设为首页 收藏本站
云服务器等爆品抢先购,低至4.2元/月
查看: 2069|回复: 2

[经验分享] CCNP:HSRP介绍及校园网的应用

[复制链接]

尚未签到

发表于 2015-11-5 12:52:26 | 显示全部楼层 |阅读模式
随着Internet的日益普及,人们对网络的依赖性也越来越强。这同时对网络的稳定性提出了更高的要求,人们自然想到了基于设备的备份结构,就像在服务器中为提高数据的安全性而采用双硬盘结构一样。路由器是整个网络的核心和心脏,如果路由器发生致命性的故障,将导致本地网络的瘫痪,如果是骨干路由器,影响的范围将更大,所造成的损失也是难以估计的。因此,对路由器采用热备份是提高网络健壮性(robust)的必然选择。在一个路由器完全不能工作的情况下,它的全部功能便被系统中的另一个备份路由器完全接管,直至出现问题的路由器恢复正常,这就是Cisco公司的热等待路由协议(HotStandbyRouterProtocal,HSRP)要解决的问题。  
  一、 HSRP协议概述
  实现HSRP的条件是系统中有多台路由器,它们组成一个“热等待组”,这个组形成一个虚拟路由器。在任一时刻,一个组内只有一个路由器是活动的,并由它来转发数据包,如果活动路由器发生了故障,将选择一个等待路由器来替代活动路由器,但是在本网络内的主机看来,虚拟路由器没有改变。所以主机仍然保持连接,没有受到故障的影响,这样就较好地解决了路由器切换的问题。
  为了减少网络的数据流量,在设置完活动路由器和等待路由器之后,只有活动路由器和等待路由器定时发送HSRP报文。如果活动路由器失效,等待路由器将接管成为活动路由器。如果等待路由器失效或者变成了活动路由器,将由另外的路由器被选为等待路由器。
  在实际的一个特定的局域网中,可能有多个热等待组并存或重叠。每个热等待组模仿一个虚拟路由器工作,它有一个Well-known-MAC地址和一个IP地址。该IP地址、组内路由器的接口地址、主机在同一个子网内,但是不能一样。当在一个局域网上有多个热等待组存在时,把主机分布到不同的热等待组,可以使负载得到分担。
  二、HSRP协议数据包格式
  在热等待组内,路由器定时以不同类型的数据报文广播状态信息。该协议运行在UDP之上,端口号为1985,目的地址为多播地址224.0.0.2,TTL标记为1。数据包的源地址为发送方路由器的实际IP地址,而不是虚拟地址,这样可以用来标记不同的路由器。UDP的格式如图1所示。
  三、 HSRP中路由器的状态及状态转换
  在热等待组中,每个路由器运行着一个简单的状态机,通过当前的状态和事件的触发,而转换成不同的状态。其中包括以下状态。
  1.初始状态 HSRP启动时的状态,HSRP还没有运行,一般是在改变配置或端口刚刚启动时进入该状态。
  2.学习状态在该状态下,路由器还没有决定虚拟IP地址,也没有看到认证的、来自活动路由器的HELLO报文。路由器仍在等待活动路由器发来的HELLO报文。
  3.监听状态路由器已经得到了虚拟IP地址,但是它既不是活动路由器也不是等待路由器。它一直监听从活动路由器和等待路由器发来的HELLO报文。
  4.说话状态 在该状态下,路由器定期发送HELLO报文,并且积极参加活动路由器或等待路由器的竞选。
  5.等待状态 处于该状态的路由器是下一个候选的活动路由器,它定时发送HELLO报文。
  6.活动状态 处于活动状态的路由器承担转发数据包的任务,这些数据包是发给该组的虚拟MAC地址的。它定时发出HELLO报文。
  另外,每一个路由器都有3个计时器,即活动计时器、等待计时器和呼叫计时器。
  状态的变化都是由事件引起的,不同的事件作用于不同的状态在就会产生不同的动作,如启动计时器、发报文等。
  四、HSRP在校园网中实现
  华东师范大学校园网规模比较大,上网的主机相对比较多,共分配有16个C类地址。为了保证数据安全和广播风暴,提高网络性能,将校园网划分成60个子网。在网络中心采用Cisco系统公司的Catalyst5509作为中心交换机,并且带有RSM作为VLAN间的路由器,另外使用一个Cisco7000系列的路由器和RSM。它们都支持VLAN以及VLAN上的HSRP。如图2所示。
  在每一个虚拟局域网内都有一个HSRP组,从逻辑上讲,Cisco7010和Cisco5509的RSM在每个虚拟局域网上都有局域网接口,并且都配置有IP地址,同时配置一个虚拟地址,该地址作为在该虚拟局域网内所有主机的网关。下面以VLAN9为例,RSM中VLAN 9的配置如下:
  interface Vlan9
  detion surportcenter
  ip address 202.120.95.66255.255.255.224该路由器在该VLAN9上的接口的IP地址以及掩码
  no ip redirects
  no ip directed-broadcast
  no ip route-cache cef
  standby 9 timers 3 250
  定义热等待组号为9,每3秒交换一次hello信息,250没有收到hello信息就开切换
  standby?150?priority?110
  定义路由器的权值,值越大,成为活动路由器的希望越大
  standby 9 preempt
  Enable该组的HSRP抢占功能,谁的权值大就可以立即成为活动路由器
  standby 9 ip 202.120.95.65
  该组的虚拟IP地址,作为该VLAN中主机的网关地址
  Cisco 7010路由器中接口的配置如下:
  interface FastEthernet0/0.9
  detion surportcenter
  ip address 202.120.95.67 255.255.255.224
  cisco7010在VLAN9上的接口的IP地址以及掩码,该地址和RSM中的地址必须属于同一个子网,并且不同
  no ip redirects
  encapsulation is l 9
  所使用的虚拟局域网协议
  standby 9 timers 3 250
  和在RSM中的含义一样,并且必须相同
  standby 9 priority 100
  比在RSM中的值小,所以RSM在该VLAN中为活动的
  standby 9 preempt
  和在RSM中含义一样
  standby 9 ip 202.120.95.65
  该组的虚拟IP地址,必须和RSM中一样
  为了达到负载均衡的目的,应该使Cisco 5509RSM和Cisco7010承担大致相同的负载,我们的方法是,在RSM中,VLAN 1到VLAN 30的权值为110,VLAN31到VLAN60的权值为100; 相反,在Cisco 7010中,VLAN 1到VLAN 30的权值为100,VLAN31到VLAN60的权值为100。这样,在正常情况下,Cisco 5509的RSM负责VLAN 1到VLAN30的路由,Cisco7010负责VLAN 31到VLAN 60的路由。如果有一方出现了故障,将由另一个来负载全部的路由工作。
  五、HSRP存在的问题
  对于在HSRP协议,最大的问题是没有提供安全防护,在一个局域网内部,通过发送虚假的UDP多播数据包很容易对局域网中的路由器实施攻击,导致数据包黑洞(PacketBlackHole)和拒绝服务攻击(Denial-of-ServiceAttack)。一般无法从一个局域网的外部实施攻击,因为大多数路由器都不转发目的地址为所有路由器的多播地址(224.0.0.2)。
  HSRP只是实现了路由器的平滑切换,使用户感觉不到这种切换,保证了网络的稳定性。但是,一个HSRP组内的路由器不能互通它们的其他网络配置信息,例如访问控制列表等。所以在管理实施管理时,为了保证一致性,必须对它们进行相同的修改,增加了管理的复杂性,这也许是为了提高性能而付出的代价吧。
  (作者地址: 上海中山北路3663号老图书馆一楼华东师范大学网络信息中心,200062)
  版本: 指示HSPR的版本信息。
  操作码: 用来描述数据包中报文的类型,可能的值为0、1和2,如表1所示。
  状态: 描述发出该报文的路由器的当前状态。在一个热等待组内的所有路由器都运行着这样的状态机,有以下6种状态,见表2。
  呼叫时间:只在呼叫报文中有意义,表示路由器定时发送呼叫报文的间隔时间,以秒为单位。如果该参数没有在路由器上配置,它可能要从活动路由器上学习获得。如果没有配置也没有学习,那么建议使用缺省值3。
  保持时间:只在呼叫报文中有意义,被接收路由器用来判断该呼叫报文是否合法,单位为秒,其值至少是呼叫时间的3倍。如果该参数没有配置,也同样可以从活动路由器上学习。活动路由器不能从等待路由器学习呼叫时间和保持时间,它只能继续使用从先前的活动路由器学习来的该值。建议的缺省值为10。
  优先级:该参数用来选择活动和等待路由器,2个具有不同优先级的路由器,优先级高的将成为活动路由器。2个具有相同优先级的路由器,IP地址高的将成为活动路由器。
  组: 用来标记路由器所在的热等待组。对令牌环类型的网络,合法的值是0、1和2,对于其他类型的网络,合法值是0~255。
  认证码: 包括8个明文的字符作为密码,如果没有配置,缺省值为0×63 0×69 0×73 0×63 0×6F 0×000×000×00。
  虚拟IP地址:4个8位组,用来指定本热等待组的虚拟IP地址,它可以是从活动路由器的呼叫报文中学习来的。如果没有配置该地址,并且呼叫报文是需要认识的,那么只能通过活动路由器学习。
  补充几点~
  1、在cisco的路由器上面~认证是在学习虚拟IP地址的时候用的,在一台路由器上面配置standby 1ip192.168.1.254 另一台配置standby 1ip,虚拟的ip地址可以通过hello包学习过来,配置了认证之后,只有两边密码一样的情况下才会学习到,如果两边都配置standby1ip 192.168.1.254 的话,认证没有什么作用。
  2、一个接口上面多个hsrp的组需要硬件支持,2500上面不能直接支持多个hsrp的组~需要通过一些特殊的方法实现。
  3、hsrp的track功能,可以查看一个端口,若追踪的端口down了~以太口会自动的降低优先级,变成standby的功能。不过需要配置和计算。
  编辑推荐
  思科认证专区
  CCNP课堂—PBR+SLA配置实例
  CCNP备考:路由命令篇之EIGRP命令手册

运维网声明 1、欢迎大家加入本站运维交流群:群②:261659950 群⑤:202807635 群⑦870801961 群⑧679858003
2、本站所有主题由该帖子作者发表,该帖子作者与运维网享有帖子相关版权
3、所有作品的著作权均归原作者享有,请您和我们一样尊重他人的著作权等合法权益。如果您对作品感到满意,请购买正版
4、禁止制作、复制、发布和传播具有反动、淫秽、色情、暴力、凶杀等内容的信息,一经发现立即删除。若您因此触犯法律,一切后果自负,我们对此不承担任何责任
5、所有资源均系网友上传或者通过网络收集,我们仅提供一个展示、介绍、观摩学习的平台,我们不对其内容的准确性、可靠性、正当性、安全性、合法性等负责,亦不承担任何法律责任
6、所有作品仅供您个人学习、研究或欣赏,不得用于商业或者其他用途,否则,一切后果均由您自己承担,我们对此不承担任何法律责任
7、如涉及侵犯版权等问题,请您及时通知我们,我们将立即采取措施予以解决
8、联系人Email:admin@iyunv.com 网址:www.yunweiku.com

所有资源均系网友上传或者通过网络收集,我们仅提供一个展示、介绍、观摩学习的平台,我们不对其承担任何法律责任,如涉及侵犯版权等问题,请您及时通知我们,我们将立即处理,联系人Email:kefu@iyunv.com,QQ:1061981298 本贴地址:https://www.yunweiku.com/thread-135433-1-1.html 上篇帖子: Linux 书籍汇总 下篇帖子: CCIE试验备考之交换VLAN间路由
累计签到:16 天
连续签到:4 天
发表于 2017-11-20 14:27:03 | 显示全部楼层
有图就更好啦··

运维网声明 1、欢迎大家加入本站运维交流群:群②:261659950 群⑤:202807635 群⑦870801961 群⑧679858003
2、本站所有主题由该帖子作者发表,该帖子作者与运维网享有帖子相关版权
3、所有作品的著作权均归原作者享有,请您和我们一样尊重他人的著作权等合法权益。如果您对作品感到满意,请购买正版
4、禁止制作、复制、发布和传播具有反动、淫秽、色情、暴力、凶杀等内容的信息,一经发现立即删除。若您因此触犯法律,一切后果自负,我们对此不承担任何责任
5、所有资源均系网友上传或者通过网络收集,我们仅提供一个展示、介绍、观摩学习的平台,我们不对其内容的准确性、可靠性、正当性、安全性、合法性等负责,亦不承担任何法律责任
6、所有作品仅供您个人学习、研究或欣赏,不得用于商业或者其他用途,否则,一切后果均由您自己承担,我们对此不承担任何法律责任
7、如涉及侵犯版权等问题,请您及时通知我们,我们将立即采取措施予以解决
8、联系人Email:admin@iyunv.com 网址:www.yunweiku.com

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

扫码加入运维网微信交流群X

扫码加入运维网微信交流群

扫描二维码加入运维网微信交流群,最新一手资源尽在官方微信交流群!快快加入我们吧...

扫描微信二维码查看详情

客服E-mail:kefu@iyunv.com 客服QQ:1061981298


QQ群⑦:运维网交流群⑦ QQ群⑧:运维网交流群⑧ k8s群:运维网kubernetes交流群


提醒:禁止发布任何违反国家法律、法规的言论与图片等内容;本站内容均来自个人观点与网络等信息,非本站认同之观点.


本站大部分资源是网友从网上搜集分享而来,其版权均归原作者及其网站所有,我们尊重他人的合法权益,如有内容侵犯您的合法权益,请及时与我们联系进行核实删除!



合作伙伴: 青云cloud

快速回复 返回顶部 返回列表