H3C设备VRRP配置手册Word格式文档下载.docx
- 文档编号:13461588
- 上传时间:2022-10-10
- 格式:DOCX
- 页数:18
- 大小:175.14KB
H3C设备VRRP配置手册Word格式文档下载.docx
《H3C设备VRRP配置手册Word格式文档下载.docx》由会员分享,可在线阅读,更多相关《H3C设备VRRP配置手册Word格式文档下载.docx(18页珍藏版)》请在冰豆网上搜索。
vrrp将局域网的一组路由器(包括一个master即活动路由器和若干个backup即备份路由器)组织成一个虚拟路由器,称之为一个备份组。
这个虚拟的路由器拥有自己的ip地址10.100.10.1(这个ip地址可以和备份组内的某个路由器的接口地址相同),备份组内的路由器也有自己的ip地址(如master的ip地址为10.100.10.2,backup的ip地址为10.100.10.3)。
局域网内的主机仅仅知道这个虚拟路由器的ip地址10.100.10.1,而并不知道具体的master路由器的ip地址10.100.10.2以及backup路由器的ip地址10.100.10.3,它们将自己的缺省路由下一跳地址设置为该虚拟路由器的ip地址10.100.10.1。
于是,网络内的主机就通过这个虚拟的路由器来与其它网络进行通信。
如果备份组内的master路由器出现故障,backup路由器将会通过选举策略选出一个新的master路由器,继续向网络内的主机提供路由服务。
从而实现网络内的主机不间断地与外部网络进行通信。
关于vrrp协议的详细信息,可以参考rfc2338。
H3CH3CSecPathF100-C相关内容:
报价|参数|图片|论坛|评测
VRRP配置
vrrp的基本配置包括:
1添加或删除虚拟ip地址
2设置备份组的优先级
3设置备份组的抢占方式和延迟时间
vrrp的高级配置包括:
1设置备份组的认证方式和认证字
2设置备份组的定时器
3设置监视指定接口
4设置虚拟ip地址是否可以使用ping命令ping通
5设置检查vrrp报文的ttl域
2.2.1添加或删除虚拟ip地址
将一个本网段的ip地址指定给到一个虚拟路由器(也称为一个备份组),或将一个指定到一个备份组虚拟ip地址从虚拟地址列表中删除。
请在接口视图下进行下列配置。
备份组号virtual-router-id范围从1到255,虚拟地址可以是备份组所在网段中未被分配的ip地址,也可以是属于备份组某接口的ip地址。
对于后者,称拥有这个接口ip地址的防火墙为一个地址拥有者(ipaddressowner)。
当指定第一个ip地址到一个备份组时,系统会创建这个备份组,以后再指定虚拟ip地址到这个备份组时,系统仅仅将这个地址添加到这个备份组的虚拟ip地址列表中。
防火墙的一个接口可以同时加入到14个备份组中。
而一个备份组最多可以配置16个虚拟ip地址。
在对一个备份组进行其它配置之前,必须先通过指定一个虚拟ip地址的命令将这个备份组创建起来。
备份组中最后一个虚拟ip地址被删除后,这个备份组也将同时被删除掉。
也就是这个接口上不再有这个备份组,这个备份组的所有配置都不再有效。
2.2.2设置备份组的优先级
vrrp中根据优先级来确定参与备份组的每台防火墙的地位,备份组中优先级最高的防火墙将成为master。
优先级的取值范围为0到255(数值越大表明优先级越高),但是可配置的范围最小值是1,最大值是254。
优先级0为系统保留给特殊用途来使用,255则是系统保留给ip地址拥有者。
缺省情况下,优先级为100。
对于所有vrrp组成员,存在配置优先级和运行优先级两种优先级,配置优先级即用vrrpvrid配置的优先级,非ip拥有者的运行优先级与配置优先级是相同的;
ip拥有者的运行优先级是不可配置的,始终为255。
2.2.3设置备份组的抢占方式和延迟时间
在非抢占方式下,一旦备份组中的某台防火墙成为master,只要它没有出现故障,其它路由器即使随后被配置更高的优先级,也不会成为master。
如果防火墙设置为抢占方式,它一旦发现自己的优先级比当前的master的优先级高,就会成为master,相应地,原来的master将会变成backup。
在设置抢占的同时,还可以设置延迟时间。
这样可以使得backup延迟一段时间成为master。
其目的在性能不够稳定的网络中,backup可能因为网络堵塞而无法正常收到master的报文,使用vrrpvrid命令配置了抢占延迟时间后,可以避免因网络的短暂故障而导致的备份组内防火墙的状态频繁转换。
延迟的时间以秒计,范围为0~255。
缺省方式是抢占方式,延迟时间为0秒。
取消抢占方式,则延迟时间就会自动变为0秒。
2.2.4设置认证方式及认证字
vrrp提供了两种认证方式,分别是:
simple:
简单字符认证。
md5:
md5认证。
在一个安全的网络中,可以采用缺省值,则防火墙对要发送的vrrp报文不进行任何认证处理,而收到vrrp报文的防火墙也不进行任何认证。
在一个有可能受到安全威胁的网络中,可以将认证方式设置为simple,则发送vrrp报文的防火墙就会将认证字填入到vrrp报文中,而收到的vrrp报文的防火墙会将收到的vrrp报文中的认证字和本地配置的认证字进行比较,相同则认为是真实的、合法的vrrp报文,否则认为是一个非法的报文,将其丢弃。
这种情况下,应当设置长度为不超过8个字符的认证字。
在一个非常不安全的网络中,可以将认证方式设置为md5,则防火墙就会利用authenticationheader提供的认证方式和md5算法来对vrrp报文进行认证。
如果以明文形式输入,长度为1~8个字符,如:
1234567;
如果以密文形式输入,长度必须为24,并且必须是密文形式,如:
_(tt8f]y\5sq=^q`maf4[1!
!
。
对于没有通过认证的报文将做丢弃处理,并会向网管发送陷阱报文。
缺省认证方式为不进行认证。
一个接口上的备份组要设置相同的认证方式和认证字。
2.2.5设置vrrp的定时器
vrrp备份组中的master防火墙通过定时(adver-interval)发送vrrp报文来向组内的防火墙通知自己工作正常。
如果backup超过一定时间
(master-down-interval)没有收到master发送来的vrrp报文,则认为它已经无法正常工作。
同时就会将自己的状态转变为master。
用户可以通过设置定时器的命令来调整master发送vrrp报文的间隔时间(adver-interval)。
而backup的master-down-interval的间隔时间大约是adver-interval的3倍。
如果网络流量过大或者不同的防火墙上的定时器差异等因素,会导致master-down-interval异常到时而导致状态转换。
对于这种情况,可以通过将adver-interval的间隔时间延长和设置延迟时间的办法来解决。
adver-interval的时间单位是秒。
缺省情况下,adver-interval的值是1秒,取值范围为1~255。
2.2.6设置监视指定接口
vrrp监视接口功能,更好地扩充了备份功能,即不仅在备份组所在的接口出现故障时提供备份功能,而且在防火墙的其它接口不可用时,也可以使用备份功能。
具体做法是通过设置监视某个接口的命令来实现。
当被监视的接口down时,这个接口的防火墙的运行优先级会自动降低一个数额(priority-reduced),于是就会导致备份组内其它防火墙的运行优先级高于这个防火墙的运行优先级,从而使得其它运行优先级高的防火墙转变为master,达到对这个接口监视的目的。
缺省情况下,priority-reduced的值为10。
当防火墙为ip地址拥有者时,不允许对其进行监视接口的配置。
2.2.7设置虚拟ip地址是否可以使用ping命令ping通
本配置任务可以使用户能够使用ping命令来ping通备份组的虚拟ip地址。
根据vrrp的标准协议,备份组的虚拟ip地址是无法使用ping命令来ping通的。
这时防火墙连接的用户无法通过ping命令来判断一个ip地址是否被备份组使用。
如果用户将自己的主机ip配置与备份组的虚拟ip地址相同的ip地址,将会使本网段的报文都发送到用户的主机,导致本网段的数据不能被正确转发。
使用下面的命令进行配置后,用户将可以使用ping命令ping通备份组的虚拟ip地址。
请在系统视图下进行下列配置。
缺省情况下,用户不能使用ping命令ping通备份组的虚拟ip地址。
此配置需要在备份组建立之前就进行设定。
如果防火墙上已经建立了备份组,系统将不允许再进行此配置。
2.2.8设置是否需要检查vrrp报文的ttl值
vrrp协议规定vrrp报文的ttl值只能为255。
如果backup检查到vrrp报文的ttl值不是255,就会将此报文丢弃。
可以使用下面的命令来设置取消检查vrrp报文的ttl值。
缺省情况下,需要检查vrrp报文的ttl值。
将一个本网段的ip地址指定给到一个虚拟
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- H3C 设备 VRRP 配置 手册