目  录

第1章 VRRP配置

1.1 VRRP简介

1.1.1 虚拟路由器简介

1.1.2 备份组简介

1.2 VRRP配置

1.2.1 VRRP配置任务简介

1.2.2 配置虚拟路由器IP地址

1.2.3 配置备份组参数

1.3 VRRP的显示和维护

1.4 VRRP典型配置举例

1.4.1 VRRP单备份组举例

1.4.2 VRRP监视接口举例

1.4.3 VRRP多备份组举例

1.5 VRRP故障诊断与排错

第2章 HA配置

2.1 HA简介

2.2 HA配置

2.2.1 HA配置任务简介

2.2.2 手动设置备用板重新启动

2.2.3 手动执行主备倒换

2.2.4 打开系统主备自动同步开关

2.2.5 手动同步配置文件

2.3 HA的显示

第1章  VRRP配置

1.1  VRRP简介

VRRP（Virtual Router Redundancy Protocol，虚拟路由冗余协议）是一种容错协议。

如图1-1所示，通常情况下：

l              一个网络内的所有主机都设置一条缺省路由（图中的缺省路由下一跳地址为10.100.10.1）。

l              主机发往外部网络的报文将通过缺省路由发往三层交换机Switch，从而实现了主机与外部网络的通信。

l              当交换机Switch1发生故障时，本网段内所有以Switch为缺省路由下一跳的主机将断掉与外部的通信。

图1-1 局域网组网方案

为避免交换机故障造成用户群无法通信，产生了VRRP容错协议，专门为具有组播或广播能力的局域网（如以太网）设计。

VRRP将局域网的一组交换机（包括一个Master即主交换机和若干个Backup即备份交换机）组织成一个虚拟路由器，这组交换机被称为一个备份组。

图1-2 虚拟路由器示意图

备份组内的交换机具有以下的特点：

l              虚拟路由器拥有自己的IP地址10.100.10.1（这个IP地址可以和备份组内的某个交换机的接口地址相同）。

l              备份组内的交换机也有自己的IP地址（如Master的IP地址为10.100.10.2，Backup的IP地址为10.100.10.3）。

l              局域网内的主机仅仅知道这个虚拟路由器的IP地址10.100.10.1（通常被称为备份组的虚拟路由器的IP地址），而不知道具体的Master交换机的IP地址10.100.10.2以及Backup交换机的IP地址10.100.10.3。

l              局域网内的主机将自己的缺省路由的下一跳IP地址设置为该虚拟路由器的IP地址10.100.10.1。

因此，网络内的主机可以通过这个虚拟的路由器与其它网络进行通信。

当备份组内的Master交换机不能正常工作时，备份组内的优先级最高的Backup交换机将接替它成为新的Master交换机，继续向网络内的主机提供路由服务，从而实现网络内的主机不间断地与外部网络进行通信。

1.1.1  虚拟路由器简介

备份组内的交换机在使能VRRP协议后，会虚拟出一个虚拟路由器。用户可以在虚拟路由器上进行相关的配置。

1. 配置虚拟路由器的IP地址

虚拟路由器的IP地址可以是备份组所在网段中未被分配的IP地址，也可以是备份组中成员交换机的接口IP地址。虚拟路由器的IP地址具有以下的特性：

l              虚拟路由器的IP地址可以是备份组中成员交换机自己使用的真实IP地址，真实IP地址与虚拟路由器的IP地址相同的交换机被称为“IP地址拥有者”。

l              当为一个备份组指定第一个IP地址时，系统会创建这个备份组，以后再给这个备份组指定虚拟路由器的IP地址时，系统仅仅将这个地址添加到这个备份组的虚拟路由器的IP地址列表中。

l              虚拟路由器的IP地址必须和备份组中成员交换机使用的真实IP地址在同一网段，如果配置了不在同网段的虚拟路由器的IP地址，该备份组会处于VRRP尚未配置的初始状态，此状态下，VRRP不起作用。

l              备份组中最后一个虚拟路由器的IP地址被删除后，这个备份组也将同时被删除，对这个备份组进行的所有配置都不再有效。

根据VRRP的标准协议，虚拟路由器的IP地址是无法使用ping命令来ping通的。因此交换机下挂的用户，无法通过ping命令来判断某个IP地址是否已经被备份组使用。如果用户将自己的主机IP地址配置为与备份组的虚拟路由器的IP地址相同的IP地址，则本网段的所有报文都发送到用户的主机，使本网段的数据不能被正确转发。

用户可以在使能S7500交换机的VRRP特性之前，设定备份组内的交换机是否能够使用ping命令来ping通备份组的虚拟路由器的IP地址，从而避免以上情况的发生。

但如用户已使能了VRRP特性，则系统不允许用户再设定虚拟路由器的IP地址是否可ping通。

2. 配置虚拟路由器的IP和MAC地址之间的关系

S7500交换机在保证子网数据正确转发的基础上，还提供如下功能：

l              可以由用户来设置MAC地址和虚拟IP地址的对应关系。用户可以根据需要将备份组的多个虚拟IP地址和一个虚拟MAC地址对应，也可以将对应关系设置为虚拟IP和交换机路由接口的实际MAC地址对应。

l              用户可以在S7500交换机使能VRRP特性之前，设置备份组的MAC地址和IP地址的对应关系。但如用户已使能了VRRP特性，则系统不允许用户再设置备份组的MAC地址和IP地址的对应关系。

缺省情况下，交换机采用备份组的虚拟MAC地址和虚拟IP地址对应。

1.1.2  备份组简介

1. 备份组内的交换机配置任务简介

VRRP将局域网内的一组交换机组织为一个虚拟的路由器，这组交换机称为一个备份组。

S7500交换机允许用户对备份组内的交换机进行以下的配置：

表1-1 备份组内的交换机配置任务简介

2. 配置备份组中交换机的优先级

用户可以配置备份组中交换机的优先级，VRRP会根据优先级来确定备份组内的每台交换机的地位，备份组中优先级最高的交换机将成为Master。

优先级的取值范围为0到255（数值越大表明优先级越高），但是可配置的范围是1到254，255是系统保留给“IP地址拥有者”的。缺省情况下，优先级的取值为100。

3. 配置备份组中交换机的抢占方式

在没有设置抢占方式的备份组中，一旦某台交换机成为Master，只要它没有出现故障，即使在备份组中的其他交换机的优先级高于它，也不会成为Master。

如果交换机被设置为抢占方式，一旦备份组内的备份交换机发现自己的优先级比当前的Master的优先级高，就会抢占成为Master，相应地，原来的Master将会变成Backup。

S7500交换机允许用户设置备份组内的成员交换机的抢占方式，并且在设置抢占的同时，还可以设置抢占延迟时间，使得优先级较高的Backup延迟一段时间成为Master。设置延迟时间的目的在于：

在性能不够稳定的网络中，Master正常工作时，可能由于网络堵塞导致Backup收不到Master发来的报文，致使备份组内的成员频繁的进行主备状态转换。设置延迟时间后，Backup没有按时收到来自Master的报文，会等待一段时间，只有在这段等待时间过后Backup还没有收到来自Master的报文，Backup才会转换为Master。

4. 配置备份组中交换机的认证方式以及认证字

VRRP协议提供了以下两种认证方式，分别是：

l              simple：简单字符认证

l              md5：MD5认证

在一个有可能受到安全威胁的网络中，用户可以将认证方式设置为simple。将认证方式设置为simple后，发送VRRP报文的交换机会将认证字填入到VRRP报文中。而接收VRRP报文的交换机会将接收到的VRRP报文中的认证字和本地配置的认证字进行比较，如果认证字相同，交换机则认为接收到的报文是真实的、合法的VRRP报文，否则认为接收到的报文是一个非法的报文，并将非法的报文丢弃。在这种情况下，用户应当设置长度为不超过8字符的认证字。

在一个非常不安全的网络中，用户可以将认证方式设置为md5。将认证方式设置为md5后，交换机就会利用Authentication Header提供的认证方式和MD5算法来对VRRP报文进行认证。在这种情况下，用户应当设置长度不超过8字符的明文认证字，或者是24位经过加密的密文认证字。

对于没有通过认证的报文，交换机会将其丢弃，并向网管发送Trap报文。

5. 配置VRRP定时器

VRRP备份组中的Master交换机会定时发送VRRP报文（时间间隔为adver-interval），向组内的其他交换机通知自己工作正常。如果Backup超过一定时间（时间间隔为master-down-interval）没有收到Master发送来的VRRP报文，则认为它已经无法正常工作，就会自动将自己的状态转变为Master。

用户可以通过设置定时器的命令来调整Master发送VRRP报文的间隔时间adver-interval。而Backup的master-down-interval的间隔时间则是adver-interval的3倍。如果网络流量过大或者不同的交换机上的定时器差异等因素，会导致master-down-interval异常超时而发生状态转换。

对于这种情况，可以通过将adver-interval的间隔时间延长和设置抢占延迟时间的办法来解决。如果用户在Backup交换机上设置了抢占延迟时间，则Backup交换机会在master-down-interval的间隔时间后，再等待设定的抢占延迟时间，如在此期间备份组内没有交换机成为Master，则此Backup交换机将成为Master。

6. 配置备份组的指定监视接口/以太网端口

VRRP的监视接口/以太网端口功能更好地扩充了Backup交换机的备份功能，即不仅能在备份组所在的接口出现故障时提供备份功能，而且在交换机的其它接口/以太网端口不可用时，也可以使用备份功能。具体做法是通过设置监视某个接口/以太网端口的命令来实现。

当被监视的接口DOWN掉时，拥有这个接口的交换机的优先级会自动降低一个数值（value-reduced），可能导致备份组内其它交换机的优先级高于这个交换机的优先级，从而使得其它优先级高的交换机转变为Master。

1.2  VRRP配置

1.2.1  VRRP配置任务简介

表1-2 VRRP配置任务简介

1.2.2  配置虚拟路由器IP地址

对虚拟路由器的IP地址，用户可以进行以下的配置（假设用户已经正确配置了端口和VLAN的配置关系）：

表1-3 配置虚拟路由器IP地址

1.2.3  配置备份组参数

对备份组内的交换机，用户可以进行如下配置：

表1-4 配置备份组参数

1.3  VRRP的显示和维护

完成上述配置后，在任意视图下执行display命令，可以显示配置VRRP后的运行情况。通过查看显示信息，用户可以验证配置的效果。在用户视图下，用户可以执行reset命令清除VRRP的统计信息。在用户视图下，用户可以执行debugging命令对VRRP进行调试。

表1-5 VRRP的显示和维护

1.4  VRRP典型配置举例

1.4.1  VRRP单备份组举例

1. 组网需求

主机A把交换机A和交换机B组成的VRRP备份组作为自己的缺省网关，访问Internet上的主机B。

VRRP备份组构成：

l              备份组号为1

l              虚拟路由器的IP地址为202.38.160.111

l              交换机A做Master

l              交换机B做备份交换机，允许抢占

表1-6 组网说明

2. 组网图

图1-3 VRRP配置组网图

3. 配置步骤

(1)        配置交换机A：

# 配置VLAN2。

<LSW-A> system-view

[LSW-A] vlan 2

[LSW-A-vlan2] port Ethernet 2/0/6

[LSW-A-vlan2] quit

[LSW-A] interface Vlan-interface 2

[LSW-A-Vlan-interface2] ip address 202.38.160.1 255.255.255.0

[LSW-A-Vlan-interface2] quit

# 使备份组的虚拟路由器的IP地址可以被ping通。

[LSW-A] vrrp ping-enable

# 创建一个备份组。

[LSW-A] interface vlan 2

[LSW-A-Vlan-interface2] vrrp vrid 1 virtual-ip 202.38.160.111

# 设置备份组的优先级。

[LSW-A-Vlan-interface2] vrrp vrid 1 priority 110

# 设置备份组的抢占方式。

[LSW-A-Vlan-interface2] vrrp vrid 1 preempt-mode

(2)        配置交换机B：

# 配置VLAN2。

<LSW-B> system-view

System View: return to User View with Ctrl+Z.

[LSW-B] vlan 2

[LSW-B-Vlan2] port Ethernet 2/0/5

[LSW-B-vlan2] quit

[LSW-B] interface Vlan-interface 2

[LSW-B-Vlan-interface2] ip address 202.38.160.2 255.255.255.0

[LSW-B-Vlan-interface2] quit

# 使备份组的虚拟路由器的IP地址可以被ping通。

[LSW-B] vrrp ping-enable

# 创建一个备份组。

[LSW-B] interface vlan 2

[LSW-B-Vlan-interface2] vrrp vrid 1 virtual-ip 202.38.160.111

# 设置备份组的抢占方式。

[LSW-B-Vlan-interface2] vrrp vrid 1 preempt-mode

主机A可将缺省网关设为202.38.160.111。

正常情况下，交换机A行使网关的职能，当交换机A关机或出现故障，交换机B将接替行使网关的职能。

设置抢占方式的目的是当交换机A恢复工作后，能够继续成为Master行使网关的职能。

1.4.2  VRRP监视接口举例

1. 组网需求

通过配置监视接口来实现：即使交换机A仍然工作，但当其连接Internet的接口不可用时，由交换机B（具备另外一条链路和外界相连）来行使网关的职能。

为了便于说明，设备份组号为1，并增加授权字和计时器的配置。

2. 组网图

图1-4 VRRP配置组网图

3. 配置步骤

(1)        配置交换机A：

# 配置VLAN2。

<LSW-A> system-view

System View: return to User View with Ctrl+Z.

[LSW-A] vlan 2

[LSW-A-vlan2] port Ethernet 2/0/6

[LSW-A-vlan2] quit

[LSW-A] interface Vlan-interface 2

[LSW-A-Vlan-interface2] ip address 202.38.160.1 255.255.255.0

[LSW-A-Vlan-interface2] quit

# 使备份组的虚拟路由器的IP地址可以被ping通。

[LSW-A] vrrp ping-enable

# 创建一个备份组。

[LSW-A] interface Vlan-interface 2

[LSW-A-Vlan-interface2] vrrp vrid 1 virtual-ip 202.38.160.111

# 设置备份组的优先级。

[LSW-A-Vlan-interface2] vrrp vrid 1 priority 110

# 设置备份组的认证密码为MD5认证，密码为abc123。

[LSW-A-Vlan-interface2] vrrp authentication-mode md5 abc123

# 设置Master发送VRRP报文的间隔时间为5秒。

[LSW-A-Vlan-interface2] vrrp vrid 1 timer advertise 5

# 设置监视接口。

[LSW-A-Vlan-interface2] vrrp vrid 1 track Vlan-interface 3 reduced 30

(2)        配置交换机B：

# 配置VLAN2。

<LSW-B> system-view

System View: return to User View with Ctrl+Z.

[LSW-B] vlan 2

[LSW-B-vlan2] port Ethernet 2/0/5

[LSW-B-vlan2] quit

[LSW-B] interface Vlan-interface 2

[LSW-B-Vlan-interface2] ip address 202.38.160.2 255.255.255.0

[LSW-B-Vlan-interface2] quit

# 使备份组的虚拟路由器的IP地址可以被ping通。

[LSW-B] vrrp ping-enable

# 创建一个备份组。

[LSW-B] interface Vlan-interface 2

[LSW-B-Vlan-interface2] vrrp vrid 1 virtual-ip 202.38.160.111

# 设置备份组的认证字。

[LSW-B-Vlan-interface2] vrrp authentication-mode md5 abc123

# 设置Master发送VRRP报文的间隔时间为5秒。

[LSW-B-Vlan-interface2] vrrp vrid 1 timer advertise 5

正常情况下，交换机A行使网关的职能，当交换机A的接口vlan-interface 3不可用时，交换机A的优先级降低30，低于交换机B优先级，交换机B将抢占成为Master行使网关的职能。

当交换机A的接口vlan-interface3恢复工作后，交换机A能够继续成为Master行使网关的职能。

1.4.3  VRRP多备份组举例

1. 组网需求

允许一台交换机为多个备份组作备份。

通过多备份组设置可以实现负荷分担。如交换机A作为备份组1的Master，同时又兼职备份组2的备份交换机，而交换机B正相反，作为备份组2的Master，并兼职备份组1的备份交换机。一部分主机使用备份组1作网关，另一部分主机使用备份组2作为网关。这样，以达到分担数据流，而又相互备份的目的。

2. 组网图

图1-5 VRRP配置组网图

3. 配置步骤

(1)        配置交换机A：

# 配置VLAN2。

<LSW-A> system-view

System View: return to User View with Ctrl+Z.

[LSW-A] vlan 2

[LSW-A-vlan2] port Ethernet 2/0/6

[LSW-A-vlan2] quit

[LSW-A] interface Vlan-interface 2

[LSW-A-Vlan-interface2] ip address 202.38.160.1 255.255.255.0

# 创建一个备份组1。

[LSW-A-Vlan-interface2] vrrp vrid 1 virtual-ip 202.38.160.111

# 设置备份组的优先级。

[LSW-A-Vlan-interface2] vrrp vrid 1 priority 150

# 创建一个备份组2。

[LSW-A-Vlan-interface2] vrrp vrid 2 virtual-ip 202.38.160.112

(2)        配置交换机B：

# 配置VLAN2。

<LSW-B> system-view

System View: return to User View with Ctrl+Z.

[LSW-B] vlan 2

[LSW-B-vlan2] port Ethernet 2/0/6

[LSW-B-vlan2] quit

[LSW-B] interface vlan-interface 2

[LSW-B-Vlan-interface2] ip address 202.38.160.2 255.255.255.0

# 创建一个备份组1。

[LSW-B-Vlan-interface2] vrrp vrid 1 virtual-ip 202.38.160.111

# 创建一个备份组2。

[LSW-B-Vlan-interface2] vrrp vrid 2 virtual-ip 202.38.160.112

# 设置备份组的优先级。

[LSW-B-Vlan-interface2] vrrp vrid 2 priority 110

1.5  VRRP故障诊断与排错

VRRP配置不是很复杂，如果功能不正常，基本可以通过查看配置以及调试信息来定位。以下就如何排除常见的故障加以说明。

1. 故障之一：控制台上频频给出配置错误的提示

这表明交换机收到了错误的VRRP报文。一种可能是备份组内的另一台交换机配置不一致，另一种可能是有的设备试图发送非法的VRRP报文。对于第一种可能，可以通过修改配置来解决。对于第二种可能，则是有些设备有不良企图，应当通过非技术手段来解决。

2. 故障之二：同一个备份组内出现多个Master交换机

这分为两种情况，一种是多个Master并存时间较短，属于正常情况，无需进行人工干预；另一种是多个Master长时间共存，有可能是备份组内成员之间收不到VRRP报文，或者收到的报文不合法。

解决方法：在多个Master之间互相ping，如果ping不通，请先检查设备连通性。如果能ping通，请检查VRRP的配置。对于同一个VRRP备份组的配置，必须保证虚拟路由器的IP地址个数、每个虚拟路由器的IP地址、定时器间隔时间和认证方式完全一样。

3. 故障之三：VRRP的状态频繁转换

这种情况一般是由于备份组的定时器间隔时间设置太短造成的，加大这个时间间隔或者设置抢占延迟都可以解决这种故障。

第2章  HA配置

2.1  HA简介

S7506R支持HA（High Availability，高可靠性）特性。HA特性实现系统的高可靠性，在主控板发生故障时，可以快速、准确恢复系统的正常运行，从而缩短系统的MTBF（Mean Time Between Failure，平均故障间隔时间）。

HA特性是交换路由板的一个特性。S7506R交换机有两块交换路由板，工作在master-slave备份模式，即一块工作在master模式，为主控板，一块工作在slave模式，为备用板。当主控板发生故障时，主备倒换将自动进行。备用板将自动连接并控制系统的BUS，同时原来的主控板将断开和系统BUS的连接。主备倒换完成后，备用板将成为主控板，而原来的主控板将重新启动成为备用板。因此，即使主控板故障，备用板也能迅速取代它成为主控板，保证S7506R交换机的正常运行。

S7506R支持主控板和备用板的热拔插。主控板的热拔插将引起交换机的主备倒换。

S7506R支持手动的主备倒换。用户可以使用命令来手动的改变主控板和备用板的工作模式。

在S7506R上，备用板上的配置文件是从主控板上实时备份过来的。这样，当备用板取代主控板后，备用板可以在和原来系统相同的配置下运行。S7506R支持两个单板上配置文件的自动同步。当系统的配置发生改变时，当前的主控板在保存配置文件时会同时备份配置文件到备用板上，保证二者的配置一致。用户也可以使用命令手动的同步主控板和备用板的配置文件。

另外，S7506R能够监控电源和系统的工作环境，在故障发生时发出告警，避免故障的继续扩大，保证系统安全的运行。

2.2  HA配置

2.2.1  HA配置任务简介

表2-1 HA配置任务简介

2.2.2  手动设置备用板重新启动

当备用板正常运行时候，用户可以使用命令手动重新启动备用板。

请在用户视图下进行下列配置。

表2-2 手动设置备用板重新启动

2.2.3  手动执行主备倒换

当备用板正常运行，并且主控板进入实时备份状态之后，如果用户希望备用板成为新的主控板来保证系统的运行，可以通过命令手动的进行主备倒换。当主备倒换完成后，备用板将成为新的主控板控制系统的正常运行，原来的主控板将自动重新启动。

请在用户视图下进行下列配置。

表2-3 手动执行主备倒换

2.2.4  打开系统主备自动同步开关

系统提供自动同步功能，只要同步开关打开，当系统配置改变时，主控板保存配置文件的同时，也将配置文件备份到备用板，以保证主备配置的一致性。

表2-4 打开系统主备自动同步开关

2.2.5  手动同步配置文件

S7506R可以自动同步主控板和备用板的配置文件。如果用户希望手动同步主控板和备用板的配置文件，可以通过命令手动的将主控板上的配置文件备份到备用板上。

请在用户视图下进行下列配置。

表2-5 手动同步配置文件

只有当备用板正常运行的情况下，用户才能成功进行配置文件的手动同步。每次手动同步配置文件时，系统都将主控板上的配置文件重新完全拷贝一次到备用板上。

2.3  HA的显示

在任意视图下执行display命令都可以显示HA特性的运行情况。用户可以通过查看显示信息验证配置的效果。

表2-6 HA的显示