Protocoles de redondance de premier saut (FHRP)
Définition
Les FHRP (First Hop Redundancy Protocols) regroupent plusieurs routeurs en un routeur virtuel : une IP virtuelle, une MAC virtuelle, un seul rôle à la fois. Le routeur actif achemine le trafic du LAN, le sauvegarde (standby ou backup) se tient prêt. Les hôtes gardent une seule passerelle par défaut et basculent en quelques secondes sans aucune reconfiguration côté poste.
Le problème résolu
Un PC ne connaît qu'une passerelle par défaut, configurée à la main ou poussée par DHCP. Si le routeur derrière cette IP tombe, tout le sous-réseau est isolé du reste de l'entreprise. Le statique avec deux passerelles ne règle rien : l'hôte n'en utilise qu'une. Le FHRP découple l'adresse utilisée par les hôtes (l'IP virtuelle) des routeurs physiques qui la servent. C'est l'actif qui répond aux ARP pour l'IP virtuelle, et il présente toujours la même MAC virtuelle, ce qui évite de polluer les tables MAC des switches lors de la bascule.
HSRP (Hot Standby Router Protocol)
Propriétaire Cisco, le plus demandé au 200-301. Deux rôles utiles : active (forward le trafic) et standby (reprend si l'actif disparaît). Élection : priorité la plus élevée gagne (défaut 100), égalité départagée par l'adresse IP de l'interface la plus haute.
| Paramètre | Valeur |
|---|---|
| Hello / hold par défaut | 3 s / 10 s |
| Priorité par défaut | 100 (0-255, 0 se retire) |
| Préemption par défaut | activée (HSRPv1 et v2) |
| Groupes HSRPv1 | 0-255, MAC 0000.0c07.acXX |
| Groupes HSRPv2 | 0-4095, MAC 0000.0c9f.fxxx |
| Multicast | 224.0.0.2 (v1), 224.0.0.102 UDP 2100 (v2) |
R1(config)# interface GigabitEthernet0/0
R1(config-if)# standby 1 ip 192.168.10.1
R1(config-if)# standby 1 priority 110
R1(config-if)# standby 1 preempt delay minimum 60
R1(config-if)# standby 1 track GigabitEthernet0/1 decrement 15
Avec le tracking, si l'interface montante de R1 tombe, sa priorité effective passe de 110 à 95 : R2 (100) devient actif, le trafic sort par la bonne montée. Le délai de préemption de 60 s évite le bounce pendant un reload.
VRRP (Virtual Router Redundancy Protocol)
Standard ouvert : RFC 2338 (v1), RFC 3768 (v2), RFC 5798 (v3, IPv4 et IPv6). Fonctionnement identique à HSRP, avec des valeurs différentes. L'ID de groupe (VRID) va de 1 à 255 en v2 et de 0 à 255 en v3. Les annonces (advertisements) partent toutes les 1 s par défaut, en IP protocole 112 (pas d'UDP), multicast 224.0.0.18, TTL 255 obligatoire. Le backup déclare le master mort après 3 fois l'intervalle plus un skew calculé sur la priorité, ce qui décale les backups entre eux et évite les élections simultanées.
| Paramètre | Valeur |
|---|---|
| Advertisement par défaut | 1 s |
| Master down | 3 x intervalle + skew (~3 s) |
| Priorité | 1-254, défaut 100 ; 255 = propriétaire de l'IP |
| Préemption par défaut | activée ; le propriétaire de l'IP est toujours master |
| MAC virtuelle (IPv4) | 0000.5e00.01 |
R1(config)# interface GigabitEthernet0/0
R1(config-if)# vrrp 1 ip 192.168.10.1
R1(config-if)# vrrp 1 priority 110
VRRP est le seul FHRP inter-fabricants : un routeur Cisco, un firewall Juniper et un serveur Linux sous keepalived peuvent partager le même groupe.
GLBP (Gateway Load Balancing Protocol)
Propriétaire Cisco. Il ajoute ce qui manque à HSRP et VRRP : l'équilibrage de charge actif/actif. Une seule IP virtuelle, mais jusqu'à 4 MAC virtuelles par groupe. Le routeur AVG (Active Virtual Gateway) répond aux ARP en distribuant les MAC des AVF (Active Virtual Forwarder), chacun de ses 4 forwarders étant porté par un routeur différent. Tous les routeurs forwarding réellement, aucun n'est au repos.
| Paramètre | Valeur |
|---|---|
| Hello / hold par défaut | 3 s / 10 s |
| Poids (weight) par défaut | 100 |
| Préemption par défaut | désactivée |
| Multicast | 224.0.0.102, UDP 3222 |
| MAC virtuelle | 0007.b400. |
| Forwarders par groupe | 4 maximum |
R1(config-if)# glbp 1 ip 192.168.20.1
R1(config-if)# glbp 1 weighting 160 lower 90 upper 110
Exemple concret chiffré
VLAN 10 en 192.168.10.0/24, IP virtuelle 192.168.10.1 servie par R1 (priority 110, preempt) et R2 (100, standby). 200 postes pointent vers .1. R1 tombe : R2 déclare l'actif perdu après 10 s sans hello, devient actif, gratuitous ARP vers les switches. Les postes ne voient que la MAC virtuelle, la bascule est invisible hors les paquets en vol. Quand R1 revient, preempt le remet actif en 60 s (délai configuré). Si le LAN était servi en GLBP avec les mêmes routeurs, environ la moitié des flux sortirait par R2 en permanence au lieu d'attendre une panne.
Pièges fréquents
- L'hôte pointe vers l'IP physique d'un routeur au lieu de l'IP virtuelle : aucune bascule possible.
- Un membre en HSRPv1 et l'autre en HSRPv2 avec le même numéro de groupe : ils ne s'entendent pas (multicast et format différents) et personne ne se plaint.
- IP virtuelle hors du sous-réseau de l'interface : IOS l'accepte parfois, les hôtes ne résolvent jamais.
- Préemption sans délai minimum : oscillation active/standby à chaque reload.
- Le FHRP protège le premier saut uniquement : un lien de transport coupé plus loin ne déclenche la bascule que via du tracking (interface, SLA/IP SLA ou route).