原理概述
当VRRP的Master设备的上行接口出现问题,而Master设备一直保持Active状态,那么就会导致网络出现中断,所以必须要使得VRRP的运行状态和上行接口能够关联。VRRP支持报文的认证。默认情况下,设备对要发送和接收的VRRP报文不进行任何认证处理,认为收到的都是真实的、合法的VRRP报文。VRRP支持简单字符(Simple)认证方式和MD5认证方式,用户可根据安全需要选择认证方式。
实验目的
- 理解VRRP监视接口的应用场景
- 掌握VRRP监视接口的配置方法
- 掌握VRRP认证的配置方法
实验内容
该公司使用两台路由器R2和R3作为出口网关连接到外网路由器R1,且R2和R3运行VRRP协议,两台路由器在同一个虚拟组1,R2为Master路由器。一次公司网络故障,突然所有主机都不能访问外网了,经检查发现是R2与外网路由器R1之间的链路断掉了,而VRRP的Master角色并没有发生切换,所有流量仍发送给R2,导致无法访问外网。现在需对比网络进行优化,进一步提高可靠性和安全性,需要在Master设备上做VRRP的上行接口监视,当上行接口故障时,自动降低VRRP优先级使Backup设备能抢占Master角色,接替工作;当链路恢复时,R2又能自动切换回Master设备,并且在Master与Backup设备之间配置VRRP认证,提高安全性。
实验拓扑
实验配置
R1配置:
#
interface GigabitEthernet0/0/0
ip address 172.16.2.254 255.255.255.0
#
interface GigabitEthernet0/0/1
ip address 172.16.3.254 255.255.255.0
#
ospf 1
area 0.0.0.0
network 172.16.2.0 0.0.0.255
network 172.16.3.0 0.0.0.255
#
R2配置:
#
interface Ethernet0/0/1
ip address 172.16.1.100 255.255.255.0
vrrp vrid 1 virtual-ip 172.16.1.254
vrrp vrid 1 priority 120
#
interface GigabitEthernet0/0/0
ip address 172.16.2.100 255.255.255.0
#
ospf 1
area 0.0.0.0
network 172.16.1.0 0.0.0.255
network 172.16.2.0 0.0.0.255
#
R3配置:
#
interface Ethernet0/0/1
ip address 172.16.1.200 255.255.255.0
vrrp vrid 1 virtual-ip 172.16.1.254
#
interface GigabitEthernet0/0/1
ip address 172.16.3.200 255.255.255.0
#
ospf 1
area 0.0.0.0
network 172.16.1.0 0.0.0.255
network 172.16.3.0 0.0.0.255
#
配置上行接口监视
R2与外网服务器R1之间的链路出现问题:R1的g0/0/0接口关闭,路由器R2的Master不会发生切换,所有流量仍发送给R2,导致此时用户无法访问外网。即VRRP无法通过感知上行接口发生故障来完成主备设备切换。
在R2配置VRRP的上行接口监视
#
interface Ethernet0/0/1
vrrp vrid 1 track interface GigabitEthernet0/0/0 reduced 50
#
监视上行接口g/0/0,当此接口断掉是,裁减优先级50,并使优先级变为70,小于R3的优先级100
关闭R1的g0/0/0接口模拟故障发生,使用display vrrp命令查看情况
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]shut
<R2>dis vrrp
Ethernet0/0/1 | Virtual Router 1
State : Backup
Virtual IP : 172.16.1.254
Master IP : 172.16.1.200
PriorityRun : 70
PriorityConfig : 120
MasterPriority : 100
Preempt : YES Delay Time : 0 s
TimerRun : 1 s
TimerConfig : 1 s
Auth type : MD5 Auth key : M'2C=xFOw@jKUGU-KkpBbWH#
Virtual MAC : 0000-5e00-0101
Check TTL : YES
Config type : normal-vrrp
Track IF : GigabitEthernet0/0/0 Priority reduced : 50
IF state : DOWN
Create time : 2020-04-08 20:20:12 UTC-08:00
Last change time : 2020-04-08 21:19:32 UTC-08:00
可以观察到,当R2上监控指定接口的状态为DOWN时,VRRP优先级被裁减掉50,变成70,小于路由器R3的优先级100,由于R3的VRRP默认为抢占模式,从而变成了Backup
默认情况下,当被监控的接口变为DOWN时,VRRP优先级的数值降低10
在R2和R3上配置VRRP认证
在R2和R3上对VRRP虚拟组1配置接口认证,认证方式为MD5,密码为huawei
[R2-Ethernet0/0/1]vrrp vrid 1 authentication-mode md5 huawei
[R3-Ethernet0/0/1]vrrp vrid 1 authentication-mode md5 huawei
注意在配置VRRP报文认证时,同一VRRP备份组的认证方式必须相同,否则Master和Backup设备无法协商成功
配置完成后,使用display vrrp命令查看
<R2>dis vrrp
Ethernet0/0/1 | Virtual Router 1
……
Auth type : MD5 Auth key : M'2C=xFOw@jKUGU-KkpBbWH#
Virtual MAC : 0000-5e00-0101
……