HSRP 是什么
HSRP 是思科的热备份路由协议：同一网段里多台路由器组成一个组，共同虚拟出一个 IP 与 MAC 作为终端的默认网关，由 Active 路由器转发流量、Standby 路由器待命接手。报文通过 UDP 1985 发送，v1 用组播 224.0.0.2、v2 用 224.0.0.102，TTL 固定为 1，因此报文不会跨三层转发，攻击面限制在同一二层域内。
基本信息
| 服务 | HSRP（Cisco Hot Standby Router Protocol） |
|---|---|
| 协议 | UDP 1985，组播 224.0.0.2（v1）/ 224.0.0.102（v2），TTL=1 |
| 默认参数 | 优先级 100，Hello 3 秒，Hold 10 秒 |
| 虚拟 MAC | v1 形如 0000.0c07.acXX，v2 形如 0000.0c9f.fXXX |
| 安全等级 | 仅限同一二层域，二层安全需配套 |
典型使用场景
- 双机网关冗余：主设备故障时备机在几秒内接管虚拟网关
- 服务器网段：终端配置虚拟网关地址，无需改动终端配置
- 路由设备维护：切换期间业务中断时间可控
- 排障：确认当前 Active 设备、优先级与抢占状态
- 安全评估：检查是否启用认证，以及二层是否存在可注入的端口
查看状态与抓包观察
查看状态与抓包观察
show standby brief # Cisco IOS：组、状态、优先级、虚拟 IP
show standby # 详细信息：计时器与认证配置
sudo tcpdump -ni eth0 udp port 1985 -vv -c 10 # 二层域内观察 Hello
ping <虚拟网关地址> # 从终端侧验证网关可用性虚拟网关协议对照
| 协议 | 端口或协议号 | 说明 |
|---|---|---|
| HSRP | UDP 1985 | 思科私有，Active/Standby 模型 |
| VRRP | IP 协议号 112 | 开放标准，Master/Backup 模型 |
| GLBP | UDP 3222 | 思科私有，可做多台同时转发 |
| 二层安全 | 端口安全/DHCP Snooping | 限制可发起网关宣告的端口 |
HSRP 报文不带认证时，同网段任意主机都能注入更高优先级的 Hello 抢占虚拟网关，导致整段网络流量被劫持或中断；二层安全不足的网络应启用 HSRP 的 MD5 认证。
优先级与抢占要成对配置：只调高优先级而不开抢占，备机在主设备恢复后不会自动让位；反之开了抢占却忘记调优先级，切换行为同样不符合预期。
加固清单
- 启用 HSRP 认证并定期更换密钥
- 接入端口开启端口安全与 DHCP Snooping，抑制伪造网关宣告
- 把 HSRP 组号与虚拟地址纳入配置管理，避免多处重复
- 记录切换演练结果，确认收敛时间满足业务要求