Zusammenfassung

  • Der Active-Zustand nach RFC 9568 entsteht aus konfiguriertem Adresseigentum, Priorität, Advertisements und Ablaufzeiten; er bezeichnet eine Protokollrolle, keine authentisierte Befugnis und keinen Gesundheitstest der Datenebene.
  • Ein belastbarer Failover-Nachweis verbindet die Wahl mit virtueller MAC, ARP oder Neighbor Discovery, Adjazenzen, Upstream-Erreichbarkeit, getrennten IPv4/IPv6-Instanzen und der beobachteten Wiederkehr des Verkehrs.

Ein Backup kann in wenigen Sekunden zum Active Router werden, während der Ausfall für Kunden unverändert bleibt. Das Ereignisprotokoll zeigt eine saubere Abfolge: letztes Advertisement, berechneter Ablauf, Zustandswechsel, neue Sendung. Diese Abfolge ist richtig und trotzdem unvollständig.

VRRP entlastet Endsysteme davon, selbst dynamische Routingentscheidungen für ihr Standardgateway zu treffen. Mehrere Router koordinieren, wer eine virtuelle erste Adresse vertritt. Fällt der bisherige Sprecher aus Sicht der Backups aus, übernimmt ein anderer. Der Standard beschreibt diese lokale Verantwortung; er beobachtet nicht automatisch den gesamten Verkehrsweg dahinter.

Der Inhalt eines Advertisements setzt die Grenze

Ein VRRPv3-Advertisement gilt für eine VRID und eine Adressfamilie. Es enthält Priorität, maximales Sendeintervall und geschützte IPv4- oder IPv6-Adressen. Der konfigurierte Adresseigentümer verwendet 255. Backups nutzen 1 bis 254, standardmäßig 100. Null signalisiert den Verzicht des Active Routers. Eine Prüfsumme erkennt zufällige Beschädigung. TTL oder Hop Limit müssen 255 betragen, damit entfernte Einspeisung begrenzt wird.

Nicht enthalten sind FIB-Zustand, Uplink-Test, Nachbarauflösung, Filterregeln, Sitzungszustand oder eine Anwendungsmessung. Hinzu kommt: VRRPv3 besitzt laut RFC 9568 keine Authentisierung. Ein feindlicher oder falsch konfigurierter Teilnehmer im selben LAN kann sich wie ein Active Router verhalten. Die Sprungweitenprüfung macht aus dem lokalen Segment keine vertrauenswürdige Identitätssphäre.

Auch Priorität 255 ist nur eine konfigurierte Aussage innerhalb der Instanz. Sie belegt kein externes Eigentum und keine Einsatzbereitschaft. Melden zwei Router 255, liegt ein Konflikt vor, der protokolliert und behoben werden muss. Das Zahlenfeld entscheidet nicht, wem die Autorität außerhalb des Protokolls zusteht.

Ablaufzeit ist kein Fehlergutachten

Ein Backup übernimmt das vom Active Router angekündigte Intervall und berechnet daraus zusammen mit seiner Priorität die Skew_Time. Nach drei Intervallen plus dieser Verschiebung läuft das Active_Down_Interval ab. Höhere Backup-Priorität verkürzt die Wartezeit und ordnet die Nachfolger.

Der Ablauf beweist lediglich, dass am Empfänger lange genug kein gültiges Advertisement ankam. Stromverlust, Multicast-Filter, gestoppter Prozess, unidirektionale Störung oder Segmenttrennung erzeugen dasselbe Signal. Umgekehrt kann ein Router weiter senden, obwohl seine Forwarding-Hardware, sein Uplink oder seine Standardroute ausgefallen ist. Der Zustand des VRRP-Kanals diagnostiziert nicht jede Abhängigkeit des Dienstes.

Kürzere Intervalle beschleunigen die Wahl, nicht zwangsläufig die Wiederherstellung. Switches müssen die MAC umlernen, Hosts ihre Nachbarinformationen erneuern und Routing oder Policies müssen weiterhin passen. RFC 9568 warnt zudem vor einem langsamen, höher priorisierten Active Router und schnelleren Backups: vorübergehend können konkurrierende Active-Zustände entstehen. Eng beieinanderliegende Prioritäten erhöhen ebenfalls das Risiko nahezu gleichzeitiger Übernahmen.

Die virtuelle MAC muss in der realen Topologie ankommen

Nach der Wahl verwendet der neue Active Router die virtuelle MAC und kündigt die geschützten Adressen an. IPv4 nutzt ARP, IPv6 Neighbor Discovery. Erst wenn Switches, Router und Hosts diese Änderung übernehmen, wird aus der Rollenentscheidung eine neue Verkehrslage.

Ein Mitschnitt am Sender beweist die Aussendung, nicht die Annahme. Ein Switch kann den alten Port behalten. Einige Hosts aktualisieren, andere nicht. Sicherheitsfunktionen können unaufgeforderte Nachrichten filtern. RFC 9131 weist darauf hin, dass zusätzliche Konfiguration nötig sein kann, damit unaufgeforderte Neighbor Advertisements tatsächlich Cache-Einträge erneuern. Link-Konvergenz kann deshalb geteilt und ortsabhängig sein.

Ein Ping zur geschützten Adresse ist ebenfalls kein eindeutiges Urteil. Accept_Mode ist standardmäßig False. Ein Active Router, der nicht Adresseigentümer ist, darf Pakete an diese Adresse als lokale Zustellung ablehnen und dennoch Transitverkehr korrekt weiterleiten. Ein fehlgeschlagener Ping widerlegt die Weiterleitung nicht. Ein erfolgreicher Ping belegt nur die lokale Erreichbarkeit, nicht den Upstream-Pfad bis zur Anwendung.

Zwei Adressfamilien, zwei Beweisketten

IPv4- und IPv6-Virtual-Router sind unabhängige Instanzen. Ein gemeinsames Gehäuse erzeugt keine gemeinsame Wahl. IPv4 kann bereits konvergiert sein, während die IPv6-Nachbartabelle noch veraltet ist. Auch unterschiedliche Active Router pro Familie sind möglich.

Bei IPv6 kommen Optionen in Router Advertisements hinzu. Spezielle Dienste sollen nur angekündigt werden, wenn die Backups sie vollständig übernehmen können und der nötige Zustand synchron ist. Die virtuelle Adresse kann wechseln, während die dahinterliegende Funktion nicht mitgewechselt ist.

Was ein vollständiger Betriebsnachweis enthält

Er benennt VRID, Familie und Adressen; hält Eigentümerkonfiguration, Priorität, Intervall, Preemption und Accept Mode fest; bewahrt letztes gültiges Advertisement und Ablaufrechnung; erklärt Gewinner und Tie-Break; beobachtet die virtuelle MAC an relevanten Switches; prüft ARP oder ND an mehreren Punkten; verifiziert Schnittstellen, Adjazenzen, FIB und Policies; testet den Upstream unabhängig; und misst Verlust sowie Anwendungswiederkehr getrennt für IPv4 und IPv6.

BFD kann bei ausdrücklicher Kopplung ein zusätzliches Signal über einen bidirektionalen Pfad liefern. Das VRRP-YANG-Modell kann Zustände und Zähler offenlegen. Beide erweitern die Evidenz, sind aber nicht im Wort Active enthalten. Erst die nachvollziehbare Verbindung zum laufenden Verkehr erlaubt eine Aussage über Verfügbarkeit.

RFC 9568 ist stark, weil es eine enge Aufgabe präzise erfüllt. Betriebsführung wird schwach, wenn sie den präzisen Rollenbegriff als Ersatz für unbeobachtete Realität verwendet.

Quellen