目  录

第1章 VRRP配置... 1-1

1.1 VRRP简介.. 1-1

1.1.1 虚拟路由器简介.. 1-3

1.1.2 备份组简介.. 1-4

1.1.3 VRRP备份组端口监视配置简介.. 1-6

1.1.4 VRRP自动侦测功能简介.. 1-6

1.2 VRRP配置.. 1-7

1.2.1 VRRP配置任务简介.. 1-7

1.2.2 配置虚拟路由器IP地址.. 1-7

1.2.3 配置备份组参数.. 1-7

1.2.4 VRRP备份组端口监视配置.. 1-8

1.2.5 VRRP自动侦听配置任务.. 1-9

1.3 VRRP的显示和维护.. 1-9

1.4 VRRP典型配置举例.. 1-10

1.4.1 VRRP单备份组举例.. 1-10

1.4.2 VRRP监视接口举例.. 1-12

1.4.3 VRRP多备份组举例.. 1-14

1.4.4 VRRP备份组端口监视配置举例.. 1-15

1.4.5 VRRP自动侦测配置举例.. 1-17

1.5 VRRP故障诊断与排错.. 1-18

第1章  VRRP配置

&  说明：

S3600-EI系列以太网交换机支持VRRP功能，S3600-SI系列以太网交换机不支持VRRP功能。

1.1  VRRP简介

VRRP（Virtual Router Redundancy Protocol，虚拟路由冗余协议）是一种容错协议。

如图1-1所示，通常情况下：

l              一个网络内的所有主机都设置一条缺省路由（图中的缺省路由下一跳地址为10.100.10.1）。

l              主机发往外部网络的报文将通过缺省路由发往三层交换机Switch，从而实现了主机与外部网络的通信。

l              当交换机Switch发生故障时，本网段内所有以Switch为缺省路由下一跳的主机将断掉与外部的通信。

图1-1 局域网组网方案

为避免交换机故障造成用户群无法通信，产生了VRRP容错协议，专门为具有组播或广播能力的局域网（如以太网）设计。

VRRP将局域网的一组交换机（包括一个Master即主交换机和若干个Backup即备份交换机）组织成一个虚拟路由器，这组交换机被称为一个备份组。

图1-2 虚拟路由器示意图

备份组内的交换机具有以下的特点：

l              虚拟路由器拥有自己的IP地址10.100.10.1（这个IP地址可以和备份组内的某个交换机的接口地址相同）。

l              备份组内的交换机也有自己的IP地址（如Master的IP地址为10.100.10.2，Backup的IP地址为10.100.10.3）。

l              局域网内的主机仅仅知道这个虚拟路由器的IP地址10.100.10.1（通常被称为备份组的虚拟路由器的IP地址），而不知道具体的Master交换机的IP地址10.100.10.2以及Backup交换机的IP地址10.100.10.3。

l              局域网内的主机将自己的缺省路由的下一跳IP地址设置为该虚拟路由器的IP地址10.100.10.1。

因此，网络内的主机可以通过这个虚拟的路由器与其它网络进行通信。

当备份组内的Master交换机不能正常工作时，备份组内的优先级最高的Backup交换机将接替它成为新的Master交换机，继续向网络内的主机提供路由服务，从而实现网络内的主机不间断地与外部网络进行通信。

1.1.1  虚拟路由器简介

备份组内的交换机在使能VRRP协议后，会虚拟出一个虚拟路由器。用户可以在虚拟路由器上进行相关的配置。

1. 配置虚拟路由器的IP地址

虚拟路由器的IP地址可以是备份组所在网段中未被分配的IP地址，也可以是备份组中成员交换机的接口IP地址。虚拟路由器的IP地址具有以下的特性：

l              虚拟路由器的IP地址可以是备份组中成员交换机自己使用的真实IP地址，真实IP地址与虚拟路由器的IP地址相同的交换机被称为“IP地址拥有者”。

l              当为一个备份组指定第一个IP地址时，系统会创建这个备份组，以后再给这个备份组指定虚拟路由器的IP地址时，系统仅仅将这个地址添加到这个备份组的虚拟路由器的IP地址列表中。

l              虚拟路由器的IP地址必须和备份组中成员交换机使用的真实IP地址在同一网段，如果配置了不在同网段的虚拟路由器的IP地址，该备份组会处于VRRP尚未配置的初始状态，此状态下，VRRP不起作用。

l              备份组中最后一个虚拟路由器的IP地址被删除后，这个备份组也将同时被删除，对这个备份组进行的所有配置都不再有效。

根据VRRP的标准协议，虚拟路由器的IP地址是无法使用ping命令来ping通的。因此交换机下挂的用户，无法通过ping命令来判断某个IP地址是否已经被备份组使用。如果用户将自己的主机IP地址配置为与备份组的虚拟路由器的IP地址相同的IP地址，则本网段的所有报文都发送到用户的主机，使本网段的数据不能被正确转发。

用户可以在使能S3600交换机的VRRP特性之前，设定备份组内的交换机是否能够使用ping命令来ping通备份组的虚拟路由器的IP地址，从而避免以上情况的发生。

但如用户已使能了VRRP特性，则系统不允许用户再设定虚拟路由器的IP地址是否可ping通。

2. 配置虚拟路由器的IP和MAC地址之间的关系

S3600交换机在保证子网数据正确转发的基础上，还提供如下功能：

l              可以由用户来设置MAC地址和虚拟IP地址的对应关系。用户可以根据需要将备份组的多个虚拟IP地址和一个虚拟MAC地址对应，也可以将对应关系设置为虚拟IP和交换机路由接口的实际MAC地址对应。

l              用户可以在S3600交换机使能VRRP特性之前，设置备份组的MAC地址和IP地址的对应关系。但如用户已使能了VRRP特性，则系统不允许用户再设置备份组的MAC地址和IP地址的对应关系。

缺省情况下，交换机采用备份组的虚拟MAC地址和虚拟IP地址对应。

&  说明：

由于芯片原因，交换机在虚拟MAC和虚拟路由器的IP地址对应时，一个VLAN接口下所能够配置的备份组数由芯片类型决定，具体请参考设备规格。

1.1.2  备份组简介

1. 备份组内的交换机配置任务简介

VRRP将局域网内的一组交换机组织为一个虚拟的路由器，这组交换机称为一个备份组。

S3600交换机允许用户对备份组内的交换机进行以下的配置：

表1-1 备份组内的交换机配置任务简介

2. 配置备份组中交换机的优先级

用户可以配置备份组中交换机的优先级，VRRP会根据优先级来确定备份组内的每台交换机的地位，备份组中优先级最高的交换机将成为Master。

优先级的取值范围为0到255（数值越大表明优先级越高），但是可配置的范围是1到254，255是系统保留给“IP地址拥有者”的。缺省情况下，优先级的取值为100。

&  说明：

对于“IP地址拥有者”，其优先级是不可配置的，始终为255。

3. 配置备份组中交换机的抢占方式

在没有设置抢占方式的备份组中，一旦某台交换机成为Master，只要它没有出现故障，即使在备份组中的其他交换机的优先级高于它，也不会成为Master。

如果交换机被设置为抢占方式，一旦备份组内的备份交换机发现自己的优先级比当前的Master的优先级高，就会抢占成为Master，相应地，原来的Master将会变成Backup。

S3600交换机允许用户设置备份组内的成员交换机的抢占方式，并且在设置抢占的同时，还可以设置抢占延迟时间，使得优先级较高的Backup延迟一段时间成为Master。设置延迟时间的目的在于：

在性能不够稳定的网络中，Master正常工作时，可能由于网络堵塞导致Backup收不到Master发来的报文，致使备份组内的成员频繁的进行主备状态转换。设置延迟时间后，Backup没有按时收到来自Master的报文，会等待一段时间，只有在这段等待时间过后Backup还没有收到来自Master的报文，Backup才会转换为Master。

4. 配置备份组中交换机的认证方式以及认证字

VRRP协议提供了以下两种认证方式，分别是：

l              simple：简单字符认证

l              md5：MD5认证

在一个有可能受到安全威胁的网络中，用户可以将认证方式设置为simple。将认证方式设置为simple后，发送VRRP报文的交换机会将认证字填入到VRRP报文中。而接收VRRP报文的交换机会将接收到的VRRP报文中的认证字和本地配置的认证字进行比较，如果认证字相同，交换机则认为接收到的报文是真实的、合法的VRRP报文，否则认为接收到的报文是一个非法的报文，并将非法的报文丢弃。在这种情况下，用户应当设置长度为不超过8字符的认证字。

在一个非常不安全的网络中，用户可以将认证方式设置为md5。将认证方式设置为md5后，交换机就会利用Authentication Header提供的认证方式和MD5算法来对VRRP报文进行认证。在这种情况下，用户应当设置长度不超过8字符的认证字，或者是24位经过加密的密文。

对于没有通过认证的报文，交换机会将其丢弃，并向网管发送Trap报文。

5. 配置VRRP定时器

VRRP备份组中的Master交换机会定时发送VRRP报文（时间间隔为adver-interval），向组内的其他交换机通知自己工作正常。如果Backup超过一定时间（时间间隔为master-down-interval）没有收到Master发送来的VRRP报文，则认为它已经无法正常工作，就会自动将自己的状态转变为Master。

用户可以通过设置定时器的命令来调整Master发送VRRP报文的间隔时间adver-interval。而Backup的master-down-interval的间隔时间则是adver-interval的3倍。如果网络流量过大或者不同的交换机上的定时器差异等因素，会导致master-down-interval异常超时而发生状态转换。

对于这种情况，可以通过将adver-interval的间隔时间延长和设置抢占延迟时间的办法来解决。如果用户在Backup交换机上设置了抢占延迟时间，则Backup交换机会在master-down-interval的间隔时间后，再等待设定的抢占延迟时间，如在此期间备份组内没有交换机成为Master，则此Backup交换机将成为Master。

6. 配置备份组的指定监视端口

VRRP的监视接口功能更好地扩充了Backup交换机的备份功能，即不仅能在备份组所在的接口出现故障时提供备份功能，而且在交换机的其它接口不可用时，也可以使用备份功能。具体做法是通过设置监视某个接口的命令来实现。

当被监视的接口DOWN掉时，拥有这个接口的交换机的优先级会自动降低一个数值（value-reduced），可能导致备份组内其它交换机的优先级高于这个交换机的优先级，从而使得其它优先级高的交换机转变为Master。

1.1.3  VRRP备份组端口监视配置简介

VRRP备份组端口监视功能可以对物理端口进行链路状态监视，在物理端口发生故障时，自动降低交换机在备份组中的优先级。

如果备份组内管理交换机（Master）与上游连接的物理端口发生故障时，管理交换机的优先级按照设定的优先级降低值自动降低，从而促使备份组内重新选举管理交换机。

1.1.4  VRRP自动侦测功能简介

&  说明：

目前只有S3600-EI设备支持自动侦测在VRRP中的应用。

自动侦测的返回结果（可达或者不可达）可以被VRRP所引用，作为VRRP备份组的优先级是否生效的一个必要条件。用户可以利用自动侦测的返回结果来控制VRRP备份组的优先级，实现主备交换机的自动切换：

l              当侦测组不可达时，降低备份组的优先级；

l              当侦测组可达时，恢复备份组的优先级。

关于自动侦测请参见自动侦测手册。

1.2  VRRP配置

1.2.1  VRRP配置任务简介

表1-2 VRRP配置任务简介

1.2.2  配置虚拟路由器IP地址

对虚拟路由器的IP地址，用户可以进行以下的配置（假设用户已经正确配置了端口和VLAN的配置关系）：

表1-3 虚拟路由器IP地址的配置过程

1.2.3  配置备份组参数

对备份组内的交换机，用户可以进行如下配置：

表1-4 备份组参数的配置过程

1.2.4  VRRP备份组端口监视配置

表1-5 VRRP备份组端口监视配置过程

&  说明：

l      监视物理端口时，该端口可以与备份组的VLAN接口属于同一个VLAN

l      最多可以对8个端口进行监控

1.2.5  VRRP自动侦听配置任务

&  说明：

在进行以下配置前，用户应先完成侦测组的创建和VRRP的配置。关于侦测组的创建请参见自动侦测手册。

表1-6 VRRP中的应用配置任务

&  说明：

每个自动侦测组最多可以侦测8个三层类型的接口。

1.3  VRRP的显示和维护

完成上述配置后，在任意视图下执行display命令，可以显示配置VRRP后的运行情况。通过查看显示信息，用户可以验证配置的效果。在用户视图下执行reset命令可以清除VRRP的统计信息。

表1-7 VRRP的显示和维护

1.4  VRRP典型配置举例

1.4.1  VRRP单备份组举例

1. 组网需求

主机A把交换机A和交换机B组成的VRRP备份组作为自己的缺省网关，访问Internet上的主机B。

VRRP备份组构成：

l              备份组号为1

l              虚拟路由器的IP地址为202.38.160.111

l              交换机A做Master

l              交换机B做备份交换机，允许抢占

表1-8 组网说明

2. 组网图

图1-3 VRRP配置组网图

3. 配置步骤

(1)        配置交换机A：

# 配置VLAN2。

<LSW-A> system-view

[LSW-A] vlan 2

[LSW-A-vlan2] port Ethernet 1/0/6

[LSW-A-vlan2] quit

[LSW-A] interface Vlan-interface 2

[LSW-A-Vlan-interface2] ip address 202.38.160.1 255.255.255.0

[LSW-A-Vlan-interface2] quit

# 使备份组的虚拟路由器的IP地址可以被ping通。

[LSW-A] vrrp ping-enable

# 创建一个备份组。

[LSW-A] interface vlan 2

[LSW-A-Vlan-interface2] vrrp vrid 1 virtual-ip 202.38.160.111

# 设置备份组的优先级。

[LSW-A-Vlan-interface2] vrrp vrid 1 priority 110

# 设置备份组的抢占方式。

[LSW-A-Vlan-interface2] vrrp vrid 1 preempt-mode

(2)        配置交换机B：

# 配置VLAN2。

<LSW-B> system-view

System View: return to User View with Ctrl+Z.

[LSW-B] vlan 2

[LSW-B-Vlan2] port Ethernet 1/0/5

[LSW-B-vlan2] quit

[LSW-B] interface Vlan-interface 2

[LSW-B-Vlan-interface2] ip address 202.38.160.2 255.255.255.0

[LSW-B-Vlan-interface2] quit

# 使备份组的虚拟路由器的IP地址可以被ping通。

[LSW-B] vrrp ping-enable

# 创建一个备份组。

[LSW-B] interface vlan 2

[LSW-B-Vlan-interface2] vrrp vrid 1 virtual-ip 202.38.160.111

# 设置备份组的抢占方式。

[LSW-B-Vlan-interface2] vrrp vrid 1 preempt-mode

主机A可将缺省网关设为202.38.160.111。

正常情况下，交换机A行使网关的职能，当交换机A关机或出现故障，交换机B将接替行使网关的职能。

设置抢占方式的目的是当交换机A恢复工作后，能够继续成为Master行使网关的职能。

1.4.2  VRRP监视接口举例

1. 组网需求

通过配置监视接口来实现：即使交换机A仍然工作，但当其连接Internet的接口不可用时，由交换机B（具备另外一条链路和外界相连）来行使网关的职能。

为了便于说明，设备份组号为1，并增加授权字和计时器的配置。

2. 组网图

图1-4 VRRP配置组网图

3. 配置步骤

(1)        配置交换机A：

# 配置VLAN2。

<LSW-A> system-view

System View: return to User View with Ctrl+Z.

[LSW-A] vlan 2

[LSW-A-vlan2] port Ethernet 1/0/6

[LSW-A-vlan2] quit

[LSW-A] interface Vlan-interface 2

[LSW-A-Vlan-interface2] ip address 202.38.160.1 255.255.255.0

[LSW-A-Vlan-interface2] quit

# 使备份组的虚拟路由器的IP地址可以被ping通。

[LSW-A] vrrp ping-enable

# 创建一个备份组。

[LSW-A] interface Vlan-interface 2

[LSW-A-Vlan-interface2] vrrp vrid 1 virtual-ip 202.38.160.111

# 设置备份组的优先级。

[LSW-A-Vlan-interface2] vrrp vrid 1 priority 110

# 设置备份组的认证密码为MD5认证，密码为abc123。

[LSW-A-Vlan-interface2] vrrp authentication-mode md5 abc123

# 设置Master发送VRRP报文的间隔时间为5秒。

[LSW-A-Vlan-interface2] vrrp vrid 1 timer advertise 5

# 设置监视接口。

[LSW-A-Vlan-interface2] vrrp vrid 1 track Vlan-interface 3 reduced 30

(2)        配置交换机B：

# 配置VLAN2。

<LSW-B> system-view

System View: return to User View with Ctrl+Z.

[LSW-B] vlan 2

[LSW-B-vlan2] port Ethernet 1/0/5

[LSW-B-vlan2] quit

[LSW-B] interface Vlan-interface 2

[LSW-B-Vlan-interface2] ip address 202.38.160.2 255.255.255.0

[LSW-B-Vlan-interface2] quit

# 使备份组的虚拟路由器的IP地址可以被ping通。

[LSW-B] vrrp ping-enable

# 创建一个备份组。

[LSW-B] interface Vlan-interface 2

[LSW-B-Vlan-interface2] vrrp vrid 1 virtual-ip 202.38.160.111

# 设置备份组的认证字。

[LSW-B-Vlan-interface2] vrrp authentication-mode md5 abc123

# 设置Master发送VRRP报文的间隔时间为5秒。

[LSW-B-Vlan-interface2] vrrp vrid 1 timer advertise 5

正常情况下，交换机A行使网关的职能，当交换机A的接口vlan-interface 3不可用时，交换机A的优先级降低30，低于交换机B优先级，交换机B将抢占成为Master行使网关的职能。

当交换机A的接口vlan-interface3恢复工作后，交换机A能够继续成为Master行使网关的职能。

1.4.3  VRRP多备份组举例

1. 组网需求

允许一台交换机为多个备份组作备份。

通过多备份组设置可以实现负荷分担。如交换机A作为备份组1的Master，同时又兼职备份组2的备份交换机，而交换机B正相反，作为备份组2的Master，并兼职备份组1的备份交换机。一部分主机使用备份组1作网关，另一部分主机使用备份组2作为网关。这样，以达到分担数据流，而又相互备份的目的。

2. 组网图

图1-5 VRRP配置组网图

3. 配置步骤

(1)        配置交换机A：

# 配置VLAN2。

<LSW-A> system-view

System View: return to User View with Ctrl+Z.

[LSW-A] vlan 2

[LSW-A-vlan2] port Ethernet 1/0/6

[LSW-A-vlan2] quit

[LSW-A] interface Vlan-interface 2

[LSW-A-Vlan-interface2] ip address 202.38.160.1 255.255.255.0

# 创建一个备份组1。

[LSW-A-Vlan-interface2] vrrp vrid 1 virtual-ip 202.38.160.111

# 设置备份组的优先级。

[LSW-A-Vlan-interface2] vrrp vrid 1 priority 150

# 创建一个备份组2。

[LSW-A-Vlan-interface2] vrrp vrid 2 virtual-ip 202.38.160.112

(2)        配置交换机B：

# 配置VLAN2。

<LSW-B> system-view

System View: return to User View with Ctrl+Z.

[LSW-B] vlan 2

[LSW-B-vlan2] port Ethernet 1/0/6

[LSW-B-vlan2] quit

[LSW-B] interface vlan-interface 2

[LSW-B-Vlan-interface2] ip address 202.38.160.2 255.255.255.0

# 创建一个备份组1。

[LSW-B-Vlan-interface2] vrrp vrid 1 virtual-ip 202.38.160.111

# 创建一个备份组2。

[LSW-B-Vlan-interface2] vrrp vrid 2 virtual-ip 202.38.160.112

# 设置备份组的优先级。

[LSW-B-Vlan-interface2] vrrp vrid 2 priority 110

&  说明：

在实际组网应用中，一般都使用多备份组。

1.4.4  VRRP备份组端口监视配置举例

1. 组网需求

l              备份组1内有Master和Backup交换机各一台；

l              Master交换机和Backup交换机的实际IP地址分别为10.100.10.2和10.100.10.3；

l              Master交换机通过端口Ethernet1/0/1与上游网络相连，Backup交换机通过端口Ethernet1/0/2与上游网络相连；

l              备份组的虚拟路由器的IP地址为10.100.10.1；

l              配置Master交换机的Ethernet1/0/1端口上的端口监视功能，当端口发生故障断开后，Master交换机优先级降低50，从而使备份组1内重新选举Master。

2. 组网图

图1-6 VRRP备份组端口监视典型组网图

3. 配置步骤

请在Master设备上进行以下配置：

# 进入系统视图

<H3C> system-view

# 建立VLAN 2

[H3C] vlan 2

[H3C-vlan2] port Ethernet1/0/1

[H3C-vlan2] quit

# 进入Ethernet 1/0/1，并使能VRRP TRACK特性

[H3C] interface Ethernet1/0/1

[H3C-Ethernet1/0/1] vrrp vlan-interface 2 vrid 1 track reduced 50

1.4.5  VRRP自动侦测配置举例

1. 组网需求

l              Switch B和Switch D组成一个VRRP备份组1，虚拟IP地址为192.168.1.10；

l              正常情况下，Switch A的数据通过Switch B到达Switch C；

l              当Switch B与Switch C间的链路失效后，Switch D自动成为备份组1中的Master，Switch D到Switch C的这条备用链路生效。

2. 组网图

图1-7 VRRP的应用组网图

3. 配置步骤

(1)        配置Switch B

# 创建一个自动侦测组9。

<H3C B> system-view

[H3C B] detect-group 9

# 增加侦测对象10.1.1.4，侦测序号为1。

[H3C B-detect-group-9] detect-list 1 ip address 10.1.1.4

[H3C B-detect-group-9] quit

# 配置VLAN接口1的IP地址。

[H3C B] interface vlan-interface 1

[H3C B-Vlan-interface1] ip address 192.168.1.2 24

# 在VLAN接口1上启用VRRP，设置虚拟IP地址。

[H3C B-Vlan-interface1] vrrp vrid 1 virtual-ip 192.168.1.10

# 设置Switch B的备份组优先级为110，当侦测组9不可达时将优先级降低20。

[H3C B-Vlan-interface1] vrrp vrid 1 priority 110

[H3C B-Vlan-interface1] vrrp vrid 1 track detect-group 9 reduced 20

(2)        配置Switch D

# 配置VLAN接口1的IP地址。

<H3C D> system-view

[H3C D] interface vlan-interface 1

[H3C D-Vlan-interface1] ip address 192.168.1.3 24

# 在VLAN接口1上创建备份组，设置虚拟IP地址。

[H3C D-Vlan-interface1] vrrp vrid 1 virtual-ip 192.168.1.10

# 设置Switch D的备份组优先级为100。

[H3C D-Vlan-interface1] vrrp vrid 1 priority 100

1.5  VRRP故障诊断与排错

VRRP配置不是很复杂，如果功能不正常，基本可以通过查看配置以及调试信息来定位。以下就如何排除常见的故障加以说明。

1. 故障之一：控制台上频频给出配置错误的提示

这表明交换机收到了错误的VRRP报文。一种可能是备份组内的另一台交换机配置不一致，另一种可能是有的设备试图发送非法的VRRP报文。对于第一种可能，可以通过修改配置来解决。对于第二种可能，则是有些设备有不良企图，应当通过非技术手段来解决。

2. 故障之二：同一个备份组内出现多个Master交换机

这分为两种情况，一种是多个Master并存时间较短，属于正常情况，无需进行人工干预；另一种是多个Master长时间共存，有可能是备份组内成员之间收不到VRRP报文，或者收到的报文不合法。

解决方法：在多个Master之间互相ping，如果ping不通，请先检查设备连通性。如果能ping通，请检查VRRP的配置。对于同一个VRRP备份组的配置，必须保证虚拟路由器的IP地址个数、每个虚拟路由器的IP地址、定时器间隔时间和认证方式完全一样。

3. 故障之三：VRRP的状态频繁转换

这种情况一般是由于备份组的定时器间隔时间设置太短造成的，加大这个时间间隔或者设置抢占延迟都可以解决这种故障。