B2-09 Redondance de passerelle : HSRP et VRRP

1. Le problème : une seule passerelle

Un poste ne connaît qu'une seule passerelle par défaut, réglée à la main ou distribuée par DHCP. Si le routeur qui porte cette adresse tombe en panne, le poste continue d'envoyer ses paquets vers une adresse qui ne répond plus : il est coupé de tout ce qui n'est pas dans son VLAN. Ajouter un second routeur ne suffit pas : le poste ne sait pas s'en servir, et lui donner une seconde passerelle n'est pas possible.

2. La passerelle virtuelle

Avec HSRP, les deux routeurs gardent chacun leur adresse réelle dans le VLAN (R1 en .252, R3 en .253) et se partagent une adresse virtuelle (.254) : c'est elle que les postes utilisent comme passerelle. À chaque instant, un seul routeur, l'actif, répond pour cette adresse ; l'autre, en attente (standby), écoute et se tient prêt.

Le point astucieux est l'adresse MAC. Le routeur actif ne répond pas aux requêtes ARP avec sa propre MAC, mais avec une MAC virtuelle fabriquée à partir du numéro de groupe. Quand R3 prend le relais, il reprend aussi cette MAC : le cache ARP des postes reste juste, ils ne s'aperçoivent de rien.

• Adresse IP virtuelleAdresse de passerelle donnée aux postes (172.16.10.254). Elle ne doit être l'adresse réelle d'aucun routeur, sinon il y a doublon.
• MAC virtuelleHSRP version 1 : 0000.0c07.acXX ; version 2 : 0000.0c9f.fXXX, où XX ou XXX est le numéro de groupe en hexadécimal (groupe 10 → 0a).
• Numéro de groupeIdentifie le couple de routeurs dans un VLAN. On prend en général le numéro du VLAN : groupe 10 pour le VLAN 10. De 0 à 255 en version 1, jusqu'à 4095 en version 2.
• PrioritéDe 0 à 255, 100 par défaut. Le routeur de plus haute priorité devient actif ; à égalité, celui qui a la plus grande adresse IP réelle.
• Temporisateurs (hello / hold)Un message hello toutes les 3 s ; sans nouvelles pendant 10 s (hold), le routeur en attente se déclare actif.

3. HSRP en détail

HSRP (Hot Standby Router Protocol) est le protocole propriétaire de Cisco, décrit dans la RFC 2281. Les routeurs d'un même groupe s'échangent des messages hello en multidiffusion : adresse 224.0.0.2 en version 1, 224.0.0.102 en version 2, port UDP 1985. Ces messages annoncent l'état et la priorité de chacun.

3.1 Les états d'un routeur HSRP

3.2 Élection, panne et retour

3.3 La configuration sur un routeur Cisco

HSRP se configure sur l'interface (ou la sous-interface) qui porte la passerelle du VLAN. Chaque commande commence par standby suivi du numéro de groupe.

4. VRRP, GLBP et les autres

HSRP n'est pas seul. VRRP (Virtual Router Redundancy Protocol) fait la même chose mais il est normalisé par l'IETF (RFC 5798) : on le trouve chez tous les constructeurs (HPE Aruba, Juniper, MikroTik…) et il permet de mélanger des marques. GLBP, propriétaire Cisco, va plus loin en répartissant la charge entre plusieurs routeurs actifs.

5. Suivre une interface : track

HSRP surveille le routeur, pas ses autres liens. Si le routeur actif perd sa liaison Internet (G0/1) mais que son interface LAN fonctionne toujours, il reste actif… et envoie le trafic des postes dans une impasse. Le suivi d'objet (track) corrige cela : quand l'interface surveillée tombe, la priorité de l'actif baisse d'une valeur choisie, et le routeur en attente, plus prioritaire, prend la main grâce à preempt.

6. Vérifier et dépanner

6.1 Lire show standby brief

R1# show standby brief
                     P indicates configured to preempt.
                     |
Interface   Grp  Pri P State   Active          Standby         Virtual IP
Gi0/0.10    10   110 P Active  local           172.16.10.253   172.16.10.254
Gi0/0.20    20   110 P Active  local           172.16.20.253   172.16.20.254
Gi0/0.30    30   110 P Active  local           172.16.30.253   172.16.30.254

• Grp · Pri · PNuméro de groupe, priorité, et la lettre P si preempt est configuré. Pas de P sur l'actif prioritaire : il ne reprendra pas la main après une panne.
• StateÉtat du routeur dans ce groupe : Active, Standby, Listen… Un groupe sain a un Active et un Standby.
• Active · Standbylocal désigne le routeur lui-même ; sinon, l'adresse réelle de l'autre. unknown en face de Standby signifie que l'autre routeur n'est pas entendu.
• Virtual IPL'adresse virtuelle, à comparer avec la passerelle distribuée par DHCP.

Pour le détail d'un groupe (temporisateurs, MAC virtuelle, nombre de changements d'état, suivi) : show standby g0/0.10. Pour tester la bascule : tracert depuis un poste montre au premier saut l'adresse réelle du routeur actif (.252 ou .253), alors que la passerelle reste .254.

6.2 Pannes fréquentes

6.3 Entraîne-toi : les tickets du support

Tu es de permanence au support de Brocéliande Logistique, quelques jours après la mise en service de R3. Six tickets arrivent les uns après les autres : lis le message, observe le relevé, puis choisis la cause.

R3# show standby brief | include 0.20
Gi0/0.20    20   100 P Active  local           unknown         172.16.20.254
SW2# show interfaces trunk | begin allowed
Port        Vlans allowed on trunk
Gi0/2       10,30,50,70,99,999

R1# show standby brief | include 0.10
Gi0/0.10    10   110   Standby 172.16.10.253   local           172.16.10.254

R1# show ip interface g0/0.30 | include access list
  Inbound  access list is ENTREPOT-VERS-COMPTA
R3# show ip interface g0/0.30 | include access list
  Inbound  access list is not set

R3# show running-config interface g0/0.30
interface GigabitEthernet0/0.30
 encapsulation dot1Q 30
 ip address 172.16.30.253 255.255.255.0
 standby version 2
 standby 30 ip 172.16.30.254
 standby 30 preempt

%IP-4-DUPADDR: Duplicate address 172.16.10.254 on
GigabitEthernet0/0.10, sourced by 0000.0c9f.f00a
R1# show running-config interface g0/0.10 | include address
 ip address 172.16.10.254 255.255.255.0

C:\> tracert 172.16.50.10
  1    1 ms    1 ms    1 ms  172.16.10.253
  2    2 ms    1 ms    1 ms  172.16.50.10

7. À l'examen et en entreprise

8. L'essentiel

1. Un poste n'a qu'une passerelle : le routeur qui la porte est un point de défaillance unique.
2. Un FHRP fait partager une adresse IP virtuelle à plusieurs routeurs ; les postes l'utilisent comme passerelle.
3. L'actif répond avec une MAC virtuelle : après bascule, le cache ARP des postes reste juste.
4. HSRP (Cisco) : Active / Standby, hello 3 s, hold 10 s, priorité 100 par défaut.
5. Trois adresses par VLAN : réelle de R1 (.252), réelle de R3 (.253), virtuelle (.254).
6. preempt permet au plus prioritaire de reprendre la main ; il est désactivé par défaut en HSRP.
7. track baisse la priorité quand un lien surveillé tombe : priorité − décrément doit passer sous l'autre.
8. VRRP est normalisé (Master / Backup, préemption active) ; GLBP répartit la charge.
9. Vérifier : show standby brief (un Active, un Standby) et tracert pendant une bascule.
10. ACL, relais DHCP et routes doivent être identiques sur les deux routeurs.

Les commandes clés

Tout cela tient sur une page : utilise le bouton Mémo à imprimer en haut de la fiche.

9. Quiz noté

10. Exercices : à toi de répondre

Écris ta réponse sous chaque énoncé et envoie-la à ton professeur. Quand il l'a validée, le corrigé s'affiche à la place du cadenas ; s'il te la renvoie « à revoir », lis son commentaire et corrige.

R1# show standby brief | include 0.50
Gi0/0.50    50   110 P Active  local           unknown         172.16.50.254
R3# show standby brief | include 0.50
Gi0/0.50    5    100 P Active  local           unknown         172.16.50.254
R1# show standby g0/0.50 | include Group
GigabitEthernet0/0.50 - Group 50 (version 2)
R3# show standby g0/0.50 | include Group
GigabitEthernet0/0.50 - Group 5

11. Fil rouge : une passerelle qui ne tombe plus