本文主要聚焦于双机热备实验，重点揭露了模拟器（PT）与现实设备的差异，特别是5500V与6000V版本的兼容性问题。

前言

双机热备并非单一技术，而是分为路由器级的HSRP/VRRP（网络层冗余）和防火墙级的Failover（状态层冗余）。

一、 双机热备的底层逻辑与分类

1.为什么需要双机热备？

• 单点故障（SPOF）：任何一台设备都有死机的可能，核心设备故障=全网瘫痪。

• 五个9的指标：企业级网络要求可用性达到99.999%，意味着全年停机时间不超过5分钟，单台设备做不到。

2.两种热备形态的本质区别

• 无状态热备（HSRP/VRRP - 路由器）：

原理：备机只“待命”，不存表。主设备宕机后，备机接管，但之前的TCP连接全部断裂，用户需要重新登录或刷新。

适用场景：普通的局域网网关冗余，对连接中断不敏感的场景。

• 有状态热备（Stateful Failover - 防火墙）：

原理：主设备通过状态链路（State Link）实时向备机拷贝会话表（Conn Table）、NAT表、ARP表。

效果：切换瞬间，数据流不中断，用户完全无感知（Ping包不丢）。

适用场景：防火墙、负载均衡器等需要维持连接状态的设备。

二、 路由器热备（HSRP）深度解析

1.角色与优先级

Active：真正转发数据的设备，默认每3秒发送一次Hello包。

Standby：监听者，Hello包超时（约10秒）后上位。

优先级（Priority）：默认100，越大越优。老师强调必须配置抢占（Preempt），否则主设备修好后不会自动抢回控制权，会导致备机长期“越权”工作。

2.接口跟踪（Track）机制

痛点：主设备的内网口正常，但外网口断了（ISP故障）。此时备机因为还能收到主机的Hello包，不会切换，导致内网能通网关但通不了外网（黑洞）。

解决方案：配置track跟踪上行接口。一旦上行口Down，主设备自动降低优先级（默认减10），触发切换。

3.虚拟IP（VIP）

终端设备的网关指向VIP，而非具体的物理接口IP。这是实现透明切换的关键。

三、 防火墙热备（Failover）深度解析

1.主备选举机制

Primary/Secondary：不是靠优先级，而是靠物理角色定义（failover lan unit primary）。

“一山不容二虎”：配置同步后，只有Primary是Active，Secondary永远是Standby（除非Primary挂了）。

2.链路规划（重中之重）

数据链路：G0/1（Inside）、G0/2（Outside）——承载业务流量。

心跳链路（Lan Link）：G0/0——用于设备间互相“报平安”，传递控制信息（如“我还活着”、“我要下台了”）。

状态链路（State Link）：通常与心跳链路复用（PT环境必须这么做）。用于传递会话表。没有状态链路，就没有无缝切换。

3.配置同步的“潜规则”

备机“失语”：在PT和真机中，备机配置完成后，所有命令输入都不生效，因为它必须从主机同步配置。

只需配一半：老师强调，备机只需要配置心跳口的IP和Failover角色，剩下的安全策略、NAT、路由全部在主机上配，自动下发。

4.抢占与回切

防火墙默认支持自动回切。主机修好后，会发送Hello包，备机检测到主机恢复，会自动退位。

四、 实验实操

实现的核心功能：让下游 PC 的"网关"永远在线，哪怕其中一台设备突然挂了，PC 也几乎无感。

拆开说就是两个具体功能：

1. 网关冗余（VRRP / HSRP 干的事）

PC1、PC2 的默认网关不是配 R1 的实 IP，也不是配 R2 的实 IP，而是配那个虚拟 IP（比如 192.168.10.1）。

R1 和 R2 竞选：谁优先级高谁是 Master（干活），另一个是 Standby（待命）。

PC 眼里自始至终只有一个网关，它根本不知道背后有两台设备。

2. 故障自动切换（主备倒换）

Master 会周期性发通告报文，Standby 收不到就知道"主挂了"，自己升 Master。

加了 track 上行口更智能：哪怕 R1 本身没死，但它连外网的线断了，还当网关就会把所有流量引到死胡同，于是 R1 主动降优先级，让 R2 顶上。

切换速度：HSRP 默认 Hello 3s × 3 = 9s 发现 + 抢占，PT 里实测 ping 只会丢 1~3 个包，PC 里正在播的视频可能卡半秒继续播。

1.设备连线

如图所示

2.配置 IP 地址

1. 配置两台路由器（先配实 IP）

左边路由器 (Router0)：

点 Router0 -> CLI 选项卡

输入以下命令（直接复制粘贴进去敲回车）：

enable configure terminal interface GigabitEthernet0/0 ip address 192.168.10.2 255.255.255.0 no shutdown exit interface GigabitEthernet0/1 ip address 10.1.12.1 255.255.255.252 no shutdown exit

右边路由器 (Router1)：

点 Router1 -> CLI 选项卡

输入以下命令：

enable configure terminal interface GigabitEthernet0/0 ip address 192.168.10.3 255.255.255.0 no shutdown exit interface GigabitEthernet0/1 ip address 10.1.12.2 255.255.255.252 no shutdown exit

验证小技巧：配完后，在路由器命令行输入 show ip interface brief。如果看到 Status 和 Protocol 都是 up，且 IP 地址正确，说明物理层和接口层都通了。

2. 配置两台 PC（最后一步配置）

PC0 (左边的电脑)： 点 PC0 -> Desktop 选项卡 -> IP Configuration IP Address: 192.168.10.11 Subnet Mask: 255.255.255.0 Default Gateway: 192.168.10.1(注意：这里先填虚拟 IP，虽然还没配，先习惯这么填)

PC1 (右边的电脑)： 点 PC1 -> Desktop 选项卡 -> IP Configuration IP Address: 192.168.10.12 Subnet Mask: 255.255.255.0 Default Gateway: 192.168.10.1

3.测试

1. 先测 PC 之间（同一网段，不经过网关）

PC0 命令行：ping 192.168.10.12

✅ 应该通（都在交换机上，同一网段）

2. 再测 PC → 路由器实 IP（验证 PC 到路由器下行口）

PC0：ping 192.168.10.2（R1 实 IP）

PC0：ping 192.168.10.3（R2 实 IP）

✅ 都应该通

3. 测心跳线（路由器之间）

进 R1 CLI：ping 10.1.12.2

4.配置 HSRP

这一步我们只需要在两台路由器上操作。请严格对照你刚才画的图来敲命令（R0 用 G0/0，R1 也用 G0/0）。

1. 左边路由器 (Router0) —— 设为老大（Active）

我们要让 R0 拥有最高的优先级，平时由它来干活。

点开 Router0​ 的 CLI，输入以下命令：

configure terminal ! 1. 进入连接内网的接口 G0/0 interface GigabitEthernet0/0 ! 2. 开启 HSRP，给它起个组名（随便起，比如 1），虚拟 IP 设为 192.168.10.1 standby 1 ip 192.168.10.1 ! 3. 把优先级调高到 110（默认是 100），确保它稳坐老大位置 standby 1 priority 110 ! 4. 【进阶关键】开启抢占，并跟踪上行接口（G0/1）。如果 G0/1 断了，它会自动降级，把位置让给老二 standby 1 preempt standby 1 track GigabitEthernet0/1 end

2. 右边路由器 (Router1) —— 设为老二（Standby）

R1 保持默认状态就行，但为了完整，我们也敲一遍。

点开 Router1​ 的 CLI，输入以下命令：

configure terminal ! 1. 进入连接内网的接口 G0/0 interface GigabitEthernet0/0 ! 2. 开启 HSRP，组名必须和上面一样（也是 1），虚拟 IP 也必须一样（192.168.10.1） standby 1 ip 192.168.10.1 ! 3. （可选）显式把优先级设为默认的 100，确保它确实是老二 standby 1 priority 100 end

3.验证

配置完马上来验证，看看“合体”成功了没有。

• 看看 HSRP 状态

在 Router0​ 的 CLI 里输入命令：

show standby brief

(注意：输入 show stand然后按 Tab 键可以自动补全)

你应该看到的结果：

在 GigabitEthernet0/0这一行

State​ 显示 Active​ （证明 R0 抢到了老大）

Standby IP​ 显示 192.168.10.3​ （证明老二是 R1）

Virtual IP​ 显示 192.168.10.1​ （证明虚拟网关活了！）

• 最后 Ping 一下网关

回到 PC0​ 的命令行，输入：

ping 192.168.10.1

这次应该通了！说明 PC 已经成功把数据交给了虚拟网关。

打开PC0的Command Prompt，直接敲：

ping -t 192.168.10.1

这样就能持续不断的发包了

• 制造故障（趁发包过程中操作）

看着PC0的ping窗口，等发了10~20个包的时候，立刻去R0的CLI敲：

conf t int g0/0 shutdown

模拟R0内网口故障

• 观察现象（直接记这几个结果，写报告够用）

PC0的ping窗口：会先丢1~3个包，之后立刻恢复收到Reply（R1顶上来了）

立刻切到R1的CLI敲：show standby brief，会看到G0/0变成Active

再切回R0敲：show standby brief，G0/0变成Standby

• 恢复验证

R0的CLI敲：

int g0/0 no shutdown

五、 小结

本次知识点密度极高，核心可以浓缩为一句话：双机热备的核心是“同步”，区别在于“有没有状态”。

• 路由器（HSRP）重在网关冗余，解决的是“网络通不通”的问题，允许短时间的业务中断。

• 防火墙（Failover）重在状态同步，解决的是“业务断不断”的问题，追求毫秒级的无感知切换。

• 最终目的：不是为了敲命令，而是为了在故障时，系统能自动“兜底”。正如老师所言：“理论不重要，能解决问题才是硬道理。”