前言

VRRP（Virtual Router Redundancy Protocol）和MSTP（Multiple Spanning Tree Protocol）是两种不同的协议，VRRP是一种用于实现网关冗余的协议，而MSTP是一种用于提供网络冗余和容错的协议。

虽然它们是不同的协议，但它们可以在网络中一起使用，以提供更高的可靠性和容错能力。在这种情况下，VRRP可以用于实现网关冗余，确保网络中始终有可用的网关设备，而MSTP可以用于提供网络冗余，确保网络中没有单点故障。

(资料图)

具体来说，如果在网络中使用VRRP和MSTP组合，则可以将两个协议配置在不同的设备上。其中，VRRP协议可以在多个设备之间配置，以提供网关冗余。而MSTP协议可以在所有设备之间配置，以提供网络冗余。

在这种配置下，如果某个设备的网关出现故障，则VRRP协议将自动将另一个设备的网关设备选为活动网关，并接管流量。同时，MSTP协议可以在其他设备之间重新计算网络拓扑，并重新配置网络，以确保网络中没有单点故障。

VRRP和MSTP组合可以提供更高的可靠性和容错能力，使网络能够更好地应对故障和故障恢复。

目录

前言

1.实验背景介绍

2.拓扑图

3.设备命名规则

4.设备互联信息

5.设备配置

6.内外网互访、NAT结果验证

7.总结

1.实验背景介绍

理论背景：本实验通过将MSTP协议和VRRP协议进行结合组网，验证网络架构的冗余性和健壮性。同时搭建内网和外网两大部分，模拟外网用户和内网用户通过数据中心和城域网进行业务交互。出口设备将内外网的用户、终端和服务器地址进行双向转换，增加网络访问的合规性。本实验中出口设备因为存在双向动态NAT，并且NAT地址池所分配的IP地址范围较大，所以要实现端到端精准访问控制较难，想到这一点的可以一起讨论。

实际需求：外网用户、终端需要访问内网用户和服务器，内网用户、终端需要访问外网用户和服务器，并且在访问时有以下需求：
1.公网IP进入内网时需要被NAT为内网地址才能予以访问；
2.内网IP访问外网时需要以公网IP访问。

同时，在数据中心，核心交换区需要有较强的冗余性，要求整体网络较健壮，经过核心设备时流量需要负载。

IP地址规划规则：以最后一个段为准，相对于设备为“左小右大”，相对于线路为“左大右小”。例如：线路：左端口：192.168.1.2/24，右端口：192.168.1.1/24；设备：左端口：192.168.1.1/24，右端口：192.168.1.2/24。

2.拓扑图

拓扑图

3.设备命名规则

设备命名表

4.设备互联信息

设备互联表

5.设备配置

CS1：

MSTP配置：

vlan batch 10 20 30   //创建vlanstp enable   //开启stpstp mode mstp   //stp模式切换为mstpstp instance 1 root primary    //配置STP实例1，并将本地设备指定为该实例的主根桥stp instance 2 root secondary  //配置STP实例2，并将本地设备指定为该实例的次要根桥stp region-configuration   //配置mstp域 region-name huawei   //mstp域名 instance 1 vlan 10   //绑定实例和vlan instance 2 vlan 20 30

MSTP主要起到负载和防环的作用，将实例和vlan绑定后，流量访问将根据实例和vlan的映射情况进行负载分担。

BFD配置：

bfd 1 bind peer-ip 172.31.1.2 interface GE1/0/0 source-ip 172.31.1.1   //创建BFD单跳检测 discriminator local 1   //配置本地标识 discriminator remote 2   //配置远端标识

配置BFD双向检测机制目的是监测端口状态，当接口发生故障时和VRRP联动使得VRRP优先级降低。

VRRP配置：

interface Vlanif10   //配置vlan接口 ip address 10.1.1.254 255.255.255.0 vrrp vrid 1 virtual-ip 10.1.1.250 vrrp vrid 1 priority 120   //配置vrrp的优先级，默认为100 vrrp vrid 1 preempt timer delay 3   //配置抢占延迟时间，默认为立即抢占 vrrp vrid 1 authentication-mode md5 huawei   //配置认证秘钥 vrrp vrid 1 track bfd session-name 1 reduce 50 vrrp vrid 2 virtual-ip 10.1.1.251 vrrp vrid 2 authentication-mode md5 huaweiinterface Vlanif20 ip address 20.1.1.254 255.255.255.0 vrrp vrid 3 virtual-ip 20.1.1.250 vrrp vrid 3 priority 120 vrrp vrid 3 preempt timer delay 3 vrrp vrid 3 authentication-mode md5 huawei vrrp vrid 3 track bfd session-name 1 reduce 50 vrrp vrid 4 virtual-ip 20.1.1.251 vrrp vrid 4 authentication-mode md5 huaweiinterface Vlanif30 ip address 30.1.1.254 255.255.255.0 vrrp vrid 5 virtual-ip 30.1.1.250 vrrp vrid 5 priority 120 vrrp vrid 5 preempt timer delay 3 vrrp vrid 5 authentication-mode md5 huawei vrrp vrid 5 track bfd session-name 1 reduce 50 vrrp vrid 6 virtual-ip 30.1.1.251 vrrp vrid 6 authentication-mode md5 huawei

VRRP主要起到网关冗余的作用，配置vrrp后将根据配置优先级选出主备，正常情况下数据都通过主设备（master）进行转发，当主设备发生故障（接口故障或者单机故障） 时，备设备（backup）就会接管主设备进行数据的转发，保证业务不中断。

接口和路由配置：

interface Eth-Trunk12   //创建L2聚合端口 port link-type trunk port trunk allow-pass vlan 10 20 30interface GE1/0/0 undo portswitch undo shutdown ip address 172.31.1.1 255.255.255.252interface GE1/0/1 undo shutdown eth-trunk 12   //加入聚合端口12interface GE1/0/2 undo shutdown eth-trunk 12interface GE1/0/3 undo shutdown port link-type trunk port trunk allow-pass vlan 10 20 30ip route-static 0.0.0.0 0.0.0.0 172.31.1.2   //配置默认路由

配置链路聚合的作用是增加链路的收发带宽同时也增加链路的冗余，增强设备间的数据转发安全。

查看：

MSTP：[CS1]display stp brief MSTID  Port                        Role  STP State     Protection      Cost    Edged     0  GE1/0/3                     ROOT  forwarding    none          199999    disable        0  Eth-Trunk12                 ALTE  discarding    none           99999    disable        1  GE1/0/3                     DESI  forwarding    none          199999    disable        1  Eth-Trunk12                 DESI  forwarding    none           99999    disable        2  GE1/0/3                     ALTE  discarding    none          199999    disable        2  Eth-Trunk12                 ROOT  forwarding    none           99999    disable   VRRP:[CS1]display  vrrp Type:  N: Normal  A: Administrator  M: Member  L: Load-Balance  LM: Load-Balance-MemberTotal:6     Master:3    Backup:3    Non-active:0    VRID State       Interface               Type    Virtual IP----------------------------------------------------------------   1 Master      Vlanif10                N       10.1.1.250   2 Backup      Vlanif10                N       10.1.1.251   3 Master      Vlanif20                N       20.1.1.250   4 Backup      Vlanif20                N       20.1.1.251   5 Master      Vlanif30                N       30.1.1.250   6 Backup      Vlanif30                N       30.1.1.251Eth-Trunk：[CS1]dis eth-trunk 12Eth-Trunk12"s state information is:Working Mode: Normal        Hash Arithmetic: According to flowLeast Active-linknumber: 1  Max Bandwidth-affected-linknumber: 32Operating Status: up        Number of Up Ports in Trunk: 2--------------------------------------------------------------------------------PortName                      Status      WeightGE1/0/1                       Up          1          GE1/0/2                       Up          1    BFD：<CS1>display bfd session all verbose (w): State in WTR(*): State is invalidTotal UP/DOWN Session Number : 1/0--------------------------------------------------------------------------------  Name : 1                     (Single Hops)   State : Up--------------------------------------------------------------------------------  Local Discriminator    : 1                Remote Discriminator   : 2   Session Detect Mode    : Asynchronous Mode Without Echo Function  BFD Bind Type          : Interface(GE1/0/0)    Bind Session Type      : Static    Bind Peer IP Address   : 172.31.1.2         Bind Interface         : GE1/0/0                                             Bind Source IP Address : 172.31.1.1     FSM Board ID           : 1                ToS-EXP                : 7  Min Tx Interval (ms)   : 1000             Min Rx Interval (ms)   : 1000   Actual Tx Interval (ms): 1000             Actual Rx Interval (ms): 1000   WTR Interval (ms)      : -                Detect Interval (ms)   : 3000   Local Detect Multi     : 3                Active Multi           : 3   Destination Port       : 3784             TTL                    : 255   Process PST            : Disable          Config PST             : Disable   Last Local Diagnostic  : Control Detection Time Expired  Bind Application       : VRRP     Session Description    : - --------------------------------------------------------------------------------

CS2：

MSTP配置：

vlan batch 10 20 30stp instance 1 root secondarystp instance 2 root primarystp enablestp region-configuration region-name huawei instance 1 vlan 10 instance 2 vlan 20 30

BFD配置：

bfd 1 bind peer-ip 172.16.1.2 interface GE1/0/0 source-ip 172.16.1.1 discriminator local 3 discriminator remote 4

配置BFD双向检测机制目的是监测端口状态，当接口发生故障时和VRRP联动使得VRRP优先级降低。

VRRP和BFD配置：

interface Vlanif10 ip address 10.1.1.1 255.255.255.0 vrrp vrid 1 virtual-ip 10.1.1.250 vrrp vrid 1 authentication-mode md5 huawei vrrp vrid 2 virtual-ip 10.1.1.251 vrrp vrid 2 priority 120 vrrp vrid 2 preempt timer delay 3 vrrp vrid 2 authentication-mode md5 huawei vrrp vrid 2 track bfd session-name 1 reduce 50interface Vlanif20 ip address 20.1.1.1 255.255.255.0 vrrp vrid 3 virtual-ip 20.1.1.250 vrrp vrid 3 authentication-mode md5 huawei vrrp vrid 4 virtual-ip 20.1.1.251 vrrp vrid 4 priority 120 vrrp vrid 4 preempt timer delay 3 vrrp vrid 4 authentication-mode md5 huawei vrrp vrid 4 track bfd session-name 1 reduce 50interface Vlanif30 ip address 30.1.1.1 255.255.255.0 vrrp vrid 5 virtual-ip 30.1.1.250 vrrp vrid 5 authentication-mode md5 huawei vrrp vrid 6 virtual-ip 30.1.1.251 vrrp vrid 6 priority 120 vrrp vrid 6 preempt timer delay 3 vrrp vrid 6 authentication-mode md5 huawei vrrp vrid 6 track bfd session-name 1 reduce 50

接口和路由配置：

interface Eth-Trunk12 port link-type trunk port trunk allow-pass vlan 10 20 30interface GE1/0/0 undo portswitch undo shutdown ip address 172.16.1.1 255.255.255.252interface GE1/0/1 undo shutdown eth-trunk 12interface GE1/0/2 undo shutdown eth-trunk 12interface GE1/0/3 undo shutdown port link-type trunk port trunk allow-pass vlan 10 20 30ip route-static 0.0.0.0 0.0.0.0 172.16.1.2

查看：

MSTP：[CS2]display stp brief  MSTID  Port                        Role  STP State     Protection      Cost    Edged     0  GE1/0/3                     ROOT  forwarding    none          199999    disable        0  Eth-Trunk12                 DESI  forwarding    none           99999    disable        1  GE1/0/3                     ALTE  discarding    none          199999    disable        1  Eth-Trunk12                 ROOT  forwarding    none           99999    disable        2  GE1/0/3                     DESI  forwarding    none          199999    disable        2  Eth-Trunk12                 DESI  forwarding    none           99999    disable   VRRP:[CS2]display vrrpType:  N: Normal  A: Administrator  M: Member  L: Load-Balance  LM: Load-Balance-MemberTotal:6     Master:3    Backup:3    Non-active:0    VRID State       Interface               Type    Virtual IP----------------------------------------------------------------   1 Backup      Vlanif10                N       10.1.1.250   2 Master      Vlanif10                N       10.1.1.251   3 Backup      Vlanif20                N       20.1.1.250   4 Master      Vlanif20                N       20.1.1.251   5 Backup      Vlanif30                N       30.1.1.250   6 Master      Vlanif30                N       30.1.1.251Eth-Trunk:[CS2]display eth-trunk 12Eth-Trunk12"s state information is:Working Mode: Normal        Hash Arithmetic: According to flowLeast Active-linknumber: 1  Max Bandwidth-affected-linknumber: 32Operating Status: up        Number of Up Ports in Trunk: 2--------------------------------------------------------------------------------PortName                      Status      WeightGE1/0/1                       Up          1          GE1/0/2                       Up          1       BFD:[CS2]display bfd session all verbose (w): State in WTR(*): State is invalidTotal UP/DOWN Session Number : 1/0--------------------------------------------------------------------------------  Name : 1                     (Single Hops)   State : Up--------------------------------------------------------------------------------  Local Discriminator    : 3                Remote Discriminator   : 4   Session Detect Mode    : Asynchronous Mode Without Echo Function  BFD Bind Type          : Interface(GE1/0/0)    Bind Session Type      : Static    Bind Peer IP Address   : 172.16.1.2         Bind Interface         : GE1/0/0                                             Bind Source IP Address : 172.16.1.1     FSM Board ID           : 1                ToS-EXP                : 7  Min Tx Interval (ms)   : 1000             Min Rx Interval (ms)   : 1000   Actual Tx Interval (ms): 1000             Actual Rx Interval (ms): 1000   WTR Interval (ms)      : -                Detect Interval (ms)   : 3000   Local Detect Multi     : 3                Active Multi           : 3   Destination Port       : 3784             TTL                    : 255   Process PST            : Disable          Config PST             : Disable   Last Local Diagnostic  : Control Detection Time Expired  Bind Application       : VRRP     Session Description    : - ---------------------------------------------------------------------------------   

AccS:

MSTP配置：

vlan batch 10 20 30stp region-configuration region-name huawei instance 1 vlan 10 instance 2 vlan 20 30 active region-configuration   //激活mstp域配置

AccS交换机是S5700，CS交换机是CE12800，所以在MSTP域配置方式上有一点不同。AccS需要使用命令“active region-configuration”才能保存MSTP配置，否则退出mstp域后配置会被自动清除！

接口配置：

interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30#interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20 30#interface GigabitEthernet0/0/3 port link-type access port default vlan 10#interface GigabitEthernet0/0/4 port link-type access port default vlan 20#interface GigabitEthernet0/0/5 port link-type access port default vlan 30

验证：

MSTP：[AccS]display stp brief MSTID  Port                        Role  STP State     Protection   0    GigabitEthernet0/0/1        DESI  FORWARDING      NONE   0    GigabitEthernet0/0/2        DESI  FORWARDING      NONE   0    GigabitEthernet0/0/3        DESI  FORWARDING      NONE   0    GigabitEthernet0/0/4        DESI  FORWARDING      NONE   0    GigabitEthernet0/0/5        DESI  FORWARDING      NONE   1    GigabitEthernet0/0/1        ROOT  FORWARDING      NONE   1    GigabitEthernet0/0/2        DESI  FORWARDING      NONE   1    GigabitEthernet0/0/3        DESI  FORWARDING      NONE   2    GigabitEthernet0/0/1        DESI  FORWARDING      NONE   2    GigabitEthernet0/0/2        ROOT  FORWARDING      NONE   2    GigabitEthernet0/0/4        DESI  FORWARDING      NONE   2    GigabitEthernet0/0/5        DESI  FORWARDING      NONE接口：[AccS]display interface briefPHY: Physical*down: administratively down(l): loopback(s): spoofing(b): BFD down(e): ETHOAM down(dl): DLDP down(d): Dampening SuppressedInUti/OutUti: input utility/output utilityInterface                   PHY   Protocol InUti OutUti   inErrors  outErrorsGigabitEthernet0/0/1        up    up          0%     0%          0          0GigabitEthernet0/0/2        up    up          0%     0%          0          0GigabitEthernet0/0/3        up    up          0%     0%          0          0GigabitEthernet0/0/4        up    up          0%     0%          0          0GigabitEthernet0/0/5        up    up          0%     0%          0          0

AR

接口配置：

interface GigabitEthernet0/0/0 ip address 172.31.1.2 255.255.255.252 #interface GigabitEthernet0/0/1 ip address 172.16.1.2 255.255.255.252 #interface GigabitEthernet0/0/2 ip address 172.10.1.1 255.255.255.0 

BFD配置：

bfd 1 bind peer-ip 172.31.1.1 interface GigabitEthernet0/0/0 source-ip 172.31.1.2   配置单跳检测 discriminator local 2   //本地表示 discriminator remote 1   // 远端标识 commit   //激活BFDbfd 2 bind peer-ip 172.16.1.1 interface GigabitEthernet0/0/1 source-ip 172.16.1.2    discriminator local 4 discriminator remote 3 commit

AR上配置BFD双向检测功能，目的是监测静态路由的可达性，当检测到主路由不可达时，使得主路由失效（此时主路由不会被加入路由表中），低优先级的路由就会加入路由表完成通信。

路由配置：

ip route-static 0.0.0.0 0.0.0.0 172.10.1.2ip route-static 10.1.1.0 255.255.255.0 172.31.1.1 track bfd-session 1ip route-static 10.1.1.0 255.255.255.0 172.16.1.1 preference 65ip route-static 20.1.1.0 255.255.255.0 172.31.1.1 track bfd-session 1ip route-static 20.1.1.0 255.255.255.0 172.16.1.1 preference 65ip route-static 30.1.1.0 255.255.255.0 172.31.1.1 track bfd-session 1ip route-static 30.1.1.0 255.255.255.0 172.16.1.1 preference 65

静态路由绑定BFD功能后，当目标地址不可达时，就会切换到另外一条优先级较低的路由，使得业务访问不中断。

exAR

接口配置：

interface GigabitEthernet0/0/0 ip address 100.1.1.1 255.255.255.0 interface GigabitEthernet0/0/1 ip address 172.10.1.2 255.255.255.0 

路由配置：

ip route-static 10.1.1.0 255.255.255.0 172.10.1.1ip route-static 20.1.1.0 255.255.255.0 172.10.1.1ip route-static 30.1.1.0 255.255.255.0 172.10.1.1ip route-static 158.1.1.0 255.255.255.0 100.1.1.2ip route-static 172.16.1.0 255.255.255.0 172.10.1.1ip route-static 172.31.1.0 255.255.255.0 172.10.1.1ip route-static 178.1.1.0 255.255.255.0 100.1.1.2ip route-static 189.1.1.0 255.255.255.0 100.1.1.2

静态路由需要逐跳进行配置，所以需要的路由条目数量就比较多，并且因为有缺省路由的存在，在配置时需要注意掩码，防止出现路由环路。

NAT配置：

创建ACL：acl number 2000   rule 5 permit source 10.1.1.0 0.0.0.255  rule 10 permit source 20.1.1.0 0.0.0.255  rule 15 permit source 30.1.1.0 0.0.0.255  rule 20 permit source 172.0.0.0 0.255.255.255    //抓取内网地址，将内网互联地址转换为公网地址 rule 25 deny acl number 2001   rule 5 permit source 178.1.1.0 0.0.0.255  rule 10 permit source 158.1.1.0 0.0.0.255  rule 15 permit source 189.1.1.0 0.0.0.255  rule 20 permit source 100.0.0.0 0.255.255.255    //抓取公网地址，将公网互联地址转换为内网地址 rule 25 deny 创建地址池： nat address-group 1 172.10.1.10 172.10.1.15 nat address-group 2 100.1.1.10 100.1.1.15接口下调用NAT：interface GigabitEthernet0/0/0 nat outbound 2000 address-group 2 interface GigabitEthernet0/0/1 nat outbound 2001 address-group 1 

exAS

VLAN及接口配置：

vlan batch 100 158 178 189 192interface Vlanif100 ip address 100.1.1.2 255.255.255.0interface Vlanif158 ip address 158.1.1.254 255.255.255.0interface Vlanif178 ip address 178.1.1.254 255.255.255.0interface Vlanif189 ip address 189.1.1.254 255.255.255.0interface GigabitEthernet0/0/1 port link-type access port default vlan 178interface GigabitEthernet0/0/2 port link-type access port default vlan 158interface GigabitEthernet0/0/3 port link-type access port default vlan 189interface GigabitEthernet0/0/4 port link-type access port default vlan 100

路由配置：

ip route-static 0.0.0.0 0.0.0.0 100.1.1.1

终端配置按照拓扑图给的地址配置即可。

6.内外网互访网络连通性、NAT结果以及VRRP切换和MSTP负载验证

内外网互访及NAT结果验证：

1.PC1访问PC2，通过Wireshark抓取数据包查看；

2.PC2访问PC1，通过Wireshark抓取数据包查看。

内外网互访标识：PC1和PC2能互相访问（ping模拟访问）

NAT命中标识：

1.源地址和原地址相同则表示NAT未命中；

2.源地址和原地址不同则表示NAT命中。

VRRP切换验证：

1.当主设备整机或接口发生故障时（shutdown模拟），vrrp可以切换到备设备进行数据转发 ，在PC上通过命令tracert验证；

2.当主设备上联口故障恢复时（undo shutdown模拟），vrrp可以自动切回主设备进行数据转发，在PC上通过命令tracert验证。

MSTP负载验证：在PC1和Client2上同时ping测10.1.1.254（10网段的网关），若出现以下现象则表示MSTP进行了负载：

1.在CS1的GE1/0/3接口抓包，出现的ICMP包中源地址只有10.1.1.10，没有20.1.1.20则说明只有10.1.1.0/24网段的流量经过了CS1

2.然后在CS2的GE1/0/3接口抓包，出现的ICMP包中源地址只有20.1.1.20，没有10.1.1.10则说明只有20.1.1.0/24网段的流量经过了CS2

内外网互访验证1：PC1--->PC2，在PC2的Eth0/0/0接口通过Wireshark抓取数据包。图示如下：

查看抓取的数据包：

内外网互访验证2：PC2--->PC1，在PC1的Eth0/0/0接口通过Wireshark抓取数据包。图示如下：

查看抓取数据包：

以上结果显示内外网互访时NAT都能命中，说明NAT地址池及ACL策略都正确。

VRRP切换验证1：CS1的GE1/0/0发生故障（shutdown模拟），CS1的VRRP状态由Master变为Backup；同时CS2的VRRP状态由Backup变为Master。同时在PC2上tracert PC1，查看流量传输路径。

此时当PC2访问PC1时，通过路由跟踪可以发现，数据通过CS2进行转发。

VRRP切换验证2：CS1的GE1/0/0故障恢复（undo shutdown模拟），CS1的VRRP状态由Backup恢复正常；同时CS2的VRRP状态由Master恢复正常。

当故障恢复时，在PC2访问PC1时，通过路由跟踪可以发现，数据转发路径恢复到CS1进行转发。

Tips：第二跳因为存在NAT，所以无法正常显示，工作中有这种情况可千万别以为网络中间节点有故障，可以注意一下！

MSTP验证1：在CS1的GE1/0/3接口使用Wireshark抓包分析。

通过抓包可以发现只有10.1.1.0/24的流量经过出CS1转发，20.1.1.0/24的流量经过其他设备转发。

MSTP验证2：在CS2的GE1/0/3接口使用Wireshark抓包分析。

通过抓包可以发现只有20.1.1.0/24的流量经过出CS2转发，10.1.1.0/24的流量经过其他设备转发。MSTP完成了流量的负载。

7.总结

本实验在配置完成后可以实现需求。在此实验中，由于VRRP处于TCP/IP模型的2.5层，所以此实验中的协议基本都是二层协议，对于网络协议的应用不多，只用到静态路由。由于拓扑有限，只能配置静态路由。后续我会专门出针对三大路由协议的专题文章，希望和大家一起探讨。

关键词：