做网络这一行天天跟设备、协议、拓扑打交道但我发现很多人对“网关备份”这件事的理解停留在“知道这个词”的层面。真要问他——网关备份到底备的是什么切换过程是怎么发生的切换要花多久——能讲清楚的人不多。这篇文章就把网关备份这件事从头捋一遍从概念到原理从配置到排错尽量用大白话讲透。1. 网关备份到底是什么1.1 先从网关说起网关就像一个小区的大门。你电脑要出小区访问其他网段必须走这个门外面的人要进小区访问你这台服务器也得走这个门。在绝大多数局域网环境里这个“门”就是路由器或三层交换机的接口IP通常叫“网关地址”。举例来说你的电脑IP是192.168.1.100网关是192.168.1.1。你要访问外网数据包先发给192.168.1.1由它帮你转发出去。这台设备如果挂了你的电脑IP还在网线也通着但你就是上不了网。这就是网关故障的表现——表面看一切正常实际上所有跨网段流量全部中断。所以说网关是整个网络里单点故障风险最高的一个点。也正因如此才会有“网关备份”的需求。这个需求在早期网络里就已经存在而且随着业务对连续性的要求越来越高成了组网设计中必备的一环。1.2 网关备份的核心思想多台设备一个IP网关备份说白了就是准备两台或更多台设备它们都能做网关但在终端设备眼里网关IP始终是同一个。这个IP通常被称为“虚拟IP”。用户完全感知不到后台发生了什么。平时由主设备承担转发工作一旦主设备出故障备用设备立刻接管这个虚拟IP继续转发数据。整个过程对终端来说是无感的电脑、手机上的网络配置一个字都不用改也不需要重新获取IP地址。这个概念听起来不复杂但实现起来牵扯到一个关键问题多台设备怎么协调谁干活谁说了算这里就需要一个专门的协议来管理。目前用得最广的是VRRPVirtual Router Redundancy Protocol虚拟路由器冗余协议这是标准协议各家厂商基本都支持。另外还有思科的HSRP热备份路由器协议属于私有协议组网环境比较单一的时候也能用。这篇文章以VRRP为主来讲解。1.3 网关备份解决的三个核心痛点网关备份方案能普及是因为它一次性解决了好几个让人头疼的问题单点故障一台网关设备坏了不用等运维人员到场备用设备自动顶上业务中断时间从“小时级”压缩到“秒级”。配置繁琐如果没有网关备份手动改终端的网关地址。一台两台好办几百台终端呢改到天亮都改不完。有了虚拟IP这个工作量直接归零。切换效率早期有人用“双机热备心跳线”的方案做网关冗余切换要依赖脚本判断复杂且容易出错。VRRP这类协议把切换逻辑固化在协议本身状态机清晰判断条件明确可靠性远高于脚本方案。可以说网关备份是“低成本、高收益”的典型代表。两台设备加一个协议就把网络可用性提升了一个档次。2. 聊聊VRRP的工作机制2.1 角色分工Master和BackupVRRP的运作方式很像一个团队里的正副组长。组里有几台路由器通过选举产生一个“老大”叫Master其余的成员都叫Backup。Master负责实际转发数据、响应ARP请求Backup则处于待命状态时刻监听Master的状态。正常情况下Backup不处理数据包也不响应ARP请求——它就静静待着看Master的“健康报告”。这个“健康报告”就是VRRP通告报文。Master会周期性默认1秒向组内所有路由器发送VRRP通告。Backup收到通告就知道Master还活着继续待命。如果Backup连续一段时间没有收到Master的通告就判定Master“死”了然后立即参与新一轮选举接替Master的工作。这个“连续一段时间”在VRRP里叫Master_Down_Interval计算公式是3 × Advertisement_Interval Skew_Time偏移时间。偏移时间和设备的优先级有关优先级越高偏移时间越短所以高优先级设备会更快地宣布Master失效、发起选举这也是高优先级设备能快速抢占角色的一种机制。需要留意的是VRRP报文的目的地址是组播地址224.0.0.18协议号是112。这意味着VRRP依赖组播通信如果网络设备的组播功能被限制、或者管理VLAN划分不合适VRRP报文可能无法正常互通导致设备误判Master故障引发不必要的切换。2.2 虚拟IP背后还有虚拟MAC网关备份里还有一个容易被人忽略的细节虚拟MAC地址。终端设备只知道网关的IP地址但真正通信的时候它需要先通过ARP协议解析出网关IP对应的MAC地址然后把数据帧封装好从交换机的端口发出去。那么问题来了如果两台设备轮流用同一个IPMAC地址难道也跟着变显然不能变。所以VRRP引入了一个特殊的虚拟MAC地址00-00-5E-00-01-{VRID}。前三个字节是IEEE分配给VRRP协议用的厂商代码中间00-01是协议标识最后一位是VRIDVRRP备份组号。比如VRID是1虚拟MAC就是00-00-5E-00-01-01。Master发送ARP应答时回的就是这个虚拟MAC地址。这样无论Master是谁终端设备看到的网关MAC始终是同一个ARP缓存里的表项也不会频繁过期刷新。这个设计对整个网络的稳定性贡献很大——ARP表项的频繁变更会引起交换机MAC地址表抖动严重时甚至引发二层环路和广播风暴的风险。2.3 谁说了算优先级和抢占VRRP选举的依据是优先级取值范围1到254默认是100。优先级越高越有机会成为Master。选举的过程不复杂如果一台设备发出的VRRP报文中优先级比自己高它就主动退让承认对方是Master。如果优先级相同则比较接口IP地址IP大的胜出。这是题规则实际配置中一般不会让它走到“IP大小定胜负”这一步因为优先级是你自己可以控制的想捧谁当主设备直接把它的优先级调高就行。“抢占”模式是另一个要特别注意的点。默认情况下VRRP开启抢占如果新加入的设备优先级更高它会主动接管Master角色哪怕当前Master还在正常工作。这在有些场景下是好事比如主设备维护完成回归但在某些敏感网络上可能引发不必要的抖动。所以实际部署中不需要自动抢回的场景可以配置抢占延迟或者直接关闭抢占模式。这样主设备故障后备用设备接替主设备恢复后不会立刻强行夺回角色而是等备用设备出问题或者管理员手动介入时才回归。这个取舍值得根据业务实际需求去权衡后面实操部分我会再展开。3. 网关注册备份的实操配置要点3.1 设备选型和组网规划配置网关备份之前第一步是选设备。VRRP是标准协议各厂商的路由器、三层交换机基本都支持。选型上注意两个点一是两台设备的性能最好对等或者主设备性能略高于备用设备避免主设备负载高导致性能瓶颈二是接口能力要满足当前业务峰值流量不要卡着线跑。组网规划上先确定几个东西虚拟IP是多少、备份组VRID是多少、哪台设备是主、主设备优先级设多少、备设备优先级设多少。这些规划应该在配置前确定下来而不是边配边想。列个简单的规划表方便核对项目主设备备用设备接口IP192.168.1.2192.168.1.3虚拟IP192.168.1.254192.168.1.254VRID11优先级120100抢占模式开启延迟30秒默认通告间隔1秒1秒3.2 以华为设备为例的配置步骤我以华为设备为例演示一个标准配置过程。你需要先在两台设备上配置好接口IP确保链路互通再启动VRRP。主设备配置interface GigabitEthernet0/0/0 ip address 192.168.1.2 255.255.255.0 vrrp vrid 1 virtual-ip 192.168.1.254 vrrp vrid 1 priority 120 vrrp vrid 1 preempt-mode timer delay 30备用设备配置interface GigabitEthernet0/0/0 ip address 192.168.1.3 255.255.255.0 vrrp vrid 1 virtual-ip 192.168.1.254这段配置干了这么几件事第一把两台设备的接口IP设置在同一网段第二创建VRID为1的备份组指定虚拟IP为192.168.1.254第三主设备把优先级改成120并配置抢占延迟30秒备用设备保持默认优先级100默认抢占模式即可。配置完成后用display vrrp命令查看状态。正常情况下主设备的State应该是Master备用设备是Backup。看到这个结果说明VRRP已经正常工作。3.3 为什么优先级差不要太大很多初学者习惯把主设备优先级设成200备用设备设成100觉得差值越大越保险。但实际经验看差值在20到30之间就够了。原因跟VRRP的抢占机制有关。如果主设备只是接口抖动了一下、或者设备重启后恢复优先级差太大会导致角色频繁在两者之间切换。每一次切换主备都要重新收敛、刷新MAC表、重新宣告路由期间有一部分流量会丢。所以宁可让主设备保持Master的时间长一点也不要因为优先级差异过大导致过于敏感的角色震荡。另外如果主设备负载很高处理通告报文的延迟会变大。备用设备如果连续3个通告周期没收到报文就会认为主设备故障自动接管。这种情况下的切换不是真实故障但业务已经受影响——所谓的“脑裂”场景的变体。解决办法是适当调大通告间隔或者用VRRP的BFD联动功能做快速感知而不是只依赖默认的通告超时判断。3.4 负载均衡场景多备份组拆分还有一种常见规划2台设备都要承担转发任务不浪费任何一台的性能。这种场景就得分多个VRRP备份组来玩。比如有两个业务网段VLAN 10192.168.10.0/24和VLAN 20192.168.20.0/24。你可以在设备A上让VRRP备份组10的Master是A、备份组20的Master是B设备B上反过来。这样两个网段的流量分别由两台设备转发既实现了网关冗余又做了负载分担。具体配置上就是在同一个接口下再创建一组VRRP指定不同的虚拟IP和VRID。华为设备的语法是interface GigabitEthernet0/0/0.10 ip address 192.168.10.2 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.10.254 vrrp vrid 10 priority 120 interface GigabitEthernet0/0/0.20 ip address 192.168.20.2 255.255.255.0 vrrp vrid 20 virtual-ip 192.168.20.254另一台设备上VRID 10的优先级保持默认VRID 20的优先级调高。这儿有个规划上的好处一旦某台设备挂了另一台设备能把两个备份组的虚拟IP都接管过来业务不中断设备恢复后又各自回到自己负责的组。可用性和利用率都兼顾到了。3.5 联动上行链路没有BFD会踩的坑前面讲的VRRP故障感知默认只能感知“接口本身”的故障。但实际场景里常见的问题是Master的上行链路断了接口还是UPVRRP报文照发不误备用设备根本不会切换。数据到了Master却出不去整个链路瘫痪但VRRP还觉得一切正常。要解决这个问题得有“上行链路监控”机制。最常用的是BFD双向转发检测联动VRRP。配置思路是在Master设备上定义一个BFD会话检测到上行接口或对端地址的连通性一旦BFD检测失败立即降低VRRP优先级让备用设备接管。华为设备的配置大致如下bfd bind peer-ip 10.0.0.2 interface GigabitEthernet0/0/1 discriminator local 1 discriminator remote 2 commit vrrp vrid 1 track bfd-session 1 reduced 30这样配置后Master上行链路要是断了BFD在毫秒级就感知到VRRP优先级马上降30。如果当前优先级是120降完变成90低于备用设备的100备用设备就会接管网关角色。这个方案比纯粹靠通告超时快得多切换时间从秒级缩短到毫秒级。4. 常见问题与排查技巧实录4.1 设了优先级但角色没变化为什么配置完优先级发现角色没按预期走这种问题很常见。多数原因是两台设备都开启了抢占但新配置优先级的设备加入时Master已经在运行。你改的是priority值如果当前设备就是Master且Priority没有变低它是不会主动让位的。要立刻让新设备当Master可以重启VRRP进程或手动触发一次角色重新选举。另外一种情况是备设备优先级调高了但配置里抢占模式是关闭状态。命令是vrrp vrid 1 preempt-mode disable如果关了抢占就算优先级比对方高它也只能干瞪眼。排查的第一步就是用display vrrp看State和Priority确认是不是自己预期的情况。4.2 VRRP切换后业务恢复慢主备切换本身很快但有的业务就是半天连不上。这个问题的根源往往是终端设备的ARP缓存没更新。切换前终端设备的ARP表里记录了网关虚IP对应的虚拟MAC切换后新Master接管的也是同一个虚拟MAC理论上终端不需要重新ARP。但实际情况是如果交换机或终端的MAC表项老化不及时二层转发就会异常。尤其是老设备上的静态ARP配置直接把IPv4地址绑定到旧Master真实MAC上这种错误配置会造成切换后流量黑洞。排查方法是用arp -d清空终端缓存或者在交换机上查看MAC表项有没有指向新Master的接口。如果指向的还是旧接口问题就出在下联交换机的MAC表学习上可能需要清一下相关端口的动态表项。4.3 两台设备同时成为Master两台设备同时显示Master就是典型的“双主”脑裂场景。数据转发会出现混乱终端设备会间歇性甚至完全无法访问网关。常见原因是两台设备的VRRP报文被二层路径隔离了。比如两台设备之间的链路是Trunk但VRRP报文所属的VLAN没有放通或者设备接口上配置了ACL过滤了组播地址224.0.0.18。还有一种情况管理用的VLAN和业务VLAN不同运维人员调试时抓包发现VRRP报文在管理VLAN是通的以为没问题但业务VLAN的报文被隔断了。排查时先看display vrrp的输出如果状态是Master而虚拟IP相同基本就是收不到对方的保活报文。顺着VRRP报文的转发路径查二层链路状态、Trunk放通列表、ACL过滤规则。另外也建议检查两台设备之间的物理链路是否存在单向线路故障这在双链路捆绑场景里比较隐蔽。4.4 有人手动改了网管设备的优先级怎么办网络里偶尔会有其他设备配置了相同VRID和虚拟IP的情况尤其是运维混淆了两台不同区域的设备。结果是VIID冲突多台设备都以为自己是Master业务一塌糊涂。排查这类问题时可以抓包看VRRP通告报文的源IP。如果同一个备份组里出现了不在预期范围内的源IP就是这个设备乱入。解决办法是把冲突设备上的VRRP配置删掉或者不同区域使用不同的VRID避免倒霉的全局冲突。4.5 按经验做的几个重要设置主备设备的系统时间保持一致。虽然VRRP本身不依赖时间戳判断但日志排查时你会发现时间对不上会让故障定位困难重重。不建议把通告间隔调得过短。默认1秒是合理的通用值。过短会增加网络里VRRP报文的频率主设备CPU占用升高过宽大于5秒会让切换时间拖长。如果要改通告间隔注意两边设备必须一致。华为设备命令是vrrp vrid 1 timer advertise 2。间隔不一致会导致角色状态震荡。在接入交换机上端口连接终端建议配置边缘端口避免每次主备切换时STP重新收敛折腾半天导致业务恢复慢。5. 网关备份之外还需要考虑什么5.1 网关备份不是全部冗余方案网关备份解决的是网关这个点的冗余不等于整个网络都高可用了。设备之间的链路、上行链路有没有冗余下联的汇聚交换机有没有做堆叠安全设备有没有做双机这些是独立的维度需要分别规划。经常有人把网关备份当成高可用的全部结果网关这边稳了防火墙上连的链路线缆被施工挖断业务一样瘫。所以一个完整的高可用设计应该是一条链路上所有关键节点都有冗余网关备份只是其中一环。5.2 和VRRP类似的场景网关在防火墙上很多企业组网里网关不是路由器而是安全设备防火墙。这时VRRP就变成了防火墙厂商私有的双机协议比如华为的HRP、山石的SCF。它们的功能更复杂除了网关冗余还要同步会话表、配置状态、NAT映射等。这个差异值得注意普通的VRRP切换后新Master没有旧Master的会话表所有经过状态检测的流量都要重新建立连接。而防火墙双机协议会同步会话状态切换时业务连接不断。代价是配置复杂度明显更高调试的时候需要把会话同步、双机检测、接口监控等配置一并处理好。5.3 什么时候可以考虑三层路由方案中小型网络里VRRP是主流选择。但在大规模的三层网络里很多人会转向动态路由协议如OSPF、BGP结合等价路由来实现网关冗余。它不需要单独的虚拟IP而是通过路由协议自动收敛路径实现多路径负载均衡和自动切换。动态路由方案的扩展性更好但需要网络结构本身具备多路径条件同时要处理路由协议的收敛时间、防环机制等问题。对大多数网络规模来说VRRP仍然是性价比最高的网关注册冗余方案只有在结构复杂、规模很大的环境下才需要认真对比考虑要不要引入动态路由替代网关备份。6. 网关备份的排错验证清单配置完成不代表万事大吉。我每次做完网关备份项目都会按这几步验证一遍检查项操作方法预期结果角色状态display vrrp一台Master一台Backup虚拟IP连通终端ping通网关延迟正常无间歇性丢包主备切换触发主设备接口shutdown备设备1秒内变Master业务恢复恢复抢占主设备接口undo shutdown主设备可配置抢占延迟后回归BFD联动测试断开上行链路备用设备快速接管终端连通验证切换时ping网关丢包不超过几个包或零丢包这套清单看着简单但每一条背后都有实际事故的教训。比如“主备切换触发”这一条如果不实际断一下主设备的接口你根本不知道备用设备的替代速度到底行不行、配置有没有疏漏。纸上谈兵在网络上是最贵的错误。最后说一点我的体会网关备份这件事理论讲起来就那么多真正拉开差距的是细节。优先级怎么设、抢占延迟调多少、要不要做上行链路联动、交换机上有没有配边缘端口——这些小事决定了故障发生时业务中断几秒还是几分钟。我在实际排查中养成的习惯是每完成一个网关备份的部署都亲手制造一次真实的故障观察切换过程记录恢复时间。等真出事故的那一天这个网络就不会让你手足无措。
