目  录

第1章 可靠性概述

1.1 可靠性概述

第2章 VRRP配置

2.1 VRRP简介

2.2 VRRP配置

2.2.1 添加或删除虚拟IP地址

2.2.2 设置备份组的优先级

2.2.3 设置备份组的抢占方式和延迟时间

2.2.4 设置认证方式及认证字

2.2.5 设置VRRP的定时器

2.2.6 设置监视指定接口

2.2.7 设置虚拟IP地址是否可以使用ping命令ping通

2.2.8 设置是否需要检查VRRP报文的TTL值

2.3 VRRP显示和调试

2.4 VRRP典型配置举例

2.4.1 VRRP单备份组举例

2.4.2 VRRP监视接口举例

2.4.3 多备份组举例

2.5 VRRP故障诊断与排错

第1章  可靠性概述

1.1  可靠性概述

在数据通信过程中，各种软件或硬件错误都可能导致网络连接异常中断，造成数据传输失败。为了避免网络设备或线路出现故障时引起数据通信中断，Comware系统提供VRRP（Virtual Router Redundancy Protocol，虚拟路由冗余协议）技术确保在通信线路或设备故障时提供备用方案，从而保障数据通信的畅通，有效增强了网络的强壮性和可靠性。

VRRP提高网络与外界连接的可靠性，适用于支持组播或广播的局域网（如以太网等）。通过将多台路由器组成一个备份组（也可认为是虚拟路由器）作为本地网络统一的出口网关，而备份组内的路由器对本地网络是透明的。在备份组内有一台路由器处于活动状态，承担报文转发任务，一台路由器处于备份状态并随时接替任务，其余路由器处于监听状态。当处于活动状态的路由器出现故障时，将会由处于备份状态的路由器接替其工作，而其余处于监听状态的路由器将再决定出另一台路由器担任备份工作。这样本地主机就可以不作任何修改地继续工作，极大地提高了通信的可靠性。

第2章  VRRP配置

2.1  VRRP简介

VRRP（Virtual Router Redundancy Protocol，虚拟路由冗余协议）是一种容错协议。通常，一个网络内的所有主机都设置一条缺省路由（如下图所示，10.100.10.1），这样，主机发出的目的地址不在本网段的报文将被通过缺省路由发往RouterA，从而实现了主机与外部网络的通信。当RouterA坏掉时，本网段内所有以RouterA为缺省路由下一跳的主机将断掉与外部的通信。

图2-1 局域网组网方案

VRRP就是为解决上述问题而提出的，它为具有多播或广播能力的局域网（如：以太网）设计。我们结合下图来看一下VRRP的实现原理。VRRP将局域网的一组路由器（包括一个Master即活动路由器和若干个Backup即备份路由器）组织成一个虚拟路由器，称之为一个备份组。

图2-2 VRRP组网示意图

这个虚拟的路由器拥有自己的IP地址10.100.10.1（这个IP地址可以和备份组内的某个路由器的接口地址相同），备份组内的路由器也有自己的IP地址（如Master的IP地址为10.100.10.2，Backup的IP地址为10.100.10.3）。局域网内的主机仅仅知道这个虚拟路由器的IP地址10.100.10.1，而并不知道具体的Master路由器的IP地址10.100.10.2以及Backup路由器的IP地址10.100.10.3，它们将自己的缺省路由下一跳地址设置为该虚拟路由器的IP地址10.100.10.1。于是，网络内的主机就通过这个虚拟的路由器来与其它网络进行通信。如果备份组内的Master路由器出现故障，Backup路由器将会通过选举策略选出一个新的Master路由器，继续向网络内的主机提供路由服务。从而实现网络内的主机不间断地与外部网络进行通信。

关于VRRP协议的详细信息，可以参考RFC 2338。

2.2  VRRP配置

VRRP的基本配置包括：

l              添加或删除虚拟IP地址

l              设置备份组的优先级

l              设置备份组的抢占方式和延迟时间

VRRP的高级配置包括：

l              设置备份组的认证方式和认证字

l              设置备份组的定时器

l              设置监视指定接口

l              设置虚拟IP地址是否可以使用ping命令ping通

l              设置检查VRRP报文的TTL域

2.2.1  添加或删除虚拟IP地址

将一个本网段的IP地址指定给到一个虚拟路由器（也称为一个备份组），或将一个指定到一个备份组虚拟IP地址从虚拟地址列表中删除。

请在接口视图下进行下列配置。

表2-1 添加/删除虚拟IP地址

备份组号virtual-router-ID范围从1到255，虚拟地址可以是备份组所在网段中未被分配的IP地址，也可以是属于备份组某接口的IP地址。对于后者，称拥有这个接口IP地址的路由器为一个地址拥有者（IP Address Owner）。当指定第一个IP地址到一个备份组时，系统会创建这个备份组，以后再指定虚拟IP地址到这个备份组时，系统仅仅将这个地址添加到这个备份组的虚拟IP地址列表中。路由器的一个接口可以同时加入到14个备份组中。而一个备份组最多可以配置16个虚拟IP地址。在对一个备份组进行其它配置之前，必须先通过指定一个虚拟IP地址的命令将这个备份组创建起来。

备份组中最后一个虚拟IP地址被删除后，这个备份组也将同时被删除掉。也就是这个接口上不再有这个备份组，这个备份组的所有配置都不再有效。

2.2.2  设置备份组的优先级

VRRP中根据优先级来确定参与备份组的每台路由器的地位，备份组中优先级最高的路由器将成为Master。

优先级的取值范围为0到255（数值越大表明优先级越高），但是可配置的范围最小值是1，最大值是254。优先级0为系统保留给特殊用途来使用，255则是系统保留给IP地址拥有者。

请在接口视图下进行下列配置。

表2-2 设置备份组的优先级

缺省情况下，优先级为100。

2.2.3  设置备份组的抢占方式和延迟时间

在非抢占方式下，一旦备份组中的某台路由器成为Master，只要它没有出现故障，其它路由器即使随后被配置更高的优先级，也不会成为Master。如果路由器设置为抢占方式，它一旦发现自己的优先级比当前的Master的优先级高，就会成为Master，相应地，原来的Master将会变成Backup。

在设置抢占的同时，还可以设置延迟时间。这样可以使得Backup延迟一段时间成为Master。其目的在性能不够稳定的网络中，Backup可能因为网络堵塞而无法正常收到Master的报文，使用vrrp vrid命令配置了抢占延迟时间后，可以避免因网络的短暂故障而导致的备份组内路由器的状态频繁转换。

延迟的时间以秒计，范围为0～255。

请在接口视图下进行下列配置。

表2-3 设置和取消备份组的抢占方式和延迟时间

缺省方式是抢占方式，延迟时间为0秒。

2.2.4  设置认证方式及认证字

VRRP提供了两种认证方式，分别是：

l              Simple：简单字符认证。

l              MD5：MD5认证。

在一个安全的网络中，可以采用缺省值，则路由器对要发送的VRRP报文不进行任何认证处理，而收到VRRP报文的路由器也不进行任何认证。

在一个有可能受到安全威胁的网络中，可以将认证方式设置为Simple，则发送VRRP报文的路由器就会将认证字填入到VRRP报文中，而收到的VRRP报文的路由器会将收到的VRRP报文中的认证字和本地配置的认证字进行比较，相同则认为是真实的、合法的VRRP报文，否则认为是一个非法的报文，将其丢弃。这种情况下，应当设置长度为不超过8个字符的认证字。

在一个非常不安全的网络中，可以将认证方式设置为MD5，则路由器就会利用Authentication Header提供的认证方式和MD5算法来对VRRP报文进行认证。如果以明文形式输入，长度为1～8个字符，如：1234567；如果以密文形式输入，长度必须为24，并且必须是密文形式，如：_(TT8F]Y\5SQ=^Q`MAF4<1!!。

对于没有通过认证的报文将做丢弃处理，并会向网管发送陷阱报文。

请在接口视图下进行下列配置。

表2-4 设置认证方式和认证字

缺省认证方式为不进行认证。

2.2.5  设置VRRP的定时器

VRRP备份组中的Master路由器通过定时（adver-interval）发送VRRP报文来向组内的路由器通知自己工作正常。如果Backup超过一定时间（master-down-interval）没有收到Master发送来的VRRP报文，则认为它已经无法正常工作。同时就会将自己的状态转变为Master。

用户可以通过设置定时器的命令来调整Master发送VRRP报文的间隔时间（adver-interval）。而Backup的master-down-interval的间隔时间大约是adver-interval的3倍。如果网络流量过大或者不同的路由器上的定时器差异等因素，会导致master-down-interval异常到时而导致状态转换。对于这种情况，可以通过将adver-interval的间隔时间延长和设置延迟时间的办法来解决。adver-interval的时间单位是秒。

请在接口视图下进行下列配置。

表2-5 设置VRRP定时器

缺省情况下，adver-interval的值是1秒，取值范围为1～255。

2.2.6  设置监视指定接口

VRRP监视接口功能，更好地扩充了备份功能，即不仅在备份组所在的接口出现故障时提供备份功能，而且在路由器的其它接口不可用时，也可以使用备份功能。具体做法是通过设置监视某个接口的命令来实现。当被监视的接口DOWN时，这个接口的路由器的运行优先级会自动降低一个数额（priority-reduced），于是就会导致备份组内其它路由器的运行优先级高于这个路由器的运行优先级，从而使得其它运行优先级高的路由器转变为Master，达到对这个接口监视的目的。

请在接口视图下进行下列配置。

表2-6 设置和取消监视接口

缺省情况下，priority-reduced的值为10。

2.2.7  设置虚拟IP地址是否可以使用ping命令ping通

本配置任务可以使用户能够使用ping命令来ping通备份组的虚拟IP地址。根据VRRP的标准协议，备份组的虚拟IP地址是无法使用ping命令来ping通的。这时路由器连接的用户无法通过ping命令来判断一个IP地址是否被备份组使用。如果用户将自己的主机IP配置与备份组的虚拟IP地址相同的IP地址，将会使本网段的报文都发送到用户的主机，导致本网段的数据不能被正确转发。

使用下面的命令进行配置后，用户将可以使用ping命令ping通备份组的虚拟IP地址。

请在系统视图下进行下列配置。

表2-7 设定虚拟IP地址是否可以使用ping命令ping通

缺省情况下，用户不能使用ping命令ping通备份组的虚拟IP地址。

需要注意的是，此配置需要在备份组建立之前就进行设定。如果路由器上已经建立了备份组，系统将不允许再进行此配置。

2.2.8  设置是否需要检查VRRP报文的TTL值

VRRP协议规定VRRP报文的TTL值只能为255。如果Backup检查到VRRP报文的TTL值不是255，就会将此报文丢弃。

可以使用下面的命令来设置取消检查VRRP报文的TTL值。

请在接口视图下进行下列配置。

表2-8 设置是否取消检查VRRP报文的TTL值

缺省情况下，需要检查VRRP报文的TTL值。

2.3  VRRP显示和调试

在完成上述配置后，在任意视图下执行display命令可以显示VRRP配置后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，执行debugging vrrp命令可以对VRRP进行调试。

表2-9 VRRP显示和调试

缺省情况下，VRRP调试开关关闭。

2.4  VRRP典型配置举例

2.4.1  VRRP单备份组举例

1. 组网需求

主机A把RouterA和RouterB组成的VRRP备份组作为自己的缺省网关，访问Internet上的主机B。

VRRP备份组构成：备份组号为1，虚拟IP地址为202.38.160.111，RouterA做Master，RouterB做备份路由器，允许抢占。

2. 组网图

图2-3 VRRP配置组网图

3. 配置步骤

(1)        配置RouterA：

[H3C-GigabitEthernet1/0] ip address 202.38.160.1 24

[H3C-GigabitEthernet1/0] vrrp vrid 1 virtual-ip 202.38.160.111

[H3C-GigabitEthernet1/0] vrrp vrid 1 priority 120

(2)        配置RouterB：

[H3C-GigabitEthernet1/0] ip address 202.38.160.2 24

[H3C-GigabitEthernet1/0] vrrp vrid 1 virtual-ip 202.38.160.111

备份组配置后不久就可以使用。主机A可将缺省网关设为202.38.160.111。

正常情况下，RouterA执行网关工作，当RouterA关机或出现故障，RouterB将接替执行网关工作。

设置抢占方式，目的是当RouterA恢复工作后，能够继续成为Master执行网关工作。

2.4.2  VRRP监视接口举例

1. 组网需求

即使RouterA仍然工作，但当其连接Internet的接口不可用时，可能希望由RouterB来执行网关工作。可通过配置监视接口来实现上述需求。

为了便于说明，设备份组号为1，并增加授权字和计时器的配置（在该应用中不是必须的）。

2. 组网图

如图2-3。

3. 配置步骤

(1)        配置RouterA：

# 创建一个备份组。

[H3C-GigabitEthernet1/0] vrrp vrid 1 virtual-ip 202.38.160.111

# 设置备份组的优先级。

[H3C-GigabitEthernet1/0] vrrp vrid 1 priority 120

# 设置备份组的认证字。

[H3C-GigabitEthernet1/0] vrrp authentication-mode md5 h3c

# 设置Master发送VRRP报文的间隔时间为5秒。

[H3C-GigabitEthernet1/0] vrrp vrid 1 timer advertise 5

# 设置监视接口。

[H3C-GigabitEthernet1/0] vrrp vrid 1 track gigabitethernet2/0 reduced 30

(2)        配置RouterB：

# 创建一个备份组。

[H3C-GigabitEthernet1/0] vrrp vrid 1 virtual-ip 202.38.160.111

# 设置备份组的认证字。

[H3C-GigabitEthernet1/0] vrrp authentication-mode md5 h3c

# 设置Master发送VRRP报文的间隔时间为5秒。

[H3C-GigabitEthernet1/0] vrrp vrid 1 timer advertise 5

正常情况下，RouterA执行网关工作，当RouterA的接口GigabitEthernet2/0不可用时，RouterA的优先级降低30，低于RouterB优先级，RouterB将抢占成为Master执行网关工作。

当RouterA的接口GigabitEthernet2/0恢复工作后，RouterA能够继续成为Master执行网关工作。

2.4.3  多备份组举例

1. 组网需求

在Comware中，允许一台路由器为多个备份组作备份。

通过多备份组设置可以实现负荷分担。如RouterA作为备份组1的Master，同时又兼职备份组2的备份路由器，而RouterB正相反，作为备份组2的Master，并兼职备份组1的备份路由器。一部分主机使用备份组1作网关，另一部分主机使用备份组2作为网关。这样，以达到分担数据流，而又相互备份的目的。

2. 组网图

如图2-3。

3. 配置步骤

(1)        配置RouterA：

# 创建一个备份组1。

[H3C-GigabitEthernet1/0] vrrp vrid 1 virtual-ip 202.38.160.111

# 设置备份组的优先级。

[H3C-GigabitEthernet1/0] vrrp vrid 1 priority 120

# 创建一个备份组2。

[H3C-GigabitEthernet1/0] vrrp vrid 2 virtual-ip 202.38.160.112

(2)        配置RouterB：

# 创建一个备份组1。

[H3C-GigabitEthernet1/0] vrrp vrid 1 virtual-ip 202.38.160.111

# 创建一个备份组2。

[H3C-GigabitEthernet1/0] vrrp vrid 2 virtual-ip 202.38.160.112

# 设置备份组的优先级。

[H3C-GigabitEthernet1/0] vrrp vrid 2 priority 120

2.5  VRRP故障诊断与排错

VRRP配置不是很复杂，如果功能不正常，基本可以通过查看配置以及调试信息来定位。以下，就如何排除常见的故障加以说明。

故障之一：控制台上频频给出配置错误的提示

这表明收到一个错误的VRRP报文，一种可能是备份组内的另一台路由器由于配置不一致造成的，另一种可能是有的机器试图发送非法的VRRP报文。对于第一种可能，可以通过修改配置来解决。对于第二种可能，则是有些设备有不良企图，应当通过非技术手段来解决。

故障之二：同一个备份组内出现多个Master路由器

这分为两种情况，一种是多个Master并存时间较短，这种情况是正常的。无需进行人工干预。另一种是多个Master长时间共存，这很有可能是由于Master收不到VRRP报文，或者收到的报文不合法造成的。

解决的方法是，先在多个Master之间互相ping，如果ping不通，则是其它问题。如果能ping通，则一定是配置不同造成的，对于同一个VRRP备份组的配置，必须要保证虚拟IP地址个数、每个虚拟IP地址、定时器间隔时间和认证方式完全一样。

故障之三：VRRP的状态频繁转换

这种情况一般是由于备份组的定时器间隔时间（adver-interval）设置太短造成的，加大这个时间间隔或者设置抢占延迟都可以解决这种故障。