HSRP和VRRP两大备份路由器协议比较.docVIP

HSRP和VRRP两大备份路由器协议比较 本文关键词：hsrp 路由器 路由协议 备份 1. 在功能上,VRRP和hsrp非常相似,但是就安全而言,VRRP对hsrp的一个主要优势:它允许参与VRRP组的设备间建立认证机制.并且,不像hsrp那样要求虚拟路由器不能是其中一个路由器的ip地址,但是VRRP允许这种情况发生 如果”拥有”虚拟路由器地址的路由器被建立并且正在运行,那么应该总是由这个虚拟路由器管理—等价于hsrp中的活动路由器 ,但是为了确保万一失效发生的时候终端主机不必重新学习MAC地址,它指定使用的MAC地址00-00-5e-00-01-VRID,这里的VRID是虚拟路由器的ID 等价于一个hsrp的组标识符 . 2. 另外一个不同是VRRP不使用hsrp中的政变或者一个等价消息,VRRP的状态机比hsrp的要简单,hsrp有6个状态： 初始 Initial 状态，学习 Learn 状态，监听 Listen 状态，对话 Speak 状态，备份 Standby 状态，活动 Active 状态 和8个事件, VRRP只有3个状态： 初始状态 Initialize 、主状态 Master 、备份状态 Backup 和5个事件. 3. hsrp有三种报文，而且有三种状态可以发送报文： 呼叫 Hello 报文、告辞 Resign 报文、突变 Coup 报文. VRRP有一种报文 VRRP广播报文：由主路由器定时发出来通告它的存在，使用这些报文可以检测虚拟路由器各种参数，还可以用于主路由器的选举. 4. hsrp将报文承载在UDP报文上，而VRRP承载在TCP报文上 hsrp 使用UDP 1985端口，向组播地址224.0.0.2 发送hello消息. 5 . VRRP的安全:VRRP协议包括三种主要的认证方式：无认证，简单的明文密码和使用 MD5 HMAC ip认证的强认证.。 强认证方法使用IP认证头 AH 协议.AH是与用在IPSEC中相同的协议,AH为认证VRRP分组中的内容和分组头提供了一个方法. MD5 HMAC 的使用表明使用一个共享的密钥用于产生hash值.路由器发送一个VRRP分组产生MD5 hash值,并将它置于要发送的通告中,在接收时,接受方使用相同的密钥和MD5值,重新计算分组内容和分组头的hash值,如果结果相同,这个消息就是真正来自于一个可信赖的主机,如果不相同,它必须丢弃,这可以防止攻击者通过访问LAN而发出能影响选择过程的通告消息或者其他一些方法中断网络. 另外,VRRP包括一个保护VRRP分组不会被另外一个远程网络添加内容的机制 设置TTL值 255,并在接受时检查 ,这限制了可以进行本地攻击的大部分缺陷.而另一方面,hsrp在它的消息中使用的TTL值是1. 6. VRRP的崩溃间隔时间：3*通告间隔+时滞时间 skew-time .