VRRP Nedir? Sanal IP ile Varsayılan Ağ Geçidini Yedeklemek

VRRP (Virtual Router Redundancy Protocol), iki ya da daha fazla cihazın tek bir sanal IP adresini ağ geçidi olarak paylaşmasını sağlayan protokoldür. Adres her an bir cihazdadır; o cihaz düşerse yedek cihaz adresi devralır ve istemciler hiçbir ayar değiştirmeden çalışmaya devam eder. Bu yazıda iki Linux makineyi yedekli ağ geçidi olarak kurdum, bir istemciden saniyede beş ping atarken ana cihazı önce planlı, sonra ani olarak kapattım ve devrin kaç saniye sürdüğünü ölçtüm.

Bir süpermarket şubesinin tek bir sevkiyat rampası olduğunu düşünün. Bütün kamyonlar o rampaya gelir; rampanın kapısı sıkışırsa şubeye mal girmez. Yedek bir rampa yapmak tek başına yetmez, çünkü kamyon şoförleri yalnız bir rampa numarası bilir. Çözüm, iki rampanın tek bir numarayı paylaşmasıdır: görevdeki rampanın görevlisi her saniye “numara bende” diye anons eder, anons kesilirse öbür rampa numarayı alır. VRRP, ağ geçidinin yedek rampasıdır.

Bu yazı kurumsal ağ protokolleri rehberimizin yedeklilik protokolleri bölümünün ayrıntısıdır ve Kurumsal Network Kurulumu hizmetimizin bir parçasıdır. Ağdaki yedekliliğin genel resmini switch kurulumu ve VLAN yapılandırma hizmeti sayfamızın yedeklilik bölümünde anlattık; burada konu, ağ geçidinin kendisinin yedeklenmesidir.

VRRP Nedir? Tek Ağ Geçidi Adresi, İki Cihaz

VRRP, ağ geçidini tek bir cihaza bağlı olmaktan çıkaran yedeklilik protokolüdür. Ağ geçidi adresi sanaldır ve o an görevdeki cihazda durur. Ağdaki her bilgisayar kendi ağının dışına çıkmak için tek bir adrese gider: varsayılan ağ geçidi. Bu adres genellikle DHCP ile dağıtılır ve bilgisayar onu değiştirmeyi bilmez. Ağ geçidi olan cihaz düşerse, ağın içindeki trafik sürer ama dışarı çıkan her şey durur.

İkinci bir cihaz koymak bu sorunu kendiliğinden çözmez, çünkü bilgisayarlar ikinci cihazın adresini bilmez. VRRP’nin çözümü, iki cihazın ikisine de ait olmayan üçüncü bir adresi paylaşmasıdır. Bu sanal adres ağ geçidi olarak dağıtılır. İki cihazdan biri ana cihaz (master) olur ve adresi üstlenir, öbürü yedek (backup) olarak bekler.

Kimin ana cihaz olacağına öncelik karar verir. Yüksek öncelikli cihaz ana cihaz olur. Aynı iş için Cisco’nun geliştirdiği HSRP adında bir protokol daha vardır. VRRP açık standarttır ve bu yazıda ölçtüğüm odur.

VRRP Nasıl Çalışır? Öncelik, Seçim ve Saniyede Bir Duyuru

Lab’da iki Ubuntu makinesini yedekli ağ geçidi, üçüncü bir makineyi istemci yaptım. Sanal adres olarak ağda kimsenin kullanmadığını önceden doğruladığım 192.168.1.250’yi seçtim. İki makineye VRRP’yi Linux’ta uygulayan keepalived yazılımını kurdum. Ana cihazın yapılandırması şu:

vrrp_instance SUBE {
    state MASTER
    interface ens33
    virtual_router_id 51
    priority 150
    advert_int 1
    virtual_ipaddress {
        192.168.1.250/24
    }
}

Yedeğin yapılandırması yalnız iki satırda farklı: state BACKUP ve priority 100. virtual_router_id iki cihazda aynıdır; aynı sanal ağ geçidini paylaştıklarını bu sayı söyler. advert_int 1, ana cihazın saniyede bir duyuru yapacağı anlamına gelir.

Seçimi görmek için yedeği önce başlattım. Tek başınayken kendini ana cihaz ilan etti, ama asıl ana cihaz başlayınca yerini bıraktı:

Sep 23 19:17:07 sistemkusu-cacti Keepalived_vrrp[2384]: (SUBE) Entering BACKUP STATE (init)
Sep 23 19:17:11 sistemkusu-cacti Keepalived_vrrp[2384]: (SUBE) Entering MASTER STATE
Sep 23 19:17:15 sistemkusu-cacti Keepalived_vrrp[2384]: (SUBE) Entering BACKUP STATE

Sanal adres artık yalnız ana cihazın arayüzündeydi. İstemci makinede ağı dinlediğimde ana cihazın duyurularını gördüm:

19:17:23.596262 00:0c:29:f1:a5:38 > 01:00:5e:00:00:12, ethertype IPv4 (0x0800), length 60: 192.168.1.46 > 224.0.0.18: VRRPv2, Advertisement, vrid 51, prio 150, authtype none, intvl 1s, length 20
19:17:24.596583 00:0c:29:f1:a5:38 > 01:00:5e:00:00:12, ethertype IPv4 (0x0800), length 60: 192.168.1.46 > 224.0.0.18: VRRPv2, Advertisement, vrid 51, prio 150, authtype none, intvl 1s, length 20

Duyuru tam bir saniye arayla, 224.0.0.18 çoklu yayın adresine gidiyor ve önceliği (prio 150) taşıyor. Bu adres ile protokolün numarası standartta sabittir: RFC 3768, VRRP için 224.0.0.18 adresini ve 112 numaralı IP protokolünü tanımlar (RFC 3768, bölüm 5.2). Duyuruyu yalnız ana cihaz yapar; yedek susup dinler. Şubedeki görevdeki rampa görevlisinin anonsu budur.

VRRP’de Ana Cihaz Düşünce Ne Olur? Üç Devrin Ölçümü

İstemci makinede sanal adrese saniyede beş ping atarken (ping -i 0.2) üç olay yarattım: ana cihazda VRRP servisini planlı olarak durdurdum, sonra yeniden başlattım, en son ana cihazın sanal makinesini elektriği kesilmiş gibi aniden kapattım.

İki devir süresi arasındaki fark, ana cihazın nasıl düştüğünden geliyor.

Planlı durdurmada ana cihaz kapanırken son bir duyuru gönderdi, ama önceliği 0’dı:

19:21:50.934501 00:0c:29:f1:a5:38 > 01:00:5e:00:00:12, ethertype IPv4 (0x0800), length 60: 192.168.1.46 > 224.0.0.18: VRRPv2, Advertisement, vrid 51, prio 0, authtype none, intvl 1s, length 20
19:21:51.544543 00:0c:29:f2:86:a5 > 01:00:5e:00:00:12, ethertype IPv4 (0x0800), length 60: 192.168.1.45 > 224.0.0.18: VRRPv2, Advertisement, vrid 51, prio 100, authtype none, intvl 1s, length 20

Öncelik 0, “ben çekiliyorum” demektir. RFC 3768, kapanan ana cihazın “Send an ADVERTISEMENT with Priority = 0” yapmasını, bu duyuruyu alan yedeğin de “Set the Master_Down_Timer to Skew_Time” yapmasını ister (RFC 3768, bölüm 6.4). Skew_Time, yedeğin önceliğine bağlı kısa bir bekleme: ”( (256 - Priority) / 256 )”. Önceliği 100 olan yedek için bu 156/256, yani 0,609 saniyedir. Ölçtüğüm süre: öncelik 0 duyurusu 50,934’te, yedeğin ilk duyurusu 51,544’te, arada 0,610 saniye.

Ani kapanmada ana cihaz veda edemedi; duyurular sadece kesildi. Yedek, ana cihazın düştüğüne karar vermek için standardın öngördüğü süre kadar bekledi. RFC 3768 bu süreyi “(3 * Advertisement_Interval) + Skew_time” diye tanımlıyor (RFC 3768, bölüm 6.1): üç duyuru aralığı artı aynı kısa bekleme, yani 3 + 0,609 = 3,609 saniye. Ölçtüğüm:

19:22:35.116109 IP 192.168.1.46 > 224.0.0.18: VRRPv2, Advertisement, vrid 51, prio 150, authtype none, intvl 1s, length 20
19:22:38.725954 IP 192.168.1.45 > 224.0.0.18: VRRPv2, Advertisement, vrid 51, prio 100, authtype none, intvl 1s, length 20

Ana cihazın son duyurusu 35,116’da, yedeğin ilk duyurusu 38,726’da: 3,610 saniye. Standarttaki formül ile ölçüm milisaniyesine kadar aynı. Rampa görevlisinin üç anonsu duyulmayınca yedek rampa numarayı alıyor.

Pratik sonucu şu: bakım için bir ağ geçidini kapatacaksanız VRRP servisini düzgün durdurmak, cihazın fişini çekmekten altı kat daha kısa bir kesinti demektir. Duyuru aralığını kısaltmak da ani kapanmadaki bekleme süresini kısaltır, çünkü formüldeki üç aralık onunla birlikte küçülür.

Ana cihaz geri döndüğünde yerini geri aldı ve istemci tek bir ping kaybetmedi. Bu devirde iki cihaz da ayaktaydı ve geçiş kesintisiz oldu.

VRRP Devrinde İstemci Yeni Cihazı Nasıl Bulur? ARP ve Sanal MAC

Sanal IP adresi el değiştirdi, ama istemci bir paketi gönderirken IP adresine değil, o adresin ARP ile öğrendiği MAC adresine gönderir. Devirden önce istemcinin kaydı şuydu:

192.168.1.250 dev ens33 lladdr 00:0c:29:f1:a5:38 DELAY

Bu MAC adresi, ana cihazın kendi ağ kartının adresi. Ana cihaz düştüğünde istemci o adrese göndermeye devam ederse paketler boşluğa gider. Yedek bu yüzden devraldığı an ağa kimse sormadan bir duyuru yaptı:

19:22:38.726265 00:0c:29:f2:86:a5 > ff:ff:ff:ff:ff:ff, ethertype ARP (0x0806), length 60: Request who-has 192.168.1.250 (ff:ff:ff:ff:ff:ff) tell 192.168.1.250, length 46

Soran da sorulan da aynı adres: bu, gratuitous ARP’ın imzasıdır. Yedek bu duyuruyu beş kez art arda gönderdi ve beş saniye sonra aynı duyuruları yineledi. İstemcinin kaydı yeni cihazın MAC adresine geçti ve pingler duyurudan 0,19 saniye sonra yeniden cevap almaya başladı.

Burada bir risk var: bu Linux istemci duyuruyu hemen kabul etti, ama her işletim sistemi etmez. ARP makalemizde bir iş istasyonunun aynı türden bir devir duyurusunu 19 saniye dikkate almadığını ölçmüştük. Standart bu riski baştan ortadan kaldırmak için sanal bir MAC adresi tanımlar: “00-00-5E-00-01-{VRID}” (RFC 3768, bölüm 7.3). Sanal IP ile birlikte sanal MAC de devredilirse istemcinin kaydı hiç değişmez.

keepalived bunu varsayılan olarak yapmıyor; yukarıdaki çıktılarda sanal adres cihazların gerçek MAC adresleriyle göründü. use_vmac seçeneğini açıp ani kapanmayı yeniden denedim. Ana cihaz sanal adresi 00:00:5e:00:01:33 MAC’li ayrı bir arayüzde taşıdı; sondaki 33, onaltılık yazılmış 51, yani virtual_router_id. Devir yine 3,61 saniye sürdü.

İstemcinin kaydı devirden sonra sanal MAC’teydi, ama devirden önce bir kez ana cihazın gerçek MAC’ini öğrenmişti; Linux’ta bunun ayrı ayarları var ve onları bu yazıda ölçmedim. Standarda göre sanal router’ın MAC adresi budur; kendi cihazınızın hangisini kullandığını devirden önce ve sonra istemcinin ARP tablosuna bakarak görebilirsiniz.

VRRP Nerede Kullanılır? Switch, Router ve Güvenlik Duvarı

VRRP, bir ağın varsayılan ağ geçidini taşıyan her cihazda kullanılır. Lab’da bu görevi iki Linux makinesi üstlendi; bir kurumda aynı görev şu cihazlardan birinde durur:

• Omurga switch. VLAN’lar arası yönlendirmeyi omurgadaki bir Layer 3 switch yapıyorsa, her VLAN’ın ağ geçidi o switch’in VLAN için taşıdığı sanal arayüzdür (SVI). İki omurga switch VRRP’yi her VLAN’da ayrı çalıştırır. Bir VLAN’da birini, öbüründe diğerini ana cihaz yapmak iki switch’e de iş düşürür; RFC 3768 bu düzeni örnek yapılandırma olarak verir (RFC 3768, bölüm 4.2).
• Router. İnternete ya da şubelere çıkan iki router, iç ağa tek bir ağ geçidi adresi verir. Fortinet’in VRRP belgesi en yaygın kullanımı bu diye tarif ediyor: “The most common VRRP application is to provide redundant default routers between an internal network and the internet” (FortiOS yönetim kılavuzu, VRRP). İki router ayrı internet hatlarına bağlıysa bu kurgunun asıl riski, hattı kopan ama kendisi ayakta kalan router’dır; aşağıdaki uyarılarda ayrıca ele aldım.
• Güvenlik duvarı. Ağ geçidi bir güvenlik duvarıysa VRRP onu da yedekleyebilir; FortiGate, arayüzlerinde VRRP’nin 2. ve 3. sürümünü destekler. İki FortiGate’i birbirinin yedeği yapmanın bir yolu daha var: cihazın kendi kümeleme protokolü FGCP.
• Linux sunucu. Lab’da kullandığım keepalived, iki Linux sunucunun tek bir sanal IP (virtual IP) arkasında durmasını sağlar. Proje kendini Linux sistemlerine “simple and robust load balancing and high availability” getiren bir yazılım olarak tanımlıyor ve yüksek erişilebilirliği VRRP’ye dayandırıyor (keepalived.org). İki işin buluştuğu kurgu, gelen istekleri arkadaki sunuculara dağıtan iki yük dengeleyicinin (load balancer) tek sanal adresi paylaşmasıdır.

Güvenlik duvarında VRRP yalnız adresi devreder, bağlantıların kaydını devretmez. Bir güvenlik duvarı, açık bir VPN tüneli ya da süren bir uzak masaüstü bağlantısı gibi içinden geçen her bağlantıyı bir oturum tablosunda tutar. VRRP duyurusunda bu tabloya yer yoktur. Lab’da yakaladığım duyuru 20 bayttı; içinde öncelik, sanal router numarası (vrid), duyuru aralığı ve sanal adres vardı (RFC 3768, bölüm 5.1).

FGCP bu kaydı da taşır. Fortinet’in belgesine göre oturum eşitlemesi (session pickup) açıkken ana cihaz, bağlantı ve durum tablolarındaki değişiklikleri yedek cihazlara bildirir. Amaç “avoiding the need to restart active sessions”, yani açık oturumları yeniden başlatma ihtiyacını ortadan kaldırmaktır (FortiOS, FGCP). Aynı protokol yapılandırmayı da cihazlar arasında eşitler.

Şubede bu kaydın karşılığı rampa defteridir. Yedek rampa numarayı alır, ama hangi kamyonun yarısına kadar boşaltıldığı görevdeki rampanın defterinde yazılıdır. Yalnız VRRP ile yedeklenen iki güvenlik duvarında devralan cihaz bu defteri hiç görmemiştir ve iki cihazın kural setini aynı tutmak sizin işinizdir. Böyle bir çifti kurduysanız devir testine açık bir VPN tüneli ile bir uzak masaüstü bağlantısını da ekleyin.

İki Güvenlik Duvarının Kablolaması: VRRP ile FGCP Farkı

VRRP için iki cihaz arasına ayrı bir kablo çekilmez; gereken, sanal adresin durduğu her ağda iki cihazın da aynı VLAN’a bağlı olmasıdır.

Bunun sebebi duyurunun TTL alanıdır. RFC 3768 bu değeri 255’e sabitler ve “A VRRP router receiving a packet with the TTL not equal to 255 MUST discard the packet” der (RFC 3768, bölüm 5.2.3). Arada tek bir router bile olsa TTL düşer ve duyuru atılır.

Lab’daki keepalived kurulumu da bu kurala uydu. Kablosu yalnızca görünmüyordu, çünkü üç makine aynı bilgisayarda çalışan sanal makinelerdi ve onları VMware’in sanal switch’i aynı ağa bağladı. Fiziksel cihazlarda aynı işi kablo yapar.

Aşağıdaki şema, üst üste duran iki güvenlik duvarını iki yöntemle bağlıyor. Port adları Fortinet’in kendi HA örneğindeki adlardır (wan1, port1, ha1, ha2) ve modele göre değişebilir. Turuncu çizgiler, iki cihazın birbirini duyduğu yolu gösteriyor.

FGCP’de iki cihaz birbirini veri kablolarından değil, kendi heartbeat kablolarından duyar. Fortinet iki cihazlık kümede bu portların arada switch olmadan bağlanmasını istiyor: “If the cluster consists of two FortiGates, connect the heartbeat device interfaces back-to back using a crossover cable” (FortiOS yönetim kılavuzu, HA heartbeat interface).

Aynı belge bağlantının aynı porttan aynı porta yapılmasını ister: A’nın ha1’i B’nin ha1’ine, ha2’si ha2’sine gider. Heartbeat varsayılan olarak 200 milisaniyede bir gönderilir; lab’daki VRRP duyurusu saniyede birdi.

İkinci heartbeat kablosu süs değildir. Fortinet’in en iyi uygulama belgesine göre heartbeat kesilirse iki cihaz da kendini ana cihaz sanar ve ağda aynı IP ve MAC adreslerini taşıyan iki cihaz kalır; belge bu duruma split brain diyor (FortiOS en iyi uygulamalar, heartbeat interfaces). Aynı uyarı, kümenin her ağda tek adres taşıdığını da gösteriyor.

Lab’daki FortiGate kümesinde tek kalp atışı kablosunu kopardığımızda tam olarak bu oldu: iki cihaz da kendini birincil seçti ve 16,75 saniye boyunca her ping’e dörde kadar cevap geldi. İkinci kabloyu ekleyince aynı kopuş kümede hiçbir şey değiştirmedi. Ölçümü ve kümenin kurulumunu FortiGate HA yazımızda anlattık.

Port eşlemesi iki yöntemde şöyledir:

VRRP güvenlik duvarında iki tarafta ayrı ayrı çalışır: LAN’daki sanal adres istemcilerin ağ geçididir, WAN’daki sanal adres ise modemin trafiği gönderdiği adrestir. İki cihazın WAN portları da bu yüzden aynı ağda buluşmak zorundadır ve şemada araya bir WAN switch’i girer.

Adres hesabı da yöntemle değişir. VRRP’de, lab’daki kurulumda olduğu gibi, her ağda iki cihazın kendi adresi ve ortak sanal adres durur; lab’da bunlar .45, .46 ve .250’ydi. FGCP kümesi ise her ağda tek adres taşır. WAN tarafı ISP’nin verdiği sabit IP bloğundan adresleniyorsa bu fark, bloğun kaç adres içermesi gerektiğini belirler.

VRRP Ne Zaman Gerekmez, Ne Zaman Yetmez?

FGCP kümesinde ve yığın (stack) olarak bağlanmış switch’lerde VRRP kurulmaz. FGCP kümesindeki iki FortiGate adresi ve sanal MAC’i zaten kendi aralarında devreder. Yığın olarak bağlanmış iki switch de tek cihaz gibi yönetilir ve ağ geçidi adresini yığın taşır.

VRRP yalnız ağ geçidini yedekler. İki omurga switch VRRP ile birbirini yedeklese de arkalarındaki güvenlik duvarı ve internet hattı tekse, hat koptuğunda ofis yine dışarıya kapanır. Şemadaki WAN switch’i de ikincisi olmayan bir cihazdır. Şubenin iki rampası olsa da şubeye giden yol tekse kamyon gelmez. Ağda ikincisi olmayan cihaz ve hatları nasıl bulacağınızı tek nokta arızası yazımızda anlattık.

VRRP Kurarken Dikkat Edilecekler

• Yedekliliği sınamadan güvenmeyin. Devir süresi kâğıt üstünde değil, ana cihazı gerçekten kapatarak ölçülür. Lab’da iki senaryo arasında altı katlık fark çıktı.
• VRRP yalnız karşı cihazın duyurusunu dinler. Formül yalnız duyuruların kesilmesine bakıyor; ana cihazın internete çıkan hattı kopsa bile duyuruları sürdükçe yedek devralmaz. Uplink’i ayrıca izleyen bir ayar olmadan VRRP, cihazın ayakta olduğunu ama işe yaradığını değil, yalnız yaşadığını bilir.
• Duyuruların yolunu kapatmayın. Yedek, duyuruyu duymadığı an ana cihazın düştüğüne karar verir. İki cihaz arasındaki bir güvenlik duvarı 112 numaralı protokolü ya da 224.0.0.18 adresini engellerse, iki cihaz da kendini ana cihaz sanabilir.
• Sanal adresi boş bir adresten seçin. Sanal IP ağda başka bir cihaza verilmişse iki cihaz aynı adresi taşır. Adresin boş olduğunu seçmeden önce doğrulayın; lab’da ping ve ARP ile baktım.

Sonuç: VRRP Ağ Geçidi Adresini Sabit Tutar, Cihazı Değiştirir

VRRP, istemcilerin bildiği tek ağ geçidi adresini iki cihaza paylaştırır: adres her an birindedir, o düşünce öbürü alır. Lab’da devir planlı kapanmada 0,61, ani kapanmada 3,61 saniye sürdü ve iki süre de standardın formülüyle milisaniyesine kadar örtüştü. İstemciye düşen iş, yeni cihazın MAC adresini öğrenmekti; bunu gratuitous ARP ya da standardın sanal MAC’i sağlar.

Kamyon şoförü rampa numarasını değiştirmez; hangi rampanın o numarayı taşıdığını şube kendi içinde çözer. VRRP de ağ geçidini böyle yedekler: istemcinin bildiği numara aynı kalır, arkasındaki cihaz değişir.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn