1. 为什么还要聊VRRP这个老协议刚入行那会儿师傅让我配VRRP我心想这不就是个网关冗余嘛两台路由器虚拟出一个IP主挂了备顶上能有多复杂。结果第一次上生产环境就翻车了——主备切换倒是切了但下面一堆终端硬是断网了快两分钟业务方电话直接打爆。后来排查才发现问题根本不在VRRP本身而在于我没搞明白抢占延迟、跟踪联动、以及上行链路状态这三者之间的关系。所以这篇东西我不打算照着手册念一遍命令。手册上那些vrrp vrid 1 virtual-ip谁都会敲真正让运维头疼的是为什么切了、切得干不干净、切完流量走没走对。VRRPVirtual Router Redundancy Protocol虚拟路由器冗余协议本质上解决的是一个非常朴素的问题——你的终端只配了一个默认网关这个网关要是没了整个网段就成孤岛。VRRP的思路就是让多台物理设备共用一组虚拟IP和虚拟MAC对外表现为一台永不掉线的网关。它适合谁看如果你正在做园区网出口冗余、数据中心服务器网关高可用、或者企业分支的双机热备那这套东西你绕不开。哪怕现在很多场景用堆叠、用MLAG、用云上的浮动IPVRRP的底层思想依然是相通的。这篇文章我会从设计思路讲到实操配置再到我踩过的那些坑尽量把手册不会告诉你的部分补上。2. VRRP核心机制与设计思路拆解2.1 虚拟路由器到底虚拟了什么很多人对VRRP的理解停留在虚拟一个IP这其实只说对了一半。VRRP虚拟出来的是一个虚拟路由器它包含三样东西一个虚拟IP地址VIP、一个虚拟MAC地址、以及一个优先级选举机制。终端把网关指向VIPARP请求VIP时Master会用自己的虚拟MAC回应终端学到的是00-00-5E-00-01-{VRID}这个格式的MAC。注意这个MAC是协议规定的不是随便生成的VRID决定了最后一段。为什么MAC也要虚拟因为如果只虚拟IP终端ARP缓存里存的还是某台物理设备的MAC主备切换后终端不重新ARP流量照样发往已经挂掉的那台。虚拟MAC保证了切换对终端完全透明——终端眼里网关的MAC从来没变过。这里有个细节值得说虚拟MAC的格式是00-00-5E-00-01-XX其中XX就是VRID的十六进制。所以同一个广播域里不同VRRP组的VRID不能重复否则MAC冲突这是新手最容易忽略的点。我见过有人图省事所有组都写vrid 1结果两个组互相打架。2.2 Master选举优先级和IP大小谁说了算VRRP的选举规则其实就两条按顺序比先比优先级优先级高的当Master范围是1到254默认100。优先级相同比接口IP地址IP大的当Master。优先级255是保留给IP地址拥有者的——也就是说如果这台设备的接口IP恰好就是VIP那它优先级自动是255永远是Master。这个设计很合理因为IP拥有者本来就是正主。我一般建议优先级不要设成默认的100而是拉开差距比如主设120、备设100。为什么因为默认值相同的时候靠IP大小决定万一你哪天调整了接口IP主备关系可能莫名其妙翻转这种隐性依赖在生产环境是大忌。显式配置优先级让主备关系一目了然。2.3 抢占模式默认开启是把双刃剑VRRP默认是抢占模式preempt意思是备机发现自己的优先级比当前Master高就会抢回Master位置。听起来很合理对吧但这里有个大坑如果主机只是短暂抖动了一下比如接口闪断又恢复备机抢了Master然后主机恢复后又抢回来这一来一回就是两次切换每次切换都有流量中断。所以生产环境我通常做两件事一是配置抢占延迟preempt delay让备机等一段时间再抢给主机自愈的机会二是评估是否干脆关闭抢占让备机上位后就不下来直到主机真正恢复稳定。这两种策略各有适用场景后面实操部分我会展开。2.4 跟踪联动VRRP最容易被忽视的灵魂这是我最想强调的一点。VRRP只管接口的up/down它默认不关心上行链路通不通。什么意思假设你的Master路由器下行接口连着终端up但上行接口连核心网的光纤断了。这时候VRRP认为我接口都好着呢继续当Master终端流量全发给它然后全部丢进黑洞。解决办法就是跟踪track。把上行接口或者一条探测链路关联到VRRP组一旦被跟踪对象down了主动降低本机优先级触发切换。没有track的VRRP配置等于只做了一半的高可用。我那次翻车根源就在这——上行断了但VRRP没切终端傻乎乎地往黑洞里发数据。3. 配置前的关键参数规划3.1 VRID与虚拟IP的分配原则动手敲命令之前先把规划做扎实能省掉后面一堆返工。VRID的规划我遵循几个原则同一广播域内VRID唯一不同VLAN可以复用相同VRID因为广播域隔离了。VRID建议和VLAN ID建立映射关系比如VLAN 10用VRID 10VLAN 20用VRID 20。这样排查问题时一眼就能对上不用翻文档。虚拟IP选一个同网段内未被占用的地址最好避开DHCP地址池范围防止冲突。下面这张表是我常用的规划模板实际项目里照着填就行项目示例值说明VLAN ID10业务网段网段192.168.10.0/24终端所在网段虚拟IP192.168.10.1终端网关指向它VRID10与VLAN ID对应主设备接口IP192.168.10.2优先级120备设备接口IP192.168.10.3优先级100抢占延迟30秒给主机自愈时间3.2 优先级与抢占延迟的取值逻辑优先级的取值不是随便拍脑袋。我的经验是主备之间至少拉开20的差距避免因为个别track对象波动导致频繁切换。比如主设120备设100中间留20的缓冲。如果主设备跟踪了3个上行接口每个接口down扣10优先级那么即使down掉一个主机优先级还有110仍然高于备机不会切换——这符合单个上行故障不一定要切的预期。如果down掉两个优先级降到100和备机持平这时候比IP可能切也可能不切所以更稳妥的做法是每个track扣15down两个就降到90明确触发切换。抢占延迟的取值要看业务容忍度。一般园区网设30秒比较稳妥给主机足够时间自愈。如果是金融交易类场景可能要求更快切换那就设10秒甚至更短但要接受可能的抖动切换。这个没有标准答案得和业务方对齐。3.3 认证方式的选择VRRP支持明文认证和MD5认证。明文认证基本等于没有抓包就能看到密码。MD5认证稍微好点但也不是强安全机制。我的建议是在内网可信环境认证主要是防误配而非防攻击配个MD5就够了别指望它扛住有心的攻击者。真要安全得靠上层的手段VRRP认证只是防呆。注意主备设备的认证方式和密码必须完全一致否则备机收不到主机的通告报文会误以为主机挂了然后自己抢Master造成双Master。这个错误极其常见配完一定要display vrrp确认状态。4. 主流设备上的实操配置过程4.1 华为设备上的完整配置先看华为的配置这是国内园区网最常见的场景。假设两台交换机做网关冗余VLAN 10业务网段。主设备配置# 进入系统视图 system-view # 创建VLAN并配置接口 vlan 10 quit interface Vlanif 10 ip address 192.168.10.2 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.10.1 vrrp vrid 10 priority 120 vrrp vrid 10 preempt-mode timer delay 30 vrrp vrid 10 track interface GigabitEthernet0/0/1 reduced 15 vrrp vrid 10 authentication-mode md5 cipher YourPassword quit备设备配置system-view vlan 10 quit interface Vlanif 10 ip address 192.168.10.3 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.10.1 vrrp vrid 10 priority 100 vrrp vrid 10 preempt-mode timer delay 30 vrrp vrid 10 track interface GigabitEthernet0/0/1 reduced 15 vrrp vrid 10 authentication-mode md5 cipher YourPassword quit这里几个关键点解释一下。track interface ... reduced 15表示被跟踪接口down时优先级减15。主设备120减15等于105仍然高于备机100所以单个上行down不切换如果跟踪两个接口都down减30变成90低于备机触发切换。preempt-mode timer delay 30是抢占延迟主设备恢复后等30秒再抢回Master。配完用display vrrp查看状态正常应该看到一台是Master一台是BackupMaster那台会显示State : Master并且有Virtual IP和Master IP信息。4.2 思科设备上的配置差异思科的语法和华为不太一样但逻辑完全一致。思科用的是standby关键字HSRP或者vrrp关键字这里说VRRP。主设备enable configure terminal interface GigabitEthernet0/1 ip address 192.168.10.2 255.255.255.0 vrrp 10 ip 192.168.10.1 vrrp 10 priority 120 vrrp 10 preempt delay minimum 30 vrrp 10 track 1 decrement 15 vrrp 10 authentication md5 key-string YourPassword exit track 1 interface GigabitEthernet0/0 line-protocol注意思科的track是先定义track对象再在VRRP里引用这点和华为直接在VRRP下写track interface不同。思科的track对象可以跟踪接口、IP路由、甚至SLA探测灵活性更高。track 1 interface GigabitEthernet0/0 line-protocol表示跟踪0/0接口的链路协议状态。备设备把priority改成100其他一样。查看状态用show vrrp能看到State is Master或State is Backup以及Virtual IP address is 192.168.10.1。4.3 配置后的验证清单配完别急着收工按这个清单逐项验证检查项命令华为预期结果VRRP状态display vrrp一主一备状态正确虚拟MACdisplay vrrp verbose显示00-00-5E-00-01-0A跟踪状态display vrrp verboseTrack项为Up终端连通性ping 192.168.10.1通切换测试断开主设备上行备机变Master终端不断切换测试一定要做而且要在业务低峰期做。我见过太多配置看着没问题一测就露馅的案例。5. 那些年我踩过的坑与排查实录5.1 双Master最危险的状态双Master是VRRP最严重的故障两台设备都认为自己是Master都响应VIP的ARP终端MAC表来回翻转网络时通时断。根本原因通常是主备之间收不到对方的通告报文。可能的原因有中间链路阻断了VRRP报文VRRP是IP协议号112的组播目的地址224.0.0.18。认证密码不一致备机丢弃主机的报文。VRID配置不一致两台根本不在一个组里。接口被ACL拦截了VRRP流量。排查思路先在主备之间抓包看能不能收到对方的VRRP通告。华为用display vrrp statistics能看到收发包计数如果Received一直是0那肯定是报文没通。这时候检查中间链路、ACL、认证配置。提示有些防火墙默认会拦截组播如果VRRP报文要穿过防火墙记得放行协议号112的流量。5.2 切换后流量走错方向这个坑更隐蔽。主备切换成功了备机也变Master了但终端流量还是不通。原因往往是备机的上行链路和主机不一样。比如主机上行走ISP-A备机上行走ISP-B切换后备机成了Master但备机的上行可能根本没配好路由或者ISP-B的链路本身有问题。解决办法就是前面说的track把上行链路状态关联进来。但更根本的是主备设备的上行设计要对称不能一台有上行一台没有。如果确实是非对称设计那VRRP可能不是最合适的方案得考虑更复杂的策略路由。5.3 抢占导致的反复切换主机接口闪断备机抢了Master主机恢复后又抢回来业务断了两次。这种抖动切换在链路质量差的场景特别常见。除了配抢占延迟还可以考虑关闭抢占让备机上位后就不下来。但关闭抢占的代价是主机真正恢复后也不会自动切回需要人工干预或者靠其他机制。我的折中方案是抢占延迟设长一点比如60秒同时把track的敏感度调低比如上行down两个才切换。这样既能过滤掉短暂抖动又能在真正故障时切换。5.4 常见问题速查表现象可能原因排查方向双Master报文不通/认证不一致抓包、查ACL、对认证不切换track未配/优先级差不够查track状态、算优先级切换后不通上行不对称/ARP未更新查上行路由、清ARP反复切换抢占太敏感/链路抖动加抢占延迟、调track终端学不到虚拟MACVRID冲突/接口未up查VRID唯一性、接口状态6. 进阶场景与方案取舍6.1 多组VRRP做负载分担标准VRRP是一主一备备机平时闲着资源浪费。实际项目里我常用多组VRRP做负载分担VLAN 10的VRID 10让设备A当MasterVRID 20让设备B当Master两个组互为备份。这样两台设备都在转发流量利用率上去了。配置上就是在两台设备上各配两个VRRP组优先级交叉设置。设备A在组10里优先级120、组20里优先级100设备B反过来。终端一半指向VIP10一半指向VIP20天然分流。这种方案的注意点是两组VRRP的虚拟MAC不同VRID不同所以终端学到的网关MAC也不一样这没问题。但要确保两组的上行路径都正常否则一组切换会影响另一组。6.2 VRRP与堆叠/M-LAG的取舍现在很多新设备支持堆叠或者M-LAG把两台物理设备虚拟成一台网关直接配在堆叠口上根本不需要VRRP。那什么时候还用VRRP我的判断标准是如果两台设备能堆叠且距离近优先堆叠管理简单、切换快。如果两台设备距离远比如跨机房堆叠线拉不过去那就用VRRP。VRRP的优势是对物理位置不敏感只要三层可达就能组VRRP。所以跨楼宇、跨机房的网关冗余VRRP依然是首选。6.3 云环境下的类VRRP思路云上一般不让用VRRP组播受限但高可用的需求还在。云厂商通常提供浮动IP或者弹性IP的漂移机制底层思想其实就是VRRP那套——一个VIP在多台实例间漂移靠健康检查决定谁持有。理解了VRRP的选举和track逻辑云上的高可用配置你也能快速上手无非是把优先级换成健康检查权重把track接口换成健康检查探测。7. 我个人的几条实操心得第一VRRP配置完必须做切换测试而且要在业务低峰期做。我见过太多配置看着对一测就出问题的情况。测试时用长ping加日志记录切换耗时和丢包数做到心里有数。第二track是VRRP的灵魂没有track的VRRP等于半成品。配VRRP的时候先问自己一句这台设备的上行如果断了VRRP知道吗如果答案是否定的赶紧加track。第三优先级和抢占延迟要显式配置别依赖默认值。默认值在简单场景能用但生产环境的链路状态复杂显式配置能让行为可预测、可排查。第四主备设备的上行设计尽量对称。非对称设计虽然能靠track勉强工作但切换后的流量路径往往不是最优的长期看是个隐患。最后分享一个小技巧排查VRRP问题时display vrrp statistics和抓包结合用先确认报文通不通再看状态对不对最后看流量走没走对。这个顺序能帮你快速定位问题在哪一层别一上来就瞎改配置。
1. 为什么还要聊VRRP这个老协议刚入行那会儿师傅让我配VRRP我心想这不就是个网关冗余嘛两台路由器虚拟出一个IP主挂了备顶上能有多复杂。结果第一次上生产环境就翻车了——主备切换倒是切了但下面一堆终端硬是断网了快两分钟业务方电话直接打爆。后来排查才发现问题根本不在VRRP本身而在于我没搞明白抢占延迟、跟踪联动、以及上行链路状态这三者之间的关系。所以这篇东西我不打算照着手册念一遍命令。手册上那些vrrp vrid 1 virtual-ip谁都会敲真正让运维头疼的是为什么切了、切得干不干净、切完流量走没走对。VRRPVirtual Router Redundancy Protocol虚拟路由器冗余协议本质上解决的是一个非常朴素的问题——你的终端只配了一个默认网关这个网关要是没了整个网段就成孤岛。VRRP的思路就是让多台物理设备共用一组虚拟IP和虚拟MAC对外表现为一台永不掉线的网关。它适合谁看如果你正在做园区网出口冗余、数据中心服务器网关高可用、或者企业分支的双机热备那这套东西你绕不开。哪怕现在很多场景用堆叠、用MLAG、用云上的浮动IPVRRP的底层思想依然是相通的。这篇文章我会从设计思路讲到实操配置再到我踩过的那些坑尽量把手册不会告诉你的部分补上。2. VRRP核心机制与设计思路拆解2.1 虚拟路由器到底虚拟了什么很多人对VRRP的理解停留在虚拟一个IP这其实只说对了一半。VRRP虚拟出来的是一个虚拟路由器它包含三样东西一个虚拟IP地址VIP、一个虚拟MAC地址、以及一个优先级选举机制。终端把网关指向VIPARP请求VIP时Master会用自己的虚拟MAC回应终端学到的是00-00-5E-00-01-{VRID}这个格式的MAC。注意这个MAC是协议规定的不是随便生成的VRID决定了最后一段。为什么MAC也要虚拟因为如果只虚拟IP终端ARP缓存里存的还是某台物理设备的MAC主备切换后终端不重新ARP流量照样发往已经挂掉的那台。虚拟MAC保证了切换对终端完全透明——终端眼里网关的MAC从来没变过。这里有个细节值得说虚拟MAC的格式是00-00-5E-00-01-XX其中XX就是VRID的十六进制。所以同一个广播域里不同VRRP组的VRID不能重复否则MAC冲突这是新手最容易忽略的点。我见过有人图省事所有组都写vrid 1结果两个组互相打架。2.2 Master选举优先级和IP大小谁说了算VRRP的选举规则其实就两条按顺序比先比优先级优先级高的当Master范围是1到254默认100。优先级相同比接口IP地址IP大的当Master。优先级255是保留给IP地址拥有者的——也就是说如果这台设备的接口IP恰好就是VIP那它优先级自动是255永远是Master。这个设计很合理因为IP拥有者本来就是正主。我一般建议优先级不要设成默认的100而是拉开差距比如主设120、备设100。为什么因为默认值相同的时候靠IP大小决定万一你哪天调整了接口IP主备关系可能莫名其妙翻转这种隐性依赖在生产环境是大忌。显式配置优先级让主备关系一目了然。2.3 抢占模式默认开启是把双刃剑VRRP默认是抢占模式preempt意思是备机发现自己的优先级比当前Master高就会抢回Master位置。听起来很合理对吧但这里有个大坑如果主机只是短暂抖动了一下比如接口闪断又恢复备机抢了Master然后主机恢复后又抢回来这一来一回就是两次切换每次切换都有流量中断。所以生产环境我通常做两件事一是配置抢占延迟preempt delay让备机等一段时间再抢给主机自愈的机会二是评估是否干脆关闭抢占让备机上位后就不下来直到主机真正恢复稳定。这两种策略各有适用场景后面实操部分我会展开。2.4 跟踪联动VRRP最容易被忽视的灵魂这是我最想强调的一点。VRRP只管接口的up/down它默认不关心上行链路通不通。什么意思假设你的Master路由器下行接口连着终端up但上行接口连核心网的光纤断了。这时候VRRP认为我接口都好着呢继续当Master终端流量全发给它然后全部丢进黑洞。解决办法就是跟踪track。把上行接口或者一条探测链路关联到VRRP组一旦被跟踪对象down了主动降低本机优先级触发切换。没有track的VRRP配置等于只做了一半的高可用。我那次翻车根源就在这——上行断了但VRRP没切终端傻乎乎地往黑洞里发数据。3. 配置前的关键参数规划3.1 VRID与虚拟IP的分配原则动手敲命令之前先把规划做扎实能省掉后面一堆返工。VRID的规划我遵循几个原则同一广播域内VRID唯一不同VLAN可以复用相同VRID因为广播域隔离了。VRID建议和VLAN ID建立映射关系比如VLAN 10用VRID 10VLAN 20用VRID 20。这样排查问题时一眼就能对上不用翻文档。虚拟IP选一个同网段内未被占用的地址最好避开DHCP地址池范围防止冲突。下面这张表是我常用的规划模板实际项目里照着填就行项目示例值说明VLAN ID10业务网段网段192.168.10.0/24终端所在网段虚拟IP192.168.10.1终端网关指向它VRID10与VLAN ID对应主设备接口IP192.168.10.2优先级120备设备接口IP192.168.10.3优先级100抢占延迟30秒给主机自愈时间3.2 优先级与抢占延迟的取值逻辑优先级的取值不是随便拍脑袋。我的经验是主备之间至少拉开20的差距避免因为个别track对象波动导致频繁切换。比如主设120备设100中间留20的缓冲。如果主设备跟踪了3个上行接口每个接口down扣10优先级那么即使down掉一个主机优先级还有110仍然高于备机不会切换——这符合单个上行故障不一定要切的预期。如果down掉两个优先级降到100和备机持平这时候比IP可能切也可能不切所以更稳妥的做法是每个track扣15down两个就降到90明确触发切换。抢占延迟的取值要看业务容忍度。一般园区网设30秒比较稳妥给主机足够时间自愈。如果是金融交易类场景可能要求更快切换那就设10秒甚至更短但要接受可能的抖动切换。这个没有标准答案得和业务方对齐。3.3 认证方式的选择VRRP支持明文认证和MD5认证。明文认证基本等于没有抓包就能看到密码。MD5认证稍微好点但也不是强安全机制。我的建议是在内网可信环境认证主要是防误配而非防攻击配个MD5就够了别指望它扛住有心的攻击者。真要安全得靠上层的手段VRRP认证只是防呆。注意主备设备的认证方式和密码必须完全一致否则备机收不到主机的通告报文会误以为主机挂了然后自己抢Master造成双Master。这个错误极其常见配完一定要display vrrp确认状态。4. 主流设备上的实操配置过程4.1 华为设备上的完整配置先看华为的配置这是国内园区网最常见的场景。假设两台交换机做网关冗余VLAN 10业务网段。主设备配置# 进入系统视图 system-view # 创建VLAN并配置接口 vlan 10 quit interface Vlanif 10 ip address 192.168.10.2 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.10.1 vrrp vrid 10 priority 120 vrrp vrid 10 preempt-mode timer delay 30 vrrp vrid 10 track interface GigabitEthernet0/0/1 reduced 15 vrrp vrid 10 authentication-mode md5 cipher YourPassword quit备设备配置system-view vlan 10 quit interface Vlanif 10 ip address 192.168.10.3 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.10.1 vrrp vrid 10 priority 100 vrrp vrid 10 preempt-mode timer delay 30 vrrp vrid 10 track interface GigabitEthernet0/0/1 reduced 15 vrrp vrid 10 authentication-mode md5 cipher YourPassword quit这里几个关键点解释一下。track interface ... reduced 15表示被跟踪接口down时优先级减15。主设备120减15等于105仍然高于备机100所以单个上行down不切换如果跟踪两个接口都down减30变成90低于备机触发切换。preempt-mode timer delay 30是抢占延迟主设备恢复后等30秒再抢回Master。配完用display vrrp查看状态正常应该看到一台是Master一台是BackupMaster那台会显示State : Master并且有Virtual IP和Master IP信息。4.2 思科设备上的配置差异思科的语法和华为不太一样但逻辑完全一致。思科用的是standby关键字HSRP或者vrrp关键字这里说VRRP。主设备enable configure terminal interface GigabitEthernet0/1 ip address 192.168.10.2 255.255.255.0 vrrp 10 ip 192.168.10.1 vrrp 10 priority 120 vrrp 10 preempt delay minimum 30 vrrp 10 track 1 decrement 15 vrrp 10 authentication md5 key-string YourPassword exit track 1 interface GigabitEthernet0/0 line-protocol注意思科的track是先定义track对象再在VRRP里引用这点和华为直接在VRRP下写track interface不同。思科的track对象可以跟踪接口、IP路由、甚至SLA探测灵活性更高。track 1 interface GigabitEthernet0/0 line-protocol表示跟踪0/0接口的链路协议状态。备设备把priority改成100其他一样。查看状态用show vrrp能看到State is Master或State is Backup以及Virtual IP address is 192.168.10.1。4.3 配置后的验证清单配完别急着收工按这个清单逐项验证检查项命令华为预期结果VRRP状态display vrrp一主一备状态正确虚拟MACdisplay vrrp verbose显示00-00-5E-00-01-0A跟踪状态display vrrp verboseTrack项为Up终端连通性ping 192.168.10.1通切换测试断开主设备上行备机变Master终端不断切换测试一定要做而且要在业务低峰期做。我见过太多配置看着没问题一测就露馅的案例。5. 那些年我踩过的坑与排查实录5.1 双Master最危险的状态双Master是VRRP最严重的故障两台设备都认为自己是Master都响应VIP的ARP终端MAC表来回翻转网络时通时断。根本原因通常是主备之间收不到对方的通告报文。可能的原因有中间链路阻断了VRRP报文VRRP是IP协议号112的组播目的地址224.0.0.18。认证密码不一致备机丢弃主机的报文。VRID配置不一致两台根本不在一个组里。接口被ACL拦截了VRRP流量。排查思路先在主备之间抓包看能不能收到对方的VRRP通告。华为用display vrrp statistics能看到收发包计数如果Received一直是0那肯定是报文没通。这时候检查中间链路、ACL、认证配置。提示有些防火墙默认会拦截组播如果VRRP报文要穿过防火墙记得放行协议号112的流量。5.2 切换后流量走错方向这个坑更隐蔽。主备切换成功了备机也变Master了但终端流量还是不通。原因往往是备机的上行链路和主机不一样。比如主机上行走ISP-A备机上行走ISP-B切换后备机成了Master但备机的上行可能根本没配好路由或者ISP-B的链路本身有问题。解决办法就是前面说的track把上行链路状态关联进来。但更根本的是主备设备的上行设计要对称不能一台有上行一台没有。如果确实是非对称设计那VRRP可能不是最合适的方案得考虑更复杂的策略路由。5.3 抢占导致的反复切换主机接口闪断备机抢了Master主机恢复后又抢回来业务断了两次。这种抖动切换在链路质量差的场景特别常见。除了配抢占延迟还可以考虑关闭抢占让备机上位后就不下来。但关闭抢占的代价是主机真正恢复后也不会自动切回需要人工干预或者靠其他机制。我的折中方案是抢占延迟设长一点比如60秒同时把track的敏感度调低比如上行down两个才切换。这样既能过滤掉短暂抖动又能在真正故障时切换。5.4 常见问题速查表现象可能原因排查方向双Master报文不通/认证不一致抓包、查ACL、对认证不切换track未配/优先级差不够查track状态、算优先级切换后不通上行不对称/ARP未更新查上行路由、清ARP反复切换抢占太敏感/链路抖动加抢占延迟、调track终端学不到虚拟MACVRID冲突/接口未up查VRID唯一性、接口状态6. 进阶场景与方案取舍6.1 多组VRRP做负载分担标准VRRP是一主一备备机平时闲着资源浪费。实际项目里我常用多组VRRP做负载分担VLAN 10的VRID 10让设备A当MasterVRID 20让设备B当Master两个组互为备份。这样两台设备都在转发流量利用率上去了。配置上就是在两台设备上各配两个VRRP组优先级交叉设置。设备A在组10里优先级120、组20里优先级100设备B反过来。终端一半指向VIP10一半指向VIP20天然分流。这种方案的注意点是两组VRRP的虚拟MAC不同VRID不同所以终端学到的网关MAC也不一样这没问题。但要确保两组的上行路径都正常否则一组切换会影响另一组。6.2 VRRP与堆叠/M-LAG的取舍现在很多新设备支持堆叠或者M-LAG把两台物理设备虚拟成一台网关直接配在堆叠口上根本不需要VRRP。那什么时候还用VRRP我的判断标准是如果两台设备能堆叠且距离近优先堆叠管理简单、切换快。如果两台设备距离远比如跨机房堆叠线拉不过去那就用VRRP。VRRP的优势是对物理位置不敏感只要三层可达就能组VRRP。所以跨楼宇、跨机房的网关冗余VRRP依然是首选。6.3 云环境下的类VRRP思路云上一般不让用VRRP组播受限但高可用的需求还在。云厂商通常提供浮动IP或者弹性IP的漂移机制底层思想其实就是VRRP那套——一个VIP在多台实例间漂移靠健康检查决定谁持有。理解了VRRP的选举和track逻辑云上的高可用配置你也能快速上手无非是把优先级换成健康检查权重把track接口换成健康检查探测。7. 我个人的几条实操心得第一VRRP配置完必须做切换测试而且要在业务低峰期做。我见过太多配置看着对一测就出问题的情况。测试时用长ping加日志记录切换耗时和丢包数做到心里有数。第二track是VRRP的灵魂没有track的VRRP等于半成品。配VRRP的时候先问自己一句这台设备的上行如果断了VRRP知道吗如果答案是否定的赶紧加track。第三优先级和抢占延迟要显式配置别依赖默认值。默认值在简单场景能用但生产环境的链路状态复杂显式配置能让行为可预测、可排查。第四主备设备的上行设计尽量对称。非对称设计虽然能靠track勉强工作但切换后的流量路径往往不是最优的长期看是个隐患。最后分享一个小技巧排查VRRP问题时display vrrp statistics和抓包结合用先确认报文通不通再看状态对不对最后看流量走没走对。这个顺序能帮你快速定位问题在哪一层别一上来就瞎改配置。
平方复杂度无法被常规优化消除｜TaoToken 统一 Key 通道实测)
