PE一挂整条VPN断半天？VPN FRR提前埋好备份下一跳
本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。
CE双归两台PE不等于切得快。VPN FRR在装表时就为路由备好备份下一跳、备份标签和隧道信息，主用PE一挂转发面直接换道，切换从秒级压到毫秒级。
为什么双归两台PE切换还是慢？
分支的CE双归属到两台PE，这种组网本身就是为了防单点。可很多人不知道，光是"接了两台PE"并不等于切换快：主用PE故障后，路由要先等BGP收敛、LDP重收敛、转发表刷新，这一套走完，业务中断往往以秒甚至十秒计。对跑着支付、语音这类敏感业务的VPN来说，这几秒就是投诉。
VPN FRR的思路是把动作做在故障发生之前：PE1在装表的时候，就为去往分支的路由同时算好主备两个下一跳，主用的进转发表，备份的标签和隧道信息也一并埋进去。真出事的时候不用再查表再算路，转发面直接切到备份路径，切换速度提到毫秒级。
VPN骨架怎么搭？
官方案例的组网：CE1双归接入PE2和PE3，PE1是另一端的接入PE，骨干跑OSPF加LDP。思路六步里，前五步是标准的BGP/MPLS IP VPN骨架，第六步才是本篇的主角。
先把骨架立起来：骨干OSPF互通、MPLS与LDP使能、三台PE各建VPN实例（RD分别100:1、100:2、100:3，vpn-target都是111:1）、PE2与CE1、PE3与CE1建EBGP、PE之间建MP-IBGP。PE2侧的关键配置长这样：
[PE2] ip vpn-instance vpn1
[PE2-vpn-instance-vpn1] ipv4-family
[PE2-vpn-instance-vpn1-af-ipv4] route-distinguisher 100:2
[PE2-vpn-instance-vpn1-af-ipv4] vpn-target 111:1
[PE2-vpn-instance-vpn1-af-ipv4] quit
[PE2-vpn-instance-vpn1] quit
[PE2] bgp 100
[PE2-bgp] ipv4-family vpn-instance vpn1
[PE2-bgp-vpn1] peer 10.1.1.1 as-number 65410
[PE2-bgp-vpn1] import-route direct
[PE2-bgp] quit
CE1同时跟两台PE建邻，把业务网段10.3.1.0/24宣告进BGP。到这里VPN已经能通，但还扛不住快速切换。
备份下一跳怎么提前埋进转发表？
VPN FRR的两段核心配置都在PE1上。第一段，用路由策略指定"谁当备份"——匹配下一跳为PE2（2.2.2.2）的路由，把备份下一跳指到PE3（3.3.3.3）：
[PE1] ip ip-prefix vpn_frr_list permit 2.2.2.2 32
[PE1] route-policy vpn_frr_rp permit node 10
[PE1-route-policy] if-match ip next-hop ip-prefix vpn_frr_list
[PE1-route-policy] apply backup-nexthop 3.3.3.3
[PE1-route-policy] quit
第二段，在VPN实例里使能VPN FRR并挂上这条策略：
[PE1] ip vpn-instance vpn1
[PE1-vpn-instance-vpn1] vpn frr route-policy vpn_frr_rp
[PE1-vpn-instance-vpn1] quit
配完怎么验证，哪些坑要避开？
验证看转发表的细节：执行display ip routing-table vpn-instance vpn1 10.3.1.0 verbose，路由项里除了主用的下一跳，还能看到备份下一跳、备份标签和备份Tunnel ID——这三样就是提前埋好的"救生圈"，故障来的时候转发面直接换道，不等控制面慢慢收敛。
有个细节千万别忽略：案例里特意点明，主备由谁的Router ID小来定，如果实际网络里主备顺序跟预期相反，照搬配置会让VPN FRR失效。所以要么先确认Router ID的大小关系，要么在BGP VPNv4地址族里把路由属性调一调，保证优选关系跟配置里的主备设定一致。不需要这个功能时，在VPN实例下用undo vpn frr就能干净地摘掉。
贵州诚鑫致达科技给跑实时业务的客户做VPN双归，这手提前埋备份的路数基本是标配——故障切换拼的不是故障后的反应速度，而是配置时的预谋深度。
依据：华为官方典型配置案例（2026-11 版）。
