虚拟路由器冗余协议(vrrp)

虚拟路由器冗余协议（VRRP： Virtual Router Redundancy Protocol） 是一种选择协议， 它可以把一个虚拟路由器的责任动态分配到局域网上的 VRRP 路由器中的一台。 控制虚拟路由器 IP 地址的 VRRP 路由器称为主路由器， 它负责转发数据包到这些虚拟 IP 地址。 一旦主路由器不可用， 这种选择过程就提供了动态的故障转移机制， 这就允许虚拟路由器的 IP 地址可以作为终端主机的默认第一跳路由器。 使用 VRRP 的好处是有更高的默认路径的可用性而无需在每个终端主机上配置动态路由或路由发现协议。 VRRP 包封装在 IP 包中发送。使用 VRRP ， 可以通过手动或 DHCP 设定一个虚拟 IP 地址作为默认路由器。 虚拟 IP 地址在路由器间共享， 其中一个指定为主路由器而其它的则为备份路由器。如果主路由器不可用， 这个虚拟 IP 地址就会映射到一个备份路由器的IP 地址（这个备份路由器就成为了主路由器）。 VRRP 也可用于负载均衡。 VRRP是 IPv4 和 IPv6 的一部分。

VRRP（Virtual Router Redundancy Protocol， 虚拟路由冗余协议） 是一种容错协议。 通常， 一个网络内的所有主机都设置一条缺省路由， 这样， 主机发出的目的地址不在本网段的报文将被通过缺省路由发往路由器RouterA， 从而实现了主机与外部网络的通信。 当路由器 RouterA 坏掉时，本网段内所有以 RouterA 为缺省路由下一跳的主机将断掉与外部的通信。

VRRP 就是为解决上述问题而提出的， 它为具有多播或广播能力的局域网（如：以太网）设计。我们结合下图来看一下 VRRP 的实现原理。 VRRP 将局域网的一组路由器（包括一个 Master 即活动路由器和若干个Backup 即备份路由器） 组织成一个虚拟路由器，称之为一个备份组。这个虚拟的路由器拥有自己的 IP 地址10.100.10.1（这个 IP 地址可以和备份组内的某个路由器的接口地址相同）， 备份组内的路由器也有自己的IP 地址（如 Master的IP 地址为 10.100.10.2，Backup的 IP 地址为 10.100.10.3）。 局域网内的主机仅仅知道这个虚拟路由器的 IP 地址10.100.10.1， 而并不知道具体的 Master 路由器的 IP 地址10.100.10.2 以及Backup 路由器的 IP 地址 10.100.10.3， 它们将自己的缺省路由下一跳地址设置为该虚拟路由器的 IP 地址 10.100.10.1。 于是， 网络内的主机就通过这个虚拟的路由器来与其它网络进行通信。 如果备份组内的 Master 路由器坏掉， Backup 路由器将会通过选举策略选出一个新的 Master 路由器， 继续向网络内的主机提供路由服务。 从而实现网络内的主机不间断地与外部网络进行通信。 关于 VRRP 协议的详细信息， 可以参考 RFC 2338。

一、 应用实例

最典型的 VRRP应用： RTA、 RTB组成一个VRRP 路由器组， 假设 RTB 的处理能力高于 RTA， 则将 RTB 配置成 IP 地址所有者， H1、 H2、 H3 的默认网关设定为RTB。 则 RTB成为主控路由器， 负责 ICMP 重定向、 ARP 应答和 IP 报文的转发；一旦 RTB 失败， RTA 立即启动切换， 成为主控， 从而保证了对客户透明的安全切换。

在 VRRP 应用中， RTA 在线时 RTB 只是作为后备， 不参与转发工作， 闲置了路由器 RTA 和链路 L1。 通过合理的网络设计， 可以到达备份和负载分担双重效果。让 RTA、 RTB 同时属于互为备份的两个 VRRP 组： 在组 1 中 RTA 为 IP 地址所有者； 组 2 中 RTB 为 IP 地址所有者。 将 H1 的默认网关设定为 RTA； H2、 H3 的默认网关设定为RTB。这样， 既分担了设备负载和网络流量， 又提高了网络可靠性。

VRRP协议的工作机理与CISCO 公司的 HSRP（Hot Standby Routing Protocol）有许多相似之处。 但二者主要的区别是在 CISCO 的 HSRP 中， 需要单独配置一个IP 地址作为虚拟路由器对外体现的地址， 这个地址不能是组中任何一个成员的接口地址。

使用 VRRP协议， 不用改造目前的网络结构， 最大限度保护了当前投资， 只需最少的管理费用， 却大大提升了网络性能， 具有重大的应用价值。

二、 工作原理

一个 VRRP路由器有唯一的标识： VRID， 范围为 0—255。 该路由器对外表现为唯一的虚拟 MAC 地址， 地址的格式为 00‐00‐5E‐00‐01‐[VRID]。 主控路由器负责对ARP 请求用该 MAC 地址做应答。 这样， 无论如何切换， 保证给终端设备的是唯一一致的 IP 和 MAC 地址， 减少了切换对终端设备的影响。

VRRP控制报文只有一种：VRRP 通告(advertisement)。 它使用 IP 多播数据包进行封装， 组地址为 224.0.0.18， 发布范围只限于同一局域网内。 这保证了 VRID在不同网络中可以重复使用。 为了减少网络带宽消耗只有主控路由器才可以周期性的发送 VRRP 通告报文。 备份路由器在连续三个通告间隔内收不到 VRRP 或收到优先级为0 的通告后启动新的一轮 VRRP 选举。

在VRRP路由器组中， 按优先级选举主控路由器， VRRP 协议中优先级范围是0—255。 若 VRRP 路由器的 IP 地址和虚拟路由器的接口 IP 地址相同， 则称该虚拟路由器作 VRRP 组中的 IP 地址所有者； IP 地址所有者自动具有最高优先级： 255。优先级 0一般用在 IP 地址所有者主动放弃主控者角色时使用。 可配置的优先级范围为 1—254。 优先级的配置原则可以依据链路的速度和成本、 路由器性能和可靠性以及其它管理策略设定。 主控路由器的选举中， 高优先级的虚拟路由器获胜， 因此， 如果在 VRRP 组中有 IP 地址所有者， 则它总是作为主控路由的角色出现。 对于相同优先级的候选路由器， 按照 IP 地址大小顺序选举。 VRRP 还提供了优先级抢占策略， 如果配置了该策略， 高优先级的备份路由器便会剥夺当前低优先级的主控路由器而成为新的主控路由器。

为了保证 VRRP协议的安全性， 提供了两种安全认证措施： 明文认证和 IP 头认证。 明文认证方式要求： 在加入一个 VRRP 路由器组时， 必须同时提供相同的VRID 和明文密码。 适合于避免在局域网内的配置错误， 但不能防止通过网络监听方式获得密码。 IP 头认证的方式提供了更高的安全性， 能够防止报文重放和修改等攻击。