神马文学网VRRP与HSRP的区别 - SENSE - 51CTO技术博客
来源：百度文库 编辑：神马文学网 时间：2024/07/08 16:51:39
VRRP与HSRP的区别2007-05-06 21:08:00
1、HSRP不支持将真实的接口地址，设置为虚拟的网关地址，而VRRP支持
在功能上,VRRP和HSRP非常相似,但是就安全而言,VRRP对 HSRP的一个主要优势:它允许参与VRRP组的设备间建立认证机制.并且,不像HSRP那样要求虚拟路由器不能是其中一个路由器的ip地址,但是 VRRP允许这种情况发生(如果”拥有”虚拟路由器地址的路由器被建立并且正在运行,那么应该总是由这个虚拟路由器管理—等价于HSRP中的活动路由器),但是为了确保万一失效发生的时候终端主机不必重新学习MAC地址,它指定使用的MAC地址00-00-5e-00-01-VRID,这里的VRID 是虚拟路由器的ID(等价于一个HSRP的组标识符).
2.另外一个不同是VRRP不使用HSRP中的政变或者一个等价消息,VRRP的状态机比HSRP的要简单,HSRP有6个状态(初始(Initial) 状态，学习(Learn)状态，监听(Listen)状态，对话(Speak)状态，备份(Standby)状态，活动(Active)状态)和8个事件, VRRP只有3个状态(初始状态(Initialize)、主状态(Master)、备份状态(Backup))和5个事件.
3. HSRP有三种报文，而且有三种状态可以发送报文
呼叫(Hello)报文，告辞(Resign)报文，突变(Coup)报文
VRRP有一种报文
VRRP广播报文：由主路由器定时发出来通告它的存在，使用这些报文可以检测虚拟路由器各种参数，还可以用于主路由器的选举。
4. HSRP将报文承载在UDP报文上，而VRRP承载在TCP报文上(HSRP 使用UDP 1985端口，向组播地址224.0.0.2 发送hello消息。)
5.VRRP的安全:VRRP协议包括三种主要的认证方式:无认证,简单的明文密码和使用 MD5 HMAC ip认证的强认证.
强认证方法使用IP认证头(AH)协议.AH是与用在IPSEC中相同的协议,AH为认证VRRP分组中的内容和分组头提供了一个方法. MD5 HMAC 的使用表明使用一个共享的密钥用于产生hash值.路由器发送一个VRRP分组产生MD5 hash值,并将它置于要发送的通告中, 在接收时,接受方使用相同的密钥和MD5值,重新计算分组内容和分组头的hash值,如果结果相同,这个消息就是真正来自于一个可信赖的主机,如果不相同,它必须丢弃,这可以防止攻击者通过访问LAN而发出能影响选择过程的通告消息或者其他一些方法中断网络.
另外,VRRP包括一个保护VRRP分组不会被另外一个远程网络添加内容的机制(设置TTL值=255,并在接受时检查),这限制了可以进行本地攻击的大部分缺陷.而另一方面,HSRP在它的消息中使用的TTL值是1.
6.VRRP的崩溃间隔时间:3*通告间隔+时滞时间(skew-time)以上是网上搜索出来的东东，下面通过实验来验证看看，拓扑如下：
下面我们通过实验来做一些验证
1、HSRP不支持将真实的接口地址，设置为虚拟的网关地址，而VRRP支持
在功能上,VRRP和HSRP非常相似,但是就安全而言,VRRP对 HSRP的一个主要优势:它允许参与VRRP组的设备间建立认证机制.并且,不像HSRP那样要求虚拟路由器不能是其中一个路由器的ip地址,但是 VRRP允许这种情况发生(如果”拥有”虚拟路由器地址的路由器被建立并且正在运行,那么应该总是由这个虚拟路由器管理—等价于HSRP中的活动路由器),但是为了确保万一失效发生的时候终端主机不必重新学习MAC地址,它指定使用的MAC地址00-00-5e-00-01-VRID,这里的VRID 是虚拟路由器的ID(等价于一个HSRP的组标识符).
2.另外一个不同是VRRP不使用HSRP中的政变或者一个等价消息,VRRP的状态机比HSRP的要简单,HSRP有6个状态(初始(Initial) 状态，学习(Learn)状态，监听(Listen)状态，对话(Speak)状态，备份(Standby)状态，活动(Active)状态)和8个事件, VRRP只有3个状态(初始状态(Initialize)、主状态(Master)、备份状态(Backup))和5个事件.
3. HSRP有三种报文，而且有三种状态可以发送报文
呼叫(Hello)报文，告辞(Resign)报文，突变(Coup)报文
VRRP有一种报文
VRRP广播报文：由主路由器定时发出来通告它的存在，使用这些报文可以检测虚拟路由器各种参数，还可以用于主路由器的选举。
4. HSRP将报文承载在UDP报文上，而VRRP承载在TCP报文上(HSRP 使用UDP 1985端口，向组播地址224.0.0.2 发送hello消息。)
5.VRRP的安全:VRRP协议包括三种主要的认证方式:无认证,简单的明文密码和使用 MD5 HMAC ip认证的强认证.
强认证方法使用IP认证头(AH)协议.AH是与用在IPSEC中相同的协议,AH为认证VRRP分组中的内容和分组头提供了一个方法. MD5 HMAC 的使用表明使用一个共享的密钥用于产生hash值.路由器发送一个VRRP分组产生MD5 hash值,并将它置于要发送的通告中, 在接收时,接受方使用相同的密钥和MD5值,重新计算分组内容和分组头的hash值,如果结果相同,这个消息就是真正来自于一个可信赖的主机,如果不相同,它必须丢弃,这可以防止攻击者通过访问LAN而发出能影响选择过程的通告消息或者其他一些方法中断网络.
另外,VRRP包括一个保护VRRP分组不会被另外一个远程网络添加内容的机制(设置TTL值=255,并在接受时检查),这限制了可以进行本地攻击的大部分缺陷.而另一方面,HSRP在它的消息中使用的TTL值是1.
6.VRRP的崩溃间隔时间:3*通告间隔+时滞时间(skew-time)以上是网上搜索出来的东东，下面通过实验来验证看看，拓扑如下：
下面我们通过实验来做一些验证
VRRP与HSRP的区别 - SENSE - 51CTO技术博客
ERP内部顾问与外部顾问的区别 - johnny - 51CTO技术博客
软件语言与应用领域 - huawen - 51CTO技术博客
误删除与误格式化的挽回(图) - 超级网络家园 - 51CTO技术博客-领先的IT技术博客
讨人喜欢的27个原则 - 雨荷 - 51CTO技术博客
regsvr32 注册.dll的用法 - carywu - 51CTO技术博客
hosts文件不起作用的解决办法 - 熊窝 - 51CTO技术博客
最不称职网络管理员 - 周海鹏微软技术社区 - 51CTO技术博客-领先的IT技术博客
修改默认远程桌面登陆端口 - 凯旋博客 - 51CTO技术博客-领先的IT技术博客
央视2.4秒门对管理的启示 - byteh-信息时代个体与组织 - 51CTO技术博客
一位网络工程师的终告 转贴 - 飞 - 51CTO技术博客-领先的IT技术博客
STP特性详解 - 不动的流星 - 51CTO技术博客-领先的IT技术博客
十分经典的批处理教程 - 老地方 - 51CTO技术博客-领先的IT技术博客
cisco学习的去向 - cxkong - 51CTO技术博客-领先的IT技术博客
堆叠 - 漫步云端 - 51CTO技术博客
人生三字经 - 紫轩阁 - 51CTO技术博客
CTime::Format - 狼窝 - 51CTO技术博客
常见数据库分页SQL语句 - 熔 岩 - 51CTO技术博客-领先的IT技术博客
Subversion1.4 apache2.2安装 - safe.cn - 51CTO技术博客-领先的IT技术博客
Solaris10下Nagios安装 - better - 51CTO技术博客-领先的IT技术博客
WinXP远程桌面_技巧 - lcw410 - 51CTO技术博客-领先的IT技术博客
网络安全类IT认证考试指导 - 创世纪 - 51CTO技术博客-领先的IT技术博客
常见数据库分页SQL语句 - 熔 岩 - 51CTO技术博客-领先的IT技术博客
什么是SSH? - beautymm - 51CTO技术博客-领先的IT技术博客