|
1.Introduction 终端主机决定到外部网络的第一跳路由器方法： 运行或监听动态路由协议； 运行IDRP协议； 静态配置默认网关； 2.VRRP仅为IPV4准备的；(VRRPv2基于IPv4，VRRPv3基于IPv6) 3.Definition: VRRP Router 运行了VRRP协议的路由器； Virtual Router 在多路访问LAN中，行使默认网关功能的抽象的对象； Ip 地址拥有者 把虚拟路由器的ip地址作为真实物理接口地址的VRRP路由器; 主ip地址 从一组真实接口地址选出来的一个ip地址；VRRP通告总是使用其作为IP数据包 的源IP；(真正用作虚拟路由器ip的IP；) (从虚拟路由器的一组真实的ip中选 出的一个地址？？？) 虚拟路由器Master 负责转发发送给虚拟路由器的数据包；回应对虚拟路由器IP的ARP请求；如果一 个IP地址拥有者可用，则它将一直是Master； 虚拟路由器Backup 在目前的Master失效后，能够承担转发发送给虚拟路由器数据包的责任 的VRRP路由器； 虚拟路由器的IP地址可以是备份组所在网段中未被分配的IP地址，也可以和备份组内的某个路由器的接 口IP地址相同。 接口IP地址与虚拟IP地址相同的路由器被称为“地址拥有者”。 在同一个VRRP备份组中，只允许配置一个地址拥有者。 4.所有的VRRP协议消息都使用IP广播数据包； 每个虚拟路由器都有一个分配给它的周知的MAC地址； 虚拟路由器的MAC地址被Master用作发送周期性VRRP消息的源MAC地址； 虚拟路由器是通过虚拟路由器标识符（VRID）和一组IP地址定义的； 同一台路由器上的相同VRID可以配置在不同的局域网接口中； 为了减少网络流量，只有Master为虚拟路由器发送周期性的通告消息； Backup路由器不会抢占成为Master，除非它拥有更高的priority； 默认开启了preempt; 5.VRRP定义了三种验证方法；1）、不验证；2）、Clear text;3）、AH; 6.Protocal: VRRP数据包的目的是为了让所有VRRP路由器知道有特定VRID Master路由器的优先级 和状态； VRRP数据包封装在IP数据包中，发送给分配给VRRP 的IPV4组播地址； 7.1VRRP 数据包格式： |Version| Type | Virtual Rtr ID| Priority | Count IP Addrs| | Auth Type | Adver Int | Checksum | | IP Address (1) | | IP Address (n) | | Authentication Data (1) | | Authentication Data (2) | IP域部分： 源地址：某个发送数据包的接口的Primary_address; 目的地址：IANA分配给VRRP协议的组播地址是 224.0.0.18； TTL： Must 被设置为255；若VRRP路由器接收到TTL不等于255的数据包，Must丢弃； IP协议号：IANA分配给VRRP的协议号是112； 注：HSRP允许在UDP层上，端口号 1985，发送给224.0.0.2 ，TTL=1； VRRP域部分： Version: 本文档定义为version 2； Type:本版本的VRRP协议仅定义了一种VRRP数据包类型；未知类型的包Must 被丢弃； 1 Advertisemnet; VRID:标识被通告状态的虚拟路由器；1-255 Priority:为某个虚拟路由器的VRRP路由器的优先级；0-255；值越大，优先级越高； 优先级0系统保留给特殊用途使用，255则是系统保留给IP地址拥有者的。 若为ip地址拥有者，改变优先级对其无效； 默认值为 100； 地址拥有者的优先级Must 是 255； 其它的处于备份虚拟路由器的VRRP路由器的优先级在 1-254之间； 优先级为0的预示着目前的Master已经停止参加VRRP了；用于触发备份路由器立即转化为Master，而无需等待目前的Master过期； Count IP Addrs:VRRP通告中包含的IP地址的数量； 认证类型：0-255 未知的认证类型或与本地匹配的认证类型的包都Must被丢弃； RFC2338的认证类型 0 无验证 1 clear text 2 IP Authentication Header RFC3768中的认证类型： 0 - No Authentication 1 – Reserved 向后兼容RFC2338的； 2 – Reserve 向后兼容RFC2338的； 通告间隔：连续两个通告之间的时间间隔；默认1s； Checksum:校验和，校验VRRP消息的完整性； IP_Address:与虚拟路由器关联的IP地址； 8.VRRP协议的状态机制： 每个接口参数：认证类型；认证数据； 每个虚拟路由器参数：VRID 1-255 Priority 缺省100，0保留，255保留；1-254； Ip_address Advertisement_interval 默认1s； Skew_Time (256-priority)/256；skew master-down-interval in second; Master-Down-Interval (3*Advertisement_interval)+skew_time Preempt-Mode true允许抢占；false不允；缺省为true； 计时器：Master-Down-timer Adver-timer 9.状态机制： Initialize 这个状态是等待一个startup_event；如果收到了一个启动事件，则： 1）.如果Priority=255(路由器是ip地址拥有者) 发送一个通告advertisement; 广播一个reply/gratuitous ARP请求，请求虚拟路由器关联的每个IP地址的MAC； 把计时器Adver_Timer设置成Advertisement_Interval的值； 转换成Master状态； 2）.否则： 把计时器Master_Down_Timer设置成Master_Down_Interval的值； 转换成Backup状态 Backup状态： 这个状态是为了监控Master_Router的可用性和状态； 不可对请求虚拟路由器关联的IP地址的ARP请求做出回应； 必须丢弃链路层目的地址为虚拟路由器MAC的数据包； 必须不能接受目的地址为虚拟路由器关联的IP地址的数据包； 1）.如果接收到shutdown事件： 删除Master_Down_Timer计时器； 转换成Initialize状态； 2）.如果Master_Down_Timer期满： 发送一个Advertisement通告； 广播一个gratuitous ARP请求，请求虚拟路由器关联的每个IP地址的MAC； 把Adver_Timer计时器设置成Advertisement_Interval的值； 转换为Master状态； 3）.如果接收到Advertisement包： 若报文中的Priority=0，那么把Master_Down_Timer设置成Skew_Timer值； 若抢占模式是False或者报文中的优先级大于或等于本地的，重置Master_Down_Timer为Maseter_Down_interval的值； 否则，丢弃该advertisement报文；Master-Down-Timer就会过期； Master:这个状态实行转发功能； 必须对请求与虚拟路由器相关联IP的ARP包进行回应； 必须转发链路层地址等于虚拟路由器MAC的数据包； 如果它不是ip地址拥有者，它一定不可以”接受”目的IP为虚拟路由器的IP的数据包； 如果它是IP地址拥有者，它必须”接受”目的IP为虚拟路由器的IP的数据包； 思考：是否ping的问题，即若不是ip拥有者，不能不能对ping 做出回应？？ 1）.如果接收到shutdown事件： 删除Adver_Timer计时器； 发送一个priority=0的Advertisement报文； 转换成Initialize状态； 2）.如果Adver_Timer计时器期满： 发送一个Advertisement包； 重置Adver_Tiemr为Advertisement_Interval的值； 3）.如果接收到一个Advertisement报文： 如果报文中的priority=0，则 发送一个advertisement报文； 重置Adver_Timer计时器为advertisement_Interval的值； 否则：若优先级比本地的高或者是优先级等于本地的并且主IP地址比本地的大，则， 删除Adver_Timer； 把Master_Down_timer设置成Master_Interval的值； 转换成Backup状态； 否则，丢弃数据包； （注：优先级相等，就看接口IP地址的大小，类似HSRP中Active的选举；） 思考：Master什么时候会收到advertisement报文呢？？ 10.VRRP的选举机制：VRRP优先级；接口IP地址大小； 11.发送和接受VRRP数据包： 接收到VRRP数据包，必须： 检测IP_TTL=255； 检测VRRP_version ：2 检测接收到的报文长度大于或等于VRRP_Header； 检测接收接口的VRID被配置以及本地路由器不是ip地址拥有者； 检测checksum; 检测认证类型和认证数据； 以上有任何一个不符合，接收者都必须丢弃数据包； 检测接收接口上的VRID；若失败，则丢弃数据包； 可能会检测VRID关联的ip地址是否合法；（count、list）; 若失败，接收者应该记录配置错误信息； 若不是由IP地址拥有者生成的包，必须丢弃； 必须检测Adver_Interval与本地的相同；若失败，必须丢弃包； 发送VRRP数据包： 填写虚拟路由器的正确的配置状态； 计算checksum; 把源MAC地址设置成虚拟路由器的MAC； 把源IP地址设置成虚拟路由器的接口主IP地址； 把IP协议设置为VRRP； 把VRRP数据包发送给IP组播组 224.0.0.18； 注意：VRRP数据包的发送使用的是虚拟路由器的MAC地址； VRRP数据包的发送使用的是实际物理接口的IP； VRRP数据包的发送的目的MAC是组播MAC：01-00-5e-00-00-12; VRRP数据包的发送的目的IP是组播224.0.0.18； 12.虚拟路由器的MAC地址： 格式： 00-00-5E-00-01-{VRID} 前3个八元组，是IANA的OUI；Cisco的OUI是：0000.0c 接下来的两个八元祖，是分配给VRRP协议的地址块； 最后一个八元组，是VRRP虚拟路由器的标识符； 13. 操作性事件：ICMP 重定向：类似HSRP中的； 主机ARP请求： Master 虚拟路由器必须用虚拟路由器的MAC对其做出回应； Master不可以用其真实的物理MAC地址来回应； 当一个VRRP路由器重启或重新加载，它不应该用其物理MAC地址为其拥有的IP地址发送任何的ARP消息；仅应当用其虚拟路由器的MAC地址来发送ARP消息；包括： 当配置一个接口时，VRRP路由器应当为那个接口上的每个IP地址广播一个ARP请求； 系统启动，初始化接口的VRRP操作时，只有IP地址和虚拟路由器的MAC配置后才发送ARP请求； 代理ARP 当使用proxy-ARP时，VRRP路由器必须用虚拟路由器的MAC地址来通告； 否则，可能会导致终端机学到VRRP路由器的真实MAC地址； 潜在的转发环路： A VRRP router SHOULD not forward packets addressed to the IP Address(es) it becomes Master for if it is not the owner. 14.安全考虑： TTL设置成255，在接收到消息时，检测；以此避免从外部网络注入VRRP数据包； 15.配置： 配置备份组的虚拟IP地址可以被Ping通； 本配置需要在备份组创建之前就进行设定。如果路由器上已经创建了备份组，将不允许再进行本配置。 进入系统视图： system-view Vrrp ping-enable 缺省，可以被ping通； MAC地址和虚拟IP地址的对应关系有两种： 本配置需要在备份组创建之前就进行设定。如果路由器上已经创建了备份组，则不允许修改MAC地址和虚拟IP地址的对应关系。 System-view; Vrrp method {real-mac|virtual-mac} 缺省，采用虚拟路由器的MAC和虚拟路由器 的ip地址对应； 创建备份组并配置虚拟IP地址： # int # vrrp {vrid} ip {virtual_ip_add} ; 创建备份组，并配置虚拟IP地址： vrrp vrid {}virtual-ip {} 缺省，没有创建备份组； 单接口可以配置最大VRRP组数为16，单个备份组可配置最大IP地址数为16个。 备份组中所有虚拟IP地址都被删除后，该备份组也将同时被删除掉，并且该备份组的所有配置都不再有效。 备份组的虚拟IP地址不能为全零地址(0.0.0.0)、广播地址(255.255.255.255)、环回地址、非A/B/C类地址和其它非法IP地址(如0.0.0.1)。 只有配置的虚拟IP地址和接口IP地址在同一网段，且为合法的主机地址时，备份组才能够正常工作；否则，如果配置的虚拟IP地址和接口IP地址不在同一网段，或为接口IP地址所在网段的网络地址或网络广播地址，则可以配置成功，但是备份组的状态始终会处于Initialize状态。 配置备份组优先级、抢占方式及监视指定接口： 在配置备份组优先级、抢占方式及监视指定接口之前，需要先在接口上创建备份组并配置虚拟IP地址。 # interface # vrrp {vrid} priority 缺省为100； # vrrp {vrid} preempt [ delay {delay-value}] 缺省工作在抢占，抢占延迟为0秒； 如果设置备份组中的路由器工作在非抢占工作，则抢占延迟时间会自动变为0秒 # vrrp {vrid} track interface {int} [reduced priority-reduced] 缺省没有启用接口监视； 对于IP地址拥有者，在VRRP报文中的优先级始终为255，无需用户配置。 不允许对IP地址拥有者进行监视指定接口的配置。 被监视的接口可以是三层以太网接口、VLAN接口、同异步串口和MP-group端口。 被监视接口的状态由down变为up后，对应设备的优先级数会自动恢复。 配置VRRP报文的相关属性： 在配置VRRP报文的相关属性之前，需要先在接口上创建备份组并配置虚拟IP地址； # interface # vrrp {vrid} authentication {md5|text} {key} 缺省，不验证； # vrrp {vrid} timers advetise {adver_interval} 缺省为1s；0-254 # vrrp {vrid} timers learn 在设置了定时器学习功能后，它会从主路由器的VRRP广告中学习VRRP广告发送间隔，并由此计算Master路由器失效间隔，而不是使用自己本地设置的VRRP广告发送间隔来计算，本命令可以实现与Master路由器的VRRP广告发送定时器同步。
| 
QQ群⑧：
窥视卡
雷达卡
发表于 2013-3-22 09:36:06
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
千斤顶
显身卡