Configuração de VRRP: guia prático para provedores
Configuração de VRRP: é fazer dois roteadores dividirem um mesmo endereço de gateway, de modo que, se o principal cair, o reserva assume em poucos segundos. Os equipamentos atrás deles continuam usando o mesmo gateway e nem percebem a troca.
Resumo
- O VRRP cria um gateway virtual que responde pelo roteador ativo, chamado mestre, e passa ao reserva numa falha.
- Sozinho, ele só percebe o roteador vizinho sumir, e por isso precisa rastrear o uplink ou a sessão BGP.
- A preempção com atraso evita que o mestre volte antes de as sessões externas subirem de novo.
- O caminho de volta depende do roteamento interno, que precisa apontar para o mesmo roteador que é mestre.
O que a configuração de VRRP resolve
Ela tira o gateway de dentro de um roteador específico e o transforma num endereço virtual que passa de um equipamento para outro. Assim, a queda de um roteador deixa de derrubar tudo o que está atrás dele.
Sem VRRP, o gateway de uma rede é um roteador específico. Se ele cai, concentradores, servidores e CGNAT perdem a saída até alguém trocar a configuração ou religar o equipamento.
No provedor, o VRRP aparece entre os roteadores de borda e os equipamentos internos, e é uma das peças da alta disponibilidade de borda, ao lado do segundo roteador, do iBGP e da detecção rápida de falha.
| Termo | O que é |
|---|---|
| Endereço virtual | O gateway que os equipamentos usam |
| Mestre | O roteador que responde pelo endereço agora |
| Reserva | O roteador que assume se o mestre parar de anunciar |
| Prioridade | Número que decide quem é o mestre |
| Grupo (VRID) | Identificador que junta os roteadores que dividem o mesmo endereço |
Onde o VRRP entra na rede do provedor
O lugar mais comum é a VLAN que liga o par de bordas aos concentradores PPPoE, ao CGNAT e aos servidores de DNS. Esses equipamentos apontam a rota padrão para o endereço virtual, e não para o endereço de cada borda.
Cada roteador de borda do par mantém o próprio endereço na VLAN, e só o endereço virtual muda de dono. Por isso a configuração dos equipamentos internos não precisa mudar quando um roteador sai para manutenção.
Como funciona a configuração de VRRP?
O mestre envia anúncios periódicos na VLAN, e o reserva fica escutando. Se os anúncios param por cerca de três intervalos, o reserva assume o endereço virtual e passa a responder por ele.
1 · Normal
O mestre anuncia
O roteador com maior prioridade responde pelo gateway e envia anúncios a cada segundo, no tempo padrão.
2 · Falha
Os anúncios param
O mestre cai ou baixa a própria prioridade porque perdeu o uplink rastreado.
3 · Troca
O reserva assume
O reserva passa a responder pelo endereço e pelo MAC virtual, e o tráfego segue por ele.
4 · Volta
Preempção com atraso
Quando o principal se recupera, espera o atraso configurado antes de retomar o papel de mestre.
Com os tempos padrão, a troca leva cerca de três segundos. Reduzir esse tempo exige cuidado para não gerar trocas falsas por perda de um único anúncio.
Os anúncios usam o protocolo IP 112, enviados ao endereço multicast 224.0.0.18 no IPv4 e ff02::12 no IPv6. A configuração de VRRP exige que nenhum filtro da VLAN bloqueie esse tráfego entre os dois roteadores.
Por que os servidores nem percebem a troca?
O endereço virtual vem acompanhado de um MAC virtual, derivado do número do grupo. Quando o reserva assume, ele passa a responder por esse mesmo MAC, e a tabela ARP dos servidores continua certa.
Para o equipamento interno, nada mudou: o gateway tem o mesmo IP e o mesmo MAC. Quem aprende a mudança é o switch da VLAN, que passa a encaminhar o MAC virtual para a porta do novo mestre.
Prioridade, dono do endereço e quem vence a eleição
A prioridade vai de 1 a 254 nos roteadores comuns, e vence o maior número. Se o endereço virtual for igual ao endereço real de um dos roteadores, esse roteador vira dono do endereço e assume prioridade 255.
Usar um endereço virtual separado, como no exemplo deste guia, deixa a eleição sob controle da prioridade e do rastreamento. Com dono fixo, o principal tende a retomar o gateway assim que volta, antes de a borda estar pronta.
Decisões de desenho antes de configurar
O VRRP sozinho só percebe quando o outro roteador some. Se o mestre continua de pé mas perdeu a saída, é preciso rastrear essa saída para a troca acontecer.
- Rastreamento do uplink ou da sessão BGP: baixa a prioridade quando a saída cai.
- Preempção com atraso: o mestre volta só depois de o BGP subir de novo.
- Mestre igual para IPv4 e IPv6: evita tráfego indo por caminhos diferentes.
- VRRPv3: suporta IPv4 e IPv6 com o mesmo protocolo.
- Um grupo por VLAN: com numeração documentada.
Ativo e reserva ou dois grupos dividindo a carga?
Com um grupo só, um roteador carrega todo o tráfego interno e o outro espera. Com dois grupos, cada roteador é mestre de um deles, e metade dos equipamentos aponta para cada endereço virtual.
| Forma | Faz sentido quando | Cuidado |
|---|---|---|
| Um grupo, ativo e reserva | Cada roteador aguenta sozinho todo o tráfego do pico | O reserva fica parado e precisa ser testado para não esconder defeito |
| Dois grupos, mestres cruzados | O tráfego interno é grande e os dois roteadores precisam trabalhar | Numa falha, o roteador que sobra carrega tudo e precisa ter folga para isso |
Rastrear a interface ou a sessão BGP?
Rastrear a interface do uplink pega o cabo rompido e o transceptor queimado, mas não a sessão que caiu com o link fisicamente de pé. Rastrear a sessão BGP, ou uma rota recebida da operadora, pega os dois casos.
O exemplo deste guia rastreia a interface por ser o caso mais simples. Em bordas com mais de um trânsito, vale rastrear a presença da rota padrão ou de um prefixo conhecido, e a sintaxe muda de fabricante para fabricante [CONFIRMAR sintaxe no equipamento do provedor].
Configuração de referência com rastreamento
O exemplo configura o roteador principal de um par, com gateway 192.0.2.1 e rastreamento do uplink de trânsito. O reserva recebe a mesma estrutura, com outro endereço próprio e prioridade menor.
fhrp version vrrp v3
!
track 1 interface TenGigabitEthernet0/0/0 line-protocol
!
interface Vlan100
description SERVIDORES
ip address 192.0.2.2 255.255.255.0
vrrp 10 address-family ipv4
address 192.0.2.1 primary
priority 120
preempt delay minimum 60
track 1 decrement 30O reserva usa 192.0.2.3 e prioridade 100. Se o uplink do principal cair, a prioridade dele vai a 90 e o reserva assume; quando o uplink volta, o principal espera 60 segundos antes de retomar o gateway.
No RouterOS 7
Crie a interface em /interface/vrrp com vrid e priority, e coloque o endereço virtual com máscara /32 nessa interface. Para rastrear o uplink, use um script no netwatch que altera a prioridade.
Borda com gateway em um roteador só?
Na alta disponibilidade de borda, um Especialista monta o par de roteadores, configura o VRRP com rastreamento da saída e testa cada queda em janela.
O caminho de volta também precisa acompanhar
O VRRP decide quem recebe o tráfego de dentro para fora. O caminho de volta depende do roteamento interno e do BGP, que precisam apontar para o mesmo roteador.
Os dois roteadores do mesmo ASN trocam rotas por iBGP, e a configuração de iBGP mostra como mantê-los sincronizados. Para o roteamento interno, veja a configuração de OSPF.
Configuração de VRRP passo a passo em janela
Monte primeiro o reserva, depois o principal, e só então aponte os equipamentos internos para o endereço virtual. A troca de gateway é a única etapa que mexe no tráfego e deve acontecer em janela.
- Planeje os endereços: endereço virtual, endereço próprio de cada roteador e número do grupo, anotados na documentação.
- Configure o reserva: grupo, endereço virtual e prioridade 100, sem mexer no gateway atual.
- Configure o principal: prioridade maior, rastreamento do uplink e preempção com atraso.
- Libere os anúncios: confira se filtros e switches deixam passar o protocolo 112 entre os dois.
- Troque o gateway: em janela, aponte concentradores e servidores para o endereço virtual.
- Teste a falha: derrube o uplink do principal e depois religue, conferindo a volta com atraso.
Exemplo: queda do trânsito no roteador principal
Numa noite qualquer, o link de trânsito do roteador principal cai. O rastreamento derruba a prioridade de 120 para 90, o reserva assume o gateway e os concentradores seguem saindo pelo outro roteador.
Quando o link volta, a sessão BGP com a operadora leva alguns segundos para subir e receber as rotas. O atraso de 60 segundos na preempção garante que o principal só retome o gateway com a tabela já carregada.
Erros comuns na configuração de VRRP
Os problemas mais comuns são os dois roteadores achando que são mestres ou a troca acontecendo sem necessidade. Quase todos aparecem só no primeiro teste de queda, por isso o teste não pode ficar para depois.
Evite
- Nenhum rastreamento da saída do mestre.
- Preempção imediata, antes de o BGP subir.
- Filtro bloqueando os anúncios VRRP entre os roteadores.
- Mestre do IPv4 diferente do mestre do IPv6.
- Mesmo número de grupo em VLANs que se enxergam.
- Tempos de anúncio reduzidos sem testar perda de pacotes na VLAN.
Dois mestres ao mesmo tempo
Quando os anúncios não chegam de um roteador ao outro, cada um conclui que o vizinho caiu e assume o endereço virtual. O resultado é o mesmo IP respondendo de dois lados, com tráfego intermitente e difícil de explicar.
A causa costuma ser um filtro novo na VLAN, uma porta de switch bloqueada pelo spanning tree ou um link entre os roteadores fora do ar. Monitorar o estado do VRRP nos dois equipamentos mostra o problema na hora.
Checklist de validação da troca
Teste a troca em janela, nos dois sentidos, e repita o teste depois de qualquer atualização dos roteadores. O par só está pronto quando cair e voltar sem ninguém atrás dele perceber.
Marque o que já foi conferido no teste
- Um roteador aparece como mestre e o outro como reserva.
- Derrubar o uplink do mestre move o gateway para o reserva.
- O mestre volta só depois do atraso configurado.
- Os servidores mantêm a saída durante a troca.
- O mestre do IPv6 é o mesmo do IPv4.
- O estado do VRRP está no monitoramento dos dois roteadores.
Item sem marca é uma queda que ainda não foi testada de verdade. Repita o teste antes de considerar a borda redundante.
A Táquion Tech configura o VRRP com rastreamento da saída, ajusta a preempção ao tempo real de subida do BGP e testa a troca em janela, nos dois sentidos.
Perguntas frequentes sobre configuração de VRRP
Qual a diferença entre VRRP e HSRP?
HSRP é um protocolo da Cisco, enquanto o VRRP é padrão aberto e funciona entre marcas diferentes. Num par com roteadores de fabricantes distintos, o VRRP é o caminho.
Quanto tempo leva a troca do mestre?
Com os tempos padrão, cerca de três segundos. Dá para reduzir, com cuidado para não gerar trocas falsas.
Os dois roteadores podem dividir o tráfego?
Sim, usando dois grupos com mestres diferentes e metade dos equipamentos em cada gateway. Cada roteador precisa aguentar sozinho o total, para o caso de o outro cair.
VRRP funciona com IPv6 também?
Sim. A versão 3 suporta IPv4 e IPv6 com o mesmo protocolo, e o mestre das duas famílias deve ser o mesmo roteador.
VRRP substitui o BGP na borda?
Não. O VRRP cuida do gateway dos equipamentos internos, e o BGP cuida das rotas trocadas com as operadoras. Os dois trabalham juntos numa borda redundante.
Serviços ligados a este guia
- Redundância de links de internet para empresas Redes corporativas
- Implantação de serviço de link dedicado para provedores Expansão e viabilidade
- Integração de Starlink como contingência para provedores Rádio e wireless
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- RFC 9568, Virtual Router Redundancy Protocol (VRRP) Version 3 for IPv4 and IPv6: especificação atual do VRRP.
- RFC 5798, Virtual Router Redundancy Protocol (VRRP) Version 3: versão anterior, ainda citada por muitos fabricantes.
