CN1980230B - 对vrrp组进行管理的方法 - Google Patents

Abstract

本发明提供了一种对VRRP(虚拟路由器冗余协议)组进行管理的方法。该方法主要包括：首先，在主备设备上分别确定需要接受状态管理的多个VRRP组的信息，把这些VRRP组加入到VRRP管理组(VGMP组)VRRP成员中接受VRRP管理组的统一管理；然后，在主备设备之间通过VRRP管理组的消息的交互，统一管理所述主备设备上的多个VRRP成员组的状态信息，保证同一设备上的多个VRRP组的主备状态的一致性。因此，本发明可以保障对往返路径有一致性要求的业务可以在双机热备的组网中上下行都是交换机的情况下的可靠传送。同时，本发明的实现可以降低通过VRRP切换时延，满足VRRP进行路由备份时候的电信级承载网的需求。

Description

对VRRP组进行管理的方法 

技术领域

本发明涉及网络通信技术领域，尤其涉及一种对VRRP组进行管理的方法。 

背景技术

局域网作为终端接入网络是Internet的重要组成部分，其网络数量较大。局域网的可靠性，主要表现在连接两个局域网之间路由设备的可靠性，或者局域网访问外部网络的可靠性。因此，网间的可靠性技术成为一个局域网是否能可靠运行的关键。如图1所示，局域网通常是通过一台路由器访问Internet的小型网络，从图上可以明显地看出，该组网存在单点故障的问题。 

为解决上述组网中单一链路存在单点故障的问题，通常会采用如图2所示的组网形式，使用两台或多台路由器来接入Internet，这些路由器之间形成备份链路，在一台设备出现故障时可以通过备份链路进行通讯。这种接入组网在上下行设备都是路由设备的时候，可以通过动态路由协议进行很好的选路，保证接入的可靠性。 

然而，由于大部分企业网都是由局域网组成，而且在局域网中数量最多的主机是不支持动态路由协议的，无法和路由器交互信息，从而导致主机无法动态检测路由器的运行情况以及路由变化而进行自动路由切换。因此，这种组网在局域网的可靠性应用中，存在的问题很大。 

为此，IETF推出了VRRP(虚拟路由器冗余协议)解决局域网主机访问外部网络的问题，具体是将几台路由器组成一台虚拟的路由设备，并通过一 定的机制来给局域网内部提供透明的链路冗余以及路由冗余备份。 

所述的几个路由器组成一个虚拟路由器称为VRRP组，用于对局域网提供统一的虚拟IP地址以及该IP地址的虚拟MAC(媒体接入控制)地址，这样对于内部主机而言就只用设置一个网关，即VRRP的虚拟IP地址，只要组成虚拟路由器的这组路由器中有一个还能正常工作，便可以转发内部网络通过虚拟网关访问外部网络的报文，从而能够保证网络的正常运行。 

由于组成VRRP组的路由器之间能通过VRRP协议来协调解决各自的状态问题，使得虚拟IP对内部网络是透明的，因而，能保证局域网内部主机顺利地访问外部网络。 

下面将对VRRP协议的工作机制进行介绍说明。为便于对相应工作机制的理解，在此之前，首先需要介绍VRRP协议中涉及的几个概念。 

(1)VRRP组 

VRRP组是指配置了相同VRRP ID(VRRP标识)，具备相同虚拟地址，工作在同一个以太网广播域的一组路由器，由两个或两个以上的路由设备组成，VRRP组中有且仅有一台设备处于活动状态(Master)并承担报文转发任务，其余设备都处于备份状态，并随时按照优先级高低做好接替主用路由器的任务的准备； 

需要说明的是，由于Vlan技术能够隔离以太网的广播域，因此，属于同一个VRRP组的路由设备应该属于同一个Vlan，而不仅仅是物理上连接到同一个以太网； 

(2)VRRP ID 

VRRP ID是用来标识路由器属于哪个VRRP组的ID，在同一个以太网广播域具备相同的VRRP ID的设备属于同一个VRRP组； 

(3)虚拟地址 

虚拟IP地址，是VRRP组成员共用的IP地址，用于提供给转发下一跳， 用户应该保证属于同一VRRP的设备其虚拟IP地址的设置相同； 

虚拟MAC地址，是VRRP组成员根据VRRP ID生成的MAC地址，同一个VRRP组其生成的虚拟MAC地址必定相同； 

(4)VRRP组成员状态 

配置了VRRP组的路由设备后，相应的路由设备便成为该VRRP组的成员，其成员状态一般有三种： 

Initialize(初始化状态)，表示配置了VRRP的相应接口没有UP； 

Master(主状态)，表示该成员工作在转发报文的状态，处于该状态下的VRRP成员具有虚拟IP地址以及相应虚拟MAC地址，并转发以虚拟IP地址为下一跳的IP报文，并定时发送通告报文，通知Slave状态的设备保持侦听； 

Slave(从状态)，表示该成员工作在侦听状态，处于该状态下的成员侦听主设备的通告报文，如果在连续几个通告报文的时间内都没有收到通告报文则把自己变成主设备并转发报文； 

(5)VRRP组成员优先级 

每个VRRP组成员都具备一个成员优先级，从1到255；VRRP组根据成员优先级的高低来确定备份组成员的主从状态；由备份组中优先级最高的成员将成为Master。 

(6)以太网广播域 

是指在以太网中，广播报文能到达的地方，通常情况下这是逻辑上的概念，有别于以太网冲突域，后者更偏向于物理上的概念，比如，在交换机上的一个接口如果允许多个Vlan的话，则在该接口上有多个广播域，但是对于以太网技术而言这只能是一个冲突域，因为不同属于Vlan报文的物理信号在该链路上同样会相互干扰。 

下面将结合附图图对VRRP协议的工作机制作进行介绍说明。 

如图3所示，路由器RouteA/RouteB/RouteC属于同一个VRRP组，它们 具备相同的虚拟IP地址10.110.10.1，局域网内部的用户设置该虚拟IP地址为默认的网关。开始的时候RouteA是该VRRP组的主设备，该设备拥有虚拟IP地址转发IP报文并定时(通常是一秒)发送VRRP通告报文，RouteB和RouteC是从设备并侦听RouteA的通告报文。 

如果RouteA因为某种原因导致设备故障，或者是RouteA到内部网络的链路故障，导致RouteB和RouteC收不到VRRP通告报文，如果从设备在连续三个通告报文的时间间隔中都没有收到VRRP组设备的VRRP通告报文，则RouteB和RouteC会竞争成为主用路由器，最终有一台设备成为新的VRRP主设备并转发报文，基于图3发生VRRP主备切换后的实际组网图如图4所示。 

这样，对于由RouteA设备故障引起的切换，RouteA到Internet的链路自然就断了，此时从Internet返回的报文自然会通过RouteB或RouteC到达内网；对于由RouteA到达内部局域网的链路Down了，此时从Internet上回到内网的报文如果转发到RouteA的话，则可以通过配置动态路由协议通知上行设备切换路由，或者通过在路由器间转发来保证报文的正确转发。 

另外，对于RouteA没有出现故障，RouteA到内网的链路也没有问题，而是RouteA到Internet的链路出现问题的情况，如图5所示，则可以在各VRRP组成员中配置VRRP的Track interface(监视接口，如果被监视的接口状态发生变化会影响到VRRP的优先级)功能，比如，此处track上行接口，一旦上行接口down，则会发送消息通知到track该接口的各VRRP，接着VRRP会根据配置降低优先级，假设RouteA优先级降低30，此时另外的组成员会因为优先级高于当前主设备的优先级而抢占成为主，切换后的示意图如图6所示。 

VRRP协议这种能给局域网提供透明路由备份的特性，使得其在局域网的可靠性组网上获得了广泛的应用 

然而，VRRP协议虽然能够提供局域网的路由备份，但是在近年来的一 些新兴的组网环境中的应用则存在着很大的局限性，不能保证网络的正常运行。所述的新兴的组网环境包括：基于状态防火墙的可靠性组网、基于Nat网关的可靠性组网或基于Proxy(代理)服务器的可靠性组网。各组网环境都有一个共同的特点，就是对于一个具体的会话，严格要求该会话的来回路径一致，即来回的报文需要通过同一台设备。 

下面将以防火墙为例对这一特点进行说明。 

如图7所示，防火墙EudemonA和EudemonB使用了三个VRRP组来进行不同局域网的路由备份。由于各个VRRP组之间缺乏状态同步机制，因此，可能出现状态不一致情况；假设VRRP备份组1的Master是EudemonA，而VRRP备份组2的Master是EudemonB，则会导致Trust域(信任域，10.100.10.0网段)和Untrust域(不信任域，202.38.10.0网段)之间的网络中断。因为，从Trust域发起的到Untrust域的报文会通过防火墙EudemonA，当报文到达防火墙EudemonA时对于首报文而且规则允许其访问外网的话，则会在EudemonA上建立会话表并顺利通过防火墙而到达Untrust域，但是从Untrust域返回Trust域的报文，因为到达的是防火墙EudemonB，而该防火墙上没有相应的会话表信息，则将导致报文不能正确命中会话表项而被防火墙丢弃，从而导致网络中断。 

除状态防火墙外，所有这种与动态状态有关的网间设备，都因为其动态生成每会话的状态信息，而要求来回路径的一致，但是因为VRRP状态本身都是独立的，其状态只受其自己的配置以及VRRP组内成员的配置和状态的影响，因此，VRRP协议本身不能够提供各VRRP组之间的一致性，因而，也就无法保证要求来回路径一致的业务的可靠传送。 

另外，虽然可以通过配置Track Interface的功能来给相应的VRRP组之间建立一定的关联关系，但是相应带来的配置的复杂程度使得配置工作量过大，而且还无法保证VRRP状态的一致性。 

发明内容

本发明的目的是提供一种对VRRP组进行管理的方法，从而实现各个VRRP组之间的各路由器的状态的共知，以保证要求往返路径一致的业务的可靠传送。 

本发明的目的是通过以下技术方案实现的： 

本发明提供了一种对VRRP组进行管理的方法，包括： 

A、在主备设备上分别确定需要进行统一管理的多个虚拟路由器冗余协议VRRP成员，并对应建立用于对主用设备的各VRRP成员状态进行统一管理的主用VRRP成员组以及用于对备用设备的各VRRP成员状态进行统一管理的备用VRRP成员组； 

B、通过在主备设备之间进行状态管理消息的交互，将主备设备对应的主备用VRRP成员组各自包含的VRRP成员的状态保持一致。 

所述的步骤A包括： 

将主备设备上的多个VRRP成员组建成相应的VRRP管理组，当需要对主备设备中新增的VRRP成员进行统一管理时，则将其加入VRRP管理组中相应的VRRP成员组中。 

所述的步骤A包括： 

通过配置指定的方式将新的VRRP成员加入VRRP管理组中相应的VRRP成员组中。 

所述的步骤A包括： 

将主用设备的各VRRP成员作为VRRP管理组中的主用VRRP成员组； 

将备用设备的各VRRP成员作为VRRP管理组中的备用VRRP成员组。 

所述的步骤B包括： 

在主备设备上分别维护着统一管理的相应的VRRP成员组的状态信息，所述的状态信息根据主备设备之间交换的VRRP管理组的状态管理消息进行更新。 

所述的状态信息包括： 

主用状态、备用状态和初始状态。 

所述的VRRP成员状态管理消息包括： 

握手Hello消息和握手应答消息，用于宣告设备自身的状态； 

和/或， 

VRRP更新消息和VRRP更新应答消息，用于宣告设备中的VRRP成员的更新信息； 

和/或， 

VRRP成员组之间的协商消息和VRRP成员组之间的协商确认消息，用于在VRRP成员组之间协商相应的主备状态。 

所述的VRRP成员组之间的协商确认消息包括： 

VRRP成员组之间的协商肯定确认消息和VRRP成员组之间的协商否定确认消息。 

所述的步骤B包括： 

B1、在设备上，VRRP管理组中的VRRP成员组包含的各VRRP成员均为初始状态，当任一个VRRP成员不再是初始状态时，则将该VRRP成员组的各VRRP成员均设置为备用状态； 

B2、当VRRP管理组中的该VRRP成员组在预定个数的握手报文周期内没有收到握手报文时，则VRRP成员组的状态变为主用，并将各VRRP成员均切换为主用状态。 

所述的步骤B还包括： 

B3、VRRP管理组中的主用状态的VRRP成员组定时发送握手报文，并在接收到VRRP管理组中的备用VRRP成员组返回的握手响应消息后同步VRRP成员的状态信息。 

所述的步骤B还包括： 

B4、当VRRP管理组所管理的VRRP成员组有状态改变请求时，则触发与备用VRRP成员组或主用VRRP成员组进行协商，协商出新的主用VRRP成员组。 

所述的步骤B包括： 

B5、设备中的主用VRRP成员组的状态发生改变时，则通知备用VRRP成员组切换为主用状态。 

所述的方法还包括： 

VRRP成员组的状态可以根据VRRP管理组的管理操作而改变。 

由上述本发明提供的技术方案可以看出，本发明通过采用全新的VGMP协议对设备上多个VRRP组进行管理，保证了多个VRRP组状态一致，即各个VRRP组中的状态的改变其他VRRP组可以获知。 

因此，本发明可以使得对来回路径有一致性要求的业务可以在网络中可靠传送。同时，本发明的实现可以降低通过VRRP切换时延，满足VRRP进行路由备份时候的电信级承载网的需求。另外，本发明提供的方法可以减少具备多个VRRP组的设备之间的VRRP健康度检查报文的交互，从而降低系统开销，提高通信性能。 

附图说明

图1为局域网接入互联网的结构示意图； 

图2为采用多条链路备份的组网结构示意图； 

图3为采用VRRP协议进行多链路备份的组网结构示意图； 

图4为图3中发生切换后的组网结构示意图； 

图5为上行链路出现故障时的多链路备份的组网结构示意图； 

图6为图5中发生切换后的组网结构示意图； 

图7为包括防火墙的基于VRRP协议的组网结构示意图； 

图8为本发明的应用实例示意图； 

图9为管理模式的工作原理示意图； 

图10为监控模式的工作原理示意图。 

具体实施方式

本发明主要针对这种与动态状态相关的双机(多机)备份的可靠性局域网组网应用中存在的问题，提出了一个在局域网中保证相关VRRP组状态一致的技术。该技术通过确保组网中多个VRRP备份组状态的一致性，来解决类似防火墙/Nat网关等这种严格要求IP报文来回路径一致的双机热备设备在组网应用中VRRP状态不一致问题。 

下面将对本发明的具体实现进行说明。 

由于本发明提出了一种全新的VRRP组管理方式，因此，本发明的实现需要对现有的VRRP协议进行扩展，提出一种新的协议，为描述方便可以称该协议为VGMP(VRRP Group Management Protocol，VRRP组管理协议)，下面将结果相应的VGMP协议框架对本发明进行说明。 

所述的VGMP用于协调和管理主备用设备中的VRRP成员状态的一致性。在实际组网应用中只需要将需要管理的VRRP成员加入到VGMP组(即VRRP管理组)，则VGMP就能保证在设备中的组内成员状态的一致性。 

如图8所示，图中的围绕防火墙的虚线便为配置的VGMP组，同一VGMP组所管理的VRRP成员组分别处于主用状态(称为主用VRRP成员组)和备用状态(称为备用VRRP成员组)，所述的主用VRRP成员组用于对主用设备的各VRRP成员状态进行统一管理，备用VRRP成员组用于对备用设备的各VRRP成员的状态进行统一管理。 

只要将主备设备所有的需要保持相同状态的VRRP成员(同一设备上可 能会有多个VGMP组其各自管理着状态相同的VRRP成员组)加入一个VGMP组，就可以由VGMP组来负责协调所有的VRRP成员的状态管理。在主备设备之间启动VGMP协议进行VRRP成员状态管理消息的交互(或称为VGMP消息)，从而加速状态的维护和切换。 

本发明中，为便于对VRRP管理组的管理，便为VRRP管理组中运行VGMP的实例(即一台设备中的一个VGMP)有三个基本状态： 

(1)Master(主用状态)：VGMP信息组为主的状态； 

(2)Slave(备用状态)：VGMP信息组为从的状态； 

(3)Initialize(初始化状态)：VGMP信息组为初始化的状态。 

所述的VGMP的实例为一个设备中的一个VRRP成员组，可以为主用成员组或备用VRRP成员组，同一个设备中可能会有多个属于不同VRRP管理组的VRRP成员组；但是，需要说明的是，同一设备中的同一VRRP成员组中包含的各个VRRP成员的状态应一致，这也是本发明实现的基本要求。 

本发明中，还定义了以下的VRRP成员状态管理消息用于在各个VGMP组包含的各个VGMP实例之间进行状态信息的交互，从而进行各VRRP组的状态的统一管理，各消息分别如下： 

1、Hello消息，即握手消息，用于宣告发送该消息的路由器自身的状态信息，并附带其所管理的所有的VRRP成员的状态信息； 

2、Hello Replay消息，即握手消息的应答消息，用于对接收到的hello消息的应答，并附带其所管理的所有的VRRP成员的状态信息； 

3、Vrrp change消息，即VRRP更新消息，用于携带其所管理的VRRP成员的状态变化消息，用于触发对方响应，可以加速对方VRRP成员的状态切换操作； 

4、Vrrp change replay消息，即VRRP更新响应消息，用于响应Vrrp change消息； 

5、Vgmp change req消息，即VRRP成员组之间协商消息，用于运行vgmp协议的主备设备之间进行vgmp的主备状态协商； 

6、Vgmp change ack消息，即VRRP成员组之间的协商响应消息，用于Vgmp change req消息的肯定响应； 

7、Vgmp change nack消息，用于Vgmp change req消息的否定响应。 

在主备设备之间进行上述各消息的交互过程中，VGMP主备之间可以选用任何接口进行通讯，本发明不作限定。 

上述各消息对应的VGMP报文中通常包含如下基本内容： 

(1)VGMP报文头、以及版本号，报文长度； 

(2)VGMP报文所携带的各VRRP组成员数量，所述的VRRP成员包括：VRRP标识、VRRP当前状态，其中，所述的VRRP标识用于表示VGMP管理的VRRP成员以及相关成员标识和状态信息，通常可以采用接口ID(标识)和VRRP ID表示。 

所述报文中通过承载上述信息在不同的VRRP成员组所在的设备之间进行交互，从而实现主备设备对应的主备用VRRP成员组各自包含的VRRP成员的状态的一致性，从而实现本发明的目的。 

基于上述定义的VRRP成员状态管理消息，本发明中具体可以采用的VGMP的工作模式包括管理模式和监控模式两种，下面将分别进行说明。 

(一)管理模式： 

用于维护VRRP管理组管理的各个VRRP成员组的状态的一致性，即保证VGMP管理的主用或备用设备上所有VRRP成员都处于同一状态，即Master状态或非Master状态(即Slave状态和Initialize状态)； 

管理模式下对应如下几条VRRP成员状态管理消息： 

Hello消息和Hello Replay消息，以及，Vgmp change req消息，Vgmpchange ack消息和Vgmp change nack消息。 

通过以上各条消息便可以维护VRRP管理组中各个VRRP成员组中VRRP成员的状态的一致性。 

在实际应用中，可以通过VGMP的优先级来灵活控制VRRP管理组中的VRRP成员组的状态，如VGMP优先级高的VRRP成员组为Master，其管理的VRRP成员状态也为Master，不过也允许其管理的VRRP成员中的状态为Initialize。 

在管理模式下，VRRP管理组可以保证其管理的所有VRRP成员的状态一致，所述的管理模式的工作原理结合图9描述如下： 

步骤91：VGMP组中的VRRP成员组的初始状态Initialize，处于Initialize的VRRP管理组发现其所管理的VRRP成员组中有一个VRRP成员的状态为非Initialize(Master或Slave)则将自己切换成Slave； 

步骤92：VRRP成员组的状态为Slave的设备收到Hello报文，并同步VRRP状态信息后，并发送Hello replay报文到主设备； 

步骤93：如果确定三个hello报文周期没有收到hello报文，则确定处于主用状态的VRRP成员组出现问题，无法正常工作，此时，需要将自己的状态切换成Master，同时将其管理的所有VRRP成员状态切换成Master； 

步骤94：VRRP成员组状态为Master的设备定时发送Hello报文，在接收Hello replay报文后同步VRRP成员的状态。 

步骤95：当VRRP成员组所在设备上的VRRP成员状态发生变化时，则进行VGMP协商，协商出新的主用VRRP成员组，具体包括： 

当VRRP成员组状态为Master的设备上出现VRRP成员的状态因为接口Down(去激活)而改变的话，则触发与VRRP成员组状态为Slave的设备协商，具体为通过发送VGMP changereq消息和VGMP changeack或VGMP changenack消息进行协商，并协商出新的VRRP成员组为主用状态的设备； 

同样，如果VRRP成员组状态为Slave的设备出现VRRP成员的状态因为接口Up(激活)而改变的话，则触发与VRRP成员组状态为Master的设备的协商，并协商出新的VRRP成员组为主用状态的设备。 

本发明中，VRRP成员组状态为Master的设备，保证其管理的VRRP成员的状态都是Master，因接口down而变成Initialize的除外。同样，VRRP成员组状态为Slave的设备，保证其管理的VRRP成员状态都是非Master。 

可以看出，本发明通过上述处理可以保证同一台设备上的VRRP成员状态的一致，从而保证了所述防火墙中的各VRRP成员状态一致性的问题 

(二)监控模式： 

在该模式下，用于维护两台设备之间的VRRP成员组关系，触发VRRP成员组的状态更新，如某VRRP成员状态为主接口down之后，VRRP成员组可以立即发出相应的消息将对方设备上对应的VRRP成员组的状态切换成主，从而缩短VRRP成员组的主备切换时延。 

在该模式下，还可以方便地对具有多VRRP设备进行健康度检查，可以有效提高VRRP组切换效率。假设主备两台设备具备很多VRRP组时，在IP骨干网进行电信级承载的时候要求切换时间小于1秒，如果修改VRRP通告报文的时延来进行健康度检查的话，势必产生大量的VRRP报文，加重系统负担。此时通过VRRP成员状态管理消息，即VGMP报文来进行健康度检查的话就可以大大减少系统负担。 

所述的监控模式下对应如下几种VRRP成员状态管理消息： 

Hello消息和Hello Replay消息，以及，Vrrp change消息和Vrrp changereplay消息。 

在监控模式下，VRRP管理组监控用于触发VRRP成员的状态更新，并不 需要保证其管理的VRRP成员的状态的一致性，所述的监控模式的工作原理如图10所示，具体包括： 

步骤101：VRRP成员组状态初始为Initialize； 

处于Initialize的VGMP发现其所管理的VRRP中有一个VRRP的状态为非Initialize(Master或Slave)则将自己切换成Slave； 

步骤102：VRRP成员组状态为Slave的设备收到Hello报文后同步VRRP状态信息后，发送Hello replay报文到主设备； 

步骤103：当处于备用状态的VRRP成员组所在的设备确定三个hello报文周期没有收到hello报文，则将自己的状态切换成Master，同时将其管理的所有VRRP成员的状态切换成Master； 

步骤104：VRRP成员组状态为Master的设备定时发送Hello报文，在接收Hello replay报文后同步VRRP状态信息。 

对于处于监控模式下的VGMP状态不会发生切换(管理模式下VGMP状态是会发生切换的)，他只控制其下的VRRP状态的切换，其用途之一是VRRP状态的触发更新，如果一边配置了VRRP的接口故障，按以前的处理机制VRRP从设备需要等三秒超时才可以进行切换，但是按现在的机制由VGMP将VRRP的状态通知对方(无论是主还是从)对方就会将相对应接口的VRRP状态切换成主，即可以实时触发某个VRRP成员的状态更新(只更新单个状态)，还有就是可以利用VGMP的hello机制进行设备心跳检查，可以克服VRRP最短三秒的限制。 

本发明中，任何VRRP成员组状态所在的设备如果有处于Master状态的VRRP成员因为接口Down而改变的话，则通知对方设备将相应的VRRP成员组的状态切换成Master。 

通过上述原理，可以缩短在用VRRP组进行路由备份时候各个VRRP路由器之间的切换时延；同时，通过VRRP成员状态管理消息报文进行健康度检 查，可以有效降低系统的开销。 

为便于对本发明的理解，下面将结合附图对本发明的具体应用实例进行说明，仍如图8所示，仍以状态防火墙的应用为例进行说明。 

如图8所示，防火墙的三个接口分别接Trust区、Untrust区、DMZ(隔离区)区，并都使用VRRP协议来进行备份，共有三个VRRP组，前面已经介绍过状态防火墙对会话的特殊要求，因此，要求在这个组网中主用防火墙上的所有VRRP的状态都是主，备用防火墙上的所有VRRP状态都是备。本发明的实现目的正是为了保证各接口VRRP成员状态的一致性。 

本发明适用于对于来回路径严格要求的设备，例如状态防火墙、NAT(网络地址转换)设备、Proxy(代理)设备、应用网关，等等，通过本发明可以有效保证相应设备的上下行的VRRP成员状态的一致性，从而保证了上下行报文都过同一台设备，即满足来回路径一致的要求。 

同时，本发明还可以在所述设备中实现相应的VRRP成员状态的快速倒换，以前当接口故障时对方设备需要等3秒超时才能进行切换，通过采用本发明之后，当接口down(去激活)时，能被相应的设备迅速感知，并通知对方设备进行切换处理，相应的切换时延可以缩短到100ms，从而可以满足电信级的要求。 

在实际应用过程中，如图8所示，防火墙的三个接口分别接Trust区、Untrust区、DMZ区，并都使用VRRP协议来进行备份，一共是三个VRRP组。为便于对各个VRRP组的管理，首先，在防火墙上将配置的三个VRRP组的VRRP成员都加入到同一个VRRP管理组，作为VRRP管理组中的一个VRRP成员组，假设防火墙EudemonA上的VRRP成员组的状态为Master，防火墙EudemonB上的VRRP成员组的状态为备用状态。 

基于上述配置，当防护墙上某一链路出现问题，例如图中的A1链路出现故障，则该消息会通过VGMP的数据通道通知其备份组，然后发生统一的状 态切换，EudemonA上所有的VRRP成员都将切换成备用状态，EudemonB上所有的VRRP上则都变换成主用状态，这样，来回的报文都会转发到EudemonB上从而保证了来回路径的一致性。 

由于链路状态能够及时被检测和处理，使得链路故障的响应时间大为缩短，在实际应用中能在1秒之内发生切换，其响应时间要小于VRRP故障检测机制中的三个通告报文所需要的时间。从而极大地提高了故障响应速度。 

综上所述，本发明通过采用VRRP管理组，即通过VGMP协议对设备上多个VRRP组进行管理，从而使得在网络中对来回路径有一致性要求的设备上，能够保证多个VRRP组状态一致性要求。而且，本发明还可以降低VRRP切换时延，满足VRRP进行路由备份时候的电信级承载网的需求；同时，本发明还可以减少具备多个VRRP组的设备之间的VRRP健康度检查报文量，从而降低系统的开销。 

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。 

Claims (12)

1.一种对VRRP组进行管理的方法，其特征在于，包括：

A、在主备设备上分别确定需要进行统一管理的多个虚拟路由器冗余协议VRRP成员，并对应建立用于对主用设备上各VRRP成员状态进行统一管理的主用VRRP成员组以及用于对备用设备上各VRRP成员状态进行统一管理的备用VRRP成员组；

B、通过在主备设备之间进行状态管理消息的交互，将主备设备对应的主备用VRRP成员组各自包含的VRRP成员的状态保持一致。

2.根据权利要求1所述的对VRRP组进行管理的方法，其特征在于，所述的步骤A包括：

将主备设备上的多个VRRP成员组建成相应的VRRP管理组，当需要对主备设备中新增的VRRP成员进行统一管理时，则将其加入VRRP管理组中相应的VRRP成员组中。

3.根据权利要求2所述的对VRRP组进行管理的方法，其特征在于，所述的步骤A包括：

通过配置指定的方式将新的VRRP成员加入VRRP管理组中相应的VRRP成员组中。

4.根据权利要求2所述的对VRRP组进行管理的方法，其特征在于，所述的步骤A包括：

将主用设备的各VRRP成员作为VRRP管理组中的主用VRRP成员组；

将备用设备的各VRRP成员作为VRRP管理组中的备用VRRP成员组。

5.根据权利要求1至4任一项所述的对VRRP组进行管理的方法，其特征在于，所述的步骤B包括：

在主备设备上分别维护着统一管理的相应的VRRP成员组的状态信息，所述的状态信息根据主备设备之间交换的VRRP管理组的VRRP成员状态管理消息进行更新。

6.根据权利要求5所述的对VRRP组进行管理的方法，其特征在于，所述的状态信息包括：

主用状态、备用状态和初始状态。

7.根据权利要求6所述的对VRRP组进行管理的方法，其特征在于，所述的VRRP成员状态管理消息包括：

握手Hello消息和握手应答消息，用于宣告设备自身的状态；

和/或，

VRRP更新消息和VRRP更新应答消息，用于宣告设备中的VRRP成员的更新信息；

和/或，

VRRP成员组之间的协商消息和VRRP成员组之间的协商确认消息，用于在VRRP成员组之间协商相应的主备状态。

8.根据权利要求7所述的对VRRP组进行管理的方法，其特征在于，所述的VRRP成员组之间的协商确认消息包括：

VRRP成员组之间的协商肯定确认消息和VRRP成员组之间的协商否定确认消息。

9.根据权利要求7所述的对VRRP组进行管理的方法，其特征在于，所述的步骤B包括：

B1、在设备上，VRRP管理组中的VRRP成员组包含的各VRRP成员均为初始状态，当任一个VRRP成员不再是初始状态时，则将该VRRP成员组的各VRRP成员均设置为备用状态；

B2、当VRRP管理组中的该VRRP成员组在预定个数的握手报文周期内没有收到握手报文时，则VRRP成员组的状态变为主用，并将各VRRP成员均切换为主用状态。

10.根据权利要求9所述的对VRRP组进行管理的方法，其特征在于，所述的步骤B还包括：

B3、VRRP管理组中的主用状态的VRRP成员组定时发送握手报文，并在接收到VRRP管理组中的备用VRRP成员组返回的握手响应消息后同步VRRP成员的状态信息。

11.根据权利要求9所述的对VRRP组进行管理的方法，其特征在于，所述的步骤B还包括：

B4、当VRRP管理组所管理的VRRP成员组有状态改变请求时，则触发与备用VRRP成员组或主用VRRP成员组进行协商，协商出新的主用VRRP成员组。

12.根据权利要求7所述的对VRRP组进行管理的方法，其特征在于，所述的步骤B包括：

B5、设备中的主用VRRP成员组的状态发生改变时，则通知备用VRRP成员组切换为主用状态。

Images