Netzwerk & WAN
VRRP
VRRP (Virtual Router Redundancy Protocol) lässt mehrere Router als ein virtuelles Standard-Gateway auftreten; fällt der aktive aus, übernimmt ein Backup nahtlos.
- Redundantes Default-Gateway
- Virtuelle IP und MAC
- Priorität und Preemption
- RFC 9568 (2024)
- Herstellerneutral (FHRP)
VRRP (Virtual Router Redundancy Protocol) macht aus mehreren physischen Routern ein einziges virtuelles Standard-Gateway. Die Hosts kennen nur eine Gateway-IP und eine zugehörige MAC-Adresse; welcher reale Router gerade dahinter steht, bleibt für sie unsichtbar. Fällt der aktive Router aus, übernimmt ein Backup, ohne dass ein Client seine Konfiguration oder ARP-Tabelle ändern muss.
Dieser Artikel erklärt das Konzept des virtuellen Routers mit eigener MAC, die Wahl des aktiven Routers über Priorität und Preemption, die Timer und ihre Berechnung, das Tracking von Uplinks, die Sicherheitslage ohne echte Authentifizierung und die typischen Ursachen von Split-Brain.
1. Der virtuelle Router
Mehrere Router teilen sich eine virtuelle IP-Adresse, das Default-Gateway der Hosts. Identifiziert wird die Gruppe über einen Virtual Router Identifier (VRID, 1 bis 255). Aus dem VRID leitet sich die virtuelle MAC-Adresse ab: 00-00-5E-00-01-{VRID} für IPv4, 00-00-5E-00-02-{VRID} für IPv6.
Entscheidend ist, dass diese virtuelle MAC bei einem Wechsel des aktiven Routers gleich bleibt. Die Hosts behalten ihren ARP-Eintrag, der Datenverkehr läuft einfach zum neuen Router weiter. Genau das macht den Failover für die Clients unsichtbar.
2. Wer wird Master: Priorität und Preemption
Welcher Router aktiv ist (im aktuellen RFC „Active Router“, klassisch „Master“), entscheidet die Priorität:
| Prioritätswert | Bedeutung |
|---|---|
| 255 | der Router besitzt die virtuelle IP selbst (Adress-Owner), fester Wert |
| 1 bis 254 | normaler Backup, konfigurierbar, Default 100 |
| 0 | Rücktrittssignal: der aktive Router gibt die Rolle sofort ab |
Bei gleicher Priorität gewinnt der Router mit der höheren IP-Adresse. Preemption (standardmäßig an) lässt einen zurückgekehrten Router mit höherer Priorität die Rolle wieder übernehmen; ein Preempt-Delay verhindert, dass er das tut, bevor sein Routing konvergiert ist.
3. Advertisements und Timer
Der aktive Router sendet regelmäßig Advertisements per Multicast (IPv4 an 224.0.0.18, IPv6 an FF02::12, jeweils IP-Protokoll 112, TTL/Hop-Limit zwingend 255). Bleiben sie aus, übernehmen die Backups. Die Wartezeit berechnet sich aus dem Advertisement-Intervall, dem Faktor 3 und einem prioritätsabhängigen Skew, der verhindert, dass mehrere Backups gleichzeitig übernehmen.
VRRPv2 (RFC 3768) kannte nur ganze Sekunden und nur IPv4. VRRPv3 (RFC 5798, präzisiert durch RFC 9568 von 2024) rechnet in Centiseconds, erlaubt also Sub-Sekunden-Intervalle, und deckt IPv4 wie IPv6 in einer Spezifikation ab.
4. Tracking: auf den Uplink reagieren
Ein Gateway, dessen eigener Uplink ausgefallen ist, sollte die aktive Rolle abgeben, auch wenn es im lokalen Segment noch erreichbar ist. Dafür sorgt Object- oder Interface-Tracking: Fällt ein überwachtes Objekt aus, etwa der Uplink oder eine bestimmte Route, senkt der Router seine VRRP-Priorität um einen festgelegten Betrag. Liegt sie dann unter der des Backups und ist Preemption aktiv, übernimmt das Backup. Tracking ist nicht im RFC normiert, aber in allen großen Implementierungen verfügbar.
5. Sicherheit: keine echte Authentifizierung
VRRPv3 enthält bewusst keinen Authentifizierungsmechanismus; die Auth-Typen aus VRRPv2 waren ohnehin funktionslos. Begründung im Standard: Authentifizierung könnte gefälschte Advertisements zwar abweisen, das grundlegende Vertrauensproblem auf Layer 2 aber nicht lösen. Ein Angreifer im selben Segment kann Advertisements mit hoher Priorität einschleusen und die aktive Rolle an sich ziehen.
Schutz entsteht deshalb außerhalb des Protokolls: VRRP-Geräte in ein eigenes, kontrolliertes Segment legen, den Zugriff per Port-Security und Dynamic ARP Inspection absichern und Protokoll 112 nur von bekannten Router-Adressen zulassen. Vertraulichkeit bietet VRRP in keiner Version.
6. Split-Brain: Ursachen und Gegenmaßnahmen
Beim Split-Brain halten sich zwei Router gleichzeitig für den aktiven, beide beanspruchen die virtuelle IP und MAC. Typische Symptome sind doppelte Gratuitous-ARPs für dieselbe IP und MAC-Flapping auf den Switches. Die häufigsten Ursachen:
- L2-Trennung die Advertisements erreichen das Backup nicht (Trunk-Fehler, VLAN-Fehlkonfiguration, STP-Konvergenz).
- Timer-Mismatch unterschiedlich konfigurierte Intervalle zwischen den Geräten.
- Paketverlust kurze Verlust-Bursts lassen den Down-Timer ablaufen, obwohl der aktive Router lebt.
Vorbeugen
Identische Timer auf allen Mitgliedern, ein durchgängiger und überwachter L2-Pfad für die Advertisements, VRRP-Verkehr aus Policy-Based-Routing ausnehmen und Monitoring auf doppelte Gratuitous-ARPs sind die wirksamsten Gegenmaßnahmen.
7. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Herstellerneutral standardisiert, breit interoperabel | Aktiv/Passiv: Backup-Kapazität bleibt ungenutzt |
| Failover für Clients unsichtbar (konstante virtuelle MAC) | Keine Vertraulichkeit, keine echte Authentifizierung |
| IPv4 und IPv6 in einer Spezifikation (VRRPv3) | Sub-Sekunden-Timer erhöhen das Risiko von Fehlauslösungen |
| Sub-Sekunden-Failover mit kurzen Intervallen möglich | Wirkt nur im einzelnen L2-Segment (Link-Local-Multicast) |
| Tracking koppelt das Gateway an die Uplink-Lage | Split-Brain bei L2-Problemen oder Timer-Mismatch |
Häufige Fragen zu VRRP
VRRP ist ein offener IETF-Standard (aktuell RFC 9568) und herstellerübergreifend interoperabel. HSRP und GLBP sind Cisco-proprietär und arbeiten zwar ähnlich, lassen sich aber nicht mit VRRP-Implementierungen anderer Hersteller mischen. Wo gemischte Hardware redundante Gateways braucht, ist VRRP die naheliegende Wahl.
Nein. VRRP arbeitet aktiv/passiv: Nur der aktive Router leitet Verkehr weiter, das Backup wartet. Echtes Load-Balancing über mehrere Gateways gleichzeitig leistet VRRP nicht; dafür braucht es andere Verfahren wie mehrere VRRP-Gruppen mit verteilten Prioritäten oder ECMP.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
VRRP im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.