认证防的是误组
HSRP 认证用于防止误组：v1 支持明文与 MD5 两种方式，v2 只保留 MD5（并支持密钥链）。两端认证不一致时互相忽略报文，各自认为自己是 Active，形成双 Active，业务表现为断断续续而不是彻底中断，排查难度比完全不通更高。
基本信息
| 版本差异 | v1 支持明文与 MD5，v2 仅 MD5 |
|---|---|
| v1 命令 | standby 1 authentication text 或 md5 key-string |
| 风险后果 | 认证不一致形成双 Active |
| 核对方式 | show standby 与运行配置对照 |
| 迁移提示 | v1 迁 v2 时认证配置需要重写 |
典型使用场景
- 新部署时统一认证方式，避免一端默认、一端 MD5
- 排查双 Active 时把认证核对作为第一步
- v1 迁移 v2 时重写认证配置并逐台核对
- 巡检时把认证方式纳入两端对称核对表
- 安全要求较高的环境统一使用 MD5 并定期更换密钥
认证配置与核对
认证配置与核对
# v1：明文或 MD5
standby 1 authentication text STR0NGpass
standby 1 authentication md5 key-string STR0NGpass
# v2：只保留 MD5
standby version 2
standby 1 authentication md5 key-string STR0NGpass
# 核对
show standby Vlan10 1 | include auth
show running-config interface Vlan10 | include authentication双 Active 排查顺序
| 步骤 | 检查项 | 说明 |
|---|---|---|
| 1 | 认证方式与密钥 | 两端不一致时互相忽略报文 |
| 2 | 版本是否一致 | v1 与 v2 之间不互通 |
| 3 | 组号是否一致 | 组号不同等于两个独立组 |
| 4 | 链路与 ACL | 是否阻断组播报文 |
| 5 | 优先级与抢占 | 确认主备预期是否符合设计 |
不一致通常怎么产生
认证不一致通常来自三类场景：一端配了明文认证而另一端按 MD5 配置；版本迁移时只改了其中一台；密钥轮换时漏掉一台设备。这些差异在配置层面看都像是『认证已配置』，只有两端报文里携带的认证信息不匹配才会互相忽略，因此核对时要把认证方式与密钥分开确认。
认证不一致的典型现象是两端都认为自己是 Active，终端看到的网关 MAC 会在两个物理地址之间漂移，业务表现为断断续续。完全不通反而容易定位，这种间歇性故障才是双 Active 最费时间的地方。