VRRP 与双机 NAT 出口是什么
双机出口通常用 VRRP 给内网提供一个虚拟网关地址：两台设备组成一个备份组，主机持有虚拟地址转发流量，故障时备机接管，内网主机无需改网关。NAT 出口要与这套机制配合：源转换地址跟随主备角色切换，会话与 NAT 映射同步到备机，这样切换时出网连接才不会中断。抢占参数设置不当是这类组网常见的震荡来源。
基本信息
| 虚拟网关 | 内网主机默认网关指向 VRRP 虚拟地址 |
|---|---|
| 角色 | 通过优先级决定主备，可配置抢占与抢占延时 |
| NAT 出口 | 两台设备各自的公网地址，或由统一出口承载 |
| 会话要求 | 会话与 NAT 映射需同步，否则长连接切换后中断 |
| 联动检测 | 结合接口监视与链路探测决定何时切换 |
典型使用场景
- 双机防火墙作为内网网关，同时承担出口 NAT
- 地址池切换：主备使用不同公网地址时，确认切换后源地址变化的影响
- 会话保持验证：切换时检查既有连接是否续存
- 抢占参数评估：避免主设备抖动时反复切换
- 上行链路联动：上行线路故障时触发角色迁移
- 演练与验收：按计划做一次真实切换，记录业务影响
对接检查
对接检查
# 1. 确认 VRRP 组号、虚拟地址与优先级配置符合设计
# 2. 核对抢占延时：主设备短暂抖动时不应立即被抢占
# 3. 确认上行链路与 NAT 地址随主备角色同步切换
# 4. 检查会话同步状态与主备会话数差异
# 5. 演练切换：验证内网上网、发布服务与会话续存
# 6. 记录切换耗时与业务影响，作为可用性说明的依据检查项与异常
| 检查项 | 正常表现 | 异常表现 |
|---|---|---|
| 虚拟网关 | 内网主机网关指向虚拟地址 | 部分主机仍指向原设备物理地址 |
| 主备角色 | 角色稳定无频繁变化 | 角色反复切换 |
| 抢占延时 | 抖动时不触发切换 | 短抖动即被抢占 |
| NAT 出口 | 切换后源地址与设计一致 | 切换后源地址突变导致对接失败 |
| 会话续存 | 长连接切换后仍可用 | 切换即断开 |
内网主机若没把网关指向虚拟地址而直接指向某台设备物理地址，双机对该主机就形同虚设，迁移后要复查配置。
抢占延时过短会在主设备短暂抖动时频繁切换，业务表现为周期性卡顿，且很难与链路问题区分。