1 preempt
R3 (config-if)#vrrp 1 authentication md5 key-string cisco
R3 (config-if)#vrrp 2 ip 192.168.13.253
R3 (config-if)#vrrp 2 priority 120
R3 (config-if)#vrrp 2 preempt
R3 (config-if)#vrrp 2 authentication md5 key-string cisco
R3 (config-if)#vrrp 2 track 100 decrement 30
//跟踪目标100定义的S0/0/0接口,一旦接口出现故障,优先级降低30
(3)步骤3:检查、测试VRRP
R1#show vrrp brief
Interface          Grp Pri Time  Own  Pre  State   Master addr     Group addr
Fa0/0             1  120 3531       Y   Master  192.168.13.1    192.168.13.254
Fa0/0             2  100 3609       Y   Backup  192.168.13.3    192.168.13.253
//以上表明R1是192.168.13.254虚拟网关的Master路由器,是192.168.13.253虚拟网关的Backup路由器
R3#show vrrp brief
Interface          Grp   Pri Time  Own Pre  State    Master addr     Group addr
Fa0/0              1   100 3609       Y  Backup  192.168.13.1    192.168.13.254
Fa0/0              2   120 3531       Y  Master   192.168.13.3    192.168.13.253
//以上表明R2是192.168.13.253虚拟网关的Master路由器,是192.168.13.254虚拟网关的Backup路由器


在PC1上配置IP地址192.168.13.100/24,网关指向192.168.13.254,PC2上配置IP地址192.168.13.200/24,网关指向192.168.13.253,在PC3上配置IP 地址172.16.1.100/24,网关指向172.16.1.1。
在PC1上连续ping PC3, 
C:\>ping –t 172.16.1.100
Reply from 172.16.1.100; bytes=32 time=11ms TTL=254
Reply from 172.16.1.100; bytes=32 time=11ms TTL=254
Reply from 172.16.1.100; bytes=32 time=11ms TTL=254
Reply from 172.16.1.100; bytes=32 time=11ms TTL=254
Reply from 172.16.1.100; bytes=32 time=11ms TTL=254
Reply from 172.16.1.100; bytes=32 time=11ms TTL=254
… …
***以下省略部分输出***
PC2上连续ping PC3,
C:\>ping –t 172.16.1.100
Reply from 172.16.1.100; bytes=32 time=11ms TTL=254
Reply from 172.16.1.100; bytes=32 time=11ms TTL=254
Reply from 172.16.1.100; bytes=32 time=11ms TTL=254
Reply from 172.16.1.100; bytes=32 time=11ms TTL=254
Reply from 172.16.1.100; bytes=32 time=11ms TTL=254
Reply from 172.16.1.100; bytes=32 time=11ms TTL=254
… …
***以下省略部分输出***
可见网络通畅,然后在R1上关闭S 0/0/0接口,观察PC1上ping PC3的结果。
C:\>ping –t 172.16.1.100
Reply from 172.16.1.100; bytes=32 time=11ms TTL=254
Reply from 172.16.1.100; bytes=32 time=11ms TTL=254
Reply from 172.16.1.100; bytes=32 time=11ms TTL=254
Request timed out.
Reply from 172.16.1.100; bytes=32 time=11ms TTL=254
Reply from 172.16.1.100; bytes=32 time=11ms TTL=254
Reply from 172.16.1.100; bytes=32 time=11ms TTL=254
Reply from 172.16.1.100; bytes=32 time=13ms TTL=254
Reply from 172.16.1.100; bytes=32 time=13ms TTL=254
//以上可以看到,R1故障时,R3很快就替代了R1,通信只受到短暂的影响, PC2上pingPC3的情况的情况也类似。


再分别在R1和R3上查看VRRP的情况
R1#show vrrp brief
Interface           Grp  Pri Time  Own Pre State   Master addr     Group addr
Fa0/0              1    90 3531       Y  Backup  192.168.13.3    192.168.13.254
Fa0/0              2   100 3609       Y  Backup  192.168.13.3    192.168.13.253
//以上表明R1是192.168.13.253虚拟网关和192.168.13.254虚拟网关的Backup路由器
R3#show vrrp brief
Interface          Grp   Pri Time  Own Pre  State   Master addr     Group addr
Fa0/0              1   100 3609       Y  Master  192.168.13.3    192.168.13.254
Fa0/0              2   120 3531       Y  Master  192.168.13.3    192.168.13.253
//以上表明R3是192.168.13.253虚拟网关和192.168.13.254虚拟网关的Master路由器 
相关推荐
©️2020 CSDN 皮肤主题: 书香水墨 设计师:CSDN官方博客 返回首页