VRRP协议
一、协议概述：
A、产生背景：
我们知道，为了实现不同 LAN 之间的通信，需要配置3层路由。通常指定路由方法有两种：
基于 RIP、OSPF 路由协议的动态学习：可以自动寻找最优路径，邻居路由也可以通过学习来获得路由表，但是动态路由占用线路带宽和 CPU 处理时间。
手动配置静态路由：不需要 CPU 处理时间，也不占用线路带宽，但是需要手动配置，机器多的时候工作量大。
我们现在只来分析静态路由的缺点，因为 VRRP 技术就是使用在静态路由上的。对于静态路由而言，会为机器配置默认网关。如果作为默认网关的路由器出现故障，所有使用该网关为下一跳的主机的通信都会中断。
为了解决如上图所示的 路由单路故障 问题，首先考虑的是添加一个主从路由器。如下图，当 RouterA 故障的时，所有的及其都会将默认网关切换到 RouterB 上。这样就实现了路由器的备份，而这种实现的技术基于 VRRP 虚拟路由器冗余协议。
B、协议简述：
1、协议介绍：
VRRP（Virtual Router Redundancy Protocol，虚拟路由冗余协议）是由 IETF（Internet Engineering Task Force，因特网工程任务组）推出，用来解决局域网主机访问外部网络的可靠性问题，属于网络层协议，协议号是112，采用组播地址 224.0.0.18 发送报文。
协议分为VRRPv2（常用）和VRRPv3：VRRPv2仅适用于IPv4网络且支持认证，VRRPv3适用于IPv4和IPv6两种网络，不支持认证。VRRP 协议在 Linux 上的软件实现是 Keepalived。
VRRP 是一种容错协议，它通过把几台路由设备联合组成一台虚拟的路由设备，并通过一定的机制来保证当主机的下一跳设备出现故障时，可以及时将业务切换到其它设备，从而保持通讯的连续性和可靠性。使用 VRRP 的优势在于：既不需要改变组网情况，也不需要在主机上配置任何动态路由或者路由发现协议，就可以获得更高可靠性的缺省路由。
如下图所示： 有两个路由器，从两个路由器中选举出一个路由器作为主路由器，其他的都是备份路由器，主路由器负责发转发数据报，而备份路由器处于空闲状态，当主路由器出现故障后，备份路由器会成为主路由器，代替主路由器实现转发功能。
VRRP具有如下优点：
简化网络管理。在具有多播或广播能力的局域网（如以太网）中，借助VRRP能在某台设备出现故障时仍然提供高可靠的缺省链路，有效避免单一链路发生故障后网络中断的问题，而无需修改动态路由协议、路由发现协议等配置信息，也无需修改主机的默认网关配置。
适应性强。VRRP报文封装在IP报文中，支持各种上层协议。
网络开销小。VRRP只定义了一种报文——VRRP通告报文，并且只有处于Master状态的路由器可以发送VRRP报文。
2、协议术语：
VRRP路由器：运行VRRP协议的路由器，一台VRRP路由器（的接口）可以同时参与到多个VRRP组中，在不同的组中，一台VRRP路由器可以充当不同的角色。如R1和R2。VRRP是配置在路由器的接口上的，而且也是基于接口来工作的。
VRID：虚拟路由器的标识。有相同VRID的一组路由器构成一个虚拟路由器。互为备份的多台设备上配置的VRID和虚拟IP地址必须一致。
VRRP组：一个VRRP组由多个VRRP路由器组成，使用相同的VRID（Virtual Router ID，虚拟路由器ID）进行标识，属于同一VRRP组的VRRP路由器互相交换信息，每一个VRRP组中只能有一个Master。在不同的组中，一台VRRP路由器可以充当不同的角色。
虚拟路由器：VRRP为每一个组抽象出一台虚拟“路由器(Virtual Router)，该路由器并非真实存在的物理设备，而是由VRRP虚拟出来的逻辑设备。一个VRRP组只会产生一台虚拟路由器。虚拟路由器拥有自己的IP地址以及MAC地址。
虚拟IP地址：IP地址由网络管理员在配置VRRP时指定，一台虚拟路由器可以有一个或多个IP地址。通常情况下用户使用该地址作为网关地址。而虚拟MAC地址的格式是“0000-5e00-01xx”，其中xx为VRID
虚拟MAC地址：VRRP虚拟MAC地址的格式是标准化的，遵循IEEE定义。自动根据VRID生成，无需手动配置。其结构如下：00-00-5E-00-01-{VRID}。虚拟MAC地址是虚拟路由器唯一标识，实现网关的透明故障切换。Master路由器负责用虚拟MAC地址响应针对虚拟IP的ARP请求。
前3个字节 00-00-5E：这是IEEE分配给IANA（互联网数字分配机构）的组织唯一标识符（OUI）。所有由IANA管理的协议（如VRRP）使用的MAC地址都以这个前缀开头。
第4个字节 00-01：IANA专门为VRRP协议分配的标识符。所以，00-00-5E-00-01 这个前缀是VRRP虚拟MAC地址的固定头部。
最后1个字节 {VRID}：这是VRRP组号的十六进制表示。VRID是在配置VRRP组时手动指定的一个数字（范围通常是1-255）。
Master路出器：“Master路由器”在一个VRRP组中承担报文转发任务。在每一个VRRP组中，只有Master路由器才会响应针对虚拟IP地址的ARP Request。Master路由器会以一定的时间间隔周期性地发送VRRP报文，以便通知同一个VRRP组中的Backup路由器关于自己的存活情况。
IP地址拥有者：接口IP地址与虚拟IP地址相同的路由器被称为IP地址拥有者。
Backup路由器：也被称为备份路由器。Backup路由器将会实时侦听Master路由器发送出来的VRRP报文，它随时准备接替Master路由器的工作。
Priority：优先级值是选举Master路由器和Backup路由器的依据，优先级取值范围0-255，值越大越优先，值相等则比较接口IP地址大小，大者优先。缺省的VRRP路由器优先级为100
非抢占方式：如果Backup路由器工作在非抢占方式下，则只要Master路由器没有出现故障，Backup路由器即使随后被配置了更高的优先级也不会成为Master路由器。
抢占方式：如果Backup路由器工作在抢占方式下，当它收到VRRP报文后，会将自己的优先级与通告报文中的优先级进行比较。如果自己的优先级比当前的Master路由器的优先级高，就会主动抢占成为Master路由器；否则，将保持Backup状态。缺省情况下，VRRP抢占延时为0秒.
C、报文解析：
VRRP协议只有一种Advertisement报文，报文用来将Master设备的优先级和状态通告给同一备份组的所有Backup设备。
VRRP协议报文封装在IP报文中，发送到分配给VRRP的IP组播地址。在IP报文头中，源地址为发送报文接口的主IP地址（不是虚拟IP地址），目的地址是224.0.0.18，TTL是255，协议号是112。报文以组播形式发送。
VRRP报文的IP头中，TTL必须为255。当VRRP路由器收到TTL不等于255的VRRP协议报文后，必须丢弃。
主IP地址（Primary IP Address）：从接口的真实IP地址中选出来的一个主用IP地址，通常选择配置的第一个IP地址。
VRRP报文主要区别：
支持的网络类型不同。VRRPv3适用于IPv4和IPv6两种网络，而VRRPv2仅适用于IPv4网络。
认证功能不同。VRRPv3不支持认证功能，而VRRPv2支持认证功能。VRRPv2版本保留报文的认证字段，是为了兼容早期版本（RFC2338），VRRP认证并不能提高安全性。
发送通告报文的时间间隔的单位不同。VRRPv3支持的是厘秒级，而VRRPv2支持的是秒级。
VRRP认证：
无认证方式：设备对要发送的VRRP通告报文不进行任何认证处理，收到通告报文的设备也不进行任何认证，认为收到的都是真实的、合法的VRRP报文。
简单字符（Simple）认证方式：发送VRRP通告报文的设备将认证方式和认证字填充到通告报文中，而收到通告报文的设备则会将报文中的认证方式和认证字与本端配置的认证方式和认证字进行匹配。如果相同，则认为接收到的报文是合法的VRRP通告报文；否则认为接收到的报文是一个非法报文，并丢弃这个报文。
MD5认证方式：发送VRRP通告报文的设备利用MD5算法对认证字进行加密，加密后保存在Authentication Data字段中。收到通告报文的设备会对报文中的认证方式和解密后的认证字进行匹配，检查该报文的合法性。
二、工作原理：
A、状态介绍：
VRRP协议中定义了三种状态机：初始状态（Initialize）、活动状态（Master）、备份状态（Backup）。其中，只有处于Master状态的设备才可以转发那些发送到虚拟IP地址的报文。
1、Initialize：
该状态为VRRP不可用状态，在此状态时设备不会对VRRP报文做任何处理。
通常刚配置VRRP时或设备检测到故障时会进Initialize状态。
收到接口Up的消息后，如果设备的优先级为255，则直接成为Master设备；如果设备的优先级小于255，则会先切换至Backup状态。
2、Master：
当VRRP设备处于Master状态时，它将会做下列工作：
定时（Advertisement Interval）发送VRRP通告报文。缺省情况下，VRRP通告报文的时间周期是1秒
VRRP设备发送ARP老化探测报文时，源 IP 地址固定为该设备的真实接口 IP。
以虚拟MAC地址响应对虚拟IP地址的ARP请求。
转发目的MAC地址为虚拟MAC地址的IP报文。
如果它是这个虚拟IP地址的拥有者，则接收目的IP地址为这个虚拟IP地址的IP报文。否则，丢弃这个IP报文。
如果收到比自己优先级大的报文，立即成为Backup。
如果收到与自己优先级相等的VRRP报文且本地接口IP地址小于对端接口IP，立即成为Backup。
3、Backup：
当VRRP设备处于Backup状态时，它将会做下列工作：
接收Master设备发送的VRRP通告报文，判断Master设备的状态是否正常。
对虚拟IP地址的ARP请求，不做响应。
丢弃目的IP地址为虚拟IP地址的IP报文。
如果收到优先级和自己相同或者比自己大的报文，则重置Master_Down_Interval定时器，不进一步比较IP地址。
Master_Down_Interval定时器：Backup设备在该定时器超时后仍未收到通告报文，则会转换为Master状态。计算公式如下：Master_Down_Interval=(3*Advertisement_Interval) + Skew_time。其中，Skew_Time=(256–Priority)/256。
如果收到比自己优先级小的报文且该报文优先级是0时，定时器时间设置为Skew_time（偏移时间），如果该报文优先级不是0，丢弃报文，立刻成为Master。
B、工作过程：
1、工作流程：
路由器使能 VRRP 功能后，会根据优先级确定自己在备份组中的角色。优先级高的路由器成为 Master 路由器，优先级低的成为 Backup 路由器。Master 路由器定期发送 VRRP 通告报文，通知备份组内的其他设备自己工作正常；Backup 路由器则启动定时器等待通告报文的到来。
在抢占方式下，当 Backup 路由器收到 VRRP 通告报文后，会将自己的优先级与通告报文中的优先级进行比较。如果大于通告报文中的优先级，则成为 Master 路由器；否则将保持 Backup 状态。缺省情况下，VRRP抢占延时为0秒。
在非抢占方式下，只要 Master 路由器没有出现故障，备份组中的路由器始终保持 Master 或 Backup 状态，Backup 路由器即使随后被配置了更高的优先级也不会成为 Master 路由器。
如果 Backup 路由器的定时器超时后仍未收到 Master 路由器发送来的 VRRP 通告报文，则认为 Master 路由器已经无法正常工作，此时 Backup 路由器会认为自己是 Master 路由器，并对外发送 VRRP 通告报文。一个 VRRP 组里有多台备份路由器时，短时间内可能产生多个Master，此时，路由器会将收到的 VRRP 报文中的优先级与本地优先级做比较。从而选取优先级高的设备做 Master。备份组内的路由器根据优先级选举出 Master 路由器，承担报文的转发功能。
虚拟路由器状态切换时，Master 路由器由一台设备切换为另外一台设备，新的 Master 路由器只是简单地发送一个携带虚拟路由器的 MAC 地址和虚拟 IP 地址信息的免费 ARP 报文，这样就可以更新与它连接的主机或设备中的 ARP 相关信息。网络中的主机感知不到 Master 路由器已经切换为另外一台设备。
2、选举机制：
VRRP根据优先级来确定虚拟路由器中每台路由器的角色（Master路由器或Backup路由器）。优先级越高，则越有可能成为Master路由器。初始创建的路由器工作在Backup状态，通过VRRP报文的交互获知虚拟路由器中其他成员的优先级：
VRRP 组中的 IP 地址拥有者。如果虚拟 IP 地址与 VRRP 组中的某台 VRRP 路由器 IP 地址相同且正常工作，则此路由器为 IP 地址拥有者，这台路由器将被定位主路由器，其优先级始终为255。如果不存在，计时器结束后交换VRRP报文对比优先级。
如果VRRP报文中Master路由器的优先级高于自己的优先级，则路由器保持在Backup状态；
如果VRRP报文中Master路由器的优先级低于自己的优先级，采用抢占工作方式的路由器将抢占成为Master状态，周期性地发送VRRP报文，采用非抢占工作方式的路由器仍保持Backup状态；
如果在一定时间内没有收到VRRP报文，则路由器切换为Master状态。
VRRP优先级的取值范围为0到255（数值越大表明优先级越高），可配置的范围是1到254，优先级0为系统保留给路由器放弃Master位置时候使用，255则是系统保留给IP地址拥有者使用，设备的缺省优先级为100。
3、Master设备状态的通告：
Master路由器周期性地发送VRRP报文，在虚拟路由器中公布其配置信息（优先级等）和工作状况。Backup路由器通过接收到VRRP报文的情况来判断Master路由器是否工作正常。
Master路由器主动放弃Master地位（如Master路由器退出虚拟路由器）时，会发送优先级为0的VRRP报文，致使Backup路由器快速切换变成Master路由器。这个切换的时间称为Skew time，计算方式为：（256－Backup路由器的优先级）/256，单位为秒。
当Master路由器发生网络故障而不能发送VRRP报文的时候，Backup路由器并不能立即知道其工作状况。Backup路由器等待一段时间之后，如果还没有接收到VRRP报文，那么会认为Master路由器无法正常工作，而把自己升级为Master路由器，周期性发送VRRP报文。如果此时多个Backup路由器竞争Master路由器的位置，将通过优先级来选举Master路由器。Backup路由器默认等待的时间称为Master_Down_Interval，取值为：（3×VRRP报文的发送时间间隔）＋Skew time，单位为秒。
在性能不够稳定的网络中，Backup路由器可能因为网络堵塞而在Master_Down_Interval期间没有收到Master路由器的报文，而主动抢占为Master位置，如果此时原Master路由器的报文又到达了，就会出现虚拟路由器的成员频繁的进行Master抢占现象。为了缓解这种现象的发生，特制定了延迟等待定时器。它可以使得Backup路由器在等待了Master_Down_Interval后，再等待延迟等待时间。如在此期间仍然没有收到VRRP报文，则此Backup路由器才会切换为Master路由器，对外发送VRRP报文。
三、其他方面：
A、负载分担：
负载分担是指多个VRRP备份组同时承担业务，VRRP负载分担与VRRP主备备份的基本原理和报文协商过程都是相同的。
同样对于每一个VRRP备份组，都包含一个Master设备和若干Backup设备。
与主备备份方式不同点在于：负载分担方式需要建立多个VRRP备份组，各备份组的Master设备可以不同；同一台VRRP设备可以加入多个备份组，在不同的备份组中具有不同的优先级。
业务转发，VRRP负载分担与VRRP主备备份的基本原理和报文协商过程都是相同的。对于每一个VRRP备份组，都包含一个Master设备和若干Backup设备。
与主备备份方式的不同点在于：负载分担方式需要建立多个VRRP备份组，各备份组的Master设备分担在不同设备上；单台设备可以加入多个备份组，在不同的备份组中扮演不同的角色
互为备份的多台设备上配置的VRID和虚拟IP地址必须一致。
B、主备切换**：**
高优先级的备用路由器是否能够抢占具有较低优先级的Master路由器，使自己成为Master。缺省为抢占模式。注意：存在的例外情况是如果IP地址拥有者是可用的，则它总是处于抢占的状态，并成为Master设备。
抢占延时（Delay Time）：抢占延迟时间，默认为0，即立即抢占。故障恢复后，立即抢占可能会导致流量中断，因为Router1的上行链路的路由协议可能未完成收敛，这种情况则需要配置Master设备的抢占延时。
C、监视上行链路**：**
1、VRRP与接口状态联动监视上行接口：
VRRP备份组只能感知其所在接口状态的变化，当VRRP设备上行接口或直连链路发生故障时，VRRP无法感知，此时会引起业务流量中断。通过部署VRRP与接口状态联动监视上行接口可以有效地解决上述问题，当Master设备的上行接口或直连链路发生故障时，通过调整自身优先级，触发主备切换，确保流量正常转发。
如果VRRP设备上配置以Increased方式监视一个接口，当被监视的接口状态变成Down后，该VRRP设备的优先级增加指定值。
如果VRRP设备上配置以Reduced方式监视一个接口，当被监视的接口状态变为Down后，该VRRP设备的优先级降低指定值。
2、VRRP与BFD/NQA/路由联动监视上行链路：
VRRP只能感知VRRP备份组之间的故障，而配置VRRP监视上行接口仅能感知Master设备上行接口或直连链路的故障，当Master设备上行非直连链路故障时，VRRP无法感知，此时会导致用户流量丢失。通过部署VRRP与BFD/NQA/路由联动监视上行链路，可以有效地解决上述问题。通过配置BFD/NQA/路由检测Master上行链路的连通状况，当Master设备的上行链路发生故障时，BFD/NQA/路由可以快速检测故障并通知Master设备调整自身优先级，触发主备切换，确保流量正常转发。
3、VRRP与BFD联动实现快速切换：
VRRP备份组通过收发VRRP协议报文进行主备状态的协商，以实现设备的冗余备份功能。当VRRP备份组之间的链路出现故障时，Backup设备需要等待Master_Down_Interval后才能感知故障并切换为Master设备，切换时间通常在3秒以上。在等待切换期间内，业务流量仍会发往Master设备，此时会造成数据丢失。通过部署VRRP与BFD联动功能，可以有效解决上述问题。通过在Master设备和Backup设备之间建立BFD会话并与VRRP备份组进行绑定，快速检测VRRP备份组之间的连通状态，并在出现故障时及时通知VRRP备份组进行主备切换，实现了毫秒级的切换速度，减少了流量丢失。
VRRP支持与静态的BFD会话类型或静态标识符自协商的BFD会话类型的联动。
四、相关补充**：**
1、虚拟 IP 地址 Ping 开关
RFC3768 并没有规定虚拟 IP 地址应不应该 Ping 通。不能 Ping 通虚拟 IP 地址，会给监控虚拟路由器的工作情况带来一定的麻烦；能够 Ping 通虚拟 IP 地址可以比较方便的监控虚拟路由器的工作情况，但是带来可能遭到 ICMP 攻击的隐患。控制 Ping 通虚拟 IP 地址的开关命令，用户可以选择是否打开。
2、VRRP 的定时器
VRRP 通告报文时间间隔定时器：VRRP 备份组中的 Master 路由器会定时发送 VRRP 通告报文，通知备份组内的路由器自己工作正常。用户可以通过设置 VRRP 定时器来调整 Master 路由器发送 VRRP 通告报文的时间间隔。如果 Backup 路由器在等待了 3 个间隔时间后，依然没有收到 VRRP 通告报文，则认为自己是 Master 路由器，并对外发送 VRRP 通告报文，重新进行 Master 路由器的选举。
VRRP 抢占延迟时间定时器：为了避免备份组内的成员频繁进行主备状态转换，让 Backup 路由器有足够的时间搜集必要的信息（如路由信息），Backup 路由器接收到优先级低于本地优先级的通告报文后，不会立即抢占成为 Master。而是等待一定时间（抢占延迟时间）后，才会对外发送 VRRP 通告报文取代原来的 Master 路由器。
