1. 为什么VRRP至今仍是网络高可用的“压舱石”第一次接触VRRP是在一个园区网的改造项目里核心交换机双机部署下面挂了三十多台接入设备用户要求“断一台核心业务不能断”。当时我第一反应是用堆叠或者链路聚合但堆叠对设备型号和距离有硬性要求链路聚合只能解决链路冗余解决不了网关单点故障。后来老工程师一句话点醒我网关得有个“虚拟身份”两台设备轮流当谁活着谁顶上。这就是VRRP要干的事。VRRP全称Virtual Router Redundancy Protocol中文叫虚拟路由器冗余协议。它的核心思路非常朴素把两台或多台物理设备虚拟成一台逻辑上的“虚拟路由器”这台虚拟路由器对外暴露一个虚拟IP和一个虚拟MAC终端设备把这个虚拟IP当作默认网关。平时由一台设备Master真正承担转发任务其他设备Backup待命。一旦Master出问题Backup在几秒甚至几百毫秒内接管终端完全无感知。这个机制解决的是网络架构里最容易被忽视却最致命的问题——网关单点故障。你可以做双上行链路、可以做端口聚合、可以做服务器双网卡但只要网关是单台设备这台设备一挂整个网段全部失联。VRRP的价值就在于用协议层面的冗余把网关这个“独木桥”变成“双通道”。适合读这篇内容的人大概有三类一是刚接触网络设备配置的运维新人需要一份能直接照着敲的配置参考二是有一定基础但没系统梳理过VRRP细节的工程师想搞清楚优先级、抢占、认证这些参数到底怎么配合三是准备考证或者面试的朋友需要把VRRP的原理和实操串起来理解。我会从协议原理讲到配置实操再到排错思路尽量把每个参数背后的“为什么”说清楚。2. VRRP的报文交互与状态机Master是怎么选出来的2.1 组播报文里的信息博弈VRRP的运行依赖一种特殊的组播报文目的地址是224.0.0.18协议号112。这个报文里携带了几个关键字段虚拟路由器IDVRID、优先级Priority、通告间隔Advertisement Interval、认证信息等。所有参与同一个VRRP组的设备VRID必须一致否则各说各话组都建不起来。Master设备会周期性地发送VRRP通告报文告诉组内其他设备“我还活着”。默认间隔是1秒这个值可以调但调小会增加协议开销调大则故障感知变慢。通告报文里的优先级字段决定了谁有资格当Master范围是0到255数值越大越优先。默认值是100可配置范围是1到254。0和255有特殊含义0表示设备主动放弃Master角色255保留给IP地址拥有者也就是虚拟IP真实配置在某台设备上的情况。这里有个容易混淆的点IP地址拥有者。如果虚拟IP恰好就是某台设备的真实接口IP那这台设备的优先级自动变成255且不可更改。它永远是Master除非它挂了。这种场景在实际中不多见因为通常我们会给虚拟IP单独规划一个地址不和物理接口IP重叠。2.2 三种状态的流转逻辑VRRP设备在三个状态之间切换Initialize初始化、Master主、Backup备。启动后先进入Initialize接口UP且配置完整后根据优先级决定进入Master还是Backup。如果优先级是255直接进Master。否则先进入Backup等待一个“主用超时时间”Master_Down_Interval。这个时间的计算公式是3 × 通告间隔 Skew_Time。Skew_Time是256 - 优先级/ 256秒。举个例子优先级100通告间隔1秒Skew_Time就是(256-100)/256 ≈ 0.61秒Master_Down_Interval就是3×1 0.61 3.61秒。也就是说Backup要等大约3.6秒没收到Master的通告才会认为Master挂了然后发起选举。选举过程很简单优先级高的当Master优先级相同则比较接口IPIP大的赢。新Master产生后会立刻发送一个通告报文并开始响应虚拟MAC的ARP请求。这里有个细节虚拟MAC的格式是0000-5E00-01XXXX就是VRID的十六进制。比如VRID是1虚拟MAC就是00-00-5E-00-01-01。终端设备ARP请求虚拟IP时Master返回的就是这个虚拟MAC所以终端不需要感知Master的切换。2.3 抢占模式主动夺回与被动等待抢占模式是VRRP里一个很实用的开关。默认情况下抢占是开启的。意思是如果一台优先级更高的设备恢复了它会主动抢回Master角色。比如原Master优先级120重启后变成Backup优先级100的设备正在当Master。原Master恢复后发现自己的优先级更高就会等待一个“抢占延时”默认0秒然后发送通告重新成为Master。抢占延时这个参数很有讲究。如果设为0设备一恢复就抢可能导致网络震荡——比如设备刚启动路由还没收敛抢过来反而丢包。通常建议设个几秒到几十秒等设备完全稳定再抢。如果关闭抢占高优先级设备恢复后也不会夺回Master除非当前Master出故障。这种模式适合“主备角色固定、不希望频繁切换”的场景。3. 配置前的规划VRID、虚拟IP和优先级怎么定3.1 VRID的分配不能拍脑袋VRID是VRRP组的身份证范围1到255。同一个广播域内不同VRRP组的VRID必须不同否则会冲突。比如你有两个网段每个网段跑一组VRRP那可以用VRID 1和VRID 2。但如果两个网段在同一个VLAN里这种情况少见但存在就必须用不同的VRID。我的习惯是按VLAN ID来映射VRID。比如VLAN 10用VRID 10VLAN 20用VRID 20。这样运维的时候一眼就能对上排查问题也方便。如果VLAN ID超过255那就取模或者重新规划但尽量保持规律。虚拟MAC是根据VRID生成的所以VRID变了虚拟MAC也变。如果终端设备有ARP缓存或者静态ARP绑定改VRID会导致短暂中断。所以规划阶段就要定好后期尽量别动。3.2 虚拟IP的选择独立地址还是接口地址虚拟IP可以选两种一种是单独规划一个没人用的IP另一种是直接用某台设备的接口IP。前面说过用接口IP的话那台设备优先级自动255永远是Master。这种模式叫“IP地址拥有者”模式配置简单但失去了主备灵活性——那台设备挂了备机接管但主机恢复后又会抢回来因为优先级不可改。更常见的做法是单独规划虚拟IP。比如两台核心交换机的接口IP分别是192.168.1.252和192.168.1.253虚拟IP用192.168.1.254。终端网关指向254。这样两台设备优先级都可以手动设主备角色可控。虚拟IP必须和接口IP在同一个网段不能跨网段。而且虚拟IP不能和任何设备的接口IP冲突否则ARP会乱。配置前最好ping一下确认没人用。3.3 优先级与抢占延时的配合优先级默认100建议主设备设120备设备设100。差值不用太大20足够。差值太大没必要差值太小比如101和100容易因为计算误差导致意外切换。抢占延时建议主设备设30秒左右。为什么因为主设备重启后路由协议比如OSPF可能需要时间收敛接口可能还在震荡。如果立刻抢占流量过来了但路由没准备好反而丢包。等30秒设备稳定了再抢平滑过渡。备设备的抢占延时可以设0因为它本来优先级就低不会主动抢。但如果备设备优先级也设了120比如双主模式那就要考虑两边都设延时避免同时抢。4. 华为设备VRRP配置实操从接口到验证的完整链路4.1 基础配置主备设备的对称与不对称华为设备的VRRP配置在接口视图下进行。假设两台核心交换机接口VLANIF 10IP分别是192.168.1.252和192.168.1.253虚拟IP 192.168.1.254VRID 10。主设备配置interface Vlanif 10 ip address 192.168.1.252 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.1.254 vrrp vrid 10 priority 120 vrrp vrid 10 preempt-mode timer delay 30备设备配置interface Vlanif 10 ip address 192.168.1.253 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.1.254 vrrp vrid 10 priority 100注意备设备不需要配抢占延时因为默认抢占开启且延时0但它优先级低不会主动抢。主设备配了30秒延时是为了恢复后不立刻抢。这里有个细节虚拟IP的配置命令在两台设备上必须完全一致包括VRID和虚拟IP地址。优先级可以不同抢占延时可以不同但VRID和虚拟IP必须一样否则组建不起来。4.2 认证配置简单密码与MD5VRRP支持认证防止非法设备加入组。华为设备支持两种简单字符认证和MD5认证。简单认证就是明文密码MD5是哈希。配置命令vrrp vrid 10 authentication-mode simple cipher Huawei123或者vrrp vrid 10 authentication-mode md5 cipher Huawei123认证模式两端必须一致密码也必须一致。如果一边配了一边没配或者密码不同VRRP组起不来设备会一直停留在Initialize状态。我遇到过好几次因为密码大小写不一致导致VRRP不生效的案例排查了半天才发现是密码问题。注意认证不是加密只是防止误加入。简单认证的密码在报文里是明文传输的MD5也只是哈希不能防重放攻击。安全要求高的场景建议配合其他安全机制。4.3 监控上行接口让VRRP感知链路故障VRRP默认只监控自己的接口状态。如果Master的上行接口挂了但它自己还活着VRRP不会切换流量到了Master却出不去形成“黑洞”。解决方法是配置监控上行接口vrrp vrid 10 track interface GigabitEthernet 0/0/1 reduced 30意思是如果GE0/0/1挂了优先级降低30。原来120变成90低于备设备的100备设备就会抢占成为Master。这个降低值要算好。主设备优先级120备设备100降低值必须大于20才能让备设备赢。设30是安全的。如果降低值设10主设备变成110还是比备设备高不会切换。可以监控多个接口每个接口配不同的降低值。比如监控上行口降30监控下行口降20。这样根据故障位置不同切换策略也不同。4.4 验证命令看状态、看统计、看报文配置完了怎么确认生效几个常用命令display vrrp看VRRP组的状态Master还是Backup优先级多少虚拟IP是什么。display vrrp statistics看收发报文统计有没有收到通告有没有认证失败。display vrrp interface Vlanif 10 verbose看详细状态包括抢占模式、延时、监控接口等。如果状态一直是Initialize检查接口是否UP、VRID是否冲突、认证是否一致。如果状态是Backup但一直不切换检查优先级和抢占配置。如果切换了但业务不通检查虚拟MAC是否学到、ARP是否正常。5. 排错实录那些年VRRP不切换的奇葩原因5.1 优先级相同导致的“双Master”有一次客户反馈网络时通时断排查发现两台设备都认为自己是Master。原因是优先级都设了100而且接口IP很接近选举的时候IP大的赢了但另一台没收到通告因为链路问题也认为自己是Master。结果两个Master同时响应ARP终端ARP表乱跳。解决办法优先级必须拉开差距至少差20。同时检查链路确保通告报文能正常收发。如果链路本身有问题VRRP再牛也没用。5.2 监控接口配置了但没生效另一个案例主设备上行口挂了但VRRP没切换。检查配置发现track命令配了但降低值设的是10主设备优先级120降成110还是比备设备100高所以没切。改成30后正常。还有个坑track的接口如果本身是down的配置的时候可能不生效。要先确保接口UP再配track。或者用track nqa之类的联动但那是进阶用法。5.3 认证密码的“隐形字符”最坑的一次两台设备认证密码看起来一样但就是不生效。后来用display current-configuration一看一边密码末尾多了个空格。复制粘贴的时候带进去的。删掉空格后正常。所以配置认证的时候尽量用cipher参数华为设备会加密显示避免明文对比出错。如果必须用simple配置完用display确认一下看有没有多余字符。5.4 虚拟MAC冲突导致的ARP异常虚拟MAC是根据VRID生成的如果两个VRRP组用了同一个VRID虚拟MAC就一样。如果这两个组在同一个广播域终端ARP表就会混乱。比如VLAN 10用VRID 10VLAN 20也用VRID 10但两个VLAN在同一个物理网络里比如都走同一个Trunk就会冲突。解决办法VRID全局唯一至少在同一广播域内唯一。规划的时候画个表把VLAN、VRID、虚拟IP、虚拟MAC都列出来避免冲突。6. 进阶玩法VRRP与BFD联动、多组负载分担6.1 BFD联动把切换时间压到毫秒级VRRP默认的故障检测靠通告超时最快也要1秒左右通告间隔可以调到最小1秒但Master_Down_Interval至少3秒。对于金融、医疗等对中断极度敏感的场景3秒太长了。这时候可以用BFDBidirectional Forwarding Detection联动。BFD是一种快速检测协议可以在毫秒级检测到链路故障。配置VRRP与BFD联动后BFD会话一断VRRP立刻切换不用等通告超时。华为配置示例bfd vrrp vrid 10 track bfd-session 1具体配置涉及BFD会话的建立这里不展开但思路是用BFD做快速检测VRRP做角色切换两者配合切换时间可以压到50毫秒以内。6.2 多组负载分担让备机也干活默认情况下备机是闲置的浪费资源。如果有多台设备可以配多个VRRP组让不同组的主设备分散在不同物理设备上。比如两台核心交换机配两个VRRP组组1的主是设备A组2的主是设备B。终端一半用组1的虚拟IP做网关一半用组2的。这样两台设备都在转发流量资源利用率翻倍。配置要点每个组独立配VRID、虚拟IP、优先级。设备A在组1优先级120在组2优先级100设备B反过来。这样组1的Master是A组2的Master是B。终端网关可以手动分也可以通过DHCP分配不同的网关。这种模式叫“负载分担”或“多主模式”适合流量大、设备多的场景。但要注意每个组的虚拟IP必须不同终端配置也要对应。如果终端是DHCP获取网关需要在DHCP服务器上配两个地址池或者用Option字段指定。6.3 VRRP与MSTP的配合在二层网络中VRRP常和MSTP多生成树协议配合使用。MSTP负责破环和负载分担VRRP负责网关冗余。如果MSTP的根桥和VRRP的Master不在同一台设备上流量可能绕路。比如MSTP根桥是设备A但VRRP Master是设备B终端流量先到A再到B多了一跳。优化方法是让MSTP根桥和VRRP Master在同一台设备上。比如设备A是VLAN 10的MSTP根桥那设备A也做VLAN 10的VRRP Master。这样流量路径最优。配置的时候MSTP优先级和VRRP优先级要对应调整。7. 我在实际项目里踩过的坑和攒下的经验第一个经验配置前先画拓扑图。把设备、接口、IP、VRID、优先级、虚拟IP都标上贴到机柜上。后期维护的时候不用登录设备就能知道大概配置。我见过太多项目配置完没文档半年后没人记得VRID是多少改的时候提心吊胆。第二个经验切换测试必须做。配置完VRRP一定要手动断掉主设备的上行口或者直接关机看备设备能不能接管终端业务是否中断。测试的时候用长ping比如ping 1000个包看丢几个。正常切换丢1到3个包算合格丢多了说明有问题。第三个经验日志和告警要配。VRRP切换是有日志的华为设备默认会记录。但很多人不看日志出了问题才去翻。建议配个SNMP告警或者Syslog服务器VRRP状态一变就发通知。这样能第一时间知道网络发生了切换及时排查原因。第四个经验版本兼容性要注意。不同厂商、不同型号的设备VRRP实现可能有差异。比如VRRPv2和VRRPv3的报文格式不同混用可能不兼容。华为设备默认是VRRPv2如果和别的厂商对接要确认版本。VRRPv3支持IPv6VRRPv2只支持IPv4。如果网络里有IPv6要用VRRPv3。第五个经验虚拟IP不要配在管理网段。有些工程师图省事把虚拟IP配在管理网段结果VRRP切换导致管理IP也变远程登录断了没法排查。建议虚拟IP和业务网段一致管理网段单独规划不要混用。第六个经验抢占延时不是越长越好。设太长主设备恢复了半天不抢备设备一直扛着如果备设备性能不如主设备业务会受影响。设太短主设备没稳定就抢容易震荡。一般30到60秒比较合适具体看设备启动和路由收敛时间。第七个经验注意VRRP和STP的收敛时间。如果VRRP切换了但STP还没收敛流量可能走错路。特别是在MSTP环境里VRRP切换后STP拓扑可能还没更新导致短暂环路或丢包。解决办法是配STP的快速收敛机制比如RSTP或者MSTP的快速迁移。第八个经验虚拟MAC不要静态绑定。有些工程师为了“稳定”在终端上静态绑定虚拟MAC和虚拟IP。结果VRRP切换后虚拟MAC不变但物理设备变了终端还是能通。但如果虚拟MAC变了比如改了VRID终端就断了。所以不建议静态绑定让ARP动态学习就好。第九个经验多组VRRP的优先级要错开。如果一台设备跑了多个VRRP组每个组的优先级要统一规划。比如设备A在组1是120组2是100设备B在组1是100组2是120。这样角色清晰不会出现一台设备全是Master或者全是Backup的情况。如果一台设备全是Master另一台全是Backup负载不均衡浪费资源。第十个经验定期检查VRRP状态。网络稳定的时候没人会去看VRRP。但设备重启、链路抖动、配置变更都可能导致VRRP状态异常。建议每月巡检一次用display vrrp看看状态是否和规划一致。如果发现备设备变成了Master要查原因可能是主设备出过问题。这些经验都是实打实踩出来的有些是半夜被叫起来排查故障换来的。VRRP本身不复杂但细节多配错一个参数就可能不生效。希望这篇内容能帮你少走点弯路一次配通。 
长河君 · 2026/10/20 3:34:56 · 阅读 1.2k VRRP虚拟路由器冗余协议：原理、配置与排错实战指南
1. 为什么VRRP至今仍是网络高可用的“压舱石”第一次接触VRRP是在一个园区网的改造项目里核心交换机双机部署下面挂了三十多台接入设备用户要求“断一台核心业务不能断”。当时我第一反应是用堆叠或者链路聚合但堆叠对设备型号和距离有硬性要求链路聚合只能解决链路冗余解决不了网关单点故障。后来老工程师一句话点醒我网关得有个“虚拟身份”两台设备轮流当谁活着谁顶上。这就是VRRP要干的事。VRRP全称Virtual Router Redundancy Protocol中文叫虚拟路由器冗余协议。它的核心思路非常朴素把两台或多台物理设备虚拟成一台逻辑上的“虚拟路由器”这台虚拟路由器对外暴露一个虚拟IP和一个虚拟MAC终端设备把这个虚拟IP当作默认网关。平时由一台设备Master真正承担转发任务其他设备Backup待命。一旦Master出问题Backup在几秒甚至几百毫秒内接管终端完全无感知。这个机制解决的是网络架构里最容易被忽视却最致命的问题——网关单点故障。你可以做双上行链路、可以做端口聚合、可以做服务器双网卡但只要网关是单台设备这台设备一挂整个网段全部失联。VRRP的价值就在于用协议层面的冗余把网关这个“独木桥”变成“双通道”。适合读这篇内容的人大概有三类一是刚接触网络设备配置的运维新人需要一份能直接照着敲的配置参考二是有一定基础但没系统梳理过VRRP细节的工程师想搞清楚优先级、抢占、认证这些参数到底怎么配合三是准备考证或者面试的朋友需要把VRRP的原理和实操串起来理解。我会从协议原理讲到配置实操再到排错思路尽量把每个参数背后的“为什么”说清楚。2. VRRP的报文交互与状态机Master是怎么选出来的2.1 组播报文里的信息博弈VRRP的运行依赖一种特殊的组播报文目的地址是224.0.0.18协议号112。这个报文里携带了几个关键字段虚拟路由器IDVRID、优先级Priority、通告间隔Advertisement Interval、认证信息等。所有参与同一个VRRP组的设备VRID必须一致否则各说各话组都建不起来。Master设备会周期性地发送VRRP通告报文告诉组内其他设备“我还活着”。默认间隔是1秒这个值可以调但调小会增加协议开销调大则故障感知变慢。通告报文里的优先级字段决定了谁有资格当Master范围是0到255数值越大越优先。默认值是100可配置范围是1到254。0和255有特殊含义0表示设备主动放弃Master角色255保留给IP地址拥有者也就是虚拟IP真实配置在某台设备上的情况。这里有个容易混淆的点IP地址拥有者。如果虚拟IP恰好就是某台设备的真实接口IP那这台设备的优先级自动变成255且不可更改。它永远是Master除非它挂了。这种场景在实际中不多见因为通常我们会给虚拟IP单独规划一个地址不和物理接口IP重叠。2.2 三种状态的流转逻辑VRRP设备在三个状态之间切换Initialize初始化、Master主、Backup备。启动后先进入Initialize接口UP且配置完整后根据优先级决定进入Master还是Backup。如果优先级是255直接进Master。否则先进入Backup等待一个“主用超时时间”Master_Down_Interval。这个时间的计算公式是3 × 通告间隔 Skew_Time。Skew_Time是256 - 优先级/ 256秒。举个例子优先级100通告间隔1秒Skew_Time就是(256-100)/256 ≈ 0.61秒Master_Down_Interval就是3×1 0.61 3.61秒。也就是说Backup要等大约3.6秒没收到Master的通告才会认为Master挂了然后发起选举。选举过程很简单优先级高的当Master优先级相同则比较接口IPIP大的赢。新Master产生后会立刻发送一个通告报文并开始响应虚拟MAC的ARP请求。这里有个细节虚拟MAC的格式是0000-5E00-01XXXX就是VRID的十六进制。比如VRID是1虚拟MAC就是00-00-5E-00-01-01。终端设备ARP请求虚拟IP时Master返回的就是这个虚拟MAC所以终端不需要感知Master的切换。2.3 抢占模式主动夺回与被动等待抢占模式是VRRP里一个很实用的开关。默认情况下抢占是开启的。意思是如果一台优先级更高的设备恢复了它会主动抢回Master角色。比如原Master优先级120重启后变成Backup优先级100的设备正在当Master。原Master恢复后发现自己的优先级更高就会等待一个“抢占延时”默认0秒然后发送通告重新成为Master。抢占延时这个参数很有讲究。如果设为0设备一恢复就抢可能导致网络震荡——比如设备刚启动路由还没收敛抢过来反而丢包。通常建议设个几秒到几十秒等设备完全稳定再抢。如果关闭抢占高优先级设备恢复后也不会夺回Master除非当前Master出故障。这种模式适合“主备角色固定、不希望频繁切换”的场景。3. 配置前的规划VRID、虚拟IP和优先级怎么定3.1 VRID的分配不能拍脑袋VRID是VRRP组的身份证范围1到255。同一个广播域内不同VRRP组的VRID必须不同否则会冲突。比如你有两个网段每个网段跑一组VRRP那可以用VRID 1和VRID 2。但如果两个网段在同一个VLAN里这种情况少见但存在就必须用不同的VRID。我的习惯是按VLAN ID来映射VRID。比如VLAN 10用VRID 10VLAN 20用VRID 20。这样运维的时候一眼就能对上排查问题也方便。如果VLAN ID超过255那就取模或者重新规划但尽量保持规律。虚拟MAC是根据VRID生成的所以VRID变了虚拟MAC也变。如果终端设备有ARP缓存或者静态ARP绑定改VRID会导致短暂中断。所以规划阶段就要定好后期尽量别动。3.2 虚拟IP的选择独立地址还是接口地址虚拟IP可以选两种一种是单独规划一个没人用的IP另一种是直接用某台设备的接口IP。前面说过用接口IP的话那台设备优先级自动255永远是Master。这种模式叫“IP地址拥有者”模式配置简单但失去了主备灵活性——那台设备挂了备机接管但主机恢复后又会抢回来因为优先级不可改。更常见的做法是单独规划虚拟IP。比如两台核心交换机的接口IP分别是192.168.1.252和192.168.1.253虚拟IP用192.168.1.254。终端网关指向254。这样两台设备优先级都可以手动设主备角色可控。虚拟IP必须和接口IP在同一个网段不能跨网段。而且虚拟IP不能和任何设备的接口IP冲突否则ARP会乱。配置前最好ping一下确认没人用。3.3 优先级与抢占延时的配合优先级默认100建议主设备设120备设备设100。差值不用太大20足够。差值太大没必要差值太小比如101和100容易因为计算误差导致意外切换。抢占延时建议主设备设30秒左右。为什么因为主设备重启后路由协议比如OSPF可能需要时间收敛接口可能还在震荡。如果立刻抢占流量过来了但路由没准备好反而丢包。等30秒设备稳定了再抢平滑过渡。备设备的抢占延时可以设0因为它本来优先级就低不会主动抢。但如果备设备优先级也设了120比如双主模式那就要考虑两边都设延时避免同时抢。4. 华为设备VRRP配置实操从接口到验证的完整链路4.1 基础配置主备设备的对称与不对称华为设备的VRRP配置在接口视图下进行。假设两台核心交换机接口VLANIF 10IP分别是192.168.1.252和192.168.1.253虚拟IP 192.168.1.254VRID 10。主设备配置interface Vlanif 10 ip address 192.168.1.252 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.1.254 vrrp vrid 10 priority 120 vrrp vrid 10 preempt-mode timer delay 30备设备配置interface Vlanif 10 ip address 192.168.1.253 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.1.254 vrrp vrid 10 priority 100注意备设备不需要配抢占延时因为默认抢占开启且延时0但它优先级低不会主动抢。主设备配了30秒延时是为了恢复后不立刻抢。这里有个细节虚拟IP的配置命令在两台设备上必须完全一致包括VRID和虚拟IP地址。优先级可以不同抢占延时可以不同但VRID和虚拟IP必须一样否则组建不起来。4.2 认证配置简单密码与MD5VRRP支持认证防止非法设备加入组。华为设备支持两种简单字符认证和MD5认证。简单认证就是明文密码MD5是哈希。配置命令vrrp vrid 10 authentication-mode simple cipher Huawei123或者vrrp vrid 10 authentication-mode md5 cipher Huawei123认证模式两端必须一致密码也必须一致。如果一边配了一边没配或者密码不同VRRP组起不来设备会一直停留在Initialize状态。我遇到过好几次因为密码大小写不一致导致VRRP不生效的案例排查了半天才发现是密码问题。注意认证不是加密只是防止误加入。简单认证的密码在报文里是明文传输的MD5也只是哈希不能防重放攻击。安全要求高的场景建议配合其他安全机制。4.3 监控上行接口让VRRP感知链路故障VRRP默认只监控自己的接口状态。如果Master的上行接口挂了但它自己还活着VRRP不会切换流量到了Master却出不去形成“黑洞”。解决方法是配置监控上行接口vrrp vrid 10 track interface GigabitEthernet 0/0/1 reduced 30意思是如果GE0/0/1挂了优先级降低30。原来120变成90低于备设备的100备设备就会抢占成为Master。这个降低值要算好。主设备优先级120备设备100降低值必须大于20才能让备设备赢。设30是安全的。如果降低值设10主设备变成110还是比备设备高不会切换。可以监控多个接口每个接口配不同的降低值。比如监控上行口降30监控下行口降20。这样根据故障位置不同切换策略也不同。4.4 验证命令看状态、看统计、看报文配置完了怎么确认生效几个常用命令display vrrp看VRRP组的状态Master还是Backup优先级多少虚拟IP是什么。display vrrp statistics看收发报文统计有没有收到通告有没有认证失败。display vrrp interface Vlanif 10 verbose看详细状态包括抢占模式、延时、监控接口等。如果状态一直是Initialize检查接口是否UP、VRID是否冲突、认证是否一致。如果状态是Backup但一直不切换检查优先级和抢占配置。如果切换了但业务不通检查虚拟MAC是否学到、ARP是否正常。5. 排错实录那些年VRRP不切换的奇葩原因5.1 优先级相同导致的“双Master”有一次客户反馈网络时通时断排查发现两台设备都认为自己是Master。原因是优先级都设了100而且接口IP很接近选举的时候IP大的赢了但另一台没收到通告因为链路问题也认为自己是Master。结果两个Master同时响应ARP终端ARP表乱跳。解决办法优先级必须拉开差距至少差20。同时检查链路确保通告报文能正常收发。如果链路本身有问题VRRP再牛也没用。5.2 监控接口配置了但没生效另一个案例主设备上行口挂了但VRRP没切换。检查配置发现track命令配了但降低值设的是10主设备优先级120降成110还是比备设备100高所以没切。改成30后正常。还有个坑track的接口如果本身是down的配置的时候可能不生效。要先确保接口UP再配track。或者用track nqa之类的联动但那是进阶用法。5.3 认证密码的“隐形字符”最坑的一次两台设备认证密码看起来一样但就是不生效。后来用display current-configuration一看一边密码末尾多了个空格。复制粘贴的时候带进去的。删掉空格后正常。所以配置认证的时候尽量用cipher参数华为设备会加密显示避免明文对比出错。如果必须用simple配置完用display确认一下看有没有多余字符。5.4 虚拟MAC冲突导致的ARP异常虚拟MAC是根据VRID生成的如果两个VRRP组用了同一个VRID虚拟MAC就一样。如果这两个组在同一个广播域终端ARP表就会混乱。比如VLAN 10用VRID 10VLAN 20也用VRID 10但两个VLAN在同一个物理网络里比如都走同一个Trunk就会冲突。解决办法VRID全局唯一至少在同一广播域内唯一。规划的时候画个表把VLAN、VRID、虚拟IP、虚拟MAC都列出来避免冲突。6. 进阶玩法VRRP与BFD联动、多组负载分担6.1 BFD联动把切换时间压到毫秒级VRRP默认的故障检测靠通告超时最快也要1秒左右通告间隔可以调到最小1秒但Master_Down_Interval至少3秒。对于金融、医疗等对中断极度敏感的场景3秒太长了。这时候可以用BFDBidirectional Forwarding Detection联动。BFD是一种快速检测协议可以在毫秒级检测到链路故障。配置VRRP与BFD联动后BFD会话一断VRRP立刻切换不用等通告超时。华为配置示例bfd vrrp vrid 10 track bfd-session 1具体配置涉及BFD会话的建立这里不展开但思路是用BFD做快速检测VRRP做角色切换两者配合切换时间可以压到50毫秒以内。6.2 多组负载分担让备机也干活默认情况下备机是闲置的浪费资源。如果有多台设备可以配多个VRRP组让不同组的主设备分散在不同物理设备上。比如两台核心交换机配两个VRRP组组1的主是设备A组2的主是设备B。终端一半用组1的虚拟IP做网关一半用组2的。这样两台设备都在转发流量资源利用率翻倍。配置要点每个组独立配VRID、虚拟IP、优先级。设备A在组1优先级120在组2优先级100设备B反过来。这样组1的Master是A组2的Master是B。终端网关可以手动分也可以通过DHCP分配不同的网关。这种模式叫“负载分担”或“多主模式”适合流量大、设备多的场景。但要注意每个组的虚拟IP必须不同终端配置也要对应。如果终端是DHCP获取网关需要在DHCP服务器上配两个地址池或者用Option字段指定。6.3 VRRP与MSTP的配合在二层网络中VRRP常和MSTP多生成树协议配合使用。MSTP负责破环和负载分担VRRP负责网关冗余。如果MSTP的根桥和VRRP的Master不在同一台设备上流量可能绕路。比如MSTP根桥是设备A但VRRP Master是设备B终端流量先到A再到B多了一跳。优化方法是让MSTP根桥和VRRP Master在同一台设备上。比如设备A是VLAN 10的MSTP根桥那设备A也做VLAN 10的VRRP Master。这样流量路径最优。配置的时候MSTP优先级和VRRP优先级要对应调整。7. 我在实际项目里踩过的坑和攒下的经验第一个经验配置前先画拓扑图。把设备、接口、IP、VRID、优先级、虚拟IP都标上贴到机柜上。后期维护的时候不用登录设备就能知道大概配置。我见过太多项目配置完没文档半年后没人记得VRID是多少改的时候提心吊胆。第二个经验切换测试必须做。配置完VRRP一定要手动断掉主设备的上行口或者直接关机看备设备能不能接管终端业务是否中断。测试的时候用长ping比如ping 1000个包看丢几个。正常切换丢1到3个包算合格丢多了说明有问题。第三个经验日志和告警要配。VRRP切换是有日志的华为设备默认会记录。但很多人不看日志出了问题才去翻。建议配个SNMP告警或者Syslog服务器VRRP状态一变就发通知。这样能第一时间知道网络发生了切换及时排查原因。第四个经验版本兼容性要注意。不同厂商、不同型号的设备VRRP实现可能有差异。比如VRRPv2和VRRPv3的报文格式不同混用可能不兼容。华为设备默认是VRRPv2如果和别的厂商对接要确认版本。VRRPv3支持IPv6VRRPv2只支持IPv4。如果网络里有IPv6要用VRRPv3。第五个经验虚拟IP不要配在管理网段。有些工程师图省事把虚拟IP配在管理网段结果VRRP切换导致管理IP也变远程登录断了没法排查。建议虚拟IP和业务网段一致管理网段单独规划不要混用。第六个经验抢占延时不是越长越好。设太长主设备恢复了半天不抢备设备一直扛着如果备设备性能不如主设备业务会受影响。设太短主设备没稳定就抢容易震荡。一般30到60秒比较合适具体看设备启动和路由收敛时间。第七个经验注意VRRP和STP的收敛时间。如果VRRP切换了但STP还没收敛流量可能走错路。特别是在MSTP环境里VRRP切换后STP拓扑可能还没更新导致短暂环路或丢包。解决办法是配STP的快速收敛机制比如RSTP或者MSTP的快速迁移。第八个经验虚拟MAC不要静态绑定。有些工程师为了“稳定”在终端上静态绑定虚拟MAC和虚拟IP。结果VRRP切换后虚拟MAC不变但物理设备变了终端还是能通。但如果虚拟MAC变了比如改了VRID终端就断了。所以不建议静态绑定让ARP动态学习就好。第九个经验多组VRRP的优先级要错开。如果一台设备跑了多个VRRP组每个组的优先级要统一规划。比如设备A在组1是120组2是100设备B在组1是100组2是120。这样角色清晰不会出现一台设备全是Master或者全是Backup的情况。如果一台设备全是Master另一台全是Backup负载不均衡浪费资源。第十个经验定期检查VRRP状态。网络稳定的时候没人会去看VRRP。但设备重启、链路抖动、配置变更都可能导致VRRP状态异常。建议每月巡检一次用display vrrp看看状态是否和规划一致。如果发现备设备变成了Master要查原因可能是主设备出过问题。这些经验都是实打实踩出来的有些是半夜被叫起来排查故障换来的。VRRP本身不复杂但细节多配错一个参数就可能不生效。希望这篇内容能帮你少走点弯路一次配通。