Что такое VRRP: как работает протокол и как настроить его на MikroTik

Если в офисе интернет работает через один маршрутизатор, его поломка может оставить сотрудников без доступа к CRM, почте и другим рабочим сервисам. Чтобы этого не произошло, устанавливают второй роутер, который сможет заменить основной.

Для автоматического переключения между устройствами используют протокол VRRP. Разберём, как он работает, зачем нужен виртуальный IP-адрес и как настроить резервирование на двух MikroTik. В конце покажем, как проверить результат и какие неисправности VRRP не сможет устранить самостоятельно.

Что такое VRRP простыми словами

VRRP (Virtual Router Redundancy Protocol) — это протокол, который позволяет нескольким маршрутизаторам работать с одним общим адресом шлюза. Если основной маршрутизатор перестанет работать, резервный сможет автоматически принять его роль.

Представим небольшую компанию. В офисе есть 20 компьютеров, все они подключены к интернету через один MikroTik. Утром маршрутизатор ломается, и сотрудники теряют связь.

Можно заранее подключить второй MikroTik. Но возникает вопрос: как компьютеры поймут, что теперь нужно обращаться к другому устройству?

Здесь и помогает VRRP. Маршрутизаторы получают общий виртуальный IP-адрес, который сотрудники используют как шлюз для выхода за пределы локальной сети. Когда основной роутер отключается, резервный начинает обслуживать тот же адрес.

Для пользователей настройки сети не меняются. Им не нужно искать запасной роутер или вручную прописывать новый шлюз.

VRRP применяют в офисных и корпоративных сетях, серверной инфраструктуре и других системах, где важно уменьшить время простоя при выходе оборудования из строя.

Как работает VRRP

Для начала разберёмся со шлюзом. Это устройство, через которое компьютер отправляет данные за пределы своей локальной сети. Например, когда вы открываете сайт, запрос обычно проходит через маршрутизатор.

У каждого маршрутизатора есть собственный IP-адрес. Представим, что у нас установлены два MikroTik:

• Первый имеет адрес 192.168.1.10.
• Второй — 192.168.1.20.

Оба подключены к одной локальной сети. Но в настройках компьютеров мы указываем третий адрес — 192.168.1.1.

Это и есть виртуальный IP, или VIP. Он принадлежит VRRP-группе, а не конкретному физическому устройству.

Пока работает первый маршрутизатор, он обслуживает виртуальный адрес. Если устройство выйдет из строя, эту задачу возьмёт на себя второй.

Получается, что для компьютера ничего не изменится: он продолжит обращаться к 192.168.1.1. Просто обрабатывать его запросы теперь будет другой роутер.

Что такое Master и Backup

VRRP определяет, какой маршрутизатор сейчас главный, а какой находится в резерве.

В MikroTik для этого используются два состояния.

Master — активный маршрутизатор. Он обслуживает виртуальный шлюз и регулярно отправляет сообщения о том, что работает.

Backup — резервный маршрутизатор. Он получает эти сообщения и следит, доступен ли основной.

Если Backup перестаёт получать сообщения, он через некоторое время принимает роль Master. При стандартном интервале VRRP в одну секунду обнаружение отказа обычно занимает несколько секунд.

Однако переключение не всегда проходит незаметно. Например, во время видеозвонка может возникнуть короткий перерыв. А некоторые уже открытые соединения придётся устанавливать заново.

Как выбирается основной маршрутизатор

У каждого устройства в VRRP-группе есть параметр Priority — приоритет.

Чем выше число, тем больше шансов у маршрутизатора стать Master.

Например, у первого MikroTik приоритет 254, а у второго — 100. При обычных настройках первым будет управлять сетью R1.

Когда он перестанет работать, его место займёт R2.

После восстановления первого роутера возможны два варианта:

• Если включён параметр Preemption Mode, устройство с более высоким приоритетом сможет вернуть себе роль Master.
• Если параметр отключён, исправный резервный маршрутизатор может продолжить работу в роли Master, пока не возникнет необходимость в новом переключении.

Второй вариант полезен, если хочется избежать лишней смены маршрутизатора сразу после восстановления оборудования.

Что произойдёт, если основной роутер отключится

Вернёмся к примеру с офисом.

Допустим, сотрудник работает в CRM, а основной MikroTik неожиданно выключается. Резервный маршрутизатор замечает, что перестал получать сообщения от первого, и принимает управление виртуальным шлюзом. После переключения новые запросы смогут проходить через второй роутер, если у него настроены рабочее подключение и маршрутизация.

Но есть нюанс: VRRP не гарантирует сохранение всех открытых соединений.

Например, сайт после короткого перерыва может продолжить загружаться. А VPN-подключение, видеозвонок или загрузка большого файла могут прерваться.

Многое зависит от того, как устроена сеть. Если второй маршрутизатор выходит в интернет через другого провайдера, внешний IP-адрес может измениться, и часть соединений оборвётся.

В RouterOS предусмотрена синхронизация информации о текущих соединениях между маршрутизаторами. Она помогает при некоторых сценариях переключения, но настраивается отдельно и не решает все проблемы с обрывами. Поэтому при внедрении VRRP проверяют не только смену роли Master, но и работу реальных сервисов после отказа основного устройства.

Где используют VRRP и когда он действительно нужен

Самый очевидный пример — офисная сеть, где сотрудники постоянно работают с онлайн-сервисами. Поломка маршрутизатора здесь может остановить работу целого отдела.

VRRP пригодится и в компаниях с собственной серверной инфраструктурой. Если один маршрутизатор перестанет обслуживать внутреннюю сеть, резервный сможет принять его роль.

Ещё один вариант — инфраструктура интернет-сервисов, где несколько устройств обеспечивают доступ к приложениям через общий адрес.

Но устанавливать второй маршрутизатор только ради VRRP нужно не всегда. Для небольшого помещения с парой компьютеров стоимость дополнительного оборудования и его обслуживания может оказаться выше возможных потерь от кратковременного простоя.

Также важно понимать, что два роутера не делают всю сеть полностью отказоустойчивой.

Если оба подключены через один коммутатор, его поломка может оставить компьютеры без связи. А если оба маршрутизатора используют один интернет-канал, авария у провайдера лишит их доступа в интернет одновременно.

VRRP защищает прежде всего от отказа маршрутизатора или недоступности его участия в группе. Другие слабые места сети приходится устранять отдельно.

Как настроить VRRP на MikroTik через WinBox

Теперь попробуем настроить резервирование самостоятельно.

Для примера возьмём два MikroTik с RouterOS 7, коммутатор и компьютер для проверки. Удобнее выполнять такую работу на учебном стенде: изменение сетевых настроек на действующем маршрутизаторе может прервать подключение к нему.

Мы сначала настроим работу виртуального шлюза внутри локальной сети. Интернет для такой проверки не обязателен.

Шаг 1. Подготовьте два MikroTik

Подключите оба роутера к одному коммутатору. К нему же подключите тестовый компьютер.

Предположим, что на обоих MikroTik для локальной сети используется интерфейс bridge. В RouterOS он объединяет несколько сетевых портов в одну локальную сеть.

Нам понадобятся такие настройки:

Не пугайтесь количества параметров. Большинство нужно просто указать один раз.

VRID — номер VRRP-группы. Он помогает маршрутизаторам понять, что они относятся к одной группе резервирования.

Priority определяет, какой роутер должен быть основным.

Interval задаёт, как часто активное устройство сообщает резервному, что продолжает работать.

В нашем случае оба MikroTik будут использовать одну группу с номером 49, но разные приоритеты.

Перед настройкой убедитесь, что адреса 192.168.1.10, 192.168.1.20 и 192.168.1.1 свободны. Если на устройствах уже работают DHCP-серверы, выдающие настройки сети автоматически, их конфигурацию тоже нужно согласовать. В учебном примере компьютер получит статический адрес, а конфликтующих DHCP-серверов быть не должно.

Шаг 2. Назначьте IP-адреса маршрутизаторам

Откройте WinBox и подключитесь к первому MikroTik.

Перейдите в раздел IP → Addresses и нажмите кнопку добавления адреса.

Укажите:

• Address: 192.168.1.10/24.
• Interface: bridge.

Сохраните настройки.

Теперь подключитесь ко второму MikroTik и аналогичным способом задайте ему 192.168.1.20/24 на интерфейсе bridge.

Если устройства уже настроены, проверьте существующие адреса. Не нужно добавлять одинаковые записи повторно.

Маска /24 означает, что в нашем примере устройства находятся в одной подсети 192.168.1.0/24. Этого достаточно, чтобы оба маршрутизатора могли взаимодействовать в общей локальной сети.

Шаг 3. Создайте VRRP на первом MikroTik

В WinBox откройте Interfaces → VRRP и нажмите кнопку добавления нового интерфейса.

Заполните основные параметры:

Сохраните настройки.

Теперь перейдите в IP → Addresses и добавьте ещё один адрес:

• Address: 192.168.1.1/32.
• Interface: vrrp-lan.

Это виртуальный шлюз. Маска /32 здесь нужна для настройки VRRP-адреса в той же подсети, что и реальный адрес маршрутизатора. Именно такой вариант используется в примерах MikroTik.

Мы сделали первый роутер главным кандидатом на роль Master благодаря приоритету 254.

Шаг 4. Настройте резервный MikroTik

На втором устройстве откройте тот же раздел Interfaces → VRRP.

Настройки почти не отличаются:

Затем в IP → Addresses добавьте тот же виртуальный адрес 192.168.1.1/32 на интерфейс vrrp-lan.

Обратите внимание: на обоих маршрутизаторах виртуальный IP одинаковый. Это нормально для VRRP.

А вот реальные IP-адреса устройств должны различаться.

В результате первый MikroTik с приоритетом 254 должен стать Master, а второй с приоритетом 100 — Backup.

Шаг 5. Проверьте, что VRRP работает

Откройте список VRRP-интерфейсов в WinBox.

На первом устройстве должно отображаться состояние Master, на втором — Backup.

Дополнительно это можно проверить через терминал RouterOS:

/interface vrrp print detail

В выводе ищите флаги M и B. Они обозначают Master и Backup соответственно.

Теперь назначьте тестовому компьютеру адрес 192.168.1.100 с маской 255.255.255.0, а в качестве шлюза укажите 192.168.1.1.

Откройте командную строку Windows и выполните:

ping 192.168.1.1 -t

Команда будет непрерывно отправлять запросы виртуальному шлюзу. Пока он доступен и разрешены ответы на ping, вы увидите сообщения с временем отклика.

Самое интересное начинается дальше.

На учебном стенде выключите первый маршрутизатор. Второй должен заметить его отсутствие и перейти в состояние Master.

На компьютере в этот момент могут потеряться несколько запросов, но затем ответы должны возобновиться.

Проверьте статус второго MikroTik. Если он стал Master, а компьютер по-прежнему обращается к 192.168.1.1, основное переключение работает.

Важно: успешная проверка виртуального шлюза ещё не означает, что интернет тоже будет работать после аварии. Для этого резервному роутеру нужны настроенный выход во внешнюю сеть, маршруты и необходимые правила обработки трафика.

Команды VRRP для MikroTik

Если вам удобнее терминал, ту же конфигурацию можно создать командами RouterOS.

Для первого MikroTik:

/ip address add address=192.168.1.10/24 interface=bridge

/interface vrrp add name=vrrp-lan interface=bridge vrid=49 priority=254 interval=1s version=3 v3-protocol=ipv4

/ip address add address=192.168.1.1/32 interface=vrrp-lan

Для второго:

/ip address add address=192.168.1.20/24 interface=bridge

/interface vrrp add name=vrrp-lan interface=bridge vrid=49 priority=100 interval=1s version=3 v3-protocol=ipv4

/ip address add address=192.168.1.1/32 interface=vrrp-lan

Эти команды рассчитаны на подготовленный стенд RouterOS 7 с LAN-интерфейсом bridge и без конфликтующих IP-настроек. Если ваша локальная сеть находится на другом интерфейсе, нужно указать его название. И не запускайте команды поверх уже созданных записей VRRP и IP-адресов: сначала проверьте существующую конфигурацию.

Почему VRRP не переключается: частые проблемы

Допустим, вы всё настроили, но второй MikroTik не становится резервным или оба маршрутизатора показывают состояние Master.

Причин может быть несколько.

На роутерах разные VRID

Это одна из первых вещей, которые стоит проверить.

Если на первом маршрутизаторе VRID равен 49, а на втором 50, устройства будут относиться к разным VRRP-группам.

Исправьте номер так, чтобы он совпадал на обоих устройствах.

Заодно проверьте виртуальные IP-адреса, версию протокола и интервал сообщений. Эти параметры должны быть совместимыми.

Маршрутизаторы не видят друг друга

Для работы VRRP устройства должны обмениваться служебными сообщениями в общем сетевом сегменте.

Если они подключены к разным изолированным сетям или коммутатор блокирует нужный трафик, взаимодействие не получится.

Ещё одна возможная причина — правила firewall.

VRRP использует IP-протокол с номером 112. Это именно номер протокола, а не номер TCP- или UDP-порта.

Если соответствующие пакеты блокируются, резервный роутер перестаёт получать сообщения от основного. В результате оба устройства могут считать себя Master.

Проверьте правила фильтрации и убедитесь, что обмен VRRP разрешён между доверенными маршрутизаторами.

Основной роутер работает, но интернет пропал

Допустим, MikroTik R1 включён и исправно работает, но у его провайдера произошла авария. Второй MikroTik продолжит получать сообщения VRRP от первого. Для него основной маршрутизатор работает, поэтому причин для переключения может не быть.

Получается неприятная ситуация: интернет недоступен, хотя резервный роутер есть. Чтобы избежать этого, дополнительно настраивают проверку доступности внешней сети. В MikroTik для таких задач можно использовать Netwatch.

Он умеет проверять доступность IP-адреса или сервиса. Когда проверка показывает проблему, настроенный сценарий может изменить приоритет VRRP или выполнить другое действие.

Например, если R1 потерял связь с интернетом, его приоритет можно снизить ниже 100. Тогда R2 с приоритетом 100 сможет стать Master.

Но здесь уже нужна отдельная логика: что именно считать аварией, сколько неудачных проверок ждать и когда возвращать основное устройство в работу. Если настроить всё слишком чувствительно, роутеры могут переключаться из-за кратковременного сетевого сбоя.

После переключения пропадает VPN или обрывается звонок

VRRP отвечает за доступность шлюза. Он не переносит автоматически все текущие подключения пользователей с одного маршрутизатора на другой.

RouterOS 7 поддерживает синхронизацию Connection Tracking — информации о соединениях, которую использует маршрутизатор при обработке трафика.

Такая синхронизация может помочь сохранить часть сессий при переключении. Однако её нужно отдельно настроить и проверить на конкретной схеме сети.

Если резервный роутер использует другой внешний IP-адрес, одних настроек VRRP и Connection Tracking может оказаться недостаточно.

VRRP в Cisco и Keepalived: чем отличается настройка

VRRP — открытый стандарт, поэтому его используют не только на MikroTik.

Cisco поддерживает VRRP на соответствующем сетевом оборудовании. Принцип тот же: несколько маршрутизаторов работают с общим виртуальным шлюзом, а роль активного устройства определяется механизмом выбора.

У Cisco также есть протокол HSRP. Он решает похожую задачу, но отличается реализацией. Если в сети используется оборудование разных производителей, обычно рассматривают поддержку VRRP и совместимость конкретных устройств.

Keepalived — программное решение для Linux, которое тоже поддерживает VRRP.

Например, у компании работают два Linux-сервера с веб-приложением. Keepalived позволяет назначить им общий виртуальный IP-адрес и переключать его между узлами при определённых условиях.

Основные настройки Keepalived хранятся в файле /etc/keepalived/keepalived.conf.

В нём указывают сетевой интерфейс, виртуальный адрес и параметры VRRP. После запуска Keepalived один сервер получает активную роль, другой остаётся резервным.

Это полезно для отказоустойчивости серверных сервисов, хотя для полноценной работы приложения может потребоваться дополнительная настройка балансировки, хранения данных и проверок состояния.

Чем VRRP отличается от балансировки нагрузки

Оба решения помогают повысить надёжность сети, но работают по-разному.

В обычной схеме VRRP один маршрутизатор обслуживает виртуальный шлюз, а второй ждёт своей очереди. Главная задача — переключиться при отказе.

При балансировке нагрузку распределяют между несколькими устройствами или каналами, которые могут работать одновременно. Например, компания может использовать два интернет-подключения и направлять часть трафика через одного провайдера, а часть — через другого.

VRRP сам по себе не распределяет соединения между двумя роутерами. В более сложных сетях можно настроить несколько VRRP-групп с разными активными устройствами, но это уже отдельная схема. Для первого знакомства с протоколом достаточно варианта Master/Backup: он понятнее, проще проверяется и хорошо показывает назначение VRRP.

Что в итоге

VRRP помогает сети пережить отказ основного маршрутизатора без ручного изменения адреса шлюза на компьютерах. Один роутер обслуживает общий виртуальный IP, а второй готов принять его роль.

Для первой практики достаточно двух MikroTik и одного компьютера. Настройте VRRP, проверьте состояния Master и Backup, затем отключите основной маршрутизатор на учебном стенде и посмотрите, как резервный принимает управление.

Если задача — обеспечить доступность интернета в реальной компании, одной настройки VRRP будет мало. Понадобится продумать резервные подключения, работу firewall, маршрутизацию, автоматическую проверку соединений и возможные обрывы пользовательских сессий.

FAQ