ACL 与防火墙怎么放行 VRRP
VRRP 报文使用 IP 协议号 112、目的组播 224.0.0.18，TTL 固定为 255。设备 ACL 或中间的安全设备必须放行这些报文，否则主备之间收不到通告，表现为双主或频繁切换。TTL 校验还意味着 VRRP 邻居之间不能隔三层设备。
基本信息
| 协议号 | 112（既不是 TCP 也不是 UDP） |
|---|---|
| 目的地址 | 组播 224.0.0.18 |
| TTL | 固定 255，非 255 的报文按规范丢弃 |
| 影响范围 | 设备 ACL、防火墙、云安全组、镜像与清洗策略 |
典型使用场景
- 设备侧 ACL 采用默认拒绝策略时需要显式放行 VRRP
- 主备之间的通告经过安全设备时核对放行策略
- 排查双主时把安全设备列为必查项
- 割接新增 ACL 后回归验证 VRRP 状态
- 演练中确认策略变更不会中断通告
放行与验证
放行与验证
# Cisco 扩展 ACL
ip access-list extended VRRP-ALLOW
permit 112 any host 224.0.0.18
# 华为高级 ACL（协议号 112）
acl number 3000
rule 5 permit 112 destination 224.0.0.18 0
display acl 3000 # 核对规则命中情况
# 抓包确认通告双向可达
sudo tcpdump -i eth0 vrrp -nn放行要素
| 要素 | 取值 | 说明 |
|---|---|---|
| 协议号 | 112 | 不是 TCP 也不是 UDP |
| 目的地址 | 224.0.0.18 | VRRP 组播地址 |
| TTL | 255 | 非 255 的报文按规范应丢弃 |
| 源地址 | 对端实接口地址 | 便于精确放行 |
安全设备夹在主备之间时，组播过滤与 TTL 检查都可能导致通告被丢弃，双主排查不要漏掉安全设备这一环。
放行策略建议精确到对端实 IP 与组播地址，避免整段放行扩大暴露面，也便于后续审计。
改完 ACL 要回归验证：两端的通告接收计数与状态都核对一遍，确认策略没有误伤协议报文。
常见放行场景
- 设备默认拒绝的 ACL 策略下，需要显式放行协议号 112 与组播目的地址
- 主备之间经过防火墙时，要把组播与 TTL 检查一并纳入策略评估
- 云环境安全组通常按端口放行，VRRP 需要按协议号处理
- 链路镜像与流量清洗策略不应过滤控制面报文