神舟数码VRRP原理综述.doc

VRRP综述和需求分析引言本文档是VRRP的综述和需求分析文档，概述VRRP的功能和概念，分析VRRP的报文格式以及VRRP中的状态转换，描述VRRP应用于路由器或交换机中所必须实现的命令，对VRRP要实现的功能和配置做需求分析。VRRP可以应用于Multi-access，Multicast，或Broadcast网络上，本文只描述在以太网上实现VRRP，对于在FDDI、TokenRing等其他形式的网络不作描述，同时只考虑IP网络时的情况，而不考虑IPX、AppleTalk等其他协议。系统概述VRRP和以下模块存在接口关系：IP，CLI和配置系统。IP识别接收到的VRRP报文，然后传给VRRP子系统进行处理；VRRP子系统发送VRRP报文时，传给IP进行处理。基本概念和定义终端可以使用多种方法决定它们到特定IP地址的第一跳。目前常用的方法有两种：一种是动态学习，如代理ARP、路由协议（RIP和OSPF）以及IRDP（ICMP Router Discovery Protocol）、DHCP；另一种是静态配置。在每一个终端都运行动态路由协议是不现实的，大多客户端操作系统平台都不支持动态路由协议，即使支持也受到管理开销、收敛度、安全性等许多问题的限制。因此普遍采用对终端IP设备静态路由配置，一般是给终端设备指定一个或者多个默认网关(Default Gateway)。静态路由的方法简化了网络管理的复杂度和减轻了终端设备的通信开销，但是它仍然有一个缺点：如果作为默认网关的路由器损坏，所有使用该网关为下一跳主机的通信必然要中断。采用虚拟路由冗余协议 (Virtual Router Redundancy Protocol，简称VRRP)可以很好的避免静态指定网关的这种缺陷。VRRP的优点就是它有更高的实用性，并且它无须在每个终端都配置动态路由或寻找路由的协议。在VRRP协议中，有两组重要的概念：VRRP路由器(VRRP Router)和虚拟路由器(Virtual Router)，主控路由器(Virtual Router Master)和备份路由器(Virtual Router Backup)。VRRP路由器是指运行VRRP协议的路由器，是物理实体。虚拟路由器是指VRRP协议创建的，是逻辑概念。一组VRRP路由器协同工作，共同构成一台虚拟路由器。该虚拟路由器对外表现为一个具有唯一固定IP地址和MAC地址的逻辑路由器。处于同一个VRRP组中的路由器具有两种互斥的角色：主控路由器和备份路由器，一个VRRP组中有且只有一台处于主控角色的路由器，可以有一个或者多个处于备份角色的路由器。VRRP协议使用选择策略从路由器组中选出一台作为主控，负责ARP和转发IP数据包。当由于某种原因主控路由器发生故障时，备份路由器能在几秒钟的时延后升级为主路由器。由于此切换过程非常迅速而且不用改变IP地址和MAC地址，故对终端使用者系统是透明的。TABLE 2-1.保护网关路由器的各种方法方法优点缺点Dynamic Routing(RIP/OSPF)flexible: different failover hierarchies can be established more failure points protectedrequires routing software in the hosts demanding on the hosts challenging to administer security concernsICMP Discovery(IRDP)may come with new IP stacks in the hostsrequires discovery software in the hosts with older IP stacks-not responsive, may lead to black holesProxy ARPno special software required in the hostnot repsonsive, may lead to black holes-may require rebooting of the hostsDHCPdoes not help with failoverVRRP with Static Routingstatic route configuration commonly available with TCP/IP does not require any special software in the host based on an industry standard-responsive or can be fine-tuned to be responsiveprotects only the default routers-local interface but mechanism extendable to trigger a switch over in the case of other interfaces applicable only to IP networks, -but other protocols such as IPX on a VRRP interface able to be piggy-backed with IP for VRRP主要工作过程下图表示由三个VRRP路由器组成的构成一台虚拟路由器的过程。在这个例子中，路由器A，B和C都是VRRP路由器，他们组成了一台虚拟路由器。该虚拟路由器的IP地址和路由器A的以太接口地址（10.0.0.1）一致。图1: VRRP虚拟路由器示例1因为虚拟路由器使用ROUTER A的以太口的IP地址, 因此ROUTER A被认为是主控路由器（Virtual Router Master）。作为主控路由器，ROUTER A控制虚拟路由器的IP地址, 并对发往该IP地址的报文进行转发。CLIENT 1 到 3 配置的缺省网关的IP 地址都 是10.0.0.1。而Router B 和Router C被认为是备份路由器（Virtual Router Backup）。 如果主控路由器失败，配置优先级较高的备份路由器将成为新的主控路由器，对LAN主机提供不中断的服务。当原主控路由器 A回复后，它会重新成为主控路由器。注意到在此例子中，ROUTER B和C的IP地址只作为路由器本身的接口地址，并没有被别的路由器备份。为了达到可以互相备份的效果，引入另外一种LAN拓扑结构：图2: VRRP虚拟路由器示例2在这个拓补结构中，两个虚拟路由器被配置。两台路由器共享从CLIENT 1到CLIENT 4的流量。ROUTER A 和 B 互相充当对方的备份路由器。对于虚拟路由器 1, ROUTER A是IP地址10.0.0.1的拥有者和主控路由器, 同时是ROUTER B的备份路由器。CLIENT 1和2配置的缺省IP 地址为10.0.0.1。对于虚拟路由器 2, ROUTER B是IP 地址 10.0.0.2的拥有者和主控路由器, 同时是ROUTER A的备份路由器。 CLIENT 3和4配置缺省网关10.0.0.2。由此可以到达备份和负载分担双重效果。这样，既分担了设备负载和网络流量，又提高了网络可靠性。工作原理一个VRRP路由器有唯一的标识：VRID，范围为0-255。该路由器对外表现为唯一的虚拟MAC地址，地址的格式为00-00-5E-00-01-VRID（按Internet标准的16进制的Bit顺序）。前三个octets是从IANAs OUI得出，接下来的两个octets (00-01)表示分配给VRRP协议的地址块。这种映射方法可以使一个网络上能够有多达255个VRRP路由器。主控路由器负责对ARP请求用该MAC地址做应答。这样，无论如何切换，对于终端设备是透明的。 VRRP控制报文只有一种：VRRP通告(advertisement)。它使用IP多播数据包进行封装，组地址为224.0.0.18，发布范围只限于同一局域网内。这保证了VRID在不同网络中可以重复使用。为了减少网络带宽消耗只有主控路由器才可以周期性的发送VRRP通告报文。备份路由器在连续三个通告间隔内（skew_time也产生优先级的影响）收不到VRRP或收到优先级为0的通告后启动新的一轮VRRP选举。 先介绍两个概念：若某个VRRP路由器的接口IP地址和虚拟路由器的IP地址相同，则称该路由器为VRRP组中的IP地址所有者；This is the router that, when up, will respond to packets addressed to one of these IP addresses for ICMP pings, TCP connections, etc.Primary IP Address：从一组真正的接口地址中选择出的一个IP地址。一个可能的算法是总是选择第一个地址。VRRP的通告报文总是用Primary IP地址作为IP包的源IP。 在VRRP路由器组中，按优先级选举主控路由器，VRRP协议中优先级范围是0-255。IP地址所有者自动具有最高优先级：255。优先级0一般用在IP地址所有者主动放弃主控路由器角色时使用。可配置的优先级范围为1-254。优先级的配置原则可以依据链路的速度和成本、路由器性能和可靠性以及其它管理策略设定。主控路由器的选举中，高优先级的虚拟路由器获胜，因此，如果在VRRP组中有IP地址所有者，则它总是作为主控路由器的角色出现。对于相同优先级的备份路由器，按照IP地址大小顺序选举。VRRP还提供了优先级抢占策略，如果配置了该策略，高优先级的备份路由器便会剥夺当前低优先级的主控路由器而成为新的主控路由器。为了保证VRRP协议的安全性（RFC2338，对于新的Draft则取消了该项），提供了两种安全认证措施：明文认证和IP头认证。明文认证方式要求：在加入一个VRRP路由器组时，必须同时提供相同的VRID和明文密码。适合于避免在局域网内的配置错误，但不能防止通过网络监听方式获得密码。IP头认证的方式提供了更高的安全性，能够防止报文重放和修改等攻击。报文结构VRRP的报文位于MAC Header和IP Header之后，MAC headerIP headerVRRP message该结构中某些重要IP域解释如下：Source IP Address：一个32比特的域，存放主控路由器连接到LAN上的接口的Primary IP地址。Destination IP Address：一个32比特的域，存放发送VRRP通告时的多播地址，该地址为224.0.0.18，一个虚拟路由器组中的所有路由器都接收该多播地址。Time to Live(TTL)：一个8比特域，该域的值必须为255，如果接收到的VRRP报文里TTL值不等于255，则要丢弃该报文。这是安全机制的一种。Protocol：一个8比特域，指出当前使用的协议号，VRRP的协议号为112(十进制)。VRRP的报文格式如下：0001020304050607080910111213141516171819202122232425262728293031VersionTypeVRIDPriorityCount IP AddrsAuthentication typeAdvertisement intervalChecksumIP Addresses :Authentication data:Version域为VRRP协议的版本号，定义为2。Type域指定了该VRRP报文的类型，在版本2中只有一种，即通告（ADVERTISEMENT），通告的对应类型为1。如果一个VRRP报文的类型未知，则应丢弃该报文。VRID域指定了虚拟路由器的标识。Priority域指定发送该VRRP报文的路由器的优先级，将此优先级通知给虚拟路由器组中的其它路由器。在确定范围内（1255），优先级的值越大，说明该路由器的优先级越大。和虚拟路由器的IP地址相同的路由器，也就是主控路由器的优先级指定为255（十进制）。虚拟路由器中的备份路由器的优先级限制在1254之间，默认值为100。其中优先级0具有特殊的意义，它表示一个主控路由器已经停止服务，这将触发备份路由器快速升级到主控路由器，而不用等到当前的主控路由器超时。Count IP Addrs域表示包含在VRRP通告中的IP地址数目。Authentication type域表示当前使用的认证方式。对于每一个接口来说，认证方式都是唯一的。对于每一个虚拟路由器来说，认证方式都是唯一的。该域是一个8比特的无符号整型值，如果一个报文带有无法知晓的认证方式，或者该认证方式和接口配置的认证方式不一致，都应该丢弃该报文。在RFC2338中，认证方式有如下定义：0表示不启用认证，1表示简单明文认证（Simple Text Password），2表示IP头部认证（IP Authentication Header）。当该域为0时，报文中的认证数据域（Authentication Data Field）将置为0，并且在接收报文的时候予以忽略。当该域为1时，在发送报文的时候，认证数据域将填上本地路由器配置的密码，该密码没有默认值，在接收的时候，必须判断该密码是否和接收路由器配置的密码相同，如果不相同，则丢弃该报文。当该域为2时，则启用AUTH（IP Authentication Header）定义的机制，一般采用HMAC来进行认证，对应的密码可以手工配置，也可以通过密码分配协议（Key Distribution Protocol）来获得。在接收方，如果因为丢失认证头部数据或者不正确的消息摘要导致认证失败，则丢弃该报文。在draft-ietf-vrrp-spec-v2-09.txt，2003/08/13的Draft中，认证方式的定义如下：0表示不启用认证，1表示预留，2表示预留。原因在于试验已经表明这两种认证方式并不能够提供真正的安全，相反还会创建多个主控路由器。当该域为0时，报文中的认证数据域（Authentication Data Field）将置为0，并且在接收报文的时候予以忽略。当该域为1时，或当该域为2时，表示与RFC2338保持向后兼容。Advertisement interval域指定通告之间的时间间隔，以秒为单位。默认值为1秒。根据该域的值可发现并且修复在虚拟路由器中可能发生的错误配置。Checksum域用来检查VRRP报文中是否有数据错误。该域为16比特，该域存放对整个VRRP报文的校验和，在接收的时候，要根据对应算法对报文进行重新计算，然后将计算结果和该域中原来的值比较，只有当两个校验和完全相等的时候才能接收该报文。在计算校验和的时候，该域要置0。IP Addresses域表示和虚拟路由器相关的一个或者多个IP地址。IP地址的数目由报文中的Count IP Addrs域指定。根据该域的值可发现并且修复在虚拟路由器中可能发生的错误配置。Authentication Data域：在RFC2338中，只有当采用简单明文认证的时候才起作用。该域为采用该认证方式时的密码，长度为8个字符，当配置的密码少于8个字符时，剩余的部分必须置0。如果在接收的时候，该域的值不匹配接收路由器对应的密码，则不能接收该报文。对于每一个接口来说，密码是唯一的，而且该域没有默认值。在draft-ietf-vrrp-spec-v2-09.txt，2003/08/13的Draft中，认证串仅用于与RFC2338保持向后兼容。在发送时应设置为0，接收时予以忽略。协议状态机每个虚拟路由器的参数VRID虚拟路由器的标识。可配置的取值范围为1-255(十进制)，无缺省值Priority在一个虚拟路由器的主控路由器选举过程中，VRRP路由器使用的优先级。值255（十进制）被预留给拥有虚拟路由器IP地址的路由器。值0表示一个主控路由器正在失去成为虚拟路由器的主控资格。虚拟路由器中的备份路由器的优先级限制在1254（十进制）之间。默认值为100（十进制）。IP_Addresses和该虚拟路由器相关的一个或者多个IP地址。该项通过配置得到。无缺省值。Advertisement_Interval两个通告报文之间的发布间隔（单位：秒）。缺省值为1秒Skew_Time与主控路由器失败时间间隔的一个偏移值，计算方法为（256Priority）/256）Master_Down_Interval备份路由器认为主控路由器失败的时间间隔（单位：秒）。计算方法为（3* Advertisement_Interval + Skew_Time）Preempt_Mode控制一个有着更高优先级的备份路由器是否可以抢占较低优先级的主控路由器。值为True表示允许抢占，值为False则为禁止抢占。缺省值为True。注意：一个例外是，对于拥有虚拟路由器IP地址的路由器来说，与该Flag无关，而总是进行抢占。Authentication_Type使用的认证方式，取值见“报文结构”章。Authentication_Data认证方式下使用的认证数据。TimersMaster_Down_Timer：超过Master_Down_Interval时间还没有收到通告而触发的定时器。Adver_Timer：根据Advertisement_Interval来触发通告发送的定时器。这里存在几个重要的时间定义：Advertisement_Interval：两个通告之间的发布间隔，缺省值为1秒。Skew_Time：备份路由器在一定时间内没有收到主控路由器的通告后就认为主控路由器失败，从而启动备份路由器升级到主控路由器的功能。Skew_Time是在计算该时间的时候使用的一个偏移值。计算方法为（256Priority）/256）。Master_Down_Interval：表示备份路由器在多长时间内没有收到主控路由器的通告就认为主控路由器失败。计算方法为（3* Advertisement_Interval + Skew_Time）。Master_Down_Timer：主控路由器发送通告时候的定时器。Adver_Timer：根据Advertisement_Interval来触发通告发送的定时器。需求分析一个VRRP系统的主要处理流程可以用如下图所示的状态转移图描述：图3：VRRP系统的状态迁移图1. 初始状态该状态的目的是等待接收一个启动事件（Startup event），然后根据接收到的启动事件进行状态迁移。本状态实现的流程图如下：对与该虚拟路由器相关的每一个IP地址，都向外广播一个ARP请求(ARP请求中包含该虚拟路由器的MAC地址)。 2. 备份状态备份状态的目的是监控主控路由器的状态，在主控路由器失败后接管主控路由器的工作。本状态的实现流程如下：本状态不能响应和虚拟路由器相关的主机发送的ARP请求，不能转发必需抛弃目的链路层MAC地址和虚拟路由器虚拟MAC地址相同的报文，不能接收目的地址为虚拟路由器IP地址的报文。如果接收到一个Shutdown事件：取消Master_Down_Timer时钟，迁移到初始状态。如果Master_Down_Timer计时器被触发：需要发送通告，对与本虚拟路由器有关的所有IP地址，都广播一个ARP请求，该请求中包含并使用虚拟路由器的MAC地址，设置Adver_Timer为Advertisement_Interval，迁移到主控路由器状态。如果接收到一个通告：如果通告的优先级为0：设置Master_Down_Timer计时器的超时时间为Skew_Time。如果通告的优先级不为0：如果抢占机制为False，或者通告中的优先级高于或者等于本地的优先级，则重新设定Master_Down_Timer计时器的超时时间为Master_Down_Internal否则丢弃通告3. 主控状态主控状态的目的是转发报文。主控状态必须响应和虚拟路由器相关的IP地址的发送的ARP请求，不能接收必须转发目的链路层MAC地址和虚拟路由器虚拟MAC地址相同的报文，如果它不是IP地址所有者必须不能接收目的地址为虚拟路由器IP地址的报文，如果它是IP地址所有者则必须接收目的地址为虚拟路由器IP地址的报文。如果接收到一Shutdown事件：取消Adver_Timer时钟，Master_Down_Timer时钟，发送一个优先级为0的通告，迁移到初始状态。如果Adver_Timer计时器被触发：则发送通告，重新设置Adver_Timer为Advertisement_Interval如果接收到一个通告：如果通告的优先级为0：则发送一个通告，重设Adver_Timer时钟的超时时间为Advertisement_Interval。如果通告的优先级不为0：如果通告中的优先级高于本地的优先级，或者通告中的优先级等于本地的优先级并且发送通告的Primary IP地址大于本地的Primary IP地址，则取消Adver_Timer时钟，重新设置Master_Down_Timer的超时时间为Master_Down_Internal，并迁移到备份状态。否则丢弃通告4. 接收VRRP报文主控路由器在接收到VRRP报文的时候，需要做一定的检查来保证所收到的报文没有错误。l 必须检查IP的TTL为255l 必须检查VRRP的版本号为2l 必须检查接收的VRRP报文是否完整大于等于VRRP报文的头部长度l 必须检查VRRP的校验和l 必须进行认证检查l 必须检查VRID是否在接收接口上有效已配置，而且本路由器不是IP地址所有者l 必须检查报文中的Auth Type是否和本地的配置一致，并进行相应地认证. 如果上面的检查有其中一项失败，则必须抛弃该报文，应当log该事件，可以通过网管通知有错误发生。l 可以检查Count IP Addrs以及IP Address列表是否与该VRID所配置的IP Addresses相匹配。 如果上面的检查失败，则应当log该事件，可以通过网管通知检测到错误的配置。如果该报文不是由IP Address所有者生成，即优先级不等于255(十进制)，则必须抛弃该报文，否则继续处理。l 必须检查报文中的Adver Interval是否和本地的配置一致。 如果上面的检查失败，则必须抛弃该报文，应当log该事件，可以通过网管通知检测到错误的配置。5. 发送VRRP报文主控路由器在发送报文的时候，需要填写一些特定域值。1. 需要根据配置的VRRP信息来填写VRRP报文的域值2. 需要计算VRRP的校验和3. 需要设置源MAC地址，为虚拟路由器的MAC地址4. 需要设置源IP地址为接口的primary IP address.5. 需要设置IP头中的协议类型为VRRP6. 需要将VRRP报文发送到VRRP IP多播组中。注意：采用虚拟路由器的MAC地址来发送VRRP报文的目的是。确保学习桥能够正确地判断出该虚拟路由器所在的LAN网段。安全考虑 VRRP目前不包含任何类型的认证。以前的版本含有从无到强的多种认证方式，运行经验和进一步的分析已经表明，认证并没有能够提供真正有效的安全措施，由于VRRP协议的性质，无法预防不正确的用户配置或防止恶意的路由器成为主控路由器。一般来说，由于LAN的性质，LAN中的任意设备都能够破坏各种通讯。所以在本规范中去掉了多余的认证。在认证方式之外，VRRP包含了一种机制可以使VRRP报文免于被来自其他远程网络的篡改和攻击(设置TTL=255，接收时进行检查)。 VRRP不提供任何加密。加密对于VRRP的正确运行没有必要，而且，VRRP消息中不包含需要加密的信息，其内容对于LAN中的所有节点都是public的。实现中的一些考虑Single default routerOne-sided protectionLoad sharing between VRRP routers6. A virtual router with multiple backups7. Virtual router without an owner我们称没有Owner的VR IP地址为浮动地址或纯虚拟地址。8. One backup for two masters9. A virtual router protecting multiple IP addresses10. Points of failure around a router11. Failure cases in context12. Single VRRP virtual router consisting of two real routers13. Multiple virtual routers within one single real router14. Dial backup without load sharing8.1 ICMP Redirects ICMP Redirects may be used normally when VRRP is running between a group of routers. This allows VRRP to be used in environments where the topology is not symmetric. The IP source address of an ICMP redirect should be the address the end host used when making its next hop routing decision. If a VRRP router is acting as Master for virtual router(s) containing addresses it does not own, then it must determine which virtual router the packet was sent to when selecting the redirect source address. One method to deduce the virtual router used is to examine the destination MAC address in the packet that triggered the redirect. It may be useful to disable Redirects for specific cases where VRRP is being used to load share traffic between a number of routers in a symmetric topology.8.2 Host ARP Requests When a host sends an ARP request for one of the virtual router IP addresses, the Master virtual router MUST respond to the ARP request with the virtual MAC address for the virtual router. The Master virtual router MUST NOT respond with its physical MAC address. This allows the client to always use the same MAC address regardless of the current Master router. When a VRRP router restarts or boots, it SHOULD not send any ARP messages with its physical MAC address for the IP address it owns, it should only send ARP messages that include Virtual MAC addresses. This may entail: - When configuring an interface, VRRP routers should broadcast a gratuitous ARP request containing the virtual router MAC address for each IP address on that interface. - At system boot, when initializing interfaces for VRRP operation; delay gratuitous ARP requests and ARP responses until both the IP address and the virtual router MAC address are configured.8.3 Proxy ARP If Proxy ARP is to be used on a VRRP router, then the VRRP router must advertise the Virtual Router MAC address in the Proxy ARP message. Doing otherwise could cause hosts to learn the real MAC address of the VRRP router.8.4 Potential Forwarding Loop A VRRP router SHOULD not forward packets addressed to the IP Address(es) it becomes Master for if it is not the owner. Forwarding these packets would result in unnecessary traffic. Also in the case of LANs that receive packets they transmit (e.g., token ring) this can result in a forwarding loop that is only terminated when the IP TTL expires. One such mechanism for VRRP routers is to add/delete a reject host route for each adopted IP address when transitioning to/from MASTER state.VRRP的命令分析1. VRRP IP【命令格式】vrrp group ip ipaddressno vrrp group ip ipaddress【参数说明】 group: 虚拟路由组序号；ipaddress: 虚拟路由的IP地址；2. VRRP AUTHENTICATION【命令详细格式】vrrp group authentication stringno vrrp group authentication string【参数说明