Aide-mémoire sur la redondance de premier saut

GUIDE ULTIME / CCNA · CCNP · INGÉNIEURS RÉSEAU

Guide ultime de la redondance de premier saut

HSRP • VRRP • GLBP — passerelles virtuelles, priorité et préemption, suivi des objets, configurations Cisco IOS XE, vérification, sécurité et dépannage.

Publié par MAG212 CYBER · Édition enseignement technique

01 / Pourquoi la redondance du premier saut ?

Les hôtes disposent généralement d'une passerelle par défaut statique. Si ce routeur ou commutateur tombe en panne, l'hôte perd toute connexion hors sous-réseau, même si un autre routeur se trouve sur le même VLAN. Un protocole de redondance de premier saut (FHRP) permet à deux passerelles ou plus de partager une passerelle par défaut statique. IP virtuelle et MAC virtuelle. L'un d'eux transfère le trafic vers l'adresse virtuelle ; en cas d'échec, un homologue prend le relais de la même adresse IP et MAC, de sorte que les hôtes n'ont pas besoin de reconfiguration et que leurs caches ARP restent valides (le nouveau propriétaire envoie des requêtes ARP gratuites pour mettre à jour les tables MAC du commutateur).

Les FHRP protègent les premier saut uniquement. Ils ne rendent pas le chemin WAN, NAT ou pare-feu en amont redondant ; suivez le chemin important et concevez des liaisons montantes redondantes.

02 / Comparaison des protocoles

Règle générale : HSRP pour toutes les conceptions de campus Cisco, VRRP pour les fournisseurs mixtes ou les pare-feu, GLBP uniquement lorsque vous avez besoin de plusieurs passerelles actives dans un même VLAN et La plateforme le prend en charge — contrairement à de nombreuses plateformes de commutation Catalyst.

03 / HSRP version 2 : laboratoire apparié complet

Les deux commutateurs de couche 3 prennent en charge le VLAN 20. Le commutateur DIST-A est actif dès le départ car sa priorité (120) est supérieure à celle de DIST-B (100). La préemption est activée sur les deux commutateurs avec un délai de 30 secondes afin qu'un commutateur redémarré puisse terminer la construction de ses tables de routage et ARP avant de reprendre le relais. Le suivi d'objets réduit la priorité de DIST-A de 40 en cas de défaillance de sa liaison montante.

ip routing
vlan 20
 name USERS
track 10 interface GigabitEthernet1/0/48 line-protocol
!
interface Vlan20
 ip address 10.20.20.2 255.255.255.0
 standby version 2
 standby 20 ip 10.20.20.1
 standby 20 priority 120
 standby 20 preempt delay minimum 30
 standby 20 track 10 decrement 40
 no shutdown

ip routing
vlan 20
 name USERS
!
interface Vlan20
 ip address 10.20.20.3 255.255.255.0
 standby version 2
 standby 20 ip 10.20.20.1
 standby 20 priority 100
 standby 20 preempt delay minimum 30
 no shutdown

Attendu: DIST-A actif, DIST-B en veille. Si Gi1/0/48 tombe en panne, DIST-A passe à 120 − 40 = 80. Parce que DIST-B a preempt et une priorité plus élevée (100), il prend le relais. Lorsque la liaison montante est rétablie, DIST-A revient à 120 et, après un délai de 30 secondes, reprend l'état Actif.

Détection plus rapide optionnelle : standby 20 timers msec 250 msec 750 Sur les deux nœuds. Les temporisateurs inférieurs à la seconde augmentent la charge du plan de contrôle ; sur la plupart des architectures de campus, les temporisateurs BFD ou par défaut, associés au suivi, sont suffisants.

04 / VRRP : l'alternative fondée sur des normes

VRRP utilise le protocole IP 112 (et non TCP ou UDP). La préemption est activé par défaut.Si l'adresse réelle de l'interface d'un routeur est L'adresse IP virtuelle devient alors le propriétaire de l'adresse avec une priorité de 255. Cisco IOS XE prend en charge deux syntaxes ; utilisez celle proposée par votre version.

track 10 interface GigabitEthernet1/0/48 line-protocol
interface Vlan20
 ip address 10.20.20.2 255.255.255.0
 vrrp 20 ip 10.20.20.1
 vrrp 20 priority 120
 vrrp 20 track 10 decrement 40

fhrp version vrrp v3
track 10 interface GigabitEthernet1/0/48 line-protocol
interface Vlan20
 ip address 10.20.20.2 255.255.255.0
 vrrp 20 address-family ipv4
  address 10.20.20.1 primary
  priority 120
  track 10 decrement 40

DIST-B utilise le même groupe avec sa propre adresse 10.20.20.3 et la priorité par défaut 100. VRRPv3 (RFC 9568) prend en charge IPv4 et IPv6 ; IPv6 est un protocole distinct. address-family ipv6 Par exemple, les guides plus anciens qui affirment que “ VRRP ne prend pas en charge IPv6 ” décrivent en réalité VRRPv2. La RFC 9568 a renommé le rôle de transfert de Maître à Actif; de nombreuses interfaces de ligne de commande affichent encore MASTER.

05 / GLBP : redondance avec partage de charge de la passerelle

Un routeur est élu Passerelle virtuelle active (AVG). Il répond à chaque requête ARP pour l'adresse IP virtuelle, mais attribue des adresses MAC virtuelles différentes — une par Transmetteur virtuel actif (AVF), jusqu'à quatre par groupe. Différents hôtes envoient donc le trafic vers différentes passerelles tout en partageant une seule adresse IP de passerelle par défaut.

interface Vlan20
 ip address 10.20.20.2 255.255.255.0
 glbp 20 ip 10.20.20.1
 glbp 20 priority 120
 glbp 20 preempt
 glbp 20 load-balancing round-robin
 glbp 20 weighting 100 lower 70 upper 90
 glbp 20 weighting track 10 decrement 40

interface Vlan20
 ip address 10.20.20.3 255.255.255.0
 glbp 20 ip 10.20.20.1
 glbp 20 priority 100
 glbp 20 preempt
 glbp 20 load-balancing round-robin

Priorité vs pondération : priorité (avec preempt) détermine quel routeur est AVG. Pondération Ce mécanisme détermine si un routeur continue à assurer le transfert en tant qu'AVF : dans l'exemple, la perte de la liaison montante fait chuter le poids de DIST-A de 100 à 60, en dessous du seuil inférieur de 70 ; le transfert s'arrête donc et DIST-B prend le relais de son adresse MAC virtuelle. Le transfert reprend lorsque le poids remonte au-dessus de 90.

GLBP partage la charge par hôte via les réponses ARP, et non par paquet ou par flux. Modes d'équilibrage de charge : round-robin (défaut), weighted et host-dependent (le même hôte reçoit toujours la même adresse MAC).

06 / Basculement et validation

Effectuez des tests en laboratoire ou pendant une fenêtre de maintenance : vérifiez le changement d’état, le bon fonctionnement du transfert des hôtes, l’accessibilité des applications distantes et le bon fonctionnement du basculement. Une adresse IP virtuelle stable ne garantit pas la continuité des sessions en cas de NAT, d’état du pare-feu ou de routage asymétrique interrompant le flux.

07 / Référence du champ de commande

show standby brief
show standby vlan 20
show vrrp brief
show vrrp detail
show glbp brief
show glbp detail
show track brief
show logging | include HSRP|VRRP|GLBP

show ip interface brief
show interfaces trunk
show vlan brief
show spanning-tree vlan 20
show ip route
show ip arp 10.20.20.1
ping 10.20.20.1 source vlan 20
traceroute 8.8.8.8

Lisez le numéro de groupe, l'état (Actif/Veille/Écoute ou Actif/Secours), la priorité, l'adresse IP virtuelle, l'adresse MAC virtuelle, les temporisateurs et le compteur de “ dernier changement d'état ”. Un ping vers l'adresse IP virtuelle n'est qu'un premier test ; testez également une destination distante depuis un hôte du VLAN 20.

08 / Arbre de décision de dépannage

1. Les hôtes ne peuvent pas atteindre l'adresse IP virtuelle : Vérifiez l'appartenance au VLAN, la passerelle et le masque de l'hôte, et assurez-vous qu'au moins une interface VLAN est active.
2. Les deux pairs affichent « Actif » : Les messages Hello ne sont pas transmis. Vérifiez les VLAN autorisés sur chaque trunk, le blocage STP, les ACL ou les politiques du plan de contrôle bloquant 224.0.0.102 / 224.0.0.18, les numéros de groupe incompatibles, la version HSRP ou l'authentification.
3. Le basculement n'a pas lieu : vérifier show track, la priorité après décrémentation, et que le pair a preempt.
4. La passerelle répond, mais la connexion Internet est défaillante : Vérifiez les routes par défaut, la connectivité en amont, les ACL, le NAT et l'état du pare-feu — et pas seulement le FHRP.
5. L'État continue de vaciller : corréler les journaux d'interface, les événements err-disable, les changements de topologie STP, la charge du processeur, les minuteries et un objet suivi oscillant.

09 / Renforcement de la sécurité et de la conception

• Authentifiez le protocole lorsqu'il est pris en charge : standby 20 authentication md5 key-chain FHRP-KEYS (HSRP) ou les options d'authentification VRRP de la plateforme. Les clés en clair empêchent les erreurs accidentelles, pas les attaques.
• Un attaquant présent sur le VLAN peut envoyer des requêtes Hello avec une priorité de 255 et devenir la passerelle (attaque de l'homme du milieu). Limitez l'accès aux VLAN d'infrastructure et filtrez le trafic FHRP arrivant sur les ports hôtes à l'aide de listes de contrôle d'accès (ACL) lorsque votre plateforme le permet.
• Utilisez BPDU Guard sur les ports hôtes, supprimez les VLAN autorisés sur les liaisons trunk et protégez la gestion avec AAA et SSH.
• Alignez la racine STP (et le HSRP actif) pour chaque VLAN sur le même commutateur de distribution afin que le trafic ne traverse pas inutilement la liaison inter-commutateurs.
• Documentez les priorités, surveillez les changements d'état dans syslog/SNMP et testez le basculement et le retour en arrière.
• Examinez si les passerelles StackWise Virtual, VSS, vPC ou anycast dans une structure EVPN conviennent mieux qu'une passerelle FHRP classique.

10 / Examen pratique : huit réponses expliquées

1. Pourquoi utiliser une adresse IP virtuelle ? Les hôtes conservent une adresse de passerelle même lorsque le périphérique effectuant le transfert change.
2. Que fait la préemption HSRP ? Permet à un pair prioritaire de prendre le rôle actif à la place d'un pair moins prioritaire. Cette option est désactivée par défaut dans HSRP.
3. Le protocole VRRP utilise-t-il le port UDP 112 ? Non, c'est le cas. Protocole IP 112. HSRP utilise UDP 1985 et GLBP UDP 3222.
4. Le réseau DIST-A, de priorité 120, suit sa liaison montante avec un décrément de 15. Le réseau DIST-B, de priorité 100, est préempté. Le réseau DIST-B prend-il le relais en cas de défaillance de la liaison montante ? N° 120 − 15 = 105, toujours supérieur à 100. La décrémentation doit faire passer le niveau actif en dessous du niveau de veille.
5. Pourquoi les deux routeurs pouvaient-ils apparaître comme actifs ? Ils ne s'entendent pas s'annoncer, généralement à cause d'un problème de liaison, de VLAN ou de filtrage.
6. GLBP répartit-il la charge de chaque paquet ? Non. AVG attribue des adresses MAC virtuelles différentes à chaque hôte, la répartition se fait donc par hôte.
7. Quelle est l'adresse MAC virtuelle HSRPv2 pour le groupe 20 ? 0000.0c9f.f014 (20 = 0x014).
8. Que doit inclure un test de basculement ? Le changement d'état, le transfert d'hôte, l'accessibilité aux applications en amont et un retour en arrière planifié.

11 / Sources et lectures complémentaires

Il s'agit d'un guide CYBER original pour le module MAG212. Les travaux pratiques, les schémas, les configurations et les cas de dépannage ont été rédigés indépendamment et vérifiés conformément à la documentation Cisco et aux normes IETF en vigueur.

• Cisco IOS XE — Configuration de HSRP
• RFC 9568 — Protocole de redondance de routeur virtuel (VRRP) version 3
• RFC 3768 — VRRP (version 2)
• Cisco Feature Navigator — vérifiez la prise en charge de GLBP/VRRPv3 pour votre plateforme

La syntaxe de l'interface de ligne de commande (CLI) varie selon la version d'IOS XE et le matériel. Consultez la documentation pour plus d'informations. ? et le guide de configuration de votre plateforme, et validez-le via le contrôle des modifications avant la mise en production.