1. 为什么还要聊VRRP一个被低估的“保命”协议干网络这行十几年我见过太多因为网关单点故障导致整个片区断网的惨案。核心交换机一挂下面几百台终端瞬间失联业务部门电话打爆运维手机——这种场景但凡经历过一次你就再也不会觉得VRRP是个“过时”的技术。VRRP全称Virtual Router Redundancy Protocol虚拟路由冗余协议。名字听着挺学术说白了就一件事让两台或多台路由器/三层交换机共用同一个虚拟IP对外表现为一个“永不掉线”的网关。终端设备只认这个虚拟IP根本不知道背后到底是谁在干活。主设备挂了备设备在几秒甚至几百毫秒内顶上终端完全无感知。这玩意儿解决的核心问题就一个默认网关的单点故障。你想想一个VLAN里几百台机器网关配的是192.168.1.1这台设备一挂整个VLAN的机器全部出不了网。就算你有备用设备终端也不会自动切换网关——它们只认配置里写死的那个IP。VRRP就是来填这个坑的。适合谁来参考这篇内容刚入行的网络运维、准备考认证的学员、需要做网络高可用方案但不知道从哪下手的工程师以及那些“知道VRRP但从来没实际配过”的朋友。我会从原理讲到实操从单组配置讲到多组负载均衡把踩过的坑和总结的技巧都摊开来说。2. VRRP核心机制拆解别只背命令先搞懂它在干嘛2.1 虚拟路由器与VRID一个“团队”的身份证VRRP的工作方式我习惯用“团队对外统一形象”来类比。假设一个公司有两个前台但对外只公布一个总机号码。客户打总机谁接都行客户不关心是哪个前台接的。VRRP里这个“总机号码”就是虚拟IPVIP两个前台就是物理路由器它们组成一个VRRP组用**VRIDVirtual Router ID**来标识。VRID的范围是1到255同一个广播域内必须唯一。为什么强调“同一个广播域”因为VRRP报文是组播发送的默认目的地址224.0.0.18TTL为1路由器不会转发。如果你在两个不同的VLAN里配了相同的VRID它们互相收不到报文不会冲突但如果你把两个VLAN打通了那就等着出问题吧。一个VRRP组里角色分两种Master和Backup。Master负责实际转发流量、响应ARP请求、周期性发送VRRP通告报文Backup默默听着一旦在Master_Down_Interval内收不到通告就抢占成为新的Master。2.2 选举机制优先级和IP地址谁说了算VRRP的选举规则不复杂但细节容易记混。优先级范围0到255数值越大越优先。默认优先级是100。优先级255是保留给IP地址拥有者的——也就是说如果这台设备的某个接口IP恰好就是虚拟IP那它优先级自动就是255永远是Master。这也是为什么实际部署时虚拟IP最好单独用一个不存在的地址避免“意外抢占”。如果优先级相同怎么办比较接口IP地址大的赢。这个规则很多人不知道导致在双机优先级都配100的时候Master是谁完全看IP结果可能跟你预期的相反。所以我的习惯是永远显式配置优先级别偷懒用默认值。还有一个抢占模式Preempt默认是开启的。意思是只要Backup的优先级比当前Master高它就会抢回Master位置。如果你不希望频繁切换可以关闭抢占让当前Master一直干到挂为止。但关闭抢占有个风险如果Master设备性能已经严重下降但还没完全挂Backup也不会接管业务质量会持续恶化。2.3 通告报文与计时器3秒和1秒的博弈VRRP Master默认每1秒发一次通告报文Advertisement Interval。Backup的Master_Down_Interval默认是3秒3倍通告间隔加偏移时间。也就是说Master挂了之后Backup最多等3秒就会接管。3秒对普通办公网络够用但对金融交易、实时音视频这类场景就太长了。你可以把通告间隔改成200毫秒甚至更短但代价是网络里VRRP报文变多对设备CPU有额外消耗。我一般建议普通场景保持默认对切换时间敏感的场景调到500毫秒左右再低就要评估设备性能了。注意同一个VRRP组内所有设备的通告间隔必须一致否则会出现双Master或者频繁切换。这个坑我踩过两台设备一个配1秒一个配200毫秒结果Backup一直认为Master挂了反复抢占网络抖得跟筛子一样。3. 动手前的准备别急着敲命令3.1 组网规划先画图再配置配置VRRP之前你必须先把这几件事想清楚哪些VLAN需要VRRP不是所有VLAN都需要一般核心业务VLAN和用户VLAN需要管理VLAN看情况。每个VLAN用哪个VRID建议和VLAN ID对应比如VLAN 10用VRID 10方便记忆和排查。虚拟IP选什么每个VLAN的虚拟IP必须在该VLAN的网段内且不能被其他设备占用。建议单独规划一个地址段专门给VIP用比如192.168.10.0/24里192.168.10.1到192.168.10.10留给网络设备VIP用192.168.10.254。优先级怎么分配主设备优先级设120备设备设110差距不用太大但一定要有差距。是否启用抢占默认开启除非有特殊需求否则保持开启。我见过有人把VIP设成和某台服务器一样的IP结果VRRP起来之后服务器直接断网排查了半天才发现是IP冲突。这种低级错误规划阶段多花五分钟就能避免。3.2 设备角色与接口确认假设我们有两台三层交换机SW1和SW2通过Trunk互联。每个VLAN的网关都做VRRP。SW1作为主SW2作为备。接口方面需要确认三层接口SVI是否已经创建并配置了物理IP接口是否已经up两台设备之间的互联链路是否正常是否有STP环路风险VRRP和STP要配合好后面会讲3.3 基础配置示例以某主流厂商设备为例不同厂商命令有差异但逻辑完全一致。下面以常见的命令行风格举例你根据自己设备调整语法即可。# SW1 基础配置 interface Vlan10 ip address 192.168.10.2 255.255.255.0 vrrp 10 ip 192.168.10.254 vrrp 10 priority 120 vrrp 10 preempt-mode vrrp 10 authentication simple vrrp123 # SW2 基础配置 interface Vlan10 ip address 192.168.10.3 255.255.255.0 vrrp 10 ip 192.168.10.254 vrrp 10 priority 110 vrrp 10 preempt-mode vrrp 10 authentication simple vrrp123这里有几个点要说明认证虽然VRRP认证安全性不高明文或简单MD5但能防止误配置的设备加入组。生产环境建议开启密码别用默认的。preempt-mode显式开启避免默认行为在不同厂商设备上不一致。物理IP两台设备的物理IP必须不同且在同一网段。4. 进阶玩法多组VRRP实现负载均衡4.1 为什么需要多组单组VRRP的问题很明显备设备平时完全闲着资源浪费。如果主设备性能不够所有流量都压在一台上备设备却帮不上忙。多组VRRP就是来解决这个问题的。思路很简单创建多个VRRP组让不同组的主设备分散在不同物理设备上。比如VLAN 10里建两个组组10SW1为主优先级120SW2为备优先级110VIP是192.168.10.254组20SW2为主优先级120SW1为备优先级110VIP是192.168.10.253然后把终端分成两批一批网关指向254一批指向253。这样两台设备都在转发流量资源利用率上去了同时任何一台挂了另一台都能接管所有组。4.2 配置要点与注意事项# SW1 interface Vlan10 ip address 192.168.10.2 255.255.255.0 vrrp 10 ip 192.168.10.254 vrrp 10 priority 120 vrrp 20 ip 192.168.10.253 vrrp 20 priority 110 # SW2 interface Vlan10 ip address 192.168.10.3 255.255.255.0 vrrp 10 ip 192.168.10.254 vrrp 10 priority 110 vrrp 20 ip 192.168.10.253 vrrp 20 priority 120提示多组VRRP时VIP不能相同VRID也不能相同。另外终端网关的分配可以通过DHCP服务器来做一半拿254一半拿253实现自动负载分担。这种方案有个细节要注意上行链路的状态。如果SW1的上行链路断了但它和SW2之间的心跳还在SW1仍然会是组10的Master但流量到了SW1出不去。这时候需要配合**接口跟踪Track**功能让VRRP感知上行链路状态链路断了就主动降优先级触发切换。4.3 接口跟踪配置示例# SW1 跟踪上行接口 track 1 interface GigabitEthernet0/1 line-protocol interface Vlan10 vrrp 10 track 1 priority reduced 30意思是如果GigabitEthernet0/1的链路协议down了组10的优先级降低30。原来120减30变成90低于SW2的110SW2就会抢占成为Master。这个功能在实际部署中非常关键没有接口跟踪的VRRP只能防设备整机故障防不了链路故障。5. 常见问题与排查技巧实录5.1 双Master问题最危险也最常见双Master是VRRP最严重的问题表现为网络时通时断ARP表混乱终端频繁掉线。原因通常有这几个现象可能原因排查方法两台设备都是Master心跳链路不通检查互联接口VLAN是否放通、是否被STP阻塞两台设备都是Master认证不一致检查两端认证方式和密码两台设备都是MasterVRID冲突检查同网段是否有其他VRRP组用了相同VRID频繁主备切换通告间隔不一致统一两端通告间隔频繁主备切换链路质量差检查接口CRC错误、光衰等我遇到过一次双Master排查了半天发现是中间一台接入交换机把VRRP组播报文过滤了。VRRP默认用组播224.0.0.18有些交换机的ACL或者IGMP Snooping会误伤。解决办法是在中间设备上放行这个组播地址或者改用单播模式部分厂商支持。5.2 切换时间慢从3秒到200毫秒的优化默认3秒的切换时间对很多场景来说太长了。优化方向有两个缩短通告间隔从1秒改成200毫秒Master_Down_Interval相应变成600毫秒左右。启用BFD联动BFDBidirectional Forwarding Detection可以在毫秒级检测链路故障联动VRRP实现快速切换。# BFD联动示例 bfd session 1 bind peer-ip 192.168.10.3 source-ip 192.168.10.2 interface Vlan10 vrrp 10 bfd session 1BFD的检测时间可以做到50毫秒以内配合VRRP切换时间能压到200毫秒以下。但BFD对设备性能有要求低端设备可能跑不动部署前先测试。5.3 与STP的配合别让生成树坏了事VRRP和STP的关系很微妙。如果两台三层交换机之间有多条链路STP会阻塞其中一条这没问题。但如果STP收敛慢VRRP报文可能被临时阻断导致误切换。我的建议是三层交换机之间用链路聚合代替多条独立链路既提高带宽又避免STP问题。如果必须用STP开启边缘端口和BPDU保护减少不必要的收敛。在VRRP设备上配置STP根桥确保生成树拓扑稳定。5.4 虚拟IP无法ping通检查ARP响应有时候VRRP配置看起来正常Master也选出来了但终端ping不通虚拟IP。原因通常是Master没有响应ARP检查Master的VRRP状态确认是Master而不是Backup。ARP表项老化终端缓存了旧的ARP等老化或手动清除。ACL拦截检查是否有ACL拦截了虚拟IP的ICMP或ARP。VIP和物理IP冲突确认VIP没有被其他设备使用。我一般会先在Master上display vrrp确认状态然后在终端上arp -a看ARP表项对应的MAC是不是Master的MAC。VRRP的虚拟MAC格式是0000-5e00-01XXXX是VRID的十六进制。比如VRID 10对应的虚拟MAC是0000-5e00-010a。如果终端学到的MAC不对那肯定是ARP出了问题。6. 生产环境部署的几条硬核经验6.1 优先级规划留足余量优先级不要设得太接近。我见过有人主设110备设109结果接口跟踪一触发优先级降10直接变成100备设备还没反应过来中间状态乱了一阵。建议主备差距至少20接口跟踪的降低值也要算进去确保触发后优先级明确低于备设备。6.2 认证别用明文VRRP认证虽然不能防住有心的攻击者但能防住误配置。生产环境至少用MD5认证密码定期更换。明文认证在抓包里直接能看到太不安全。6.3 监控别等用户报障才知道VRRP状态变化一定要有监控告警。我一般会在网管系统里监控这几个指标VRRP组状态Master/Backup主备切换次数通告报文收发计数接口跟踪状态切换次数突然增多说明网络不稳定要提前排查。等用户打电话来那就晚了。6.4 日志保留切换记录VRRP切换时设备会打日志这些日志一定要保留。排查问题时切换时间点、切换原因、切换前后的状态全靠日志。建议把VRRP日志单独存一份保留至少一个月。6.5 测试上线前必须做切换演练配置完VRRP别急着走。至少做这几项测试手动关闭主设备确认备设备在预期时间内接管终端业务不中断。断开主设备上行链路确认接口跟踪生效备设备接管。恢复主设备确认抢占正常主设备重新成为Master。双主测试断开心跳链路观察是否出现双Master验证防环机制。这些测试做完你才能对这套VRRP方案有信心。我见过太多“配置看起来没问题一切换就出事”的案例都是因为没做演练。7. 一个容易被忽略的细节VRRP与DHCP的配合终端获取网关地址通常靠DHCP。如果DHCP服务器下发的网关是VIP那没问题。但如果DHCP服务器下发的网关是某台设备的物理IP那VRRP就白配了。所以部署VRRP时一定要检查DHCP的网关配置确保下发的是虚拟IP。另外如果DHCP服务器本身也做了冗余那DHCP和VRRP的切换时间要匹配。VRRP切换了DHCP还没切换新上线的终端可能拿到错误的网关。这种跨协议的协调往往是最容易出问题的地方。8. 最后分享几个实战小技巧技巧一用VRID对应VLAN ID。VLAN 10用VRID 10VLAN 20用VRID 20排查时一眼就能对上省得翻配置。技巧二虚拟IP单独规划。别从地址池里随便拿一个专门划一个VIP段比如每个VLAN的.254和.253文档里写清楚交接时不容易乱。技巧三主备设备配置保持一致。除了优先级和物理IP其他配置尽量一样。这样切换后业务体验一致不会出现主设备能访问某个资源、备设备访问不了的情况。技巧四定期检查VRRP状态。别配完就不管了每月至少看一次主备状态和切换次数。有些问题比如心跳链路半死不活不会立刻暴露但会在几个月后突然爆发。技巧五文档记录VIP和VRID分配表。这个表在故障排查和扩容时价值极高。我习惯用Excel维护一张表VLAN ID、网段、VIP、VRID、主设备、备设备、优先级。谁接手都能快速上手。VRRP本身不复杂但细节多。配通容易配稳难。希望这些经验能帮你少走点弯路。