1. VRRP基础概念与工作原理

VRRP（Virtual Router Redundancy Protocol）是解决网关单点故障的经典方案，它通过将多台物理设备虚拟成一台逻辑路由器，实现网关的高可用性。我第一次接触VRRP是在2013年负责某银行网点网络改造时，当时核心交换机频繁宕机导致整个网点业务中断，后来部署VRRP后彻底解决了这个问题。

VRRP的工作原理其实很像接力赛跑。假设有三名运动员（三台交换机）组成团队，但只有一人能持接力棒（处理流量）。通过优先级选举出Master角色后，其他设备作为Backup会持续监听Master发出的通告报文（类似心跳检测）。当Master故障时，Backup中优先级最高的设备会立即接管虚拟IP地址，这个过程通常能在3秒内完成。

关键参数解析：

• 虚拟IP(VIP): 终端设备配置的网关地址，比如192.168.1.254
• VRID: 虚拟路由器ID，同一组设备必须相同（范围1-255）
• 优先级: 默认100，值越大越优先成为Master
• 抢占模式: 允许高优先级设备恢复后重新接管
• 通告间隔: 默认1秒，Master定期发送的存活报文

实际项目中我遇到最典型的配置错误就是忘记开启抢占模式。有次客户反馈网络恢复后流量仍走备用设备，检查发现是coresw1的配置缺少vrrp vrid 10 preempt-mode命令，导致优先级恢复后未能重新成为Master。

2. 实验环境搭建与基础配置

我们用一个典型的企业网络拓扑来演示，包含：

• 接入层交换机（acsw）：连接终端设备
• 核心层交换机（coresw1/coresw2）：运行VRRP
• 路由器（AR1）：互联网出口
• 测试PC：IP 192.168.10.10/24

2.1 接入交换机配置要点

接入层需要确保VLAN贯通，这是新手常踩的坑。去年帮某学校排查网络问题时，就发现他们acsw的trunk口漏配了允许VLAN通过：

[acsw]vlan batch 10 100 [acsw-GigabitEthernet0/0/3]port link-type access [acsw-GigabitEthernet0/0/3]port default vlan 10 [acsw-GigabitEthernet0/0/1]port link-type trunk [acsw-GigabitEthernet0/0/1]port trunk allow-pass vlan 10 100

2.2 核心交换机关键配置

coresw1作为主设备需要配置更高优先级，这里设置120：

[coresw1]interface Vlanif10 [coresw1-Vlanif10]ip address 192.168.10.252 24 [coresw1-Vlanif10]vrrp vrid 10 virtual-ip 192.168.10.254 [coresw1-Vlanif10]vrrp vrid 10 priority 120 [coresw1-Vlanif10]vrrp vrid 10 preempt-mode timer delay 5

coresw2保持默认优先级100即可。建议配置抢占延迟（delay 5），避免网络抖动时频繁切换。上周有个客户机房电压不稳导致设备反复主备切换，加了延迟参数后问题立解。

3. 流量路径追踪实战

3.1 正常状态下的路径验证

用tracert工具可以看到PC访问互联网的完整路径：

PC> tracert 100.1.1.1 1 1 ms 1 ms 1 ms 192.168.10.254 (coresw1-VIP) 2 2 ms 1 ms 2 ms 192.168.100.1 (coresw1物理地址) 3 5 ms 4 ms 5 ms 100.1.1.1 (互联网网关)

此时查看VRRP状态应显示coresw1为Master：

<coresw1> display vrrp State: Master Virtual IP: 192.168.10.254 Master IP: 192.168.10.252

3.2 模拟主设备故障

手动关闭coresw1的上行接口模拟故障：

[coresw1]interface GigabitEthernet0/0/2 [coresw1-GigabitEthernet0/0/2]shutdown

通过Wireshark抓包可以看到VRRP优先级变化过程：

1. coresw1检测到接口down，优先级从120降至90（假设配置了track减30）
2. coresw2（优先级100）发现自身优先级更高，发起抢占
3. coresw2发送免费ARP更新MAC表

3.3 故障切换后的路径变化

再次tracert会发现路径已切换：

PC> tracert 100.1.1.1 1 1 ms 1 ms 1 ms 192.168.10.254 (VIP) 2 2 ms 1 ms 2 ms 192.168.200.1 (coresw2物理地址) 3 5 ms 4 ms 5 ms 100.1.1.1

关键检查点：

• coresw2的VRRP状态应变为Master
• display arp查看VIP对应的MAC是否更新
• 测试TCP长连接是否会中断（建议用ping -t观察）

4. 高级配置与排错技巧

4.1 端口跟踪配置

这是保证路径最优的关键配置。曾遇到某医院网络备用设备接管后无法上网，原因是未跟踪上行端口：

[coresw1-Vlanif10]vrrp vrid 10 track interface GigabitEthernet0/0/2 reduced 30

当G0/0/2 down时，优先级自动-30，促使切换发生。减量值要确保：

• 主设备降权后优先级 < 备设备优先级
• 通常建议设置30-50的降幅

4.2 典型故障排查流程

1. VIP不可达：

   • 检查display vrrp看Master是否存在
   • 在Master上ping localhost测试本地接口
   • 用display arp | include VIP看ARP表项

2. 切换延迟大：

   • display vrrp verbose查看通告间隔
   • 检查物理链路是否有CRC错误
   • 调整抢占延迟时间（建议3-5秒）

3. 脑裂问题：

   • 确认组播地址224.0.0.18未被过滤
   • 检查ACL是否阻止了VRRP报文
   • 使用debugging vrrp packet抓包分析

去年处理过最棘手的案例是VRRP报文被中间交换机的ACL拦截，导致备设备收不到通告。后来通过端口镜像抓包才发现问题。

5. 生产环境部署建议

5.1 参数优化方案

根据实战经验推荐这些参数：

vrrp vrid 10 timer advertise 2 # 缩短检测时间 vrrp vrid 10 preempt-mode timer delay 3 # 合理抢占延迟 vrrp vrid 10 track interface GigabitEthernet0/0/2 reduced 40 # 确保可靠切换

5.2 与其它协议的配合

1. 与MSTP配合：

   • 确保VRRP Master与MSTP根桥在同一设备
   • 避免出现次优路径

2. 与BFD联动：

   bfd echo-source-ip 192.168.100.1 vrrp vrid 10 track bfd-session 1 increased 50

   可实现50ms级快速切换

3. 负载均衡方案：

   • 不同VLAN配置不同的Master设备
   • 例如VLAN10以coresw1为主，VLAN20以coresw2为主

在大型金融网络项目中，我们通常采用VRRP+BFD+MSTP的组合方案，既保证可靠性又实现负载分担。实测故障切换时间能控制在200ms以内，完全满足业务连续性要求。