Gateway dự phòng với HSRP và VRRP

Văn phòng có hai router cùng nối ra ngoài, nhưng khi router chính mất điện, máy tính vẫn dùng địa chỉ gateway cũ và không ra được mạng khác. Hai router có mặt trên sơ đồ chưa đủ để endpoint tự chuyển gateway. HSRP và VRRP giải quyết bước đầu tiên này bằng một địa chỉ gateway ảo do các thiết bị phối hợp đảm nhiệm.

Bài viết theo dõi một nhóm HSRPv2 IPv4, tính priority khi uplink lỗi rồi đối chiếu với VRRP. Mục tiêu là hiểu chính xác phần nào được dự phòng và bằng chứng nào còn thiếu trước khi kết luận dịch vụ đã phục hồi.

1. Một subnet, hai router và một gateway cho endpoint

Lab biên tập dùng VLAN 10, subnet 192.168.10.0/24. Máy A 192.168.10.20 đặt gateway 192.168.10.1. R1 Gi0/1 có IP thật 192.168.10.2, R2 Gi0/1 có 192.168.10.3. Địa chỉ .1 dành riêng cho virtual IP của nhóm 10; không gán .1 làm địa chỉ interface thật của hai router.

Hai cổng LAN cùng broadcast domain và liên lạc Layer2 được. Mỗi router có uplink Gi0/0 riêng, route tới đích thử và đường về đã được thiết kế. Bài không cấu hình NAT, firewall stateful hay đồng bộ phiên. Switch truy cập duy nhất vẫn là điểm lỗi chung; hai router không xóa được mọi điểm lỗi của topology.

Cuộn ngang khi cần, hoặc chạm sơ đồ để mở ảnh gốc.

Lệnh minh họa cho IOS/IOS XE hỗ trợ HSRPv2, chưa chạy trên hardware. Với switch Layer3 phải kiểm tra hỗ trợ/licensing và dùng đúng SVI hoặc routed interface. Không nhập mẫu này vào interface đang làm gateway thật .1 mà chưa có kế hoạch chuyển đổi.

2. Virtual IP và virtual MAC giữ điểm vào ổn định

Máy A muốn ra subnet khác sẽ ARP cho gateway .1, không ARP cho IP server ở xa. Với HSRP đúng trạng thái, gateway ảo trả lời bằng virtual MAC; thiết bị giữ vai trò Active chuyển gói cho nhóm ấy. Standby theo dõi để nhận trách nhiệm khi cần. Cơ chế chọn gateway này tách khỏi việc router tra route tới đích.

HSRPv2 IPv4 có dải MAC ảo riêng. Nhóm10 thập phân tương ứng 00a hex trong phần group; MAC thường dùng của ví dụ là 0000.0c9f.f00a khi không có tùy chọn thay đổi MAC. HSRPv1 dùng dải khác, nên không lấy MAC của v1 để kết luận v2 lỗi. Phải đối chiếu version và group trong output.

Khi Active đổi, endpoint thường vẫn giữ cùng VIP và virtual MAC của nhóm, còn mạng Layer2 phải cập nhật vị trí chuyển tiếp phù hợp. Không yêu cầu người dùng đổi gateway từ .2 sang .3. Tuy nhiên nếu hai phía không nhận được thông tin điều khiển của nhau do lỗi VLAN hoặc phân vùng, có thể xuất hiện hai thiết bị cùng cho rằng mình Active. Đó là sự cố cần điều tra, không phải cân bằng tải.

Hướng dẫn HSRP của Cisco là nguồn đối chiếu version, virtual MAC và trạng thái. Lab chỉ xét một nhóm; nhiều nhóm có thể phân chia gateway cho các VLAN khác nhau nhưng không tự làm một luồng tăng băng thông.

3. Priority, preempt và tracking phải xét cùng nhau

Đặt priority R1 là 110, R2 là 100 và bật preempt có chủ đích ở cả hai. Priority cao hơn được ưu tiên, nhưng một router đang tham gia sau không cứ tự giành Active nếu thiếu điều kiện preemption. Tình huống mất hẳn Active và tình huống Active còn sống nhưng bị giảm priority là hai trigger cần phân biệt.

R1 track line protocol của uplink Gi0/0. Khi object down, giảm 20: priority hiệu lực110−20=90. R2 đang100, có preempt, có thể nhận Active theo tiến trình giao thức và điều kiện hoạt động. Nếu chỉ giảm 5, R1 vẫn 105 lớn hơn100 nên không đạt mục đích chuyển vai do tracking trong ví dụ.

Cuộn ngang khi cần, hoặc chạm sơ đồ để mở ảnh gốc.

Line protocol up chỉ xác nhận trạng thái link cục bộ. Nếu upstream mất route, đường truyền xa lỗi hoặc dịch vụ ngừng nhưng cổng vẫn up, object này có thể không đổi. IP SLA/route tracking là thiết kế khác, phải chọn đích đo và điều kiện tránh chuyển sai do chính đích thử có vấn đề.

Khi R1 phục hồi, priority trở lại 110 và preempt có thể đưa nó về Active. Chính sách delay/hysteresis nên phù hợp thiết kế để tránh chuyển liên tục khi đường chập chờn; lab tối thiểu chưa cấu hình chính sách ấy. Không hứa “chuyển ngay, không mất gói” từ một phép so priority. Cisco giải thích quan hệ preempt và track kèm điều kiện phụ thuộc nền tảng.

4. Cấu hình lab HSRPv2 và đối chiếu VRRP

Trước thay đổi, lưu IP/gateway, ARP, cấu hình và đường quản trị. Đổi HSRP version, VIP hoặc chuyển vai có thể làm gián đoạn lưu lượng. Mẫu dưới giả định IP thật đã được cấu hình, cổng LAN/uplink đủ điều kiện và .1 chưa bị thiết bị khác dùng.

! R1, lab mới; IP Gi0/1 là 192.168.10.2/24
configure terminal
track 1 interface GigabitEthernet0/0 line-protocol
interface GigabitEthernet0/1
 standby version 2
 standby 10 ip 192.168.10.1
 standby 10 priority 110
 standby 10 preempt
 standby 10 track 1 decrement 20
end
! R2, IP Gi0/1 là 192.168.10.3/24
configure terminal
interface GigabitEthernet0/1
 standby version 2
 standby 10 ip 192.168.10.1
 standby 10 priority 100
 standby 10 preempt
end

Hai thiết bị cần thống nhất version, nhóm, VIP và các tham số tương thích, gồm timer/xác thực nếu sử dụng. Mẫu cô lập này chưa triển khai bảo mật hoàn chỉnh. Không bật đồng thời HSRP và VRRP cho cùng VIP để “dự phòng thêm”.

VRRP cũng cung cấp virtual router trên LAN nhưng là chuẩn IETF, không phải HSRP đổi tên. RFC 9568 hiện mô tả VRRPv3 cho IPv4/IPv6 và dùng thuật ngữ Active/Backup; tài liệu/CLI cũ có thể ghi Master/Backup. Priority255 dành cho address owner, preemption có quy tắc riêng, nên không bê nguyên mô hình priority/preempt HSRP sang mọi cấu hình VRRP.

Với VRRP IPv4, MAC có dạng 0000.5e00.01XX theo VRID; VRID 10 tương ứng 0000.5e00.010a. Cú pháp và hỗ trợ VRRPv2/v3 phụ thuộc model/release. RFC 9568 là nguồn chuẩn để đối chiếu, còn bài dùng HSRP làm lab cụ thể. Khi chuyển giao thức, MAC ảo thay đổi và cần kiểm tra lại ARP, không chỉ sửa một từ trong config.

5. Kiểm tra vai trò, object và đường dữ liệu riêng

show standby brief
show standby
show track 1
show interfaces GigabitEthernet0/0
show ip route
show logging

Đọc cả hai router cùng mốc thời gian. Kỳ vọng ban đầu R1 Active, R2 Standby cho nhóm 10, VIP .1 và version 2. R1 phải cho thấy priority cấu hình110 và object up. Sau lỗi uplink lab, so object, priority hiệu lực90 và vai trò hai đầu. Nếu R2 vẫn không nhận vai, đọc preempt, điều kiện interface và sự nhất quán nhóm thay vì đổi priority ngẫu nhiên.

Trên endpoint, kiểm tra gateway đang dùng và ARP cho VIP. Ping VIP chỉ thử một phần kết nối tới gateway ảo, không chứng minh router có route tới Internet. Thử thêm một đích mạng khác được kiểm soát và dịch vụ thật, ghi nguồn/đích cùng khoảng mất kết nối. NAT hoặc firewall có trạng thái có thể khiến phiên cũ đứt dù phiên mới đi được.

Cuộn ngang khi cần, hoặc chạm sơ đồ để mở ảnh gốc.

Nếu cả hai Active, kiểm tra VLAN, trunk, STP và lọc giao thức điều khiển giữa hai cổng LAN. Nếu endpoint dùng .2 làm gateway, HSRP .1 không bảo vệ được cấu hình ấy. Nếu chỉ một ứng dụng lỗi sau chuyển vai, kiểm tra đường về và trạng thái phiên trước khi chỉnh timer HSRP.

6. Phạm vi dự phòng và cách thử ít gây nhầm lẫn

FHRP dự phòng first hop, không phát tán route như OSPF. R2 nhận Active mà không có route tới đích vẫn làm người dùng mất dịch vụ. Đường về có thể còn đi R1 đã lỗi; firewall/NAT phía sau cũng có thể không đồng bộ. Đọc bảng định tuyến và lab OSPF để xác minh phần tiếp theo của đường đi.

Chỉ thử rút uplink hoặc tắt router trong lab/cửa sổ thay đổi đã có phương án phục hồi. Tách phép thử mất router khỏi phép thử lỗi upstream khi link vẫn up. Ghi vai trò trước/sau, priority, object, ARP/MAC và kết quả ứng dụng. Không dùng một chuỗi ping không mất gói để suy mọi phiên TCP đều được bảo toàn.

Thử khôi phục cũng cần nghiệm thu: router vừa lên có thể chưa có route hoặc dịch vụ phụ trợ sẵn sàng. Preempt quá sớm có thể đưa lưu lượng về đường chưa ổn định. Tối ưu delay và tracking cần bằng chứng từ chính môi trường, không chọn số giây chỉ vì một lab khác hoạt động.

So sánh hai lỗi khác nhau trong hồ sơ thử: mất cổng LAN của R1 làm nó mất khả năng phục vụ trực tiếp subnet, còn mất uplink Gi0/0 vẫn có thể để Hello trên LAN hoạt động. Trong trường hợp sau, tracking và preempt mới là các điều kiện đang được kiểm tra. Nếu trộn hai phép thử vào một lần tắt cả router, bạn chưa chứng minh object tracking đã làm đúng nhiệm vụ.

Với sự cố có dấu hiệu hai Active, giữ output hai đầu và tên VLAN trước khi tắt một thiết bị. Cần biết các endpoint có bị chia thành hai miền Layer2 hay không và đường nối giữa hai router có bị policy chặn. Việc chọn tạm một Active có thể phục hồi một phía nhưng chưa chứng minh đã xử lý nguyên nhân phân vùng.

7. Tự tính và ghi hồ sơ nghiệm thu

Tự tính ba trường hợp: giảm 20 đưa110 xuống90, giảm 5 xuống105 và không có object đổi trạng thái thì vẫn 110. Sau đó giải thích điều gì xảy ra nếu R2 không có preempt trong tình huống R1 vẫn sống nhưng priority giảm. Cuối cùng xác định bằng chứng nào chứng minh đường R2 đủ phục vụ, thay vì chỉ chứng minh nó thắng bầu chọn.

• VIP còn trống, IP thật đúng subnet, endpoint dùng VIP.
• Hai router cùng version/nhóm và liên lạc control plane được.
• Object đo đúng điều kiện mong muốn; decrement đủ cho mục tiêu.
• Route, đường về và dịch vụ được xác minh sau chuyển vai.
• Lưu config sau nghiệm thu; giữ chính sách phục hồi/preempt rõ ràng.

Không tìm thấy HSRP/VRRP trong phần văn bản PDF đã trích xuất; nội dung này là bổ sung từ nguồn Cisco/IETF, không gán cho trang sách. Toàn bộ topology, số priority và ảnh được biên tập mới, chưa kiểm nghiệm hardware. Tiếp theo DHCP và relay sẽ giải thích cách endpoint nhận chính địa chỉ, gateway và DNS để sử dụng mạng này.