神舟數碼VRRP原理綜述.doc

VRRP綜述和需求分析引言本文檔是VRRP的綜述和需求分析文檔，概述VRRP的功能和概念，分析VRRP的報文格式以及VRRP中的狀態(tài)轉換，描述VRRP應用于路由器或交換機中所必須實現的命令，對VRRP要實現的功能和配置做需求分析。VRRP可以應用于Multi-access，Multicast，或Broadcast網絡上，本文只描述在以太網上實現VRRP，對于在FDDI、TokenRing等其他形式的網絡不作描述，同時只考慮IP網絡時的情況，而不考慮IPX、AppleTalk等其他協(xié)議。系統(tǒng)概述VRRP和以下模塊存在接口關系：IP，CLI和配置系統(tǒng)。IP識別接收到的VRRP報文，然后傳給VRRP子系統(tǒng)進行處理；VRRP子系統(tǒng)發(fā)送VRRP報文時，傳給IP進行處理。基本概念和定義終端可以使用多種方法決定它們到特定IP地址的第一跳。目前常用的方法有兩種：一種是動態(tài)學習，如代理ARP、路由協(xié)議（RIP和OSPF）以及IRDP（ICMP Router Discovery Protocol）、DHCP；另一種是靜態(tài)配置。在每一個終端都運行動態(tài)路由協(xié)議是不現實的，大多客戶端操作系統(tǒng)平臺都不支持動態(tài)路由協(xié)議，即使支持也受到管理開銷、收斂度、安全性等許多問題的限制。因此普遍采用對終端IP設備靜態(tài)路由配置，一般是給終端設備指定一個或者多個默認網關(Default Gateway)。靜態(tài)路由的方法簡化了網絡管理的復雜度和減輕了終端設備的通信開銷，但是它仍然有一個缺點：如果作為默認網關的路由器損壞，所有使用該網關為下一跳主機的通信必然要中斷。采用虛擬路由冗余協(xié)議 (Virtual Router Redundancy Protocol，簡稱VRRP)可以很好的避免靜態(tài)指定網關的這種缺陷。VRRP的優(yōu)點就是它有更高的實用性，并且它無須在每個終端都配置動態(tài)路由或尋找路由的協(xié)議。在VRRP協(xié)議中，有兩組重要的概念：VRRP路由器(VRRP Router)和虛擬路由器(Virtual Router)，主控路由器(Virtual Router Master)和備份路由器(Virtual Router Backup)。VRRP路由器是指運行VRRP協(xié)議的路由器，是物理實體。虛擬路由器是指VRRP協(xié)議創(chuàng)建的，是邏輯概念。一組VRRP路由器協(xié)同工作，共同構成一臺虛擬路由器。該虛擬路由器對外表現為一個具有唯一固定IP地址和MAC地址的邏輯路由器。處于同一個VRRP組中的路由器具有兩種互斥的角色：主控路由器和備份路由器，一個VRRP組中有且只有一臺處于主控角色的路由器，可以有一個或者多個處于備份角色的路由器。VRRP協(xié)議使用選擇策略從路由器組中選出一臺作為主控，負責ARP和轉發(fā)IP數據包。當由于某種原因主控路由器發(fā)生故障時，備份路由器能在幾秒鐘的時延后升級為主路由器。由于此切換過程非常迅速而且不用改變IP地址和MAC地址，故對終端使用者系統(tǒng)是透明的。TABLE 2-1.保護網關路由器的各種方法方法優(yōu)點缺點Dynamic Routing(RIP/OSPF)flexible: different failover hierarchies can be established more failure points protectedrequires routing software in the hosts demanding on the hosts challenging to administer security concernsICMP Discovery(IRDP)may come with new IP stacks in the hostsrequires discovery software in the hosts with older IP stacks-not responsive, may lead to black holesProxy ARPno special software required in the hostnot repsonsive, may lead to black holes-may require rebooting of the hostsDHCPdoes not help with failoverVRRP with Static Routingstatic route configuration commonly available with TCP/IP does not require any special software in the host based on an industry standard-responsive or can be fine-tuned to be responsiveprotects only the default routers-local interface but mechanism extendable to trigger a switch over in the case of other interfaces applicable only to IP networks, -but other protocols such as IPX on a VRRP interface able to be piggy-backed with IP for VRRP主要工作過程下圖表示由三個VRRP路由器組成的構成一臺虛擬路由器的過程。在這個例子中，路由器A，B和C都是VRRP路由器，他們組成了一臺虛擬路由器。該虛擬路由器的IP地址和路由器A的以太接口地址（10.0.0.1）一致。圖1: VRRP虛擬路由器示例1因為虛擬路由器使用ROUTER A的以太口的IP地址, 因此ROUTER A被認為是主控路由器（Virtual Router Master）。作為主控路由器，ROUTER A控制虛擬路由器的IP地址, 并對發(fā)往該IP地址的報文進行轉發(fā)。CLIENT 1 到 3 配置的缺省網關的IP 地址都 是10.0.0.1。而Router B 和Router C被認為是備份路由器（Virtual Router Backup）。 如果主控路由器失敗，配置優(yōu)先級較高的備份路由器將成為新的主控路由器，對LAN主機提供不中斷的服務。當原主控路由器 A回復后，它會重新成為主控路由器。注意到在此例子中，ROUTER B和C的IP地址只作為路由器本身的接口地址，并沒有被別的路由器備份。為了達到可以互相備份的效果，引入另外一種LAN拓撲結構：圖2: VRRP虛擬路由器示例2在這個拓補結構中，兩個虛擬路由器被配置。兩臺路由器共享從CLIENT 1到CLIENT 4的流量。ROUTER A 和 B 互相充當對方的備份路由器。對于虛擬路由器 1, ROUTER A是IP地址10.0.0.1的擁有者和主控路由器, 同時是ROUTER B的備份路由器。CLIENT 1和2配置的缺省IP 地址為10.0.0.1。對于虛擬路由器 2, ROUTER B是IP 地址 10.0.0.2的擁有者和主控路由器, 同時是ROUTER A的備份路由器。 CLIENT 3和4配置缺省網關10.0.0.2。由此可以到達備份和負載分擔雙重效果。這樣，既分擔了設備負載和網絡流量，又提高了網絡可靠性。工作原理一個VRRP路由器有唯一的標識：VRID，范圍為0-255。該路由器對外表現為唯一的虛擬MAC地址，地址的格式為00-00-5E-00-01-VRID（按Internet標準的16進制的Bit順序）。前三個octets是從IANAs OUI得出，接下來的兩個octets (00-01)表示分配給VRRP協(xié)議的地址塊。這種映射方法可以使一個網絡上能夠有多達255個VRRP路由器。主控路由器負責對ARP請求用該MAC地址做應答。這樣，無論如何切換，對于終端設備是透明的。 VRRP控制報文只有一種：VRRP通告(advertisement)。它使用IP多播數據包進行封裝，組地址為224.0.0.18，發(fā)布范圍只限于同一局域網內。這保證了VRID在不同網絡中可以重復使用。為了減少網絡帶寬消耗只有主控路由器才可以周期性的發(fā)送VRRP通告報文。備份路由器在連續(xù)三個通告間隔內（skew_time也產生優(yōu)先級的影響）收不到VRRP或收到優(yōu)先級為0的通告后啟動新的一輪VRRP選舉。 先介紹兩個概念：若某個VRRP路由器的接口IP地址和虛擬路由器的IP地址相同，則稱該路由器為VRRP組中的IP地址所有者；This is the router that, when up, will respond to packets addressed to one of these IP addresses for ICMP pings, TCP connections, etc.Primary IP Address：從一組真正的接口地址中選擇出的一個IP地址。一個可能的算法是總是選擇第一個地址。VRRP的通告報文總是用Primary IP地址作為IP包的源IP。 在VRRP路由器組中，按優(yōu)先級選舉主控路由器，VRRP協(xié)議中優(yōu)先級范圍是0-255。IP地址所有者自動具有最高優(yōu)先級：255。優(yōu)先級0一般用在IP地址所有者主動放棄主控路由器角色時使用。可配置的優(yōu)先級范圍為1-254。優(yōu)先級的配置原則可以依據鏈路的速度和成本、路由器性能和可靠性以及其它管理策略設定。主控路由器的選舉中，高優(yōu)先級的虛擬路由器獲勝，因此，如果在VRRP組中有IP地址所有者，則它總是作為主控路由器的角色出現。對于相同優(yōu)先級的備份路由器，按照IP地址大小順序選舉。VRRP還提供了優(yōu)先級搶占策略，如果配置了該策略，高優(yōu)先級的備份路由器便會剝奪當前低優(yōu)先級的主控路由器而成為新的主控路由器。為了保證VRRP協(xié)議的安全性（RFC2338，對于新的Draft則取消了該項），提供了兩種安全認證措施：明文認證和IP頭認證。明文認證方式要求：在加入一個VRRP路由器組時，必須同時提供相同的VRID和明文密碼。適合于避免在局域網內的配置錯誤，但不能防止通過網絡監(jiān)聽方式獲得密碼。IP頭認證的方式提供了更高的安全性，能夠防止報文重放和修改等攻擊。報文結構VRRP的報文位于MAC Header和IP Header之后，MAC headerIP headerVRRP message該結構中某些重要IP域解釋如下：Source IP Address：一個32比特的域，存放主控路由器連接到LAN上的接口的Primary IP地址。Destination IP Address：一個32比特的域，存放發(fā)送VRRP通告時的多播地址，該地址為224.0.0.18，一個虛擬路由器組中的所有路由器都接收該多播地址。Time to Live(TTL)：一個8比特域，該域的值必須為255，如果接收到的VRRP報文里TTL值不等于255，則要丟棄該報文。這是安全機制的一種。Protocol：一個8比特域，指出當前使用的協(xié)議號，VRRP的協(xié)議號為112(十進制)。VRRP的報文格式如下：0001020304050607080910111213141516171819202122232425262728293031VersionTypeVRIDPriorityCount IP AddrsAuthentication typeAdvertisement intervalChecksumIP Addresses :Authentication data:Version域為VRRP協(xié)議的版本號，定義為2。Type域指定了該VRRP報文的類型，在版本2中只有一種，即通告（ADVERTISEMENT），通告的對應類型為1。如果一個VRRP報文的類型未知，則應丟棄該報文。VRID域指定了虛擬路由器的標識。Priority域指定發(fā)送該VRRP報文的路由器的優(yōu)先級，將此優(yōu)先級通知給虛擬路由器組中的其它路由器。在確定范圍內（1255），優(yōu)先級的值越大，說明該路由器的優(yōu)先級越大。和虛擬路由器的IP地址相同的路由器，也就是主控路由器的優(yōu)先級指定為255（十進制）。虛擬路由器中的備份路由器的優(yōu)先級限制在1254之間，默認值為100。其中優(yōu)先級0具有特殊的意義，它表示一個主控路由器已經停止服務，這將觸發(fā)備份路由器快速升級到主控路由器，而不用等到當前的主控路由器超時。Count IP Addrs域表示包含在VRRP通告中的IP地址數目。Authentication type域表示當前使用的認證方式。對于每一個接口來說，認證方式都是唯一的。對于每一個虛擬路由器來說，認證方式都是唯一的。該域是一個8比特的無符號整型值，如果一個報文帶有無法知曉的認證方式，或者該認證方式和接口配置的認證方式不一致，都應該丟棄該報文。在RFC2338中，認證方式有如下定義：0表示不啟用認證，1表示簡單明文認證（Simple Text Password），2表示IP頭部認證（IP Authentication Header）。當該域為0時，報文中的認證數據域（Authentication Data Field）將置為0，并且在接收報文的時候予以忽略。當該域為1時，在發(fā)送報文的時候，認證數據域將填上本地路由器配置的密碼，該密碼沒有默認值，在接收的時候，必須判斷該密碼是否和接收路由器配置的密碼相同，如果不相同，則丟棄該報文。當該域為2時，則啟用AUTH（IP Authentication Header）定義的機制，一般采用HMAC來進行認證，對應的密碼可以手工配置，也可以通過密碼分配協(xié)議（Key Distribution Protocol）來獲得。在接收方，如果因為丟失認證頭部數據或者不正確的消息摘要導致認證失敗，則丟棄該報文。在draft-ietf-vrrp-spec-v2-09.txt，2003/08/13的Draft中，認證方式的定義如下：0表示不啟用認證，1表示預留，2表示預留。原因在于試驗已經表明這兩種認證方式并不能夠提供真正的安全，相反還會創(chuàng)建多個主控路由器。當該域為0時，報文中的認證數據域（Authentication Data Field）將置為0，并且在接收報文的時候予以忽略。當該域為1時，或當該域為2時，表示與RFC2338保持向后兼容。Advertisement interval域指定通告之間的時間間隔，以秒為單位。默認值為1秒。根據該域的值可發(fā)現并且修復在虛擬路由器中可能發(fā)生的錯誤配置。Checksum域用來檢查VRRP報文中是否有數據錯誤。該域為16比特，該域存放對整個VRRP報文的校驗和，在接收的時候，要根據對應算法對報文進行重新計算，然后將計算結果和該域中原來的值比較，只有當兩個校驗和完全相等的時候才能接收該報文。在計算校驗和的時候，該域要置0。IP Addresses域表示和虛擬路由器相關的一個或者多個IP地址。IP地址的數目由報文中的Count IP Addrs域指定。根據該域的值可發(fā)現并且修復在虛擬路由器中可能發(fā)生的錯誤配置。Authentication Data域：在RFC2338中，只有當采用簡單明文認證的時候才起作用。該域為采用該認證方式時的密碼，長度為8個字符，當配置的密碼少于8個字符時，剩余的部分必須置0。如果在接收的時候，該域的值不匹配接收路由器對應的密碼，則不能接收該報文。對于每一個接口來說，密碼是唯一的，而且該域沒有默認值。在draft-ietf-vrrp-spec-v2-09.txt，2003/08/13的Draft中，認證串僅用于與RFC2338保持向后兼容。在發(fā)送時應設置為0，接收時予以忽略。協(xié)議狀態(tài)機每個虛擬路由器的參數VRID虛擬路由器的標識。可配置的取值范圍為1-255(十進制)，無缺省值Priority在一個虛擬路由器的主控路由器選舉過程中，VRRP路由器使用的優(yōu)先級。值255（十進制）被預留給擁有虛擬路由器IP地址的路由器。值0表示一個主控路由器正在失去成為虛擬路由器的主控資格。虛擬路由器中的備份路由器的優(yōu)先級限制在1254（十進制）之間。默認值為100（十進制）。IP_Addresses和該虛擬路由器相關的一個或者多個IP地址。該項通過配置得到。無缺省值。Advertisement_Interval兩個通告報文之間的發(fā)布間隔（單位：秒）。缺省值為1秒Skew_Time與主控路由器失敗時間間隔的一個偏移值，計算方法為（256Priority）/256）Master_Down_Interval備份路由器認為主控路由器失敗的時間間隔（單位：秒）。計算方法為（3* Advertisement_Interval + Skew_Time）Preempt_Mode控制一個有著更高優(yōu)先級的備份路由器是否可以搶占較低優(yōu)先級的主控路由器。值為True表示允許搶占，值為False則為禁止搶占。缺省值為True。注意：一個例外是，對于擁有虛擬路由器IP地址的路由器來說，與該Flag無關，而總是進行搶占。Authentication_Type使用的認證方式，取值見“報文結構”章。Authentication_Data認證方式下使用的認證數據。TimersMaster_Down_Timer：超過Master_Down_Interval時間還沒有收到通告而觸發(fā)的定時器。Adver_Timer：根據Advertisement_Interval來觸發(fā)通告發(fā)送的定時器。這里存在幾個重要的時間定義：Advertisement_Interval：兩個通告之間的發(fā)布間隔，缺省值為1秒。Skew_Time：備份路由器在一定時間內沒有收到主控路由器的通告后就認為主控路由器失敗，從而啟動備份路由器升級到主控路由器的功能。Skew_Time是在計算該時間的時候使用的一個偏移值。計算方法為（256Priority）/256）。Master_Down_Interval：表示備份路由器在多長時間內沒有收到主控路由器的通告就認為主控路由器失敗。計算方法為（3* Advertisement_Interval + Skew_Time）。Master_Down_Timer：主控路由器發(fā)送通告時候的定時器。Adver_Timer：根據Advertisement_Interval來觸發(fā)通告發(fā)送的定時器。需求分析一個VRRP系統(tǒng)的主要處理流程可以用如下圖所示的狀態(tài)轉移圖描述：圖3：VRRP系統(tǒng)的狀態(tài)遷移圖1. 初始狀態(tài)該狀態(tài)的目的是等待接收一個啟動事件（Startup event），然后根據接收到的啟動事件進行狀態(tài)遷移。本狀態(tài)實現的流程圖如下：對與該虛擬路由器相關的每一個IP地址，都向外廣播一個ARP請求(ARP請求中包含該虛擬路由器的MAC地址)。 2. 備份狀態(tài)備份狀態(tài)的目的是監(jiān)控主控路由器的狀態(tài)，在主控路由器失敗后接管主控路由器的工作。本狀態(tài)的實現流程如下：本狀態(tài)不能響應和虛擬路由器相關的主機發(fā)送的ARP請求，不能轉發(fā)必需拋棄目的鏈路層MAC地址和虛擬路由器虛擬MAC地址相同的報文，不能接收目的地址為虛擬路由器IP地址的報文。如果接收到一個Shutdown事件：取消Master_Down_Timer時鐘，遷移到初始狀態(tài)。如果Master_Down_Timer計時器被觸發(fā)：需要發(fā)送通告，對與本虛擬路由器有關的所有IP地址，都廣播一個ARP請求，該請求中包含并使用虛擬路由器的MAC地址，設置Adver_Timer為Advertisement_Interval，遷移到主控路由器狀態(tài)。如果接收到一個通告：如果通告的優(yōu)先級為0：設置Master_Down_Timer計時器的超時時間為Skew_Time。如果通告的優(yōu)先級不為0：如果搶占機制為False，或者通告中的優(yōu)先級高于或者等于本地的優(yōu)先級，則重新設定Master_Down_Timer計時器的超時時間為Master_Down_Internal否則丟棄通告3. 主控狀態(tài)主控狀態(tài)的目的是轉發(fā)報文。主控狀態(tài)必須響應和虛擬路由器相關的IP地址的發(fā)送的ARP請求，不能接收必須轉發(fā)目的鏈路層MAC地址和虛擬路由器虛擬MAC地址相同的報文，如果它不是IP地址所有者必須不能接收目的地址為虛擬路由器IP地址的報文，如果它是IP地址所有者則必須接收目的地址為虛擬路由器IP地址的報文。如果接收到一Shutdown事件：取消Adver_Timer時鐘，Master_Down_Timer時鐘，發(fā)送一個優(yōu)先級為0的通告，遷移到初始狀態(tài)。如果Adver_Timer計時器被觸發(fā)：則發(fā)送通告，重新設置Adver_Timer為Advertisement_Interval如果接收到一個通告：如果通告的優(yōu)先級為0：則發(fā)送一個通告，重設Adver_Timer時鐘的超時時間為Advertisement_Interval。如果通告的優(yōu)先級不為0：如果通告中的優(yōu)先級高于本地的優(yōu)先級，或者通告中的優(yōu)先級等于本地的優(yōu)先級并且發(fā)送通告的Primary IP地址大于本地的Primary IP地址，則取消Adver_Timer時鐘，重新設置Master_Down_Timer的超時時間為Master_Down_Internal，并遷移到備份狀態(tài)。否則丟棄通告4. 接收VRRP報文主控路由器在接收到VRRP報文的時候，需要做一定的檢查來保證所收到的報文沒有錯誤。l 必須檢查IP的TTL為255l 必須檢查VRRP的版本號為2l 必須檢查接收的VRRP報文是否完整大于等于VRRP報文的頭部長度l 必須檢查VRRP的校驗和l 必須進行認證檢查l 必須檢查VRID是否在接收接口上有效已配置，而且本路由器不是IP地址所有者l 必須檢查報文中的Auth Type是否和本地的配置一致，并進行相應地認證. 如果上面的檢查有其中一項失敗，則必須拋棄該報文，應當log該事件，可以通過網管通知有錯誤發(fā)生。l 可以檢查Count IP Addrs以及IP Address列表是否與該VRID所配置的IP Addresses相匹配。 如果上面的檢查失敗，則應當log該事件，可以通過網管通知檢測到錯誤的配置。如果該報文不是由IP Address所有者生成，即優(yōu)先級不等于255(十進制)，則必須拋棄該報文，否則繼續(xù)處理。l 必須檢查報文中的Adver Interval是否和本地的配置一致。 如果上面的檢查失敗，則必須拋棄該報文，應當log該事件，可以通過網管通知檢測到錯誤的配置。5. 發(fā)送VRRP報文主控路由器在發(fā)送報文的時候，需要填寫一些特定域值。1. 需要根據配置的VRRP信息來填寫VRRP報文的域值2. 需要計算VRRP的校驗和3. 需要設置源MAC地址，為虛擬路由器的MAC地址4. 需要設置源IP地址為接口的primary IP address.5. 需要設置IP頭中的協(xié)議類型為VRRP6. 需要將VRRP報文發(fā)送到VRRP IP多播組中。注意：采用虛擬路由器的MAC地址來發(fā)送VRRP報文的目的是。確保學習橋能夠正確地判斷出該虛擬路由器所在的LAN網段。安全考慮 VRRP目前不包含任何類型的認證。以前的版本含有從無到強的多種認證方式，運行經驗和進一步的分析已經表明，認證并沒有能夠提供真正有效的安全措施，由于VRRP協(xié)議的性質，無法預防不正確的用戶配置或防止惡意的路由器成為主控路由器。一般來說，由于LAN的性質，LAN中的任意設備都能夠破壞各種通訊。所以在本規(guī)范中去掉了多余的認證。在認證方式之外，VRRP包含了一種機制可以使VRRP報文免于被來自其他遠程網絡的篡改和攻擊(設置TTL=255，接收時進行檢查)。 VRRP不提供任何加密。加密對于VRRP的正確運行沒有必要，而且，VRRP消息中不包含需要加密的信息，其內容對于LAN中的所有節(jié)點都是public的。實現中的一些考慮Single default routerOne-sided protectionLoad sharing between VRRP routers6. A virtual router with multiple backups7. Virtual router without an owner我們稱沒有Owner的VR IP地址為浮動地址或純虛擬地址。8. One backup for two masters9. A virtual router protecting multiple IP addresses10. Points of failure around a router11. Failure cases in context12. Single VRRP virtual router consisting of two real routers13. Multiple virtual routers within one single real router14. Dial backup without load sharing8.1 ICMP Redirects ICMP Redirects may be used normally when VRRP is running between a group of routers. This allows VRRP to be used in environments where the topology is not symmetric. The IP source address of an ICMP redirect should be the address the end host used when making its next hop routing decision. If a VRRP router is acting as Master for virtual router(s) containing addresses it does not own, then it must determine which virtual router the packet was sent to when selecting the redirect source address. One method to deduce the virtual router used is to examine the destination MAC address in the packet that triggered the redirect. It may be useful to disable Redirects for specific cases where VRRP is being used to load share traffic between a number of routers in a symmetric topology.8.2 Host ARP Requests When a host sends an ARP request for one of the virtual router IP addresses, the Master virtual router MUST respond to the ARP request with the virtual MAC address for the virtual router. The Master virtual router MUST NOT respond with its physical MAC address. This allows the client to always use the same MAC address regardless of the current Master router. When a VRRP router restarts or boots, it SHOULD not send any ARP messages with its physical MAC address for the IP address it owns, it should only send ARP messages that include Virtual MAC addresses. This may entail: - When configuring an interface, VRRP routers should broadcast a gratuitous ARP request containing the virtual router MAC address for each IP address on that interface. - At system boot, when initializing interfaces for VRRP operation; delay gratuitous ARP requests and ARP responses until both the IP address and the virtual router MAC address are configured.8.3 Proxy ARP If Proxy ARP is to be used on a VRRP router, then the VRRP router must advertise the Virtual Router MAC address in the Proxy ARP message. Doing otherwise could cause hosts to learn the real MAC address of the VRRP router.8.4 Potential Forwarding Loop A VRRP router SHOULD not forward packets addressed to the IP Address(es) it becomes Master for if it is not the owner. Forwarding these packets would result in unnecessary traffic. Also in the case of LANs that receive packets they transmit (e.g., token ring) this can result in a forwarding loop that is only terminated when the IP TTL expires. One such mechanism for VRRP routers is to add/delete a reject host route for each adopted IP address when transitioning to/from MASTER state.VRRP的命令分析1. VRRP IP【命令格式】vrrp group ip ipaddressno vrrp group ip ipaddress【參數說明】 group: 虛擬路由組序號；ipaddress: 虛擬路由的IP地址；2. VRRP AUTHENTICATION【命令詳細格式】vrrp group authentication stringno vrrp group authentication string【參數說明