ENSP模拟VRRP配置教程
前言：
最近在回顾NA的东西，在复习OSPF时，发现了个叫VRRP协议的东西，关于这个协议，博主竟然完全没有印象......倒底是当年NA的内容不包括这个协议，还是博主当年漏学了这个协议，现在已经记不起了；不过，既然完全没印象，那就当作是没学过吧，也就花了一点时间学了一下；NA的东西果然还是比较简单的，如果追问其原理，不过就是"VIP（虚拟IP）"的抢占问题，这对学过"LVS/KeepAlived"的人来说能很容易的理解，博主甚至怀疑路由器操作系统的底层，VRRP协议就是基于"LVS/ipvsadm"实现的，当然这只是猜测；
VRRP能写的东西不多，要多写的话估计需要去了解其底层的实现代码，也就没这个必要了，这篇博文也就这样开始吧~~
一、拓扑图：
实验之前，当然需要先画拓扑图；读者可以自己在ENSP上配置；当然，如果你懒得画，也可以从博主的百度网盘中下载[ENSP -> VRRP.ZIP]，这个已经画好拓扑图并标注好信息但没有进行配置，省个自己画图的时间，博文所使用的网络拓扑环境如下图：
在这一网络拓扑中，关注点有：
1、最终目的是使"PC1/PC2"与"PC3"之间的实现通讯；
2、为了完成实验，需要正确的配置路由信息，"AR1/AR2/AR3"之间使用了OSPF动态路由技术；
3、规划"172.16.0.0/23"IP范围的PC的网关为"172.16.0.254"，"172.16.1.0/23"IP范围的PC的网关为"172.16.1.254"；其中"172.16.0.0/23"与"172.16.1.0/23"属同一子网可以互相通信；同一子网下不同IP范围的PC设定不同的网关，提高网络利用率；在这样的网络拓扑下，使用了"VRRP的互备技术"，实现物理网络的高可用；
4、从以上网络拓扑，可以看出，要启用VRRP技术的设备主要为"AR2"与"AR3"（"AR2"与"AR3"实现"VRRP互备"）；
5、将会设定两个"VRRP备份组"，其VIP分别为"172.16.0.254"与"172.16.1.254"；
6、会使用"VRRP的上传接口跟踪技术"，只有正确配置"VRRP的上传接口"监视策略，才能保证VRRP协议的"Master/Backup"的切换；
7、为贴近现实中的VRRP协议的使用方式，配置命令中会使用"VRRP的认证技术"（也有一条简单的配置命令）；
二、配置命令：
依据上文中的网络拓扑图及规划逻辑，相关的配置命令如下：
目标设备[ AR1_1220 ]
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 |
#[AR1] 前置配置 #[AR1] - 进入系统视图 #[AR1] - 重命名 #[AR1] - 配置"Vlan 1"接口IP（AR1220的硬件配置决定不能直接在"Ethernet 0/0/1"上配置IP） #[AR1] - 配置"GigabitEthernet 0/0/0"接口IP #[AR1] - 配置"GigabitEthernet 0/0/1"接口IP system-view [Huawei]sysname AR1 [AR1] [AR1]interface Vlanif 1 [AR1-Vlanif1]ip address 192.168.10.254 24 [AR1-Vlanif1]quit [AR1] [AR1]interface GigabitEthernet 0/0/0 [AR1-GigabitEthernet0/0/0]ip address 10.10.10.1 24 [AR1-GigabitEthernet0/0/0]quit [AR1] [AR1]interface GigabitEthernet 0/0/1 [AR1-GigabitEthernet0/0/1]ip address 10.20.20.1 24 [AR1-GigabitEthernet0/0/1]quit [AR1] #[AR1] OSPF配置 #[AR1] - 进入OSPF配置界面（未额外指定"Router_ID"），使用"1"号进程进行管理； #[AR1] - 配置"Area 0"上要宣告的网段（骨干网络）： #[AR1] *、网段表达方式使用"IP网段 + 反掩码" #[AR1] *、支持使用CIDR表示法 #[AR1] - 配置"Area 0"上的区域认证： #[AR1] *、在配置OSPF认证时，有两种方式：1、基于"区域"角度所设定的认证；2、1、基于"接口"角度所设定的认证； #[AR1] 本教程中使用的是'基于"区域"角度所设定的认证'； #[AR1] *、使用"MD5"的"1"号KEY，并设定密码为"0000"（你可以使用其它安全性更高的非"MD5"哈希技术） #[AR1] - 配置"Area 1"上要宣告的网段（非骨干网络）： #[AR1] *、网段表达方式使用"IP网段 + 反掩码" #[AR1] *、支持使用CIDR表示法 #[AR1] - 配置"Area 1"上的区域认证： #[AR1] *、在配置OSPF认证时，有两种方式：1、基于"区域"角度所设定的认证；2、1、基于"接口"角度所设定的认证； #[AR1] 本教程中使用的是'基于"区域"角度所设定的认证'； #[AR1] *、使用"MD5"的"1"号KEY，并设定密码为"1111"（你可以使用其它安全性更高的非"MD5"哈希技术） [AR1]ospf 1 [AR1-ospf-1]area 0 [AR1-ospf-1-area-0.0.0.0]network 10.10.10.0 0.0.0.255 [AR1-ospf-1-area-0.0.0.0]network 10.20.20.0 0.0.0.255 [AR1-ospf-1-area-0.0.0.0]authentication-mode md5 1 0000 [AR1-ospf-1-area-0.0.0.0]quit [AR1-ospf-1]area 1 [AR1-ospf-1-area-0.0.0.1]network 192.168.10.0 0.0.0.255 [AR1-ospf-1-area-0.0.0.1]authentication-mode md5 1 1111 [AR1-ospf-1-area-0.0.0.1]quit [AR1-ospf-1]quit [AR1] |
目标设备[ AR2_1220 ]
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 |
system-view [Huawei]sysname AR2 [AR2] [AR2]interface Vlanif 1 [AR2-Vlanif1]ip address 172.16.0.253 23 [AR2-Vlanif1]quit [AR2] [AR2]interface GigabitEthernet 0/0/0 [AR2-GigabitEthernet0/0/0]ip address 10.10.10.2 24 [AR2-GigabitEthernet0/0/0]quit [AR2] [AR2]ospf 1 [AR2-ospf-1]area 0 [AR2-ospf-1-area-0.0.0.0]network 172.16.0.0 0.0.1.255 [AR2-ospf-1-area-0.0.0.0]network 10.10.10.0 0.0.0.255 [AR2-ospf-1-area-0.0.0.0]authentication-mode md5 1 0000 [AR2-ospf-1-area-0.0.0.0]quit [AR2-ospf-1]quit [AR2] #[AR2] VRRP配置 #[AR2] - 进入需要配置VRRP的网络接口： #[AR2] - 在"1"号VRRP备份组设定VIP： #[AR2] *、设定VIP为"172.16.0.254" #[AR2] *、VRRP备份组的编号为"1" #[AR2] - 配置"1号VRRP备份组"的优先级： #[AR2] *、优先级默认值"100" #[AR2] - 配置"1号VRRP备份组"的通讯认证： #[AR2] *、支持"md5/simple"两种模式 #[AR2] - 配置"1号VRRP备份组"的"监视接口"： #[AR2] *、"监视接口"应指定为对应路由器上的"上行网络接口"，只有正确指定 #[AR2] 才能确保"Master/Backup"之间的VIP的正常抢占； #[AR2] *、跟踪"GigabitEthernet 0/0/0"接口的连通状态，当链路发生故障时， #[AR2] 将"1号VRRP备份组的优先级"减少"50" #[AR2] - 在"2"号VRRP备份组设定VIP： #[AR2] - 配置"2号VRRP备份组"的优先级： #[AR2] - 配置"2号VRRP备份组"的通讯认证： [AR2]interface Vlanif 1 [AR2-Vlanif1]vrrp vrid 1 virtual-ip 172.16.0.254 [AR2-Vlanif1]vrrp vrid 1 priority 120 [AR2-Vlanif1]vrrp vrid 1 authentication-mode md5 vrrp_1 [AR2-Vlanif1]vrrp vrid 1 track interface GigabitEthernet 0/0/0 reduced 50 [AR2-Vlanif1]vrrp vrid 2 virtual-ip 172.16.1.254 [AR2-Vlanif1]vrrp vrid 2 priority 100 [AR2-Vlanif1]vrrp vrid 2 authentication-mode md5 vrrp_2 [AR2-Vlanif1]quit [AR2] |
目标设备[ AR3_1220 ]
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 |
system-view [Huawei]sysname AR3 [AR3] [AR3]interface Vlanif 1 [AR3-Vlanif1]ip address 172.16.1.253 23 [AR3-Vlanif1]quit [AR3] [AR3]interface GigabitEthernet 0/0/1 [AR3-GigabitEthernet0/0/1]ip address 10.20.20.2 24 [AR3-GigabitEthernet0/0/1]quit [AR3] [AR3]ospf 1 [AR3-ospf-1]area 0 [AR3-ospf-1-area-0.0.0.0]network 172.16.0.0 0.0.1.255 [AR3-ospf-1-area-0.0.0.0]network 10.20.20.0 0.0.0.255 [AR3-ospf-1-area-0.0.0.0]authentication-mode md5 1 0000 [AR3-ospf-1-area-0.0.0.0]quit [AR3-ospf-1]quit [AR3] [AR3]interface Vlanif 1 [AR3-Vlanif1]vrrp vrid 1 virtual-ip 172.16.0.254 [AR3-Vlanif1]vrrp vrid 1 priority 100 [AR3-Vlanif1]vrrp vrid 1 authentication-mode md5 vrrp_1 [AR3-Vlanif1]vrrp vrid 2 virtual-ip 172.16.1.254 [AR3-Vlanif1]vrrp vrid 2 priority 120 [AR3-Vlanif1]vrrp vrid 2 authentication-mode md5 vrrp_2 [AR3-Vlanif1]vrrp vrid 2 track interface GigabitEthernet 0/0/1 reduced 50 [AR3-Vlanif1]quit [AR3] |
三、查看与测试配置效果：
按照上文的配置命令，你可以简单的模拟出一个基于VRRP技术所实现的高可用网络，并且通过规划"不同IP范围使用不同的网关"的方式，应用了"VRRP的互备"技术；
1、首先，测试一下PC1至PC3的路由路径，可以发现路径为"PC1 --> AR2 --> AR1 --> PC3"，见下图：
2、再次，测试一下PC2至PC3的路由路径，可以发现路径为"PC2 --> AR3 --> AR1 --> PC3"，见下图："；
通过"tracert"命令的测试，可以知道：A、OSPF动态路由的配置生效了；B、有关VRRP的配置也生效了，其中"AR2"抢占了"VIP:172.16.0.254"的使用权，而"AR3"则抢占了"VIP:172.16.1.254"的使用权，这符合我们在"AR2/AR3"上关于VRRP所配置的命令逻辑；
3、使用命令查看有关VRRP的配置信息（以AR2为例）；其中比较值注意的是返回信息中的"Master IP"这一项，其表示的是"当前抢占该VPPR备用组中VIP使用权的路由器的接口IP地址"；其它信息见下图：
|
1 2 3 4 |
# 显示VRRP在路由器上的配置信息；在本示例下，两条命令的执行结果是一样的， # 在不指定具体接口的情况下，会返回所有接口的VRRP配置信息； display vrrp display vrrp interface Vlanif 1 |
4、如果只是简单查看VRRP运行状态，可以使用以下命令，见下图：
|
1 2 |
# 简单的查看路由器上VRRP的运行信息； display vrrp brief |
四、模拟线路故障：
出现VRRP协议的原因是"为了避免网络故障引发的网络中断，从而实现物理网络的高可用"；现在模拟"AR2"上的"GigabitEthernet 0/0/0"网络接口出现故障（执行"shutdown"操作）；当AR2的"GigabitEthernet 0/0/0"接口被关闭后，再次查看AR2路由器上的VRRP简要信息，可以发现"172.16.0.254"这一VIP的抢占状态由"Master"转变为"Backup"（VIP"172.16.0.254"的使用权被AR3抢占了）；在这一情况下，VRRP的"Master/Backup"切换之所成功，是因为AR2"配置命令"中，设定了"该VRRP备用组"监视了"GigabitEthernet 0/0/0"接口的状态，当"GigabitEthernet 0/0/0"接口的链路状态出现异常时，对VIP"172.16.0.254"抢占的优先级会下降"50"（120 - 50 = 70，小于AR3上设定的优先级"100"）；
|
1 2 3 4 5 6 7 |
# 对"AR1"的"GigabitEthernet 0/0/0"接口执行"shutdown"操作以模拟接口故障 [AR2]interface GigabitEthernet 0/0/0 [AR2-GigabitEthernet0/0/0]shutdown [AR2-GigabitEthernet0/0/0]quit [AR2] [AR2]display vrrp brief [AR2] |
执行"shutdown"操作后，"AR2"与"AR3"之间的链路出现了异常：
使用"tracert"测试一下PC1至PC3的路由路径，可以发现：
1、在AR2的"GigabitEthernet 0/0/0"接口正常工作时，VIP"172.16.0.254"被AR2抢占，路由路径为"PC1 --> AR2 --> AR1 --> PC3"；
2、在AR2的"GigabitEthernet 0/0/0"接口发生故障后，VIP"172.16.0.254"被AR3抢占，路由路径为"PC1 --> AR3 --> AR1 --> PC3"；
五、模拟线路恢复：
再次模拟"AR2"上的"GigabitEthernet 0/0/0"网络接口恢复正常（执行"undo shutdown"操作），查看AR2路由器上的VRRP简要信息，可以发现"172.16.0.254"这一VIP的抢占状态由"Backup"恢复为"Master"（VIP"172.16.0.254"的使用权重新被AR2抢占）；在这一情况下，VRRP的"Master/Backup"切换之所成功，是因为AR2"配置命令"中，当"GigabitEthernet 0/0/0"网络接口的链路状态正常时，对VIP"172.16.0.254"抢占的优先级为"120"（高于AR3上的"100"设定值）；
|
1 2 3 4 5 6 7 8 |
# 对"AR2"的"GigabitEthernet 0/0/0"接口执行"undo shutdown"操作， # 以模拟接口恢复正常； [AR2] [AR2]interface GigabitEthernet 0/0/0 [AR2-GigabitEthernet0/0/0]undo shutdown [AR2-GigabitEthernet0/0/0]quit [AR2] [AR2]display vrrp brief |
使用"tracert"测试一下PC1至PC3的路由路径，可以发现：
1、在AR2的"GigabitEthernet 0/0/0"接口正常工作时，VIP"172.16.0.254"被AR2抢占，路由路径为"PC1 --> AR2 --> AR1 --> PC3"；
2、在AR2的"GigabitEthernet 0/0/0"接口发生故障后，VIP"172.16.0.254"被AR3抢占，路由路径为"PC1 --> AR3 --> AR1 --> PC3"；
3、在AR2的"GigabitEthernet 0/0/0"接口恢复正常后，VIP"172.16.0.254"再次被AR2抢占，路由路径为"PC1 --> AR2 --> AR1 --> PC3"；
结：
本篇博文中，大量使用了"VIP抢占"这样的描述，听上去像是"路由器抢占了VIP，并将这一个VIP绑定到某个网络接口上"，但这样的理解是错误的，这样的描述方法只是便于让读者了解VRRP协议是如何工作的（"Master/Backup"的切换）；
使用"display ip interface brief"命令，可以轻易地查看到当前路由器上所有网络接口的IP设定，可以发现，即使"设备上的VIP抢占处于Master状态"，但在"设备上的网络接口的IP设定信息"中，VIP并没有在接口上真实的设定；
实际上，VRRP在很大程度上是依赖二层"数据链路层"的特性来实现主备切换的，其利用了"虚拟MAC地址的机制来保证VIP的唯一性和可靠转发"；
在数据链路层，VRRP为每个"VRRP备份组"分配一个专属的"虚拟MAC地址"，其格式为"00-00-5E-00-01-{VRID}"（其中 VRID 是 VRRP 组的编号），当一台路由器被选为 Master时，该路由器就会持有这个"虚拟MAC地址"，并以该地址来响应 ARP 请求；当网络中的PC使用"ARP请求"以获取"VIP的MAC地址"时，只有当前为"Master"路由器会响应，这样的机制保证了"VIP的流量"可以自动被当前的"Master"接收并处理。
ENSP模拟VRRP配置教程：等您坐沙发呢！