faq_2026-09-27_net_3
title: “交换机和上行路由器都做VRRP应该怎么配置” description: “内网两台核心交换机做了 VRRP 网关冗余，上行出口的路由器也想再做一组 VRRP。两级虚拟网关的组号、优先级、上行追踪怎么配合，主备不同侧为什么会绕路。” date: 2026-09-27 slug: vrrp-two-level-switch-and-router-cascade categories: [“常见问答”] draft: false
小公司做双机冗余，常见的画法是：内网两台三层交换机做 VRRP 当全网网关，上行出口两台路由器（或防火墙）也做一组 VRRP。图看着顺理成章，配置时问题就来了：两级虚拟网关的组号要不要一样？各自的主备怎么摆？交换机这边切了，出口那边不知道，会不会出问题？单层 VRRP 主备怎么配，站里已有专文，这篇讲两级叠起来的讲究。
原因分析
两级 VRRP 各管一段：交换机组管「终端到网关」这一跳的冗余，出口组管「交换机到互联网」这一跳的冗余。麻烦在于两组是各自独立选举的——如果交换机的主在左边、出口的主在右边，全公司的流量就要斜穿机房从左侧交换机跨到右侧出口，来回路径不对称，中间的级联线成了单点瓶颈；更要紧的是联动缺失：出口的主备切换了，交换机侧不知道，流量还朝已经断网的那台出口送。所以两级 VRRP 的核心不是把两组配出来，而是让两层「主备同侧、互相感知」。
分步解决
- 两级各定组号和虚拟地址。交换机组一个 VRRP 组、虚拟 IP 是终端的网关地址；出口组一个 VRRP 组、虚拟 IP 是交换机上联的下一跳。两组之间组号不要求相同，也不存在谁覆盖谁的问题，分段各管各的。
- 优先级对齐，主备同侧。把两级的主设备放在物理上同一侧（都靠左或都靠同一路上行），内网侧选出的主交换机直连出口侧的主路由器，流量路径才是直的。
- 交换机侧配上行追踪。给交换机的 VRRP 配置跟踪上联口或到达出口的链路：上联断了自动扣减优先级、把网关角色让给另一台。不配这条，主交换机会守着断掉的上行继续当主，全网跟着断网。
- 出口侧同样追踪外网口。出口组的 VRRP 跟踪各自 WAN 口，WAN 口 down 的一台降优先级让位，避免主路由器占着身份却没有外网。
- 抢占保持稳定。两级都配置抢占模式并设一个较小的抢占延迟，故障恢复后主备回到既定侧，避免长期斜穿运行；延迟可以防止链路抖动引发反复切换。
- 做一次断线演练。分别拔交换机级联线、出口上行线、WAN 线，每拔一根确认终端业务不断、路径符合预期，演练记录留档。
预防
两级 VRRP 的图纸和实配容易在「追踪漏配」上出问题，交付后每年做一次断线演练才放心——设备固件升级、线路调整之后尤其要做，冗余架构长期不验证，等于把可靠性挂在假设上。