【#9733;】交换层网关协议大总结！

网关冗余与负载分担

读这篇文档之前&＃xff0c;请读者先理清有关的专业术语和名词&＃xff0c;尤其其中的同义词和并列词。

还要知道&＃xff0c;人们之所以把计算机中的一些非常简单的逻辑复杂化&＃xff0c;形成一个难以理解的协议&＃xff0c;是由于“电脑实在没人脑聪明”&＃xff0c;cpu对逻辑语言的计算能力实在有限&＃xff0c;所以只能把一个简单逻辑拆分成更多更简单的逻辑让计算机识别。

网关的概念在企业网中有多种含义&＃xff0c;本章主要探索交换层&＃xff08;本地接入网&＃xff09;的网关。

首跳冗余性协议FHRP&＃xff08;first hop redundancy protocols&＃xff09;包括&＃xff1a;

1.热备份路由器协议HSRP&＃xff08;hot standby router protocol&＃xff09;。

2.虚拟路由冗余协议VRRP(virtual router redundancy protocol)。

3.网关负载均衡协议GLBP&＃xff08;gateway load balancing protocol&＃xff09;。

它们是工作在接入层与汇聚层&＃xff08;交换与路由&＃xff09;之间的网关路由器或多层交换机上的网关协议。其中HSRP和VRRP的功能机制基本相同但只能实现网关备份&＃xff0c;GLBP既能备份网关又能均衡负载&＃xff08;充分利用资源&＃xff09;。

先给大家普及一下需要用到的底层知识&＃xff1a;

一般来说&＃xff0c;一个网段就是一个子网&＃xff08;即使某一主类网没划分子网&＃xff0c;它也可以看成是一子网网段&＃xff09;。一般一个子网内有以下设备&＃xff1a;若干个主机&＃xff0c;若干个二层交换机&＃xff0c;若干个网关&＃xff08;它们是分层的&＃xff0c;即交换机连接主机和网关&＃xff09;。可以看出&＃xff0c;一个子网网络属于交换层&＃xff0c;在子网中流量是通过mac地址来“寻路”的&＃xff08;子网内的主机之间通讯前通过发送arp广播来获取对方mac&＃xff09;&＃xff0c;其中交换机帮助转发流量。当主机想要与子网外的PC或服务器通讯&＃xff0c;它不需要知道对方的mac&＃xff0c;只要知道该子网的网关mac&＃xff08;由arp获得&＃xff09;就行&＃xff0c;将信息流量发给网关&＃xff0c;剩下的事情交给网关解决就行&＃xff08;路由到其他子网&＃xff09;。所以一台主机刚开始需要知道自身ip地址&＃xff0c;对方电脑ip地址以及网关ip地址这三个基本信息才能正常通讯。

然后暂且先附上一张关于三个协议的表格&＃xff08;方便之后返回查看&＃xff09;&＃xff1a;

好了&＃xff0c;先来聊聊HSRP和VRRP。理想化的情况下子网中有一台路由器充当网关&＃xff0c;它的一个接口的ip充当网关ip。为了防止单点故障&＃xff0c;子网中又添加了几个备用网关&＃xff08;处于闲置状态&＃xff09;。为了使故障发生后其中一个备用网关能够自动切换成主用&＃xff08;活跃&＃xff09;网关&＃xff0c;才诞生了这两个网关冗余协议。

因为站在子网内的主机的角度&＃xff0c;子网内只能存在一个网关&＃xff0c;不然流量就不知道该发向哪一个网关了&＃xff08;不知为什么&＃xff0c;交换层不能自动负载均衡&＃xff0c;必须选出唯一的路径&＃xff0c;而路由表中只要AD和metric相同就会出现负载均衡&＃xff09;&＃xff08;优先级相同就比较接口ip&＃xff09;。所以这个冗余机制的基本思想是&＃xff1a;将多个路由器组合成一个虚拟网关&＃xff08;一个备份组&＃xff09;&＃xff0c;它有一个虚拟ip和一个虚拟mac。子网内的主机们只知道有一个&＃xff08;虚拟&＃xff09;网关的存在&＃xff0c;并不知情真实网关的情况。而所有通往子网外的流量只经过这个组中的某一个路由器&＃xff08;竞选选出&＃xff09;。其余备份网关处于不工作状态但一直监听active/master的工作状态&＃xff0c;在必要时刻替代它的角色。

HSRP与VRRP的三个重要区别&＃xff1a;

一&＃xff1a;HSRP组内通常只放2台网关&＃xff0c;一台active一台standby&＃xff0c;若不止两台&＃xff0c;再添入的网关都保持在初始状态&＃xff08;可以给备份做备份&＃xff0c;但客户难以接受&＃xff09;&＃xff1b;VRRP中却有一台master和若干个backup。

二&＃xff1a;备份组正常运行时active与standby之间默认间隔3秒相互发送hello包&＃xff08;包含&＃xff1a;active信息&＃xff0c;standby信息&＃xff0c;自身信息&＃xff0c;认证口令&＃xff0c;时间参数等信息&＃xff09;&＃xff08;有点类似BPDU&＃xff09;&＃xff08;组播地址映射mac地址&＃xff09;以维护组内关系&＃xff0c;而master默认间隔一秒向外发送hello包&＃xff0c;backup只接收不发送。

三&＃xff1a;standby的默认holdtime是3*3&＃43;1&＃61;10秒&＃xff08;可手动改&＃xff09;&＃xff0c;backup的默认holdtime&＃61;3*1&＃43;&＃xff08;skew&＃xff09;秒&＃xff0c;其中skew&＃61;&＃xff08;256-priority&＃xff09;/256&＃xff08;取值范围0到1&＃xff0c;与优先级反比&＃xff09;。&＃xff01;&＃xff01;注意&＃xff0c;此区别与前两个区别有重要联系&＃xff0c;以为HSRP组中只有一台standby&＃xff0c;holdtime到期后自觉上任&＃xff0c;但VRRP组中有多个backup&＃xff0c;holdtime到期后并不要竞选出某一个去上任&＃xff0c;因为优先级最大的backup的holdtime最小&＃xff01;

此外HSRP默认关闭抢占而VRRP默认开启&＃xff0c;所谓的的抢占机制就是确保备份组中优先级最大的网关成为active/master&＃xff08;前提是网关连接子网的接口没有出错&＃xff0c;即可以向其他网关发送hello包&＃xff09;。在非抢占情况下备份网关收到active/master的hello包中更大的优先级也不会去抢占它。给一副拓扑图&＃xff1a;

该图也适用于glbp。接下来实现网关备份的具体过程&＃xff1a;

若这些PC的ip都在同一个子网内&＃xff0c;那给这个子网分配一个网关备份组&＃xff08;组编号&＃xff09;将若干路由器&＃xff08;不同协议有数量限制&＃xff09;加入到这个组中给这个组分配唯一的一个虚拟ip&＃xff08;即该子网内随便一个主机号&＃xff09;&＃xff0c;系统给这个组自动分配一个虚拟mac&＃xff08;注&＃xff1a;虚拟ip可以与路由器接口真实ip在同一子网&＃xff0c;也可以是接口真实ip所在子网下再划分的子网的主机号~&＃xff09;。将每台PC的网关ip都手动设置成这个虚拟ip&＃xff08;因为在交换层“寻路”都是通过mac地址&＃xff0c;PC解析这个ip时&＃xff0c;备份组回复给它虚拟mac值&＃xff0c;同时备份组告诉交换机这个虚拟mac指向active/master&＃xff09;&＃xff08;&＃xff01;&＃xff01;&＃xff01;二层交换机“寻路”依靠mac地址表中的三个条目&＃xff1a;PC的mac&＃xff0c;网关接口mac&＃xff0c;邻居交换机接口mac&＃xff09;&＃xff0c;由此PC向外通讯都将数据帧中目的mac字段值写为该虚拟mac。

    Active/master有两种情况被取代。第一种情况&＃xff1a;因备份网关的holdtime到期后接任&＃xff1b;第二种情况&＃xff1a;Active/master所追踪的对象“挂了”导致自降优先级至小于某台开启了抢占的备份机&＃xff0c;于是被抢占。

    当然&＃xff0c;这幅物理拓扑图可以按组划分为多幅逻辑图&＃xff0c;即有多个子网多个备份组&＃xff0c;一台PC只能加入一个组但一个网关可以加入到多个组中。&＃xff01;注&＃xff1a;若网关是多层交换机则可以使用SVI&＃xff08;switch virtual interface&＃xff09;&＃xff0c;为每个vlan安排一个备份组&＃xff0c;在SVI下设置ip。

GLBP。GLBP除了提供冗余还可以让组中所有成员共同承担流量的转发。它的具体思想如下&＃xff1a;

前期与HSRP一样&＃xff0c;将多个物理网关加入到一个备份组中。组中的成员都叫AVF&＃xff08;active virtual forwarder&＃xff09;&＃xff08;顾名思义&＃xff0c;所有AVF都负责转发数据&＃xff09;&＃xff0c;其中某一个AVF还叫做AVG&＃xff08;active virtual gateway&＃xff09;&＃xff08;竞选而来&＃xff09;。该组有一个虚拟ip但有多个虚拟mac地址&＃xff1a;AVG给每个AVF分配一个虚拟mac。当备份组对应的子网内的某个PC解析虚拟ip时&＃xff0c;AVG返回其中的一个虚拟mac。

这里有一个简单易懂的循环负载分担算法&＃xff1a;当收到一个个PC发来的arp时&＃xff0c;AVG在自己的虚拟mac列表中按顺序循环的分发这些地址给PC&＃xff0c;以保证每个AVF所负责的PC数量相同&＃xff08;或相差不超过一台&＃xff09;。

其实用HSRP或VRRP也能实现负载分担&＃xff0c;方法是&＃xff1a;将多个物理网关共同加入到多个组&＃xff0c;每个组虚拟ip都属于同一个子网&＃xff0c;物理网关在不同组有不同角色&＃xff0c;为每个PC分配不同的网关ip&＃xff08;其实一个子网可以有多个网关&＃xff0c;关键看给PC设置的网关ip&＃xff0c;但一个PC只能有一个对应网关&＃xff09;。但这个方法配置工作量很大&＃xff0c;因此才出现了GLBP。

&＃xff01;&＃xff01;&＃xff01;补充知识&＃xff1a;

【1】      FHRP的配置都是在接口下&＃xff08;除了多层交换机的svi&＃xff09;。网关因此知道&＃xff0c;这个接口连接的是该接口ip所在的子网。

【2】      FHRP的认证机制是为了防止恶意网关加入到某个备份组中。和动态路由协议的认证原理相同&＃xff0c;都是相互hello时自动进行的。

【3】      当某vlan生成树的根桥与该vlan热备份组的active/master不是同一台多层交换机时&＃xff0c;可能会产生次优路径&＃xff08;同理于没有备份组只有唯一网关的子网&＃xff09;。

【4】      数据流量从互联网回来的时候&＃xff0c;可能从active/master走也可能从备份网关走&＃xff08;假如它们都将子网宣告进路由协议&＃xff09;。

    以上就是FHRP机制原理详解。若发现遗漏或错误之处&＃xff0c;还请自行纠正。欲求更多信息请登录思科官网查询。&＃xff08;www.cisco.com&＃xff09;