博客访问： 2934966
博文数量： 258
博客积分： 10011
博客等级： 上将
技术积分： 4946
注册时间：
IT168企业级官微
微信号：IT168qiye
系统架构师大会
微信号：SACC2013
分类： 系统运维
VRRP协议介绍
本文档的Copyleft归yfydz所有，使用GPL发布，可以自由拷贝，转载，转载时请保持文档的完整性，严禁用于任何商业用途。msn: 来源：
参考资料: RFC 3768
VRRP(Virtual Router Redundancy Protocol)协议是用于实现路由器冗余的协议，最新协议在RFC3768中定义，原来的定义RFC2338被废除，新协议相对还简化了一些功能。
2. 协议说明
VRRP协议是为消除在静态缺省路由环境下的缺省路由器单点故障引起的网络失效而设计的主备模式的协议，使得在发生故障而进行设备功能切换时可以不影响内外数据通信，不需要再修改内部网络的网络参数。VRRP协议需要具有IP地址备份，优先路由选择，减少不必要的路由器间通信等功能。
VRRP协议将两台或多台路由器设备虚拟成一个设备，对外提供虚拟路由器IP(一个或多个)，而在路由器组内部，如果实际拥有这个对外IP的路由器如果工作正常的话就是MASTER，或者是通过算法选举产生，MASTER实现针对虚拟路由器IP的各种网络功能，如ARP请求，ICMP，以及数据的转发等；其他设备不拥有该IP，状态是BACKUP，除了接收MASTER的VRRP状态通告信息外，不执行对外的网络功能。当主机失效时，BACKUP将接管原先MASTER的网络功能。
配置VRRP协议时需要配置每个路由器的虚拟路由器ID(VRID)和优先权值，使用VRID将路由器进行分组，具有相同VRID值的路由器为同一个组，VRID是一个0～255的正整数；同一组中的路由器通过使用优先权值来选举MASTER，优先权大者为MASTER，优先权也是一个0～255的正整数。
VRRP协议使用多播数据来传输VRRP数据，VRRP数据使用特殊的虚拟源MAC地址发送数据而不是自身网卡的MAC地址，VRRP运行时只有MASTER路由器定时发送VRRP通告信息，表示MASTER工作正常以及虚拟路由器IP(组)，BACKUP只接收VRRP数据，不发送数据，如果一定时间内没有接收到MASTER的通告信息，各BACKUP将宣告自己成为MASTER，发送通告信息，重新进行MASTER选举状态。
2.2 MASTER选举
如果对外的虚拟路由器IP就是路由器本身配置的IP地址的话，该路由器始终都是MASTER；否则如果不具备虚拟IP的话，将进行MASTER选举，各路由器都宣告自己是MASTER，发送VRRP通告信息，如果收到其他机器的发来的通告信息的优先级比自己高，将转回BACKUP状态，如果相等的话，将比较路由器的实际IP，IP值较大的优先权高。不过如果对外的虚拟路由器IP就是路由器本身的IP的话，该路由器始终将是MASTER，这时的优先级值为255。
2.3 协议状态机
VRRP协议状态比较简单，就三种状态，初始化，主机，备份机。
&&&&&&&&&&&&&&&&&&&&& +---------------+&&&&&&&&&& +--------->|&&&&&&&&&&&&&& |<-------------+&&&&&&&&&& |&&&&&&&&& |& Initialize&& |&&&&&&&&&&&&& |&&&&&&&&&& |&& +------|&&&&&&&&&&&&&& |----------+&& |&&&&&&&&&& |&& |&&&&& +---------------+&&&&&&&&& |&& |&&&&&&&&&& |&& |&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& |&& |&&&&&&&&&& |&& V&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& V&& |&& +---------------+&&&&&&&&&&&&&&&&&&&&&& +---------------+&& |&&&&&&&&&&&&&& |---------------------->|&&&&&&&&&&&&&& |&& |&&& Master&&&& |&&&&&&&&&&&&&&&&&&&&&& |&&& Backup&&&& |&& |&&&&&&&&&&&&&& |<----------------------|&&&&&&&&&&&&&& |&& +---------------+&&&&&&&&&&&&&&&&&&&&&& +---------------+
初始化：&&& 路由器启动时，如果路由器的优先级是255(最高优先级，路由器拥有路由器地址)，要发送VRRP通告信息，并发送广播ARP信息通告路由器IP地址对应的MAC地址为路由虚拟MAC，设置通告信息定时器准备定时发送VRRP通告信息，转为MASTER状态；否则进入BACKUP状态，设置定时器检查定时检查是否收到MASTER的通告信息。
主机：&&& 主机状态下的路由器要完成如下功能：&设置定时通告定时器；&用VRRP虚拟MAC地址响应路由器IP地址的ARP请求；&转发目的MAC是VRRP虚拟MAC的数据包；&如果是虚拟路由器IP的拥有者，将接受目的地址是虚拟路由器IP的数据包，否则丢弃；&当收到shutdown的事件时删除定时通告定时器，发送优先权级为0的通告包，转初始化状态；&如果定时通告定时器超时时，发送VRRP通告信息；&收到VRRP通告信息时，如果优先权为0，发送VRRP通告信息；否则判断数据的优先级是否高于本机，或相等而且实际IP地址大于本地实际IP，设置定时通告定时器，复位主机超时定时器，转BACKUP状态；否则的话，丢弃该通告包；&
备机：&& 备机状态下的路由器要实现以下功能：&设置主机超时定时器；&不能响应针对虚拟路由器IP的ARP请求信息；&丢弃所有目的MAC地址是虚拟路由器MAC地址的数据包；&不接受目的是虚拟路由器IP的所有数据包；&当收到shutdown的事件时删除主机超时定时器，转初始化状态；&主机超时定时器超时的时候，发送VRRP通告信息，广播ARP地址信息，转MASTER状态；&收到VRRP通告信息时，如果优先权为0，表示进入MASTER选举；否则判断数据的优先级是否高于本机，如果高的话承认MASTER有效，复位主机超时定时器；否则的话，丢弃该通告包；
2.4 ARP查询处理
当内部主机通过ARP查询虚拟路由器IP地址对应的MAC地址时，MASTER路由器回复的MAC地址为虚拟的VRRP的MAC地址，而不是实际网卡的MAC地址，这样在路由器切换时让内网机器觉察不到；而在路由器重新启动时，不能主动发送本机网卡的实际MAC地址。如果虚拟路由器开启的ARP代理(proxy_arp)功能，代理的ARP回应也回应VRRP虚拟MAC地址；
2.5 VRRP应用举例
&&&&&&&&&&& +-----------+&&&&& +-----------+&&&&&&&&&&& |&& Rtr1&&& |&&&&& |&& Rtr2&&& |&&&&&&&&&&& |(MR VRID=1)|&&&&& |(BR VRID=1)|&&&&&&&&&&& |(BR VRID=2)|&&&&& |(MR VRID=2)|&&& VRID=1& +-----------+&&&&& +-----------+& VRID=2&&& IP A ---------->*&&&&&&&&&&& *<---------- IP B&&&&&&&&&&&&&&&&&&& |&&&&&&&&&&& |&&&&&&&&&&&&&&&&&&& |&&&&&&&&&&& |& ------------------+------------+-----+--------+--------+--------+--&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& ^&&&&&&& ^&&&&&&& ^&&&&&&& ^&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& |&&&&&&& |&&&&&&& |&&&&&&& |&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& (IP A)&& (IP A)&& (IP B)&& (IP B)&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& |&&&&&&& |&&&&&&& |&&&&&&& |&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& +--+--+& +--+--+& +--+--+& +--+--+&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& |& H1 |& |& H2 |& |& H3 |& |& H4 |&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& +-----+& +-----+& +--+--+& +--+--+&&&& Legend:&&&&&&&&&&&&& ---+---+---+--& =& Ethernet, Token Ring, or FDDI&&&&&&&&&&&&&&&&&&&&&&&&&& H& =& Host computer&&&&&&&&&&&&&&&&&&&&&&&&& MR& =& Master Router&&&&&&&&&&&&&&&&&&&&&&&&& BR& =& Backup Router&&&&&&&&&&&&&&&&&&&&&&&&&& *& =& IP Address&&&&&&&&&&&&&&&&&&&&&&& (IP)& =& default router for hosts
这是通常VRRP使用拓扑，两台路由器运行VRRP互为备份，路由器1作为VRID组1的MASTER，IP地址A，VRID组2的BACKUP，路由器2作为VRID组2的MASTER，IP地址B，VRID组1的BACKUP，内部网络中一部分机器的缺省网关地址是IP地址A，一部分是IP地址B，正常情况下以A为网关的数据将走路由器1，以B为网关的数据将走路由器2，如果一台路由器发生故障，所有数据将走另一台路由器。
3. 协议定义
3.1 以太头
源MAC地址必须为虚拟MAC地址：00-00-5E-00-01-{VRID}，VRID为虚拟路由器ID值，16进制格式，所以同一网段中最多有255个VRRP路由器；目的MAC为多播类型的MAC。
3.2 IP头参数
VRRP包的源地址是本机地址，目的地址必须为224.0.0.18，为一多播地址；IP协议号为112；IP包的TTL值必须为255。
3.3 VRRP协议数据格式
&&& 0&&&&&&&&&&&&&&&&&& 1&&&&&&&&&&&&&&&&&& 2&&&&&&&&&&&&&&&&&& 3&&& 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1&& +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+&& |Version| Type& | Virtual Rtr ID|&& Priority&&& | Count IP Addrs|&& +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+&& |&& Auth Type&& |&& Adver Int&& |&&&&&&&&& Checksum&&&&&&&&&&&& |&& +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+&& |&&&&&&&&&&&&&&&&&&&&&&&& IP Address (1)&&&&&&&&&&&&&&&&&&&&&&& |&& +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+&& |&&&&&&&&&&&&&&&&&&&&&&&&&&& .&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& |&& |&&&&&&&&&&&&&&&&&&&&&&&&&&& .&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& |&& |&&&&&&&&&&&&&&&&&&&&&&&&&&& .&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&& |&& +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+&& |&&&&&&&&&&&&&&&&&&&&&&&& IP Address (n)&&&&&&&&&&&&&&&&&&&&&&& |&& +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+&& |&&&&&&&&&&&&&&&&&&&& Authentication Data (1)&&&&&&&&&&&&&&&&&& |&& +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+&& |&&&&&&&&&&&&&&&&&&&& Authentication Data (2)&&&&&&&&&&&&&&&&&& |&& +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
其中：version：版本，4位，在RFC3768中定义为2；Type：类型，4位，目前只定义一种类类型：通告数据，取值为1；Virtual Rtr ID：虚拟路由器ID，8位Priority：优先级，8位，具备冗余IP地址的设备的优先级为255；Count IP Addrs：VRRP包中的IP地址数量，8位；Auth Type：认证类型，8位，RFC3768中认证功能已经取消，此字段值定义0(不认证)，为1，2只作为对老版本的兼容；Adver Int：通告包的发送间隔时间，8位，单位是秒，缺省是1秒；Checksum：校验和，16位，校验数据范围只是VRRP数据，即从VRRP的版本字段开始的数据，不包括IP头；IP Address(es)：和虚拟路由器相关的IP地址，数量由Count IP Addrs决定Authentication Data：RFC3768中定义该字段只是为了和老版本兼容，必须置0。
3.4 接收数据时的必须检查
收到VRRP数据包时要进行以下验证，不满足的数据包将被丢弃：
&& -& TTL必须为255；&& -& VRRP版本号必须为2；&& -& 一个包中数据字段必须完整；&& -& 校验和必须正确；&& -& 必须验证在接收的网卡上配置了VRID值，而且本地路由器不是路由IP地址的拥有者&& -& 必须验证VVRP认证类型和配置的一致；
VRRP实现了对路由器IP地址的冗余功能，防止了单点故障造成的网络失效，VRRP本身是热备形式的，但可以通过互相热备实现路由器的均衡处理，新版的VRRP较老版简化了认证处理，实际不再进行数据的认证，这是因为在实际应用中经常出现认证成为造成多个MASTER同时使用的异常情况。
阅读(16215) | 评论(5) | 转发(2) |
给主人留下些什么吧！~~
比我们老师讲的多，谢谢你的文章
为什么留言还要注册呢？
这是你的原创吗?
你在研究VRRP吗，现在很多防火墙的ha功能都是在vrrp的基础上修改来的，其中有些是修改keepalived代码做的，那里面有VRRP的实现，现在我也正在看这个源代码，可以跟你交流一下。但是加你的msn也没见你上过。
请登录后评论。豆丁微信公众号
君，已阅读到文档的结尾了呢~~
技术说明书天融信防火墙系统,天融信防火墙,天融信防火墙配置手册,天融信防火墙默认密码,天融信防火墙配置,天融信防火墙密码破解,天融信防火墙报价,天融信防火墙ngfw4000,天融信防火墙端口映射,天融信防火墙nat配置
扫扫二维码，随身浏览文档
手机或平板扫扫即可继续访问
技术说明书天融信防火墙系统
举报该文档为侵权文档。
举报该文档含有违规或不良信息。
反馈该文档无法正常浏览。
举报该文档为重复文档。
推荐理由：
将文档分享至：
分享完整地址
文档地址：
粘贴到BBS或博客
flash地址：
支持嵌入FLASH地址的网站使用
html代码：
&embed src='http://www.docin.com/DocinViewer--144.swf' width='100%' height='600' type=application/x-shockwave-flash ALLOWFULLSCREEN='true' ALLOWSCRIPTACCESS='always'&&/embed&
450px*300px480px*400px650px*490px
支持嵌入HTML代码的网站使用
您的内容已经提交成功
您所提交的内容需要审核后才能发布，请您等待！
3秒自动关闭窗口【图文】Windows防火墙介绍_百度文库
两大类热门资源免费畅读
续费一年阅读会员，立省24元！
Windows防火墙介绍
&&Windows防火墙介绍
登录百度文库，专享文档复制特权，财富值每天免费拿！
你可能喜欢- 专注于Win7旗舰版系统下载！
热门搜索：
当前位置: >
Windows 7系统自带防火墙详细介绍
来源：&&&&浏览量:
自推出系统内置的第一个防火墙(Internet Connection防火墙)以来，微软公司一直在稳步改善其后推出的系统的防火墙功能。而在最新客户端操作系统中的Windows防火墙，进行了革命化的改进，提供了更加用户友好的功能，并且为移动用户的防火墙方面有明显的改善。在本文中，我们将介绍中的Windows Firewall，以及如何与多个防火墙政策配置的问题。
Windows防火墙的发展史
Windows XP中的防火墙软件仅提供简单和基本的功能，且只能保护入站流量，阻止任何非本机启动的入站连接，默认情况下，该防火墙是关闭的。SP2系统默认情况下则为开启，使系统管理员可以通过组策略来启用防火墙软件。Vista的防火墙是建立在新的Windows过滤平台(WFP)上的，该防火墙添加了通过高级安全MMC管理单元过滤出站流量的功能。在Windows 7中，微软公司已经进一步调整了防火墙的功能，让防火墙更加便于用户使用，特别是移动计算机中，并且能够支持多种防火墙政策。
Windows 7防火墙
在Vista中，Windows 7防火墙的基本设置是通过控制面板程序设置的，与Vista不同的是，你也可以通过控制面板访问高级设置(包括配置出站连接过滤)，而不需要创建空的MMC并添加一个管理单元。只需要点击左侧面板中的高级设置连接即可，如图1所示。
图1：在Windows 7中，你可以通过控制面板程序进入高级防火墙设置
更多网络选项
Vista防火墙允许用户选择公共网络或者私人网络，而在Windows 7中，你有三个选择：公共网络、家庭网络或者工作网络，后两者都被视为私人网络。
如果你选择“家庭网络”选项，你可以建立一个Homegroup。在这种情况下，网络发现(network discovery)是自动开启的，这样你就能够看到网络中的其他计算机和设备，他们也能够看到你的计算机。属于Homegroup的计算机可以共享图片、音乐、视频和文档库，也可以共享硬件设备，如打印机等。如果你的文件夹中有不想共享的文件，也可以排除它们。
如果你选择“工作网络”，网络发现默认情况下是开启的，但是你将无法创建或者加入Homegroup，如果你将计算机加入到Windows域(通过Control Panel | System | Advanced System Settings | Computer Name tab)并通过域控制器的验证，防火墙将会自动将网络视为域网络。
当你在机场、酒店或者咖啡馆等位置连接到公共无线网络或者使用移动宽带网络时，应该选择“公共网络”，网络发现将会默认为关闭，这样网络中的其他计算机就不能看到你的计算机，你也不能川剧或者归属于Homegroup。
对于所有网络类型，默认情况下，windows 7防火墙都会阻止对不在可允许程序名单上的程序的连接，Windows7允许你为每种网络类型分别配置设置，如图2所示。
图2：Windows7允许你为每种网络类型分别配置设置
多个有效模式
在中，即使你已经为公共网络和私人网络配置了情景模式，在特定时间内只有一种是有效的。如果你的计算机同时连接到两个不同的网络，那事情就不妙了，这时将会采用最严格的模式来使用所有连接，这意味着在本地网络你可能无法进行所有需要的操作，因为此时使用的是公共网络模式的规则。在(和Server 2008 R2中)，可以同时为每个网络适配器使用不同的模式，对私人网络的连接使用私人网络规则，而来自公共网络的流量则使用公共网络规则。重要的小功能　　
[NextPage]
在很多情况下，细小的变化可能带来更高的可用性，微软公司一直积极听取来自用户的意见，他们在Windows 7防火墙中加入了一些重要的小功能。例如，在Vista中，当你创建防火墙规则时，你需要分别列出端口号和IP地址，而现在你只需要指定范围，这样就为这项常见的管理任务节省了很多时间。
你也可以创建连接安全规则来指定哪些端口或者协议受到防火墙控制台中Ipsec要求的支配，而不需要使用netsh命令。对于那些更愿意使用GUI的人而言，这是个很方便的改进。
连接安全规则还支持动态加密，这意味着，如果服务器获取一条来自客户端计算机的未加密(但通过验证)的信息，可以通过要求加密来获得更安全的通信。
使用高级设置配置文件
使用高级设置控制台，你可以为每种网络类型的配置文件进行设置，如图3所示。
图3：你可以使用高级设置控制台为每种网络类型设置配置文件
对于每个配置文件，你可以进行以下配置：
·Windows防火墙的开关状态
·入站连接(阻止、阻止所有连接，或者允许)
·出站连接(允许或者阻止)
·显示通知(当程序被阻止时是否进行通知显示)
·对于组播或者广播流量是否允许单播响应
·除使用组策略防火墙规则外，还使用由本地管理员创建的本地防火墙规则
·除使用组策略连接安全规则外，还使用由本地管理员创建的本地连接安全规则
Vista防火墙可以配置为记录事件日志到一个文件中(默认情况下为Windows\System32\LogFiles\Firewall\pfirewall.log)。在windows 7中，事件日志也可以记录在Event Viewer的Applications 和Services部分，这样更加容易访问。要查看此日志，可以打开Event Viewer，在左窗格中，点击Applications and Services Log | Microsoft | Windows | Windows Firewall中的高级安全选项，如图4所示。
图4：Windows 7中的事件查看器中的防火墙事件日志
在事件查看日志中，你可以创建一个自定义视图，过滤日志，搜索日志或者启用详细日志记录。
Netsh 命令
Windows 7包含向后兼容的netsh防火墙，但是如果你运行改命令，你会收到消息显示，“重要，‘netsh防火墙’已经过时，请使用netsh advfirewall防火墙”，
Win7资讯排行
windows7系统之家win7序列号，安装了新系统后输入这些win7系统序列
看到有很多朋友不知道x86是32位还是64位，经常问小编到底是选
一键系统重装成为一种潮流。windows7之家重磅推出windows系统之家
很多人不知道怎么查看电脑配置，我们示范一个win7怎么查看电脑
原本电脑装了8G的内存,电脑显示只有一半不到.造成这个原因是因
微软已经提供的 Windows 7 序列号申请，不再需要那些破解补丁你
网络上出现很多人在问题事件名称: BlueScreen造成的 win7 蓝屏、自
win7系统之家为你提供此windows副本不是正版|此windows副本不是正版
本文详细介绍了win7系统下载哪个比较好的所有内容，包括现状分
众所周知，微软在9月30日发布了最新一代的操作系统Win10，而在
最新系统下载
4.1 GB | 简体中文
5.35 GB | 简体中文
4.12 GB | 简体中文
5.4 GB | 简体中文
5.39 GB | 简体中文
4.35 GB | 简体中文
28.4 MB | 简体中文
28.4 MB MB | 简体中文
28.4 MB | 简体中文Windows10系统下防火墙打不开的解决方法 - 常见问题解答 - U大侠官网-装机专家
Windows10系统下防火墙打不开的解决方法
来源：U大侠
　　众所周知，在windows中一般都默认有防火墙功能，防火墙可以给我们的电脑提供更多的安全保护，更好的保护我们的电脑免受黑客攻击等，但是很多用户在升级到windows10系统之后，发现防火墙打不开，为什么会这样呢?是否有方法可以解决呢?下面，U大侠小编就给大家介绍Windows10系统下防火墙打不开的解决方法。
　　1、在win10正式版系统中打开&开始&菜单，并点击&运行&选项。
　　2、然后在&运行&窗口中输入&Services.msc&回车或确定，调出&本地服务&。
　　3、打开本地服务后并找到&Windows Firewall&防火墙主服务。
　　4、打开Windows Firewall属性后并修改启动类型为&自动&模式，然后点击应用。
　　5、以上操作后再次点击服务状态为&启动&模式，启动防火墙服务。
　　以上就是Windows10系统下防火墙打不开的解决方法，更多精彩内容继续关注U大侠官网。
　　相关内容推荐：
常见问题解答}