华为交换机 VRRP 双机热备配置详解（含排障）

两台华为交换机做网关冗余，最常用也最容易配错的就是 VRRP。配完能 ping 通虚拟 IP，但主备切换时业务仍中断，或者一台设备重启后"抢回"主用导致二次中断，这类问题几乎都出在优先级、抢占延时和上行接口监视上。本文按实际项目顺序给出完整配置：先建 VRRP 备份组、再定优先级和抢占策略、接着用接口监视（track）保证上行断链时能切换，最后附上 display vrrp 排障与常见问题（虚 IP 不一致、优先级相同时的选举规则）。

一、基础环境准备

system-view
sysname SW-1
vlan batch 10
interface Vlanif10
 ip address 10.10.10.2 255.255.255.0
 quit
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 10
 quit

先确认两台交换机的业务网段在三层上已经互通（VRRP 只负责网关，不负责上游可达性），并统一规划：SW-1 为 Master（优先级 120），SW-2 为 Backup（默认 100），虚拟 IP 用 10.10.10.1。

二、配置 VRRP 备份组

SW-1：
interface Vlanif10
 vrrp vrid 1 virtual-ip 10.10.10.1
 vrrp vrid 1 priority 120
 vrrp vrid 1 preempt-mode timer delay 20
 vrrp vrid 1 authentication-mode simple cipher Huawei@123
 quit

SW-2：
interface Vlanif10
 vrrp vrid 1 virtual-ip 10.10.10.1
 vrrp vrid 1 priority 100
 vrrp vrid 1 preempt-mode timer delay 20
 vrrp vrid 1 authentication-mode simple cipher Huawei@123
 quit

要点：两台设备的 vrid 和 virtual-ip 必须完全一致（这也是排障时最先检查的地方）；优先级越大越优先，默认 100，范围 1-254，255 是 IP 地址拥有者专用；抢占延时建议 15-30 秒，避免设备刚重启、路由还没收敛就抢回主用，造成二次抖动。若整个网络只需要一个虚 IP，虚拟 IP 不要与任何接口实 IP 相同。

三、上行接口监视：让 VRRP 真正感知断链

SW-1（Master）：
vrrp vrid 1 track interface GigabitEthernet0/0/24 reduced 30
track 1 interface GigabitEthernet0/0/24
interface Vlanif10
 vrrp vrid 1 track 1 reduced 30
 quit

没有 track 的 VRRP 只看接口 up/down：上行口物理上是 up、但对端故障导致路由不可达时，Master 会继续声称自己是网关，主机全部黑洞掉。常见做法是监视上行物理口或 track bfd-session，被监视对象故障时优先级降低 30，让 Backup 抢先成为 Master。BFD 联动（毫秒级）适合对收敛要求高的场景。

四、验证与排障

display vrrp
display vrrp verbose
display vrrp interface Vlanif10
display vrrp statistics
display track all
reset vrrp statistics
terminal monitor
terminal debugging
debugging vrrp all

display vrrp verbose 中重点看四项：State（Master/Backup/Initialize）、Priority（当前优先级，被 track 调整后会变）、Master IP、以及 Virtual IP 是否显示为 vrrp vrid 1 virtual-ip 配置的值。

五、常见问题

• 两台都是 Master：虚拟 IP 或 vrid 不一致、认证密钥不一致、或者 VLAN 被二层环路分割成了两个广播域。
• 优先级相同：VRRP 先比较优先级，相同则比较接口实 IP，IP 大者为主用；但推荐用显式优先级，不要依赖该规则。
• 切换很慢：Master_Down_Interval 默认是 3×Advertisement_Interval + Skew_Time（默认约 3 秒），可把通告间隔改为 1 秒，或配合 BFD 联动。
• 切换后业务仍不通：检查上行链路、ARP/MAC 表项老化、以及防火墙或对端设备是否绑定的是旧网关 MAC。
• 不能配置的坑：一台接口上 VRRP 备份组数量、以及与接口监视联动的取值都有范围限制，超出后命令会被拒绝。

六、与其他厂商的对应关系

华为 VRRP 与思科 HSRP/VRRP、Juniper VRRP、Aruba active-gateway 解决的是同一个问题，差异主要在命令层级和默认计时器。可参考本站：华为交换机 VLAN 配置（Access/Trunk/Hybrid）、华为 Eth-Trunk 链路聚合配置、Cisco HSRP 优先级与 track、Junos VRRP 配置。

原文链接：https://support.huawei.com/enterprise/zh/doc/EDOC1000178145/3f68ca6c