HSRP et VRRP : la passerelle redondante

Un protocole de redondance de passerelle (FHRP, First Hop Redundancy Protocol) fait partager une adresse IP de passerelle virtuelle à deux équipements de niveau 3 : l'un répond pour elle, l'autre surveille et prend le relais en quelques secondes si le premier tombe, sans que les postes changent de configuration. HSRP est la version propriétaire de Cisco, VRRP la version normalisée. Ce chapitre explique leur fonctionnement et configure HSRP sur les deux switchs de cœur de Sorbier. Pour la vue d'ensemble (calcul de disponibilité, points uniques de défaillance, CARP et keepalived côté serveurs), vois le chapitre Redondance de passerelle : HSRP, VRRP, CARP et keepalived du cours Haute disponibilité.

Le problème : une passerelle, un point de panne

Le Spanning Tree et l'agrégation ont doublé les liens du siège. Mais chaque poste n'a qu'une passerelle : 192.168.10.126 pour le VLAN 10, portée par SW-COEUR-1. Si SW-COEUR-1 tombe, SW-COEUR-2 est là, relié à tout, mais aucun poste ne lui envoie ses paquets : leur passerelle ne répond plus, et tout ce qui sort du VLAN s'arrête.

Changer la passerelle de 300 postes à la main, ou attendre la fin de leur bail DHCP, n'est pas une option. La solution : une passerelle virtuelle, une adresse IP et une adresse MAC qui n'appartiennent à aucun équipement en particulier, et que les deux switchs de cœur se partagent.

Le principe commun

1. Chaque switch de cœur garde sa propre adresse dans le VLAN : 192.168.10.124 pour SW-COEUR-1, 192.168.10.125 pour SW-COEUR-2.
2. Les deux partagent une adresse virtuelle, 192.168.10.126, celle que les postes ont comme passerelle, et une adresse MAC virtuelle.
3. L'un des deux est actif : il répond aux requêtes ARP pour l'adresse virtuelle (avec la MAC virtuelle) et route les paquets qui lui sont envoyés. L'autre est en attente.
4. Les deux s'envoient des messages hello à intervalle régulier. Si l'attente n'entend plus l'actif pendant un certain délai, il devient actif à son tour et répond pour la même adresse IP et la même MAC.

Pour les postes, rien ne change : la passerelle a toujours la même adresse IP et la même MAC, leur cache ARP reste valable. Le switch qui devient actif envoie une trame ARP gratuite (gratuitous ARP) pour que les switchs de niveau 2 mettent à jour leur table MAC : la MAC virtuelle se trouve désormais derrière un autre port.

HSRP, la version Cisco

HSRP (Hot Standby Router Protocol) est un protocole propriétaire de Cisco. Ses paramètres :

La préemption décide de ce qui se passe quand l'ancien actif revient : sans elle, SW-COEUR-2, devenu actif pendant la panne, le reste même quand SW-COEUR-1 (priorité plus haute) redémarre. Avec elle, SW-COEUR-1 reprend la main dès qu'il est prêt. On l'active presque toujours, pour que le switch qui porte la passerelle soit aussi la racine du Spanning Tree.

Configurer HSRP au siège

Le plan d'adressage change un peu : les adresses .124 et .125 du VLAN 10, jusqu'ici réservées aux adresses fixes, deviennent les adresses réelles des switchs de cœur (les adresses fixes s'arrêtent à .123). Pour le VLAN 20, les switchs prennent .188 et .189. La passerelle des postes, elle, ne change pas : c'est l'adresse virtuelle.

Sur SW-COEUR-1, la SVI du VLAN 10 reçoit son adresse réelle, puis le groupe HSRP :

SW-COEUR-1(config)# interface Vlan10
SW-COEUR-1(config-if)# ip address 192.168.10.124 255.255.255.192
SW-COEUR-1(config-if)# standby version 2
SW-COEUR-1(config-if)# standby 10 ip 192.168.10.126
SW-COEUR-1(config-if)# standby 10 priority 110
SW-COEUR-1(config-if)# standby 10 preempt
SW-COEUR-1(config-if)# exit
SW-COEUR-1(config)# interface Vlan20
SW-COEUR-1(config-if)# ip address 192.168.10.188 255.255.255.240
SW-COEUR-1(config-if)# standby version 2
SW-COEUR-1(config-if)# standby 20 ip 192.168.10.190
SW-COEUR-1(config-if)# standby 20 priority 110
SW-COEUR-1(config-if)# standby 20 preempt

Sur SW-COEUR-2, même chose avec ses adresses réelles et la priorité par défaut :

SW-COEUR-2(config)# interface Vlan10
SW-COEUR-2(config-if)# ip address 192.168.10.125 255.255.255.192
SW-COEUR-2(config-if)# ip helper-address 192.168.10.177
SW-COEUR-2(config-if)# standby version 2
SW-COEUR-2(config-if)# standby 10 ip 192.168.10.126
SW-COEUR-2(config-if)# standby 10 preempt
SW-COEUR-2(config-if)# no shutdown

Le numéro de groupe (ici 10, le même que le VLAN, par convention) doit être identique sur les deux switchs, tout comme l'adresse virtuelle et la version. Les autres réglages de la SVI (le relais ip helper-address, les ACL) doivent aussi exister sur les deux switchs : celui qui devient actif doit savoir tout faire.

Le délai de préemption. Quand SW-COEUR-1 redémarre, ses interfaces montent avant que tout soit prêt (tables de routage, Spanning Tree). Pour éviter qu'il reprenne la main trop tôt, on le fait patienter :

SW-COEUR-1(config-if)# standby 10 preempt delay minimum 60

Accélérer la bascule. Avec les valeurs par défaut, la bascule prend jusqu'à 10 secondes. Pour des applications sensibles (téléphonie), on réduit les minuteries, par exemple standby 10 timers 1 3 (hello toutes les secondes, détention de 3 secondes).

Suivre un lien : le tracking

HSRP surveille le switch d'en face, pas ce qu'il y a derrière. Si le lien montant de l'actif tombe (vers le pare-feu, par exemple), l'actif reste actif, attire tout le trafic… et ne peut plus le faire sortir. Le suivi d'objet (tracking) diminue sa priorité quand un lien surveillé tombe :

SW-COEUR-1(config)# track 1 interface GigabitEthernet1/0/47 line-protocol
SW-COEUR-1(config)# interface Vlan10
SW-COEUR-1(config-if)# standby 10 track 1 decrement 20

Si Gi1/0/47 tombe, la priorité de SW-COEUR-1 passe de 110 à 90, sous les 100 de SW-COEUR-2, qui préempte et devient actif. Cela n'a de sens que si SW-COEUR-2 a lui aussi un chemin vers la sortie. Chez Sorbier, pour simplifier, les liens vers le pare-feu et vers R-LYON restent sur SW-COEUR-1 : c'est une limite à noter dans le dossier, et une évolution à prévoir.

Vérifier HSRP

SW-COEUR-1# show standby brief
                     P indicates configured to preempt.
                     |
Interface   Grp  Pri P State   Active          Standby         Virtual IP
Vl10        10   110 P Active  local           192.168.10.125  192.168.10.126
Vl20        20   110 P Active  local           192.168.10.189  192.168.10.190

Pour chaque groupe : la priorité du switch interrogé, la préemption (P), son état, l'actif (local = lui-même), l'attente et l'adresse virtuelle. show standby (sans brief) détaille tout : MAC virtuelle, minuteries, nombre de changements d'état, objets suivis. Pour tester la bascule, lance un ping -t depuis un poste vers un serveur d'un autre VLAN, puis éteins la SVI sur l'actif (shutdown) : quelques réponses se perdent, puis tout repart.

VRRP, la version normalisée

VRRP (Virtual Router Redundancy Protocol, version 3 : RFC 5798) fait la même chose en standard, et fonctionne entre équipements de constructeurs différents, ou entre un switch et un pare-feu. Les différences avec HSRP :

Sur un Catalyst sous IOS XE, VRRPv3 s'active globalement, puis se configure par famille d'adresses :

SW-COEUR-1(config)# fhrp version vrrp v3
SW-COEUR-1(config)# interface Vlan10
SW-COEUR-1(config-if)# vrrp 10 address-family ipv4
SW-COEUR-1(config-if-vrrp)# address 192.168.10.126 primary
SW-COEUR-1(config-if-vrrp)# priority 110

La commande de vérification est show vrrp brief. Packet Tracer ne connaît pas VRRP : pour une maquette Packet Tracer, utilise HSRP. Sur pfSense (comme sur OPNsense), la redondance de passerelle passe par CARP, un protocole libre au fonctionnement voisin (CARP et pfsync dans le cours pfSense).

Cisco propose aussi GLBP (Gateway Load Balancing Protocol), qui répartit les postes entre plusieurs passerelles actives en répondant aux requêtes ARP avec des MAC virtuelles différentes. Il reste propriétaire et peu utilisé.

HSRP et Spanning Tree : aligner les deux

Si SW-COEUR-2 est racine du Spanning Tree du VLAN 10 alors que SW-COEUR-1 est l'actif HSRP, une trame d'un poste vers sa passerelle monte d'abord vers SW-COEUR-2, puis traverse le lien entre les cœurs pour atteindre SW-COEUR-1 : un détour à chaque paquet. Règle : le switch actif HSRP d'un VLAN est aussi la racine du Spanning Tree de ce VLAN, et l'attente HSRP est la racine de secours. Si tu répartis les VLAN entre les deux cœurs (VLAN pairs sur l'un, impairs sur l'autre), répartis les deux protocoles de la même façon.

Exercices

interface Vlan50
 ip address 192.168.10.172 255.255.255.240
 ip helper-address 192.168.10.177
 standby version 2
 standby 50 ip 192.168.10.174
 standby 50 priority 110
 standby 50 preempt
 no shutdown

interface Vlan50
 ip address 192.168.10.173 255.255.255.240
 ip helper-address 192.168.10.177
 standby version 2
 standby 50 ip 192.168.10.174
 standby 50 preempt
 no shutdown

Interface   Grp  Pri P State   Active          Standby         Virtual IP
Vl10        10   100 P Active  local           unknown         192.168.10.126