三层交换和VRRP

一、三层交换的概述

vlan的方式 ：三层交换、单臂路由

三层交换=二层交换+三层转发

三层交换机内部有两大组件分别是ASIC（用于转发和CPU（转发的控制、维护软件表项）

二层用于转发MAC地址，三层用于路径选择和转发；

当三层设备接收到一个数据帧，会拆除原数据帧，重新封装新的源MAC地址和目标MAC地址，并因为帧头部的信息发生变化，最后的帧校验CAR也应随之改变

 

二、传统的MLS

3层转发过程中要重新封装2层：第3层引擎处理数据流的第一个包，处理方式是软件方式。

 

 

 

在第一个数据包转发完成后，在硬件中创建一个MSL条目，用于后续的数据报由硬件执行的重新封装和快速转发，2层数据帧会被重新封装为需要转发的下一个网段的帧格式。这就是“一次路由，多次转发“的原理

交换ASIC从3层引擎中获悉2层重写信息在硬件中创建一个MSL条目

负责重写和转发数据流中的后续数据报

 

基于CEF的MLS

CEF是一种基于拓扑转发的模型，其关键是两张转发信息表，转发信息库（FIB）与路由表一一对应，是路由表的一个镜像，路由表更新时，FIB包含邻接主机的IP地址与VLANID 的对应关系，而邻接关系表包含邻接主机和交换机MAC地址的对应关系用来提供二层重写信息，

基于CEF的MLS转发过程，即发送单播数据包，通过查找FIB和邻接关系表，重新封装数据帧，从相应端口进行转发

 

转发信息库（FIB)

邻接关系表

 

四、三层交换机的虚接口

在三层交换机上配置的VLAN接口为虚接口

三层交换机具备路由功能，所以两个VLAN之间可以互相访问，每一个VLAN虚接口就是该网段的网关。

小结：

VLAN时交换机的逻辑划分：安全、隔离广播、简化管理

Trunk简化网络结构，实现同VLAN跨交换互通

三层交换机的特点：一次路由，多次交换

三层交换机的特点：一次路由，多次交换

三层交换机实现不同VLAN间互通

三层交换机多用于核心层：路由功能+高速转发

三层交换原理：一次路由，多次交换

三层交换机具有路由功能可以转发数据，IP地址是配置在虚拟接口上而不是物理接口上，物理接口对接交换机的配置trunk，对接PC机的配置access

 

 

五、VRRP的概述

VRRP虚拟路由器冗余协议，是一种选择协议，一个容错协议（备份路由），利用VRRP，一组路由器(同一个LAN中的接口)承担实际的数据流量转发任务，在一个VRRP组内的多个路由器接口公用一个虚拟IP地址，该地址被作为局域网内所有主机的缺省网关地址；VRRP决定哪个路由器是Master，Master路由器负责接收发送至用户网关的数据包并进行转发，以及响应PC对于其网关IP地址的ARP请求。Backup路由器侦听Master路由器的状态，当Master路由器发生故障时，接替其工作，从而保证业务流量的平滑切换

VRRP状态机：VRRP协议的状态共有三种，linitialize,Master,Backup,初始状态都是linitialize,通过比较优先级产生Master和Backup，在规定时间内，Backup若是没有接收到Maste发来的心跳报文，将切换为Maste。

六、VRRP术语

VVP路由器：运行VRRP的路由器，一台VRRP路由器（的接口）可以同时参与到多个VRRP组中，在不同的组中，一台VRRP路由器可以充当不同的角色

VRRP组：由多个VRRP路由器组成，使用相同的VRID（Virutal Router ID,虚拟路由器ID)进行标识，属于同意VRRP路由器互相交换信息，每一个VRRP组只能有一个Master

虚拟路由器：对于每一个VRRP组，抽象出来的一个逻辑路由器，该路由器充当网络用户的网关，该路由器并非真实存在，事实上对于用户而言，只需知道虚拟路由器的IP，至于具体的虚拟路由器的角色由谁来承担，数据转发任务由谁来承担、Master故障后谁来接替，这时VRRP的工作。

虚拟IP地址、MAC地址：

虚拟IP地址就是虚拟路由器的IP地址，该地址实际上就是用户的网关地址

虚拟MAC地址是虚拟路由器根据VRID生成的MAC地址，一个虚拟路由器拥有一个虚拟MAC地址，

格式为：00-00-5E-00-01{-VRID}

Master、Backup路由器：

Master路由器：

Master路由器：在VRRP组中实际转发数据包的路由器，在每一个VRRP组中，仅有Master响应对虚拟IP地址的ARP请求，Master路由器同时以一定的时间间隔发送VRRP消息，以便通知Backup路由器自己的存货情况

Backup路由器：处于监听状态的路由器，一旦Master路由器出现故障，Backup路由器就开始接替工作

选举一句：先比较VRRP优先级（比大），如果相等，则比较接口IP地址（比大）

Master路由器工作原理;

• 定时发送VRRP通告报文，以便向Backup路由器告知自己的存活情况

• 以虚拟MAC地址响应其他设备对虚拟IP地址的ARP请求

• 转发目的MAC地址为虚拟MAC地址的IP报文

• 如果它是这个虚拟IP地址的拥有者（接口实际IP地址为虚拟IP地址），则接收目的IP地址为这个虚拟IP地址的IP报文，否则丢弃这个IP报文

• 如果收到比自己优先级大的报文，立即成为Backup

• 如果收到与自己优先级相等的VRRP报文且本地接口IP地址小于对端接口IP，立即成为Backup

Backup路由器：

• 接收Master设备发送的VRRP通告报文，判断Master设备的状态是否正常

• 对虚拟IP地址的ARP请求，不做响应

• 丢弃目的IP地址为虚拟IP地址的IP报文

• 如果收到优先级和自己相同或比自己大的报文，则重置Master-Down-Interval定时器，不进一步比较IP地址

• 如果收到比自己优先级小的报文且该报文优先级是0时，定时器时间设置为Skew-time（偏移时间），如果该报文优先级不是0，丢弃报文，立刻成为Master

七、VRRP报文含义

VRRP报文是一种多播报文，由Master路由器发出通告它的存在，使用VRRP报文可以检测虚拟路由器的各种参数，用于主路由器的选择，VRRP报文号是封装在IP报文中，通过组播的方式传送，也就是说VRRP协议和ICMP协议原理相同，工作在第三层（路由层），不具有端口的说法

（1）.Version：VRRP协议版本号，RFC3768只定义了一种VRRP报文，即VRP通告报文，所以该字段总为1

（2）Type：指明VRRP报文类型，RFC3768只定义了一种VRRP报文，所以该字段总为1（若收到的VRRP通告报文的该字段的类型为非1则会被丢弃）

（3）即上面讲的大VRID,一个VRID唯一标识了一个虚拟路由器，取值范围为【1，255】（所以一台路由器的接口最多运行255个VRP组）

（4）Prioity：优先级虚不受影响，若此字段为0表示这是Master路由器出现故障发送的VRRP通告报文，当Backup路由器，值越大表明优先级越高，取值【1，255】缺省值为100，假设虚拟路由器的IP地址跟VRRP组中某台路由器地址相同，那么该路由器的发出的VRRP报文的该字段总为255，及时认为指定为其他值路由器的优先级）/256秒时间，然后将自己切换为Master路由器

（5）CountIPAddrs:VRRP通告报文中包含的IP数目，即被一个VRRP虚拟路由器所分配的IP地址的数量

（6）Auth Type：认证类型字段，一个虚拟路由器只能使用一种认证类型，若Backup路由器收到的通告报文段认证类型字段是未知或者本地配置不匹配，则该将概述据报丢弃

认证类型字段的定义：

0表示无认证，1表示保留，向前一个版本的RFC2338提供兼容性

2表示保留，向前一个版本的RFC2338提供兼容性

（7）Ader Int:Master路由器向外发送VRRP通告报文的时间间隔，以秒为单位，取值范围是【1，255】，缺省为1

（8）Checksum：整个VRRP报文的校验和

（9）IP Address：VRRP虚拟路由器的虚拟IP地址（可配置多个）

（10)Authentication Data:验证字，为了向RFC2338兼容，在实际的封装时，全置为0，接收方会忽略此字段

八、 VRRP工作过程

• VRRP组中的设备选举出Master，Master设备通过发送免费ARP报文n，将虚拟MAC地址通知给与它连接的设备或者主机，从而承担报文转发任务

• Master设备周期性向备份组内所有Banckup设备发送VRRP通告报文

• 如果Master设备出现故障，VRRP备份组中的Backup设备重新选举新的Master

• VRRP组状态切换时，Master设备由一台设备切换为另外一台设备，新的Master设备会立即发送携带虚拟路由器的虚拟MAC地址和虚拟IP地址信息的免费ARP报文，刷新与它连接的主机或设备中的MAC表项，从而把用户流量引到新的Master设备上来，整个过程对用户完全透明

• 原Master设备回复说，若该设备为IP地址拥有者（则其优先级为255，将之间切换至Master状态，若该设备优先级小于255，将首先切换值Backup状态，且其优先级回复为故障前配置的优先级

• Backup设备的优先级高于Master设备时，由Backup设备的工作方式（抢占方式和非抢占方式）决定是否重新选举Master。

 

九、VRRP配置命令

[R1]int vlanif10 ####网关接口(三层交换为VLAN接口，路由器为下行接口) [R1-Vlanif10]ip address 192.168.10.11 24 [R1-Vlanif10]vrrp vrid 1 virtual-ip 192.168.10.1 ###创建VRRP虚拟路由器的标识vrid为1，并配置vrid 1的虚拟IP地址 [R1-Vlanif10]vrrp vrid 1 priority 120####设置设备的优先级为120(缺值为100)，数值越大越优先 [R1-Vlanif10lvrrpvrid1preempt-mode timer delay6 ###配置Master设备的抢占时延为6秒(缺省值为0，立即抢占)，以防频繁地进行状态切换 [R1-Vlanif10]vrrp vrid 1 track interface GigabitEthernet0/0/1 reduce 30 I ###跟踪上行接口G0/0/1的状态，如端口故障则Master优先级降低30(缺省值为10) [R1-Vlanif10]vrrp vrid 1 track interfaceg0/0/2####跟踪下行接口

[R2]int vlanif10 [R2-Vlanif10]ip address192168.10.1024 [R2-Vlanif10]vrrp vrid 1 virtual-ip 192.168.10.1[R2-Vlanif10]vrrpvrid1priority95[R2]dis vrrp##显示VRRP状态

 

总结：

VRRP实现了对路由器IP地址的冗余功能，防止了单点故障造成的网络失效，VRRP本身是热备形式的，但可以通过互相热备实现路由器的均衡处理，

VRRP组通过vrid来识别的，一个vrip组可以由多个vrrp路由，其中包含一个Master，一个或者多backup

vrrp会虚拟出一个虚拟路由，包含虚拟IP和虚拟MAC（有固定格式00-00-5E-00-01[VRID]，虚拟IP要和Master/backup在同意网段。

一般通过优先级来决定Master和backup的角色，优先级大的一方为master，如果优先级相同， 使用IP较大的一方作为master，master实际转发数据和响应局域网主机的ARP请求，定时发送VRRP报文给backup；backup用于监听master，发来的vrrp报文，如果超过一定时限，就会抢占master地位