【正文】 從 李老師身上，我不僅學(xué)到了豐富的知識，更學(xué)到了做人的道理。 HRSP、VRRP 都必須選定一個(gè)活動(dòng)路由器，而備用路由器則處于閑置狀態(tài) (雖然 HRSP 劃分了那么多狀態(tài)，但是仍然是沒有讓備用路由器利用起來 )。 6 HSRP的 雙機(jī)機(jī)熱備份 HSRP 的配置 在圖 ，在路由器 R1與 R2 上配置了 HSRP 備份組來為內(nèi)部網(wǎng)段 /24 提供 HSRP 服務(wù)，而在路由器 R3上沒有配置 VRRP 而只是配置了普通路由功能。如果使用 BFD 進(jìn)行探測，完全可以適應(yīng) VRRP 實(shí)時(shí)性要求解決切換時(shí)間 過長問題。 對于監(jiān)視功 能降低優(yōu)先級的考慮 ： 允許配置的降低范圍為 1～ 255。其實(shí)就是在 BACKUP 的等待時(shí)間之后追加一個(gè)手工配置的延遲時(shí)間，以解決上述問題。 在 R2 上用命令： R2show vrrp brief 可以看到如 圖： 20 從上圖可以看到在組 1 和組 2中 R2都是主路由器，主備路由器進(jìn)行了切換。 在 R2 上用命令： R2show vrrp brief 可以看到如 圖： 上 圖 表明 R2成為主路由器。 在圖 ，在路由器 R1與 R2上配置了 VRRP備份組來為內(nèi)部網(wǎng)段 /24提供 VRRP服務(wù)，而在路由器 R3 上沒有配置 VRRP 而只是配置了普通路由功能。換言之主機(jī)在理論上完全不受路由器切換的影響 ； 而網(wǎng)關(guān) G 要求對隱藏網(wǎng)絡(luò)的各主機(jī)了如指掌，這樣所有進(jìn)入隱藏網(wǎng)絡(luò)的數(shù)據(jù)報(bào)文都先送到網(wǎng)關(guān) G，網(wǎng)關(guān) G 在將報(bào)文 11 送往應(yīng)該到達(dá)的主機(jī)，同樣網(wǎng)關(guān) G 也掌握主網(wǎng)絡(luò)上的主機(jī)，以便對外出的數(shù)據(jù)進(jìn)行合適的操作。 一個(gè)虛擬路由器 (由主控路由器執(zhí)行其功能 )擁有一個(gè)虛擬 MAC 地址，地址的格式為 00005E0001[VRID]。優(yōu)先級最大的為主控路由器，若優(yōu)先級相同，則比較接口的主 IP 地址，主 IP地址大的就成為主控路由器，由它提供實(shí)際的路由服務(wù)。 丟棄所有 目的 MAC 地址是虛擬路由器 MAC地址的數(shù)據(jù)包 ； 當(dāng)由于某種原因主控路由器發(fā)生故障時(shí)，備份路由器升級為主控路由器。靜態(tài)路由的方法簡化了網(wǎng)絡(luò)管理的復(fù)雜度和減輕了終端設(shè)備的通信開銷，但是它仍然有一個(gè)缺點(diǎn) ： 如果作為默認(rèn)網(wǎng)關(guān)的路由器損壞，所有使用該網(wǎng)關(guān)為下一跳主機(jī)的通信必然要中斷。 GLBP 可以分配多個(gè) MAC 地址到虛擬 IP，從而允許客戶端選擇不同的路由器作為其默認(rèn)網(wǎng)關(guān)，而所有客戶端即主機(jī)的網(wǎng)關(guān)地址仍使用相同的虛擬 IP，從而實(shí)現(xiàn)一定的冗余。這個(gè)組內(nèi)只有一個(gè)路由器是活動(dòng)的（ Active） ,并由它來轉(zhuǎn)發(fā)數(shù)據(jù)包，如果活動(dòng)路由器發(fā) 生了故障，備份路由器將成為活動(dòng)路由器。本文討論了 VRRP 協(xié)議的原理，在常見組網(wǎng)應(yīng)用的基 礎(chǔ)上針對實(shí)際應(yīng)用中的效率和安全問題提出一些解決思路，并對 VRRP 切換效率的提高和網(wǎng)絡(luò)安全的保障作 了 可行性分析，對類 VRRP 協(xié)議的優(yōu)劣進(jìn)行了分析與比較，對 VRRP的缺點(diǎn)提出了改進(jìn)方案。一方面它可以實(shí)現(xiàn)默認(rèn)下一跳的冗余備份，另外它還可以實(shí)現(xiàn)多個(gè)默認(rèn)網(wǎng)關(guān)的負(fù)載均衡。路由器備份最優(yōu)方案還是要用“虛 IP+虛 MAC 共享” 的方式，這一點(diǎn)上， GLBP 沿襲的還是 VRRP 和 GLBP 的思路，這沒有疑問。 在基于 TCP/IP 協(xié)議的網(wǎng)絡(luò)中，為了保證不直接進(jìn)行物理連接的設(shè)備之間的通信，必須指定路由。處于同一個(gè) VRRP 組中的路由器具有兩種互斥的角色：主控路由器和備份路由器。 (3) BACKUP 備機(jī)狀態(tài)下的路由器要實(shí)現(xiàn)以下功能 : MD5認(rèn)證數(shù)據(jù)另有一種 填充方式 :封裝在 AH 報(bào)文中 9 VRRP 選舉機(jī)制 在同一個(gè)局域網(wǎng)中，具有相同 VRID 號的路由器組成一個(gè) VRRP 組， VRID 號是由用戶自己設(shè)定的，其取值范圍為 1～ 255，同一臺運(yùn)行 VRRP 協(xié)議的路由器，它可以參與一個(gè)或多個(gè)備份組，從而備份一個(gè)或者多 個(gè)虛擬路由器。這保證了 VRID 在不同網(wǎng)絡(luò)中可以重 復(fù)使用。這種情況下，應(yīng)當(dāng)設(shè)置長度為不超過 8 位的認(rèn)證字，對于沒有通過認(rèn)證的報(bào)文將做丟棄處理。 綜上所述， VRRP 相比各種機(jī)制的優(yōu)點(diǎn)有 ： VRRP 協(xié)議本身需要配合動(dòng)態(tài)路由協(xié)議使用，才能達(dá)到較好的冗余特性。在 WorkStation A 上連續(xù) PING WorkStation B（在實(shí)驗(yàn)中由于實(shí)驗(yàn)條件限制，用 PING R3 的 FE0 接口 IP 地址代替，不影響效果）， 用shutdown 命令 在 R1 上關(guān)閉 FE0 接口，觀察 WorkStation A 上 PING 的結(jié)果。 在 的配置中只要加上 下面給出 的 路由器 R1與 R2 的配置 命令即可 。當(dāng)然，如果配置合理，優(yōu)先級最高的馬上通過通告報(bào)文勒令其他路由器退避成為 BACKUP，多個(gè) MASTER 并存的時(shí)間 極短。路由器 R1 上進(jìn)行接口監(jiān)視配置，使監(jiān)視 FE1 鏈路，在鏈路故障時(shí)主動(dòng)降低一定數(shù)值的優(yōu)先級，比如 30。 VRRP 應(yīng)用 BFD 進(jìn)行探測 由于 BFD 的使命簡單而抽象，因此它可以將重點(diǎn)放在盡快發(fā)現(xiàn)轉(zhuǎn)發(fā)故障上，由此讓語音、視頻和其他苛求的服務(wù)得到取得成功所需要的轉(zhuǎn)發(fā)服務(wù)。 這兩處改動(dòng)都是為了解決切換時(shí)間過長導(dǎo)致流量較長時(shí)間中斷的問題。 VRRP 包括一個(gè)保護(hù) VRRP 分組不會(huì)被另外一個(gè)遠(yuǎn)程網(wǎng)絡(luò)添加內(nèi)容的機(jī)制 (設(shè)置 TTL 值 =255,并在接受時(shí)檢查 ),這限制了可以進(jìn)行本地攻擊的大部分缺陷 .而 HSRP 在它的消息中使用的 TTL 值是 1。 8 致 謝 首先，我要感謝我的導(dǎo)師 —— 李偉 老師。 我還要 特別 感謝 學(xué)校實(shí)驗(yàn)室的孔藝權(quán)老師 和廣東海洋大學(xué)的肖洪生老師，在我做實(shí)驗(yàn)期間兩位老師給予我熱心的幫助和悉心的指導(dǎo)。 個(gè)人認(rèn)為 HSRP 過于復(fù)雜的狀態(tài)機(jī)并不如 VRRP 狀態(tài)機(jī)簡明優(yōu)美，細(xì)分的角色也并沒有太大的實(shí)際意義。 圖 建立 HSRP環(huán) 境的網(wǎng)絡(luò)連接示意圖 24 路由器 R1 的配置： R1configure terminal Enter configuration mands, one per line. End with CNTL/Z. R1(config)interface FastEther0 R1(configif)no shutdown R1(configif)ip address R1(configif)standby 1 ip R1(configif)standby 1 priority 120 R1(configif)standby 1 preempt R1(configif)standby 1 track s0 30 R1(configif)standby 2 ip R1(configif)standby 2 preempt R1(configif)exit R1(config)end R1 路由器 R2的配置： R2configure terminal Enter configuration mands, one per line. End with CNTL/Z. R2(config)interface FastEther0 R2(configif)no shutdown R2(configif)ip address R2(configif)standby 1 ip R2(configif)standby 1 preempt R2(configif)standby 2 ip R2(configif)standby 2 priority 120 R2(configif)standby 2 preempt R2(configif)standby 2 track s0 30 R2(configif)exit R2(config)end R2 在這里創(chuàng)建了兩個(gè) HSRP 組，第一個(gè)組的 IP 為 ，活動(dòng)路由器為R1，一部分計(jì)算機(jī)的網(wǎng)關(guān)指向 。修改之后 VRRP 的定時(shí)器行為 ： 所以用戶在使用時(shí)需要注意這一點(diǎn)。 21 實(shí)現(xiàn) VRRP 監(jiān)視功能 為保證 VRRP 的備份功能真正起作用， 最 關(guān)鍵的一個(gè)環(huán)節(jié)就是在 MASTER 不能正常執(zhí)行轉(zhuǎn)發(fā)業(yè)務(wù)時(shí) BACKUP 能夠迅速接替。這時(shí)每個(gè)主路由器會(huì)比較 VRRP 報(bào)文中的優(yōu)先級和自己本地的優(yōu)先級，如果本地的優(yōu)先級小于 VRRP 廣播報(bào)文中的優(yōu)先級，則將自己的狀態(tài)轉(zhuǎn)變?yōu)閭浞萋酚善?，否則不變。配置如下： R1(config)int fe0 R1(configif)vrrp 1 track fastether1 30 設(shè)置 FE1 為 VRRP 備份組監(jiān)視的接口 以上表明跟蹤的是 FE1 接口，如果該接口出故障了，優(yōu)先級降低 30。下面給出路由器 R3 的配置 ： routeraen 14 進(jìn)入特權(quán)用戶模式 Password: 輸入密碼 routeraconfig t 進(jìn)入全局配置模式 Enter configuration mands, one per line. End with CNTL/Z. routera(config)hostname R3 更改路由器名為 R1 R3(config)interface fastether1/0 配置接口 FE0 R3(configif)ip address 設(shè)置 FE0 的 IP地址 R3(configif)no shutdown 激活當(dāng)前接口 R3(configif)exit 返回上一級 R3(config)int f1/1 配置接口 FE1 R3(configif)no shutdown 激活當(dāng)前接口 R3(configif)ip address 設(shè)置 FE0 的 IP地址 R3(configif)exit 返回上一級 R3(config)router ospf 啟動(dòng) OSPF 路由協(xié)議 R3(configrouter)work area 0 設(shè)置發(fā)布路由 R3(configrouter)work area 0 R3(configrouter)end R3 14 R3show ip route 顯示路由信息 Codes: C connected, S static, R RIP O OSPF, IA OSPF inter area N1 OSPF NSSA external type 1, N2 OSPF NSSA external type 2 E1 OSPF external type 1, E2 OSPF external type 2 * candidate default Gateway of last resort is no set C , FastEther 1/1 C O [110/2] via , 00:00:17, FastEther 1/1 C , FastEther 1/0 C R3 VRRP 單備份組配置 按照圖 建立連接。 但是 VRRP 協(xié)議看似簡單，其實(shí)涉及甚廣，要想很好地實(shí)現(xiàn)和應(yīng)用，都需要花一番工夫。而新的路由器的 MAC 并不能為主機(jī)所知，除非主機(jī)重新發(fā)起 ARP 請求。這樣，對于網(wǎng)絡(luò)中的 IP 終端設(shè)備來說，主備 路由器之間的切換是透明的， IP終端設(shè)備對外的通信不會(huì)因?yàn)橐慌_路由器的故障而受到影響，即消除了單點(diǎn)故障。主控路由器的選舉中，高 優(yōu)先級的虛擬路由器獲勝，因此，如果在 VRRP 組中有 IP地址所有者，則它總是作為主控路由的角色出現(xiàn)。 主機(jī)超時(shí)定時(shí)器超時(shí)的時(shí)候，發(fā)送 VRRP 通告信息，廣播 ARP 地址信息，轉(zhuǎn)MASTER 狀態(tài) ； 簡單地說， INITIALIZE 即初始態(tài) ； MASTER 即主用狀態(tài)，也就是在 VRRP 備份組中真正起作用的路由器 ； BACKUP 即備用狀態(tài)，是 MASTER 的備份。因此， VRRP 設(shè)計(jì)目標(biāo)是支持特定情況下 IP 流量失敗轉(zhuǎn)移不會(huì)引起混亂、并允許主機(jī)使用單路由器，以及即使在實(shí)際第一跳路由器使用失敗的情形下仍能維護(hù)路由器間的連通性。某路由器被推舉為 AVG 后，和 HSRP不同的工作開始了， AVG分配虛擬的 MAC地址給其他 GLBP組成員。同時(shí) ,根據(jù)優(yōu)先級方案決定將優(yōu)先級最高的路由器設(shè)備定義為活動(dòng)路由 (路由器的缺省優(yōu)先級為 100),協(xié)議組中的其他路由器則為備用路由器。這就對網(wǎng)絡(luò)的可靠性提出了越來越高的要求。 VRRP本質(zhì)上是一種基于虛 IP共享的路由器備份技術(shù) ， 除了 VRRP之外， 它們包括HSRP、 GLBP。 HSRP 協(xié)議組中的活動(dòng)路由器、備用路由器之間的動(dòng)態(tài)熱切換都是自動(dòng)完成 ,而不用修改 網(wǎng)關(guān)地址 ,網(wǎng)絡(luò)系統(tǒng)中的設(shè)備指向的缺省網(wǎng)關(guān)都是 HSRP 協(xié)議組中定義的虛擬網(wǎng)關(guān)的 IP 地址 ,只不過不同情況下映