配置VRRP的跟踪接口及认证

原理概述

当VRRP的Master设备的上行接口出现问题，而Master设备一直保持Active状态，那么就会导致网络出现中断，所以必须要使得VRRP的运行状态和上行接口能够关联。VRRP支持报文的认证。默认情况下，设备对要发送和接收的VRRP报文不进行任何认证处理，认为收到的都是真实的、合法的VRRP报文。VRRP支持简单字符（Simple）认证方式和MD5认证方式，用户可根据安全需要选择认证方式。

实验目的

• 理解VRRP监视接口的应用场景
• 掌握VRRP监视接口的配置方法
• 掌握VRRP认证的配置方法

实验内容

该公司使用两台路由器R2和R3作为出口网关连接到外网路由器R1，且R2和R3运行VRRP协议，两台路由器在同一个虚拟组1，R2为Master路由器。一次公司网络故障，突然所有主机都不能访问外网了，经检查发现是R2与外网路由器R1之间的链路断掉了，而VRRP的Master角色并没有发生切换，所有流量仍发送给R2，导致无法访问外网。现在需对比网络进行优化，进一步提高可靠性和安全性，需要在Master设备上做VRRP的上行接口监视，当上行接口故障时，自动降低VRRP优先级使Backup设备能抢占Master角色，接替工作；当链路恢复时，R2又能自动切换回Master设备，并且在Master与Backup设备之间配置VRRP认证，提高安全性。

实验拓扑

实验配置

R1配置：

#
interface GigabitEthernet0/0/0
 ip address 172.16.2.254 255.255.255.0
#
interface GigabitEthernet0/0/1
 ip address 172.16.3.254 255.255.255.0
#
ospf 1
 area 0.0.0.0
  network 172.16.2.0 0.0.0.255
  network 172.16.3.0 0.0.0.255
#

R2配置：

#
interface Ethernet0/0/1
 ip address 172.16.1.100 255.255.255.0
 vrrp vrid 1 virtual-ip 172.16.1.254
 vrrp vrid 1 priority 120
#
interface GigabitEthernet0/0/0
 ip address 172.16.2.100 255.255.255.0
#
ospf 1
 area 0.0.0.0
  network 172.16.1.0 0.0.0.255
  network 172.16.2.0 0.0.0.255
#

R3配置：

#
interface Ethernet0/0/1
 ip address 172.16.1.200 255.255.255.0
 vrrp vrid 1 virtual-ip 172.16.1.254
#
interface GigabitEthernet0/0/1
 ip address 172.16.3.200 255.255.255.0
#
ospf 1
 area 0.0.0.0
  network 172.16.1.0 0.0.0.255
  network 172.16.3.0 0.0.0.255
#

配置上行接口监视

R2与外网服务器R1之间的链路出现问题：R1的g0/0/0接口关闭，路由器R2的Master不会发生切换，所有流量仍发送给R2，导致此时用户无法访问外网。即VRRP无法通过感知上行接口发生故障来完成主备设备切换。

在R2配置VRRP的上行接口监视

#
interface Ethernet0/0/1
 vrrp vrid 1 track interface GigabitEthernet0/0/0 reduced 50
#
监视上行接口g/0/0，当此接口断掉是，裁减优先级50，并使优先级变为70，小于R3的优先级100

关闭R1的g0/0/0接口模拟故障发生，使用display vrrp命令查看情况

[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]shut

<R2>dis vrrp
  Ethernet0/0/1 | Virtual Router 1
    State : Backup
    Virtual IP : 172.16.1.254
    Master IP : 172.16.1.200
    PriorityRun : 70
    PriorityConfig : 120
    MasterPriority : 100
    Preempt : YES   Delay Time : 0 s
    TimerRun : 1 s
    TimerConfig : 1 s
    Auth type : MD5   Auth key : M'2C=xFOw@jKUGU-KkpBbWH#
    Virtual MAC : 0000-5e00-0101
    Check TTL : YES
    Config type : normal-vrrp
    Track IF : GigabitEthernet0/0/0   Priority reduced : 50
    IF state : DOWN
    Create time : 2020-04-08 20:20:12 UTC-08:00
    Last change time : 2020-04-08 21:19:32 UTC-08:00
可以观察到，当R2上监控指定接口的状态为DOWN时，VRRP优先级被裁减掉50，变成70，小于路由器R3的优先级100，由于R3的VRRP默认为抢占模式，从而变成了Backup
默认情况下，当被监控的接口变为DOWN时，VRRP优先级的数值降低10

在R2和R3上配置VRRP认证

在R2和R3上对VRRP虚拟组1配置接口认证，认证方式为MD5，密码为huawei

[R2-Ethernet0/0/1]vrrp vrid 1 authentication-mode md5 huawei

[R3-Ethernet0/0/1]vrrp vrid 1 authentication-mode md5 huawei
注意在配置VRRP报文认证时，同一VRRP备份组的认证方式必须相同，否则Master和Backup设备无法协商成功

配置完成后，使用display vrrp命令查看

<R2>dis vrrp
  Ethernet0/0/1 | Virtual Router 1
   ……
    Auth type : MD5   Auth key : M'2C=xFOw@jKUGU-KkpBbWH#
    Virtual MAC : 0000-5e00-0101
   ……