映翰通工业路由器 VRRP 双机热备配置实战IR305/IR315 的WAN/LAN 双实例与故障切换摘要单台工业路由器一旦掉电、死机或上联中断现场终端的默认网关和远程访问链路都可能同时失效。本文以两台 InHand Networks 工业路由器为例完整演示如何使用 VRRP 构建 WAN、LAN 双实例主备架构并配置端口映射、终端网关及三类故障切换测试。本文所用 VRRP 功能与配置逻辑适用于采用通用固件的IR305 和 IR315不同固件版本的菜单名称或界面样式可能略有差异请以设备实际页面为准。关键词VRRP、IR305、IR315、工业路由器、双机热备、网关冗余、主备切换、端口映射、高可用网络一、为什么工业现场更需要网关冗余在常见的工业网络中PLC、HMI、SCADA、边缘计算网关或其他终端通常把同一台路由器设置为默认网关。这样的部署简单但也留下了一个明显的单点故障路由器掉电整个下游网段无法访问外部网络WAN 上联中断设备本身仍在线但业务流量已经无法转发远程端口映射随主路由器一起失效运维人员无法访问现场终端更换设备或修改终端网关需要人工介入恢复时间不可控。VRRPVirtual Router Redundancy Protocol虚拟路由冗余协议的价值就是让两台物理路由器共同对外提供一个稳定的虚拟 IPVIP。终端只需要把 VIP 设置为默认网关不必关心当前由哪台设备转发流量。当 Master 正常时由 Master 持有 VIP 并承担转发当 Master 或其被监控的链路异常时Backup 接管 VIP。切换期间可能出现少量丢包但终端不需要修改 IP、网关或路由配置。先记住一句话终端的默认网关始终是虚拟 IP。主备切换改变的是“谁接管 VIP”不是“终端改用哪个物理 IP”。二、VRRP 的核心概念2.1 Master、Backup 与虚拟路由器两台路由器组成一个逻辑上的“虚拟路由器”Master当前持有 VIP、响应 ARP 并转发业务流量的设备Backup监听 VRRP 通告在 Master 异常时参与选举并接管 VIPVirtual IP对终端或上游网络提供服务的虚拟地址Virtual MAC与 VRRP 实例关联的虚拟 MAC可降低切换时物理 MAC 变化对邻居表的影响。2.2 一个广播域对应一个 VRRP 实例VRRP 运行在同一个二层广播域内一个实例只能为一个网段提供冗余网关。本例同时需要保护WAN 网段10.5.29.0/24VLAN4/LAN 网段192.168.4.0/24。因此必须分别建立两个 VRRP 实例而不是用一个实例同时承载 WAN 和 LAN。2.3 双实例最容易忽略的原则同一台设备在 WAN 和 LAN 两侧的主备顺序必须一致。例如IR305-A 的 LAN 优先级高于 IR305-BIR305-A 的 WAN 优先级也必须高于 IR305-B。如果两个网段的主备方向相反可能形成非对称路径甚至出现 WAN 流量落在设备 A、LAN 流量却由设备 B 转发的情况给 NAT、会话保持和故障排查带来麻烦。本例还让 LAN 实例监控 WAN 接口使 LAN 侧的网关选举能够感知上联状态。这样可以避免“路由器还在线但 WAN 已经断开终端仍把它当成出口”的流量黑洞。三、实验拓扑与地址规划本例使用两台采用通用固件的 InHand Networks 工业路由器组成一主一备。文中以 IR305 为例IR315 的配置入口、参数含义和部署逻辑相同。3.1 IP 地址规划对象WAN 地址VLAN4/LAN 地址角色IR305-A10.5.29.189/24192.168.4.2/24MasterIR305-B10.5.29.99/24192.168.4.1/24BackupWAN VRRP VIP10.5.29.162/24-外部访问使用的虚拟地址LAN VRRP VIP-192.168.4.3/24下游终端默认网关测试终端-192.168.4.4/24下游业务终端3.2 业务流量怎么走正常情况下下游终端 192.168.4.4 ↓ 默认网关 192.168.4.3LAN VIP IR305-A / Master ↓ WAN VIP 10.5.29.162 上游网络或远程访问端当 Master 异常后IR305-B 接管 LAN VIP 和 WAN VIP。终端仍然使用192.168.4.3作为默认网关外部访问仍然使用10.5.29.162两端都不需要更改地址。四、配置前检查正式配置前建议逐项确认两台路由器的 WAN、VLAN4/LAN 物理地址已经配置两台设备在 WAN 广播域内能够互通在 VLAN4 广播域内也能够互通10.5.29.162和192.168.4.3没有被其他设备占用两台设备的 Group ID、VIP、认证方式和通告间隔保持一致Master 在 WAN、LAN 两个实例中的优先级都高于 Backup主备设备的路由、NAT、防火墙和端口映射规则已经同步交换机没有配置会阻断 VRRP 报文或隔离两台路由器的策略。如果两台路由器不在同一个二层广播域即使 IP 地址属于同一网段也可能无法正常完成 VRRP 选举。五、认识 VRRP 配置页面采用本文通用固件的 IR305/IR315可在以下位置找到 VRRPServices VRRP5.1 主要参数说明参数作用配置建议Enable VRRP启用当前 VRRP 实例主备设备都要启用Group IDVRRP 实例标识范围1-255同一实例必须一致不同实例使用不同 IDPriority选举优先级范围1-254数值越大成为 Master 的优先级越高Advertisement IntervalVRRP 通告间隔主备保持一致本文使用2sVirtual IP当前实例提供的 VIP主备必须填写相同地址Authentication TypeNone、Simple或AH两端必须一致按现场安全策略选择Virtual MAC启用虚拟 MAC主备保持一致切换后有利于二层邻居更新Monitor监控指定接口状态LAN 实例建议监控关键 WAN 上联InterfaceVRRP 绑定接口WAN 实例选 WANLAN 实例选对应 LAN/VLAN部分固件说明中还会出现Preempt抢占参数但某些通用固件版本的 Web 页面不单独展示该选项。如果实际界面没有此配置项请以当前固件的默认行为为准并通过“Master 恢复”测试确认是否自动回切。5.2 Group ID 如何规划本文采用Group ID1VLAN4/LAN 实例Group ID2WAN 实例。Group ID 的具体数字不是重点重点是同一实例的主备配置必须一致而且同一广播域中的实例 ID 不应冲突。六、配置 Master 设备 IR305-A登录 IR305-Ahttp://10.5.29.189在Services VRRP中启用两个实例。6.1 VLAN4/LAN 侧实例参数值Enable VRRP-I启用Group ID1Priority20Advertisement Interval2 SecondsVirtual IP192.168.4.3Authentication TypeNoneVirtual MAC启用MonitorWANInterfaceVLAN46.2 WAN 侧实例参数值Enable VRRP-II启用Group ID2Priority10Advertisement Interval2 SecondsVirtual IP10.5.29.162Authentication TypeNoneVirtual MAC按主备一致原则配置MonitorNoneInterfaceWAN这里有两个关键点LAN 实例的 Priority 为20WAN 实例的 Priority 为10。两个数值不必相同只要都高于 Backup 对应实例即可LAN 实例的 Monitor 选择 WAN用于感知上联故障。WAN 实例绑定的就是 WAN 接口因此本例 Monitor 保持None。配置完成后点击Apply。七、配置 Backup 设备 IR305-B登录 IR305-Bhttp://10.5.29.99Backup 的 Group ID、VIP、通告间隔、认证方式和接口必须与 Master 对应实例一致只降低 Priority。7.1 VLAN4/LAN 侧实例参数值Enable VRRP-I启用Group ID1Priority19Advertisement Interval2 SecondsVirtual IP192.168.4.3Authentication TypeNoneVirtual MAC启用MonitorWANInterfaceVLAN47.2 WAN 侧实例参数值Enable VRRP-II启用Group ID2Priority9Advertisement Interval2 SecondsVirtual IP10.5.29.162Authentication TypeNoneVirtual MAC与 Master 保持一致MonitorNoneInterfaceWANMaster 与 Backup 的优先级关系如下实例IR305-AIR305-B正常 MasterVLAN4/LAN2019IR305-AWAN109IR305-A这种设置确保正常情况下两个实例都由 IR305-A 承担 Master故障时再一起切换到 IR305-B。八、同步主备端口映射如果远程访问需要通过 WAN VIP 进入下游网络仅配置 VRRP 还不够。NAT 和端口映射属于每台路由器各自的业务配置不会因为 VIP 漂移而自动同步。因此相同的端口映射规则必须同时配置在 Master 和 Backup 上。本文示例将 WAN 侧 TCP 端口1443映射到下游终端WAN VIP 10.5.29.162:1443 ↓ 终端 192.168.4.4:4438.1 Master 端口映射8.2 Backup 端口映射配置时重点检查协议类型是否一致例如 TCP 或 UDP外部服务端口是否一致内部目标地址是否为192.168.4.4内部端口是否正确两台设备的防火墙是否都允许该访问外部测试时是否使用 WAN VIP而不是某台设备的物理 WAN IP。端口映射只是示例。生产环境应缩小来源地址范围仅开放业务必需端口避免直接暴露设备管理页面。九、配置下游终端测试终端采用静态地址参数值IPv4 地址192.168.4.4子网掩码255.255.255.0默认网关192.168.4.3DNS按现场网络填写这里最常见的错误是把默认网关配置成192.168.4.1或192.168.4.2。这样虽然正常时可能可以通信但会绕过 VRRP主备切换也就失去了意义。正确做法是始终填写 LAN VIPDefault Gateway 192.168.4.3十、如何验证 VRRP 是否真正生效不要只看 Web 页面显示了 Master 或 Backup。一个完整的高可用测试至少要覆盖VIP 连通性终端访问外网ARP/虚拟 MAC 变化WAN VIP 的端口映射主备故障与恢复优先级变化触发的主动切换。10.1 基线测试主备设备都在线在两台设备均正常时执行从终端持续 Ping 一个稳定的上游地址检查192.168.4.3和10.5.29.162是否可达查看 ARP 表中 VIP 对应的虚拟 MAC从外部网络访问https://10.5.29.162:1443确认当前两个实例的 Master 都是 IR305-A。完成基线测试后再进行以下三组故障验证。10.2 场景一断开 Master 网络操作断开 IR305-A 的业务链路仅保留 IR305-B。预期结果Backup 接管 WAN 和 LAN 两个 VIP终端网关配置仍然是192.168.4.3连续 Ping 可能短暂丢包随后自动恢复外部端口映射访问恢复ARP 表显示 VIP 已由 Backup 对应路径承载。测试截图中可以看到切换期间出现短暂丢包之后 Ping 恢复同时通过 WAN VIP 的端口映射仍可访问下游设备。这才说明不仅 VRRP 状态切换了实际业务链路也恢复了。10.3 场景二断开 Backup 网络操作恢复 Master断开 IR305-B仅保留 IR305-A。预期结果IR305-A 继续持有 VIP终端外网通信保持正常外部端口映射保持可用Backup 离线不会影响当前 Master 转发。10.4 场景三降低 Master 优先级物理断线可以测试故障切换修改优先级则可以验证 VRRP 选举逻辑。将 IR305-A 的两个实例同时调低VLAN4/LAN由20调低到18WAN由10调低到8。此时 IR305-B 的优先级分别为19和9都高于 IR305-A因此应接管两个实例。如果只修改一个实例的优先级可能导致 WAN 和 LAN 分别由不同设备担任 Master。因此生产环境做计划切换时应同步调整两个实例。十一、常见故障与排查方法11.1 两台设备都显示 Master可能原因两台路由器之间的二层广播不通交换机端口隔离或 VLAN 配置错误Group ID、VIP、接口或认证方式不一致防火墙或安全策略阻断 VRRP 报文。排查顺序先确认两台设备绑定 VRRP 的接口处在同一 VLAN再逐项对比实例参数。11.2 状态切换成功但终端无法上网重点检查终端默认网关是否为192.168.4.3Backup 是否具备完整的默认路由、NAT 和防火墙策略WAN 和 LAN 两个实例是否由同一台设备承担 MasterLAN 实例是否正确监控 WAN 接口上游网络是否允许新的转发路径。11.3 切换后端口映射失效VRRP 只负责 VIP 和主备选举不会自动复制 NAT 规则。请对比两台设备的映射协议外部端口内部地址和内部端口来源地址限制防火墙放行规则。另外外部访问目标必须使用 WAN VIP10.5.29.162否则访问某台物理 IP 时不会随 VRRP 自动漂移。11.4 Master 恢复后没有重新接管检查是否启用了抢占以及恢复设备的 Priority 是否高于当前 Master。抢占并非任何场景都必须启用。如果现场链路经常抖动频繁抢占可能造成多次业务切换。可以根据业务要求选择启用抢占高优先级主设备恢复后自动回切关闭抢占当前 Master 继续工作等待维护窗口手动回切。11.5 切换时间过长或丢包较多可以检查Advertisement Interval 是否过大或主备不一致交换机 MAC 地址表是否及时刷新终端和上游设备的 ARP 缓存是否更新Virtual MAC 配置是否在主备间一致接口状态检测是否准确。不要为了追求更短切换时间盲目压低通告间隔。通告越频繁控制报文开销越大对链路抖动也可能更敏感。应通过现场测试确定合理值。十二、生产环境部署建议12.1 建立主备配置基线建议把以下内容做成一张对照表物理 IP、VIP 与 Group IDWAN/LAN 实例优先级通告间隔、认证方式和抢占策略NAT、端口映射、防火墙和静态路由设备固件版本与配置备份时间。12.2 不要只测试“拔网线”上线前至少完成Master 断电Master WAN 断线Backup 断电或断线Master 恢复修改优先级进行计划切换外部端口映射业务连续性验证。12.3 记录可接受的切换指标建议在验收文档中记录最大连续丢包数平均切换时间端口映射恢复时间Master 恢复后的回切行为业务会话是否需要重新建立。VRRP 能保证网关可用性但不代表所有 TCP、VPN 或应用层会话都能无感保持。是否需要会话同步应结合设备功能和具体业务进一步评估。十三、配置速查表项目MasterIR305-ABackupIR305-BWAN 物理 IP10.5.29.189/2410.5.29.99/24LAN 物理 IP192.168.4.2/24192.168.4.1/24LAN Group ID11LAN Priority2019LAN VIP192.168.4.3192.168.4.3LAN MonitorWANWANLAN InterfaceVLAN4VLAN4WAN Group ID22WAN Priority109WAN VIP10.5.29.16210.5.29.162WAN InterfaceWANWANAdvertisement Interval2s2s终端默认网关192.168.4.3192.168.4.3十四、总结完成本例后两台 IR305/IR315 可以通过 WAN、LAN 两个独立 VRRP 实例对上游和下游同时提供冗余终端始终使用 LAN VIP192.168.4.3作为默认网关外部网络始终通过 WAN VIP10.5.29.162访问现场Master 故障时Backup 接管两个 VIP主备设备配置相同的端口映射后远程访问可随主备切换恢复通过断链、ARP、Ping、端口映射和优先级切换可以验证高可用链路是否真正生效。VRRP 配置本身并不复杂真正决定部署是否可靠的是双实例主备方向一致、上联接口监控、业务策略同步以及完整的故障验证。如果你的现场网络中仍然只有一台默认网关那么 VRRP 往往是成本较低、改造影响较小的一种高可用方案。