【网络安全】网络基础第一阶段——第四节：网络协议基础---- VRRP与网络架构设计

最新推荐文章于 2025-03-29 12:56:45 发布

SUGERBOOM

最新推荐文章于 2025-03-29 12:56:45 发布

阅读量1.2k

点赞数 11

分类专栏：网安就业知识梳理文章标签：网络 web安全网络协议

本文链接：https://blog.csdn.net/goldfish8848/article/details/142452178

版权

1.3.1 基于三层交换机的VRRP组配置

2.2.1 基础ACL（basic ACL）

2.2.2 高级ACL（Extended ACL）

一、VRRP

VRRP（Virtual Router Redundancy Protocol，虚拟路由器冗余协议）是一种提供路由器冗余的协议，以确保网络中的主机在默认网关发生故障时能够无缝切换到备用路由器，从而保证网络的连续性和可靠性。VRRP 允许一组路由器共同创建一个虚拟路由器，这个虚拟路由器对外表现为一个单一的IP地址。

1.1 VRRP使用场景及简介

终端设备访问不同网段设备的时候，必须经过网关。如果只有1个网关，那么网络就存在单点故障，所以为了避免单点故障导致网络的通信中断，所以，我们建议在一个网段中，可以同时添加多个网关，从而增加网关的冗余性和网络的可靠性；但是，多网关的部署会带来其他的问题：
一是网关IP地址冲突，二是终端用户需要频繁的切换网关IP地址。
针对上述两个问题，我们提出：在同网段的多个网关之间运行VRRP，形成1个虚拟网关，终端用户都配置和使用虚拟网关就可以了

想象一下，你正在家里上网，你的电脑需要通过一个路由器来连接到互联网。这个路由器就像是你家的大门，所有的网络流量都得通过它。但是，如果这个大门突然坏了，你就不能上网了，对吧？

VRRP就是用来解决这个问题的。它就像是在你的家里准备了另一个备用的大门，而且这个备用大门和原来的大门看起来是一模一样的。当原来的大门（主路由器）出现问题时，备用大门（备份路由器）就会立刻打开，让你的网络流量继续通过，这样你就不会发现自己突然上不了网了。

如上图的例子中，如果“与外界连通”的接口或路由器出现故障，那么内网的设备就无法访问外网了，也就是我们常说的“网关单点故障导致网络中断” ，而我们今天要讲的VRRP，就是要克服这种故障，进行备份。

例如现在，公司的网络出现了变化，他买了两台路由器作为“网络的出口”，然后将这两个都能作为网关的接口加入“同一个备份小组”，现在对于我们来说，现在就有一组“两个网关的接口”。

由此延伸，在VRRP中有“虚拟IP地址”这个概念，代表着“一组两个网关接口”，例如上图，我们用10.100.10.1这个虚拟IP去代表两个网关接口，然后在PC上配置网关的时候写这个虚拟IP就行了

1.2 VRRP基本原理

1.2.1 VRRP基本结构

VRRP的基本思想：

就是将多个三个设备的接口加入到一个VRRP备份组中，用虚拟IP地址代表一组网关。
仅有master接口承担网关的转发功能；
当master接口出现故障时，会在backup接口中重新选取一个作为master接口
只要VRRP备份组中仍有一个接口正常工作，网络对外通信就不会中断
VRRP优先级最高的成功master接口（优先级相同时，IP地址大的成为master）

注：VRRP主备路由器切换的情况

如果Master发生故障，则主备切换：Backup在Master_Down_Interval时间内未收到Master发送的状态通告报文，则立即成为Master
如果原Master故障恢复，则主备回切：发现收到RouterB的VRRP报文中的优先级比自己低，RouterA立即抢占成为Master

1.2.2 设备类型

①主（master）路由器：

通过比较VRRP优先级，优先级大的是master路由器；周期性的发送VRRP报文，维护master路由器和备份路由器的身份；周期时间默认是1s；备份网关，通过比较 VRRP 优先级，优先级小的是备份路由器

②备份（backup）路由器：

通过不断的接收master路由器发送的 VRRP 报文来判断master路由器的状态；如果在一定的时间内，收不到 VRRP 报文，则认为master路由器出现故障，自己升级为master路由器；这个“一定的时间”，默认是“master路由器发送VRRP的周期”的3倍，所以默认是 3s

③虚拟网关：

通过VRRP虚拟出来的网关IP地址，这个网关IP地址，是配置在终端设备上的；终端设备访问其他网段时，直接将数据发送给虚拟网关IP地址，此时只有master路由器会回应针对虚拟网关IP地址的ARP请求，所以最终终端设备发送的数据发送到了master路由器设备上

④VRID：

相同在同一个组中只有在同一个组中才会共享虚拟ip 虚拟路由器的标识。有相同VRID的一组路由器构成一个虚拟路由器VRRP报文格式VRRP只使用到advertisement这一种报文，VRRP使用ip报文作为传输协议报文，协议号为112，使用固定的组播地址224.0.0.18进行发送

⑤VRRP状态机：

VRRP协议中定义了三种状态机：初始状态（Initialize）、活动状态（Master）、备份状态（Backup）。其中，只有处于活动状态的设备才可以转发那些发那些发送到虚拟IP地址的报文

⑥Initialize：

设备启动时进入此状态，当收到接口Startup的消息，将转入Backup或Master状态（IP地址拥有者的接口优先级为255，直接转为Master)。在此状态时，不会对VRRP报文做任何处理

1.2.3 VRRP工作原理

虚拟路由器中的路由器根据优先级选举出Master。Master路由器通过发送免费ARP报文，将自己的虚拟MAC地址通知给与它连接的设备或者主机，从而承担报文转发任务
Master路由器周期性发送VRRP报文，以公布其配置信息(优先级等)和工作状况
如果Master路由器出现故障，虚拟路由器中的Backup路由器将根据优先级重新选举新的Master
虚拟路由器状态切换时，Master路由器由一台设备切换为另外一台设备，新的Master路由器只是简单地发送一个携带虚拟路由器的MAC地址和虚拟IP地址信息的免费ARP报文，这样就可以更新与它连接的主机或设备中的ARP相关信息。网络中的主机感知不到Master路由器已经切换为另外一台设备
Backup路由器的优先级高于Master路由器时，由Backup路由器的工作方式(抢占方式和非抢占方式)决定是否重新选举Master

1.3 VRRP的基本配置

1.3.1 基于三层交换机的VRRP组配置

三层交换机通过配置vlanif接口，然后配置VRRP

接入层交换机SW3

# 创建vlan
[SW3]vlan batch 10
# 连接PC的接口为access
[SW3]interface Ethernet0/0/1
[SW3-Ethernet0/0/1]port link-type access
[SW3-Ethernet0/0/1]port default vlan 10
# 上行链路为trunk
[SW3]interface GigabitEthernet0/0/1
[SW3-GigabitEthernet0/0/1]port link-type trunk
[SW3-GigabitEthernet0/0/1]port trunk allow-pass vlan 10
[SW3]interface GigabitEthernet0/0/2
[SW3-GigabitEthernet0/0/2]port link-type trunk
[SW3-GigabitEthernet0/0/2]port trunk allow-pass vlan 10

三层交换机SW1&SW2配置相同

# 创建vlan
vlan 10
# 交换机相连链路为trunk
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 10

VRRP配置

SW1作为主网关

[SW1]interface Vlanif10
[SW1-Vlanif10]ip address 192.16

最低0.47元/天解锁文章