出口双网关怎么排出一主一备？华为VRRP备份组基础四条命令

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

办公网出口想消除单点故障，常见的做法是两台网关设备双归属接入：终端的流量平时全走第一台，它挂了第二台自动顶上，第一台修好后再切回来。这套一主一备自动接替就是VRRP主备备份——两台设备共同虚拟出一个网关IP，主设备负责转发，备设备监听待命，终端网关地址从头到尾不用变。

先说一个前置铁律：两台设备的对接接口IP必须在同一网段，备份组才能建起来。底层用OSPF把上层网络打通，之后的核心配置只在用户网关接口下进行，一共四条命令。

主设备（DeviceA）侧，创建备份组、指定虚拟IP，配MD5认证防伪造报文，把优先级抬到120成为Master，并设20秒抢占延迟：

[DeviceA] interface 10ge 0/0/3
[DeviceA-10GE0/0/3] vrrp vrid 1 virtual-ip 10.1.1.111
[DeviceA-10GE0/0/3] vrrp vrid 1 authentication-mode md5 YsH_2022
[DeviceA-10GE0/0/3] vrrp vrid 1 priority 120
[DeviceA-10GE0/0/3] vrrp vrid 1 preempt timer delay 20
[DeviceA-10GE0/0/3] quit

备设备（DeviceB）侧，同样创建备份组1、同一个虚拟IP、同一个认证字，优先级保持缺省100当Backup：

[DeviceB] interface 10ge 0/0/3
[DeviceB-10GE0/0/3] vrrp vrid 1 virtual-ip 10.1.1.111
[DeviceB-10GE0/0/3] vrrp vrid 1 authentication-mode md5 YsH_2022
[DeviceB-10GE0/0/3] quit

四个参数各有讲究：虚拟IP就是终端的网关地址，两端必须一致；优先级高者为Master；抢占延迟是给故障回切加的缓冲——主设备恢复后等20秒再抢回角色，避免设备刚起来服务还没就绪就接流量；MD5认证则把网段里伪造VRRP报文抢角色的路堵死。终端侧只需要把网关指向10.1.1.111，其余无感。

效果怎么验？两台设备display vrrp verbose：DeviceA状态Master、优先级120、抢占延迟20秒；DeviceB状态Backup、MasterPriority显示120。路由表里还能看出分工——主设备上有虚拟IP的直连路由，备设备上该路由是OSPF学来的。故障演练两步：shutdown主设备接口，DeviceA状态翻Initialize、DeviceB无缝接棒变Master，虚拟IP不变业务不中断；undo shutdown恢复后，等20秒抢占延迟，Master角色回到DeviceA，一切如初。

这套一主一备是VRRP家族的起点：跑顺之后再按业务需要演进出负载分担、联动检测等进阶玩法。给客户做出口冗余时，双网关加VRRP主备几乎是标配起步——硬件预算多花一台，换来的是出口坏一台不断网的底气。欢迎搜索关注贵州诚鑫致达科技，了解更多出口冗余实战配置。