VRRP 抓包分析要点
抓包是判断 VRRP 行为最直接的证据：看报文的源地址、优先级、通告节奏与 TTL。源 IP 是当前 Master 的实接口地址，目的为组播 224.0.0.18、协议号 112；正常情况下通告节奏均匀，间隔异常或报文缺失往往指向链路抖动或设备负载问题。
基本信息
| 抓包手段 | tcpdump、Wireshark，或设备自带的镜像与抓包功能 |
|---|---|
| 关键字段 | 源 IP、优先级、TTL、通告间隔 |
| 正常特征 | 节奏均匀、TTL 为 255 |
| 常见用途 | 双主定位、通告丢失判断 |
典型使用场景
- 双主或频繁切换时确认通告是否双向可达
- 核对优先级字段与配置值是否一致
- 判断是否存在单通（一侧发出、对端收不到）
- 定位安全设备或 ACL 丢弃协议报文的问题
- 割接前后留存抓包文件作为对比证据
- 跨厂商对接时确认为双方使用的协议族与封装一致
抓包与判读
抓包与判读
sudo tcpdump -i eth0 vrrp -nn # 只抓 VRRP 报文
# 判读要点
# 源 IP：当前 Master 的实接口地址
# 优先级：与配置一致（IP 拥有者为 255）
# 节奏：默认约每秒 1 个，间隔应均匀
# TTL：固定 255，被改写说明经过了三层设备
# 设备侧可开启镜像，覆盖收发两个方向抓包判读
| 观察到 | 含义 | 下一步 |
|---|---|---|
| 只有一侧有报文 | 通告未到达对端 | 查链路、组播与 ACL |
| 两端都在发通告 | 出现双主 | 核对参数与优先级 |
| 间隔不均匀 | 链路抖动或设备负载高 | 查接口日志与错包计数 |
| TTL 非 255 | 报文经过了三层设备 | 调整组网，避免跨三层 |
只在单侧抓包无法判断对端是否收到通告，镜像或抓包点要覆盖收发两个方向，必要时两端同时抓。
间隔不均或连续缺失提示链路抖动或设备负载异常，先查接口日志与错包计数，再考虑调整协议参数。
抓包应在演练窗口内进行并留存文件，复盘时字段证据比事后描述可靠得多。