VRRP 认证的作用与边界
VRRPv2 支持 simple（明文）与 md5 两种认证：报文里带上认证字段，接收端校验不一致就直接丢弃。它的实际价值在于防止误配与简单伪造，两端认证方式或密钥不一致时设备互相忽略通告，表现为双主。需要注意 VRRPv3 已经删除认证字段，协议改由 TTL=255 校验与二层域隔离来防护，因此升级版本后原有的认证配置不再生效。
基本信息
| 适用版本 | VRRPv2（RFC 3768） |
|---|---|
| 认证方式 | simple（明文）与 md5 |
| 华为命令 | vrrp vrid 1 authentication-mode md5 cipher 密钥 |
| 思科命令 | vrrp 1 authentication md5 key-string 密钥 |
| H3C 命令 | vrrp vrid 1 authentication-mode md5 cipher 密钥 |
| VRRPv3 | 已删除认证字段，配置不再生效 |
| 安全边界 | 仅防误配与简单伪造，安全性依赖二层隔离 |
三厂商认证配置
三厂商认证配置
# 华为（Vlanif 接口视图）
vrrp vrid 1 authentication-mode md5 cipher Vrrp@2026
# Cisco
vrrp 1 authentication md5 key-string Vrrp@2026
# H3C
vrrp vrid 1 authentication-mode md5 cipher Vrrp@2026
# 核对：两端方式与密钥必须完全一致，否则互相丢弃通告两端配置不一致的表现
| 不一致项 | 现象 | 处置 |
|---|---|---|
| 认证方式不同 | 双端全部变 Master | 统一为 md5 或 simple |
| 密钥不一致 | 双端全部变 Master | 逐台核对密钥内容 |
| 一端配一端未配 | 未配的一端忽略带认证字段的通告 | 补齐配置后观察状态 |
| 多组实例漏配一组 | 该组双主，其余组正常 | 逐个实例核对认证配置 |
认证只防误配与简单伪造，安全性依赖二层隔离：同一广播域内的攻击者仍可能注入通告。真正可靠的防护是把 VRRP 所在的二层域收敛到可信范围内，避免无关设备接入。
升级到 VRRPv3 后原认证配置不再生效，此时安全性由 TTL=255 校验与二层隔离承担。升级前后都要确认两端版本一致，版本不一致会导致报文互不识别，形成双主。
配置认证的收尾动作是逐台核对：把两端的认证方式、密钥与实例组号抄在一起比对，比在设备上反复翻配置更快，也更不容易漏掉多组实例中的某一组。