Entendendo o VRRP

Diferenças de VRRP nos sistemas QFabric

A configuração de servidores em sua rede com rotas estáticas para um gateway padrão minimiza o esforço e a complexidade da configuração e reduz a sobrecarga de processamento. No entanto, uma falha no gateway padrão normalmente resulta em um evento catastrófico, isolando os servidores. O uso do Protocolo de redundância de roteador virtual (VRRP) permite que você forneça gateways alternativos dinamicamente para servidores se o gateway principal falhar.

Os switches configurados com VRRP compartilham um endereço IP virtual (VIP), que é o endereço que você configura como a rota padrão nos servidores. Na operação VRRP normal, um dos switches é o principal VRRP, o que significa que ele é dono do VIP e é o gateway padrão ativo. Os outros dispositivos são backups. Os switches atribuem dinamicamente funções primárias e de backup com base nas prioridades que você configura. Se o principal falhar, o switch de backup com a mais alta prioridade se tornará o principal e assumirá a propriedade do VIP em poucos segundos. Isso é feito sem qualquer interação com os servidores.

Você pode configurar dois sistemas QFabric para participar em uma configuração VRRP como se fossem dois switches autônomos. No entanto, na operação VRRP normal, apenas um sistema pode ser o principal para um determinado grupo VRRP a qualquer momento, o que significa que apenas um sistema pode agir como um gateway padrão usando o VIP configurado para o grupo. Ao executar VRRP em dois sistemas QFabric, você pode querer que ambos os sistemas usem simultaneamente o VIP para agir como um gateway e encaminhar tráfego. Para isso, você pode configurar um filtro de firewall para bloquear os pacotes de anúncio VRRP entre os sistemas QFabric no link entre os dois grupos de nós de rede. Quando você faz isso, ambos os sistemas QFabric agem como tráfego primário e avançado recebido pelo VIP (que é o endereço de gateway padrão que você configura em servidores conectados a ambos os sistemas QFabric). Se você usar o vMotion do VMware, essa configuração permite que as máquinas virtuais façam a transição entre servidores conectados aos sistemas QFabric sem atualizar suas informações padrão do gateway. Por exemplo, uma máquina virtual em execução em um servidor conectado a um sistema QFabric no data center A pode fazer a transição para um servidor conectado a um sistema QFabric no data center B sem precisar resolver um novo endereço IP de gateway e endereço MAC porque ambos os sistemas QFabric usam o mesmo VIP.

Detalhes da configuração

Configurar um grupo VRRP em dois sistemas QFabric é semelhante à configuração de VRRP em dois switches. As principais diferenças estão listadas aqui:

• Todas as interfaces em ambos os sistemas QFabric que participam do VRRP devem ser membros da mesma VLAN.

• Você deve criar interfaces VLAN (RVIs) roteadas nesse VLAN em ambos os sistemas QFabric.

• Os endereços IP que você atribui a ambas as RVIs devem estar na mesma sub-rede.

• Você deve configurar VRRP nas RVIs.

• Ambos os RVIs devem ser membros do mesmo grupo VRRP. É isso que permite que os dois sistemas QFabric compartilhem um endereço IP virtual.

As tabelas a seguir listam os elementos de um exemplo de configuração VRRP em execução em dois sistemas QFabric— o sistema QFabric A e o sistema QFabric B. Este exemplo está configurado para que ambos os sistemas QFabric atuem como o VRRP principal para VIP 10.1.1.50/24 e assume que um filtro de firewall bloqueia os anúncios VRRP entre os sistemas. A Tabela 1 lista as características necessárias das RVIs na configuração de exemplo.

Você deve configurar VRRP nas RVIs em ambos os sistemas QFabric. A Tabela 2 lista os elementos de uma configuração VRRP de amostra em cada RVI. Observe que, com exceção da prioridade, os parâmetros devem ser os mesmos em ambos os sistemas.

A Tabela 3 lista todas as interfaces no sistema QFabric A na configuração de exemplo e identifica com o que elas se conectam.

A Tabela 4 lista todas as interfaces do sistema QFabric B na configuração de exemplo e identifica com o que elas se conectam.

Suporte para o Junos OS VRRP

Em versões anteriores à versão 12.2, o Junos OS suportava RFC 3768, Virtual Router Redundância Protocol (VRRP) (para IPv4) e o draft de Internet draft-ietf-vrrp-ipv6-spec-08, protocolo de redundância de roteador virtual para IPv6.

O VRRPv3 não é suportado em roteadores que usam versões antes do Junos OS Release 12.2 e também não tem suporte para IPv6 em switches QFX10000.

A partir do lançamento 12.2, o Junos OS oferece suporte:

• RFC 3768, Protocolo de redundância de roteador virtual (VRRP)

• RFC 5798, Protocolo de redundância de roteador virtual (VRRP) Versão 3 para IPv4 e IPv6

• RFC 6527, Definições de objetos gerenciados para protocolo de redundância de roteador virtual Versão 3 (VRRPv3)

Diferenças de comportamento do IPv6 VRRP Checksum

Você deve considerar as seguintes diferenças de checksum ao habilitar redes VRRP IPv6:

• Em versões anteriores ao Junos OS Release 12.2, quando o VRRP para IPv6 é configurado, o checksum VRRP é calculado de acordo com a seção 5.3.8 do RFC 3768, Protocolo de redundância de roteador virtual (VRRP).

• Começando pelo Junos OS Release 12.2, quando o VRRP para IPv6 é configurado, independentemente de o VRRPv3 ser habilitado ou não, o checksum VRRP é calculado de acordo com a seção 5.2.8 do RFC 5798, protocolo de redundância de roteador virtual (VRRP) Versão 3 para IPv4 e IPv6.

  Além disso, o pseudoheader só é incluído no cálculo do checksum VRRP IPv6. O pseudoheader não está incluído no cálculo do checksum VRRP IPv4.

  Para tornar o roteador com o Junos OS Release 12.2 (ou posteriores versões do Junos OS) O IPv6 VRRP interopera com o roteador executando uma versão Junos OS antes do lançamento 12.2, inclua a checksum-without-pseudoheader declaração de configuração no [edit protocols vrrp] nível hierárquico no roteador que executa o Junos OS Release 12.2 ou posterior.

• O tcpdump utilitário no Junos OS Release 12.2 e posteriormente calcula o checksum VRRP de acordo com RFC 5798, Virtual Router Redundância Protocol (VRRP) Versão 3 para IPv4 e IPv6. Portanto, quando tcpdump analisa os pacotes IPv6 VRRP que são recebidos de versões mais antigas do Junos OS (antes do Junos OS Release 12.2), a bad vrrp cksum mensagem é exibida:

  Você pode ignorar essa mensagem porque ela não indica falha de VRRP.

Interoperabilidade VRRP

Em versões anteriores ao Junos OS Release 12.2, VRRP (IPv6) seguiu o draft da Internet draft-ietf-vrrp-ipv6-spec-08, mas o checksum foi calculado com base na seção 5.3.8 do RFC 3768. Começando com a versão 12.2, VRRP (IPv6) segue RFC 5798 e checksum é calculado com base na seção RFC 5798 5.2.8. Devido às diferenças nos cálculos de checksum VRRP, o IPv6 VRRP configurado em roteadores que usam o Junos OS Release 12.2 e versões posteriores não interopera com o IPv6 VRRP configurado em lançamentos antes do Junos OS Release 12.2.

Para fazer o roteador com o Junos OS Release 12.2 (ou posteriores versões do Junos OS) O IPv6 VRRP interopera com o roteador que executa versões Junos OS antes do Lançamento 12.2, inclua a checksum-without-pseudoheader declaração de configuração no nível de hierarquia no [edit protocols vrrp] roteador com o Junos OS Release 12.2 ou posterior.

Aqui estão alguns pontos gerais para saber sobre a interoperabilidade do VRRP:

• Se você tiver configurado VRRPv3 (IPv4 ou IPv6) em roteadores que usam o Junos OS Release 12.2 ou versões posteriores, ele não operará com roteadores que usam o Junos OS Release 12.1 ou versões anteriores. Isso porque apenas o Junos OS Release 12.2 e versões posteriores oferecem suporte ao VRRPv3.

• VRRP (IPv4 ou IPv6) configurado em roteadores que usam o Junos OS Release 12.2 e versões posteriores interoperam com VRRP (IPv4 ou IPv6) configurados em roteadores que usam versões antes do Junos OS Release 12.2.

• O VRRPv3 para IPv4 não opera com as versões anteriores do VRRP. Se os pacotes de anúncio VRRPv2 IPv4 forem recebidos por um roteador no qual o VRRPv3 está habilitado, o roteador faz a transição para o estado de backup para evitar criar várias primárias na rede. Devido a esse comportamento, você deve ser cauteloso ao habilitar o VRRPv3 em suas redes VRRPv2 existentes. Veja atualização do VRRPv2 para VRRPv3 para obter mais informações.

  Nota:

  Os pacotes de anúncio VRRPv3 são ignorados pelos roteadores em que versões anteriores do VRRP estão configuradas.

Atualização do VRRPv2 para VRRPv3

Habilite o VRRPv3 em sua rede apenas se o VRRPv3 puder ser habilitado em todos os roteadores VRRP em sua rede.

Habilite o VRRPv3 em sua rede VRRPv2 apenas quando estiver atualizando do VRRPv2 para VRRPv3. Misturar as duas versões do VRRP não é uma solução permanente.

A atualização do VRRPv2 para VRRPv3 deve ser feita com muito cuidado para evitar perda de tráfego, devido a essas considerações:

• Não é possível configurar o VRRPv3 em todos os roteadores simultaneamente.

• Durante o período de transição, ambos VRRPv2 e VRRPv3 operam na rede.

• A mudança das versões VRRP reinicia a máquina de estado para todos os grupos VRRP.

• Os roteadores VRRPv3 (para IPv4) ficam inadimplentes com o estado de backup quando recebem pacotes de anúncio VRRPv2 (para IPv4).

• Os pacotes VRRPv2 (para IPv4) sempre recebem a maior prioridade.

• Diferenças de checksum entre VRRPv2 e VRRPv3 (para IPv6) podem criar vários roteadores primários.

  Desativar o VRRPv3 (para IPv6) nos roteadores de backup enquanto atualiza para evitar a criação de vários roteadores primários.

A Tabela 5 ilustra os passos e eventos que ocorrem durante uma transição VRRPv2 para VRRPv3. Na Tabela 5, dois roteadores VRRPv2, R1 e R2, estão configurados em dois grupos, G1 e G2. O roteador R1 atua como o principal para o G1, e o Roteador R2 atua como o principal para o G2.

Ao habilitar o VRRPv3, certifique-se de que o VRRPv3 esteja habilitado em todos os roteadores VRRP da rede porque o VRRPv3 (IPv4) não interopera com as versões anteriores do VRRP. Por exemplo, se os pacotes de anúncio VRRPv2 IPv4 forem recebidos por um roteador no qual o VRRPv3 é habilitado, o roteador faz a transição para o estado de backup para evitar criar várias primárias na rede.

Você pode habilitar o VRRPv3 configurando a version-3 declaração no nível de [edit protocols vrrp] hierarquia (para redes IPv4 ou IPv6). Configure a mesma versão de protocolo em todos os roteadores VRRP na LAN.

Funcionalidade dos recursos VRRPv3

Alguns recursos do Junos OS diferem em VRRPv3 das versões VRRP anteriores.

• Autenticação VRRPv3
• Intervalos de anúncio do VRRPv3
• ISSU unificado para VRRPv3

Quando o atraso no failover não estiver configurado

Sem configuração de atraso no failover, a sequência de eventos para sessões VRRP operadas a partir do Mecanismo de Roteamento é a seguinte:

1. Quando o primeiro grupo VRRP detectado pelo Mecanismo de Roteamento muda de estado, e o novo estado é primário, o Mecanismo de Roteamento gera mensagens de anúncio VRRP apropriadas. O Mecanismo de encaminhamento de pacotes é informado sobre a mudança de estado, de modo que os filtros de hardware para esse grupo sejam reprogramados sem demora. A nova primária então envia uma mensagem ARP gratuita para os grupos VRRP.

2. O atraso no timer de failover começa. Por padrão, o tempor de atraso de failover é:

   • 500 milisegundos — quando o intervalo de anúncio vrRP configurado é inferior a 1 segundo.

   • 2 segundos — quando o intervalo de anúncio vrRP configurado é de 1 segundo ou mais, e o número total de grupos VRRP no roteador é de 255.

   • 10 segundos — quando o intervalo de anúncio vrRP configurado é de 1 segundo ou mais, e o número de grupos VRRP no roteador é superior a 255.

3. O Mecanismo de Roteamento realiza mudanças de estado um a um para grupos VRRP subsequentes. Toda vez que há uma mudança de estado, e o novo estado para um determinado grupo VRRP é primário, o Mecanismo de Roteamento gera mensagens de anúncio VRRP apropriadas. No entanto, a comunicação em direção ao Mecanismo de encaminhamento de pacotes é suprimida até que o temporizador de atraso de failover expira.

4. Após o término do temporização de atraso no failover, o Mecanismo de Roteamento envia uma mensagem ao Mecanismo de encaminhamento de pacotes sobre todos os grupos VRRP que conseguiram mudar o estado. Como conseqüência, os filtros de hardware para esses grupos são reprogramados, e para aqueles grupos cujo novo estado é primário, mensagens ARP gratuitas são enviadas.

Esse processo se repete até que a transição de estado para todos os grupos VRRP esteja concluída.

Assim, sem configurar o failover-delay, a transição completa do estado (incluindo estados no Mecanismo de Roteamento e no Mecanismo de encaminhamento de pacotes) para o primeiro grupo VRRP é realizada imediatamente, enquanto a transição de estado no Mecanismo de encaminhamento de pacotes para grupos VRRP restantes é adiada em pelo menos 0,5-10 segundos, dependendo dos temporizadores de anúncio VRRP configurados e do número de grupos VRRP. Durante este estado intermediário, o tráfego recebido para grupos VRRP para mudanças de estado que ainda não foram concluídas no Mecanismo de encaminhamento de pacotes pode ser descartado no nível do Mecanismo de encaminhamento de pacotes devido à reconfiguração diferida dos filtros de hardware.

Quando o atraso de falha é configurado

Quando o failover-delay é configurado, a sequência de eventos para sessões VRRP operadas a partir do Mecanismo de Roteamento é modificada da seguinte forma:

1. O Mecanismo de Roteamento detecta que alguns grupos VRRP exigem uma mudança de estado.

2. O atraso no failover começa para o período configurado. O intervalo de temporizador de atraso de failover permitido é de 50 a 100000 miliseconds.

3. O Mecanismo de Roteamento realiza mudanças de estado um a um para os grupos VRRP. Toda vez que há uma mudança de estado, e o novo estado para um determinado grupo VRRP é primário, o Mecanismo de Roteamento gera mensagens de anúncio VRRP apropriadas. No entanto, a comunicação em direção ao Mecanismo de encaminhamento de pacotes é suprimida até que o temporizador de atraso de failover expira.

4. Após o término do temporização de atraso no failover, o Mecanismo de Roteamento envia uma mensagem ao Mecanismo de encaminhamento de pacotes sobre todos os grupos VRRP que conseguiram mudar o estado. Como conseqüência, os filtros de hardware para esses grupos são reprogramados, e para aqueles grupos cujo novo estado é primário, mensagens ARP gratuitas são enviadas.

Esse processo se repete até que a transição de estado para todos os grupos VRRP esteja concluída.

Assim, quando o atraso no failover é configurado, até mesmo o estado do Mecanismo de encaminhamento de pacotes para o primeiro grupo VRRP é adiado. No entanto, a operadora de rede tem a vantagem de configurar um valor de atraso de failover que melhor se adequa à necessidade da implantação da rede para garantir uma interrupção mínima durante a mudança de estado do VRRP.

o failover-delay influencia apenas as sessões VRRP operadas pelo processo VRRP (vrrpd) em execução no Mecanismo de Roteamento. Para sessões de VRRP distribuídas ao Mecanismo de encaminhamento de pacotes, a configuração de atraso no failover não surtiu efeito.