9.3 配置VRRP的跟踪接口及认证

原理概述

      当VRRP的Master设备的上行接口出现问题，而Master设备一直保持Active状态，那么就会导致网络出现中断，所以必须要使得VRRP的运行状态和上行接口都能够关联。在配置了VRRP冗余的网络中，为了进一步提高网络可靠性，需要在Master设备上配置上行接口监视，监视连接了外网的出接口。当此接口断掉时，自动减小优先级一定的数值（需人为配置），使减小后的优先级小于Backup设备的优先级，这样Backup设备就会抢占Master角色接替工作。

    VRRP支持报文的认证。默认情况下，设备对要发送和接收的VRRP报文不进行任何认证处理，认为收到的都是真实的、合法的VRRP报文。为了使VRRP运行更加安全和稳定，可以配置VRRP的认证。VRRP支持简单字符（Simple）认证方式和MD5认证方式，用户可根据安全需要选择认证方式。

实验目的 

•       理解VRRP监视接口的应用场景
•       掌握VRRP监视接口的配置方法
•       掌握VRRP认证的配置方法

实验编址

设备	接口	IP地址	子网掩码	默认网关
R1	GE0/0/0	172.16.2.254	255.255.255.0	N/A
	GE0/0/1	172.16.3.254	255.255.255.0	N/A
R2	GE0/0/0	172.16.2.100	255.255.255.0	N/A
	GE0/0/1	172.16.1.100	255.255.255.0	N/A
R3	GE0/0/1	172.16.3.200	255.255.255.0	N/A
	GE0/0/0	172.16.1.200	255.255.255.0	N/A
PC1	Ethernet0/0/1	172.16.1.1	255.255.255.0	172.16.1.254
PC2	Ethernet0/0/1	172.16.1.2	255.255.255.0	172.16.1.254

实验步骤

1.基本配置

根据实验编址进行相应IP配置，并测试各直连链路的连通性。

2.部署OSPF网络

[R1]ospf 1
[R1-ospf-1]area 0
[R1-ospf-1-area-0.0.0.0]network 172.16.2.0 0.0.0.255
[R1-ospf-1-area-0.0.0.0]network 172.16.3.0 0.0.0.255

 [R2]ospf 1
[R2-ospf-1]area 0
[R2-ospf-1-area-0.0.0.0]network 172.16.1.0 0.0.0.255
[R2-ospf-1-area-0.0.0.0]network 172.16.2.0 0.0.0.255

[R3]ospf 1
[R3]area 0
[R3]network 172.16.3.0 0.0.0.255
[R3]network 172.16.1.0 0.0.0.255

3.VRRP基本配置

[R2-GigabitEthernet0/0/1]vrrp vrid 1 virtual-ip 172.16.1.254
[R2-GigabitEthernet0/0/1]vrrp vrid 1 priority 120

[R3-GigabitEthernet0/0/0]vrrp vrid 1 virtual-ip 172.16.1.254

配置完成后，查看R2、R3上的VRRP信息

<R2>dis vrrp
  GigabitEthernet0/0/1 | Virtual Router 1
    State : Master
    Virtual IP : 172.16.1.254
    Master IP : 172.16.1.100
    PriorityRun : 120
    PriorityConfig : 120
    MasterPriority : 120

<R3>dis vrrp
  GigabitEthernet0/0/0 | Virtual Router 1
    State : Backup
    Virtual IP : 172.16.1.254
    Master IP : 172.16.1.100
    PriorityRun : 100
    PriorityConfig : 100
    MasterPriority : 120

可以观察到R2现为Master，R3为Backup。

手动关掉R1的GE0/0/0接口模拟网络故障：R2与外网路由器R1之间的链路出现问题。

[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]shutdown

配置完成后，查看主备的切换情况：

<R2>dis vrrp
  GigabitEthernet0/0/1 | Virtual Router 1
    State : Master
    Virtual IP : 172.16.1.254
    Master IP : 172.16.1.100
    PriorityRun : 120
    PriorityConfig : 120

发现R2的Master角色没有发生切换，PC和R1之间也ping不通。说明VRRP无法感知上行接口发生故障来完成主备切换。

4.配置上行接口监视

为进一步提高网络的可靠性和安全性，需在Master设备R2上配置VRRP的上行接口监视。当R2的上行接口发生故障时，将自动降低优先级使得Backup设备能抢占Master角色。

R2上监视上行接口GE0/0/0，当此接口断开时，裁剪优先级50，使其优先级降为70，小于R3的优先级100。

[R2]int g0/0/0
[R2-GigabitEthernet0/0/1]vrrp vrid 1 track interface GigabitEthernet 0/0/0 reduced 50

配置完成后，关闭R1的G0/0/0接口模拟故障发生，并使用display vrrp命令查看主备切换情况。

<R2>dis vrrp
  GigabitEthernet0/0/1 | Virtual Router 1
    State : Backup
    Virtual IP : 172.16.1.254
    Master IP : 172.16.1.200
    PriorityRun : 70
    PriorityConfig : 120
    MasterPriority : 100
    Preempt : YES   Delay Time : 0 s
    TimerRun : 1 s
    TimerConfig : 1 s
    Auth type : NONE
    Virtual MAC : 0000-5e00-0101
    Check TTL : YES
    Config type : normal-vrrp
    Backup-forward : disabled
    Track IF : GigabitEthernet0/0/0   Priority reduced : 50
    IF state : DOWN
    Create time : 2021-11-06 16:29:55 UTC-08:00
    Last change time : 2021-11-06 17:09:46 UTC-08:00

<R3>dis vrrp
  GigabitEthernet0/0/0 | Virtual Router 1
    State : Master
    Virtual IP : 172.16.1.254
    Master IP : 172.16.1.200
    PriorityRun : 100
    PriorityConfig : 100
    MasterPriority : 100

可以发现，当R2上监视指定接口的状态为Down时，VRRP优先级被裁掉50，变成了70，小于R3的默认优先级100，所以称为了Backup设备，R3成为Master设备并继续网络的转发。

默认情况下，当被监视的接口变为Down时，VRRP的优先级的数值降低10.

5.在R2和R3上配置VRRP认证

配置更改VRRP的认证模式，使VRRP对报文进行验证，从而增强安全性。

在R2和R3上对VRRP虚拟组1配置接口认证，认证方式为MD5，密码为huawei。

[R2]int g0/0/1
[R2-GigabitEthernet0/0/1]vrrp vrid 1 authentication-mode md5 huawei

[R3]int g0/0/0
[R3-GigabitEthernet0/0/0]vrrp vrid 1 authentication-mode md5 huawei

注意：在配置VRRP报文认证时，同一VRRP备份组的认证方式必须相同，否则Master设备和Backup设备无法完成协商。

配置完成后，查看VRRP信息。

<R2>dis vrrp
  GigabitEthernet0/0/1 | Virtual Router 1
    State : Master
    Virtual IP : 172.16.1.254
    Master IP : 172.16.1.100
    PriorityRun : 120
    PriorityConfig : 120
    MasterPriority : 120
    Preempt : YES   Delay Time : 0 s
    TimerRun : 1 s
    TimerConfig : 1 s
    Auth type : MD5   Auth key : %$%$qGJ(FVat8S(N3a%6cbk:]hJ]%$%$
    Virtual MAC : 0000-5e00-0101
    Check TTL : YES
    Config type : normal-vrrp
    Backup-forward : disabled
    Track IF : GigabitEthernet0/0/0   Priority reduced : 50
    IF state : UP
    Create time : 2021-11-06 16:29:55 UTC-08:00
    Last change time : 2021-11-06 17:27:24 UTC-08:00

<R3>dis vrrp
  GigabitEthernet0/0/0 | Virtual Router 1
    State : Backup
    Virtual IP : 172.16.1.254
    Master IP : 172.16.1.100
    PriorityRun : 100
    PriorityConfig : 100
    MasterPriority : 120
    Preempt : YES   Delay Time : 0 s
    TimerRun : 1 s
    TimerConfig : 1 s
    Auth type : MD5   Auth key : %$%$c.|vJ,0*I2C*z;B53VTB]i^K%$%$
    Virtual MAC : 0000-5e00-0101
    Check TTL : YES
    Config type : normal-vrrp
    Backup-forward : disabled
    Create time : 2021-11-06 16:33:12 UTC-08:00
    Last change time : 2021-11-06 17:27:24 UTC-08:00