华为eNSP实战：VRRP虚拟路由器冗余协议配置与故障切换详解

1. 项目概述：为什么VRRP是网络工程师绕不开的“保命协议”

你手头有一台华为eNSP模拟器，刚拖出两台路由器、一台交换机和几台PC，准备做点什么——这时候，如果连VRRP都没摸透，那基本等于还没真正跨进企业级网络运维的门槛。这不是危言耸听，而是我带过十几期网络实训班后最真实的体会：90%的新手在第一次配置双上行出口时，遇到主链路断掉、业务秒断、用户电话打爆运维工位的情况，根本原因不是设备坏了，而是没配VRRP，或者配了但没理解它到底在“替你守哪道门”。

VRRP，全称Virtual Router Redundancy Protocol（虚拟路由器冗余协议），说白了就是让多台物理路由器“合伙演一台路由器”。用户只认一个IP（虚拟IP），背后却有主备两台甚至多台设备实时待命。主设备挂了，备设备3秒内自动接棒，用户上网、视频会议、ERP系统完全无感。这不像STP防环那么“看不见摸不着”，VRRP的效果是立竿见影的——你拔掉主路由器的网线，ping命令里的丢包数几乎为零，这才是真实企业环境里对“高可用”的最低要求。

这个实验之所以被华为eNSP官方列为必做TOP5，是因为它把抽象的“冗余”概念，压缩成5个可验证的动作：建组、设优先级、启抢占、绑上行、抓包看状态。它不考你背多少RFC文档，而是逼你亲手验证“当Master死亡时，Backup如何通过Advertisement报文感知并升职”。我在某省会城市一家中型IT服务商驻场时，客户核心出口就靠两台AR2200跑VRRP，某次凌晨光纤被施工队挖断，监控告警刚响，备用链路已自动切通，整个过程比咖啡机煮一杯美式还快。而这一切，起点就是你在eNSP里敲下的那几行vrrp vrid 1 virtual-ip 192.168.10.254。

适合谁来动手？如果你是刚考完HCIA想巩固实操的学员，或是正在准备HCIP面试的技术人员，又或者是在小公司独自扛着网络运维、连双机热备都没见过的“全能岗”，这个实验就是你的分水岭。它不依赖真实硬件，不烧钱，但练的是真本事——判断故障的直觉、配置逻辑的严密性、抓包分析的耐心。别急着抄命令，先想清楚：为什么虚拟IP不能和接口IP同网段？为什么优先级要设成110和100而不是100和99？为什么必须开preempt？这些“为什么”，才是eNSP里最值钱的部分。

2. 实验整体设计与思路拆解：从拓扑到状态机的闭环验证

2.1 拓扑设计背后的三层逻辑：为什么非得这样连

很多人一上来就照着教程拖设备：RouterA、RouterB、Switch、PC1、PC2……但很少人问一句：为什么PC必须接在交换机下，而不是直连某台路由器？为什么两台路由器的互联口要用Trunk？为什么VRRP组必须建在和PC同一网段的接口上？这三点，直接决定了实验能不能跑通，也暴露了你对VRRP本质的理解深度。

第一层逻辑是流量路径闭环。VRRP解决的是“下游设备（PC）默认网关单点失效”问题，所以虚拟网关必须出现在PC的直连网段。如果把VRRP组建在路由器之间的互联网段（比如10.1.1.0/30），PC的默认网关指向10.1.1.1，那PC根本发不出包——它的ARP表里压根没有10.1.1.1的MAC地址，因为那个网段只有两台路由器在通信。所以，标准拓扑里，RouterA和RouterB的G0/0/0口必须接在同一广播域（即接在交换机的同一VLAN下），PC也接在这个VLAN里，这样PC才能通过ARP学到虚拟网关192.168.10.254对应的MAC地址（格式为0000-5e00-0101，这是VRRP的固定MAC前缀）。

第二层逻辑是状态同步隔离。两台路由器需要互相发送VRRP Advertisement报文来宣告自己“还活着”，这个报文必须能被对方收到，但又不能被无关设备干扰。所以它们的互联链路（比如G0/0/1口）要单独划一个网段（如192.168.100.0/30），并关闭该接口的VRRP功能（undo vrrp vrid 1 enable）。这样，Advertisement报文只在直连网段（192.168.10.0/24）广播，而心跳检测则通过点对点链路完成，互不干扰。我曾见过学员把互联口也开了VRRP，结果两台路由器在192.168.100.0网段里互相抢Master，导致主备关系混乱，ping测试时断时续，折腾半天才发现是拓扑逻辑错了。

第三层逻辑是故障注入可控性。实验的核心是验证“主挂备起”，所以必须设计一个能精准切断Master角色而不影响底层转发的手段。最可靠的方式是shutdown Master路由器的VRRP所在接口（如G0/0/0），而不是关机或拔电源。因为shutdown接口会立即停止发送Advertisement报文，Backup在3秒（默认通告间隔3×3=9秒超时）后触发状态迁移；而直接关机，eNSP可能卡顿或报错，无法清晰观察状态机跳变。我在某高校实验室带课时，专门用计时器记录每次shutdown到Backup升为Master的时间，实测稳定在3.2~3.5秒之间，这个数据后来成了学生写实验报告的硬核依据。

2.2 方案选型：为什么坚持用eNSP而非真实设备或GNS3

有人会问：现在都有华为云沙箱了，为什么还要折腾本地eNSP？答案很实在：可控性、可见性、教学友好性三者不可兼得，而eNSP在这三点上做到了极致平衡。

可控性方面，eNSP的进程管理像Windows任务管理器一样透明。当你发现VRRP状态卡在Initialize，可以立刻打开eNSP的“工具”菜单→“抓包”，选择RouterA的G0/0/0口，启动Wireshark过滤vrrp，一眼看到是否发出Advertisement；而云沙箱的抓包权限往往受限，日志输出也经过脱敏，关键字段被隐藏。我试过在云沙箱里排查一个VRRP认证失败的问题，等了17分钟才拿到日志，而eNSP里30秒就定位到密码长度不匹配。

可见性方面，eNSP的CLI反馈极其“诚实”。输入display vrrp brief，返回的State列清清楚楚写着Master/Backup/Initialize，Priority列显示当前优先级，Master IP列标出谁在扛活。更关键的是，它支持display vrrp verbose，把每个定时器（Adver Timer、Master Down Timer）、每个状态迁移条件（如收到更高优先级Advertisement）、每个报文字段（Version、Type、VRID、Priority）都摊开给你看。这种颗粒度，在真实设备上要开debug vrrp all，日志刷屏快得看不清，新手根本抓不住重点。

教学友好性则是eNSP的独门绝技。它的“快照”功能允许你保存“配置前”“主备正常”“主挂后”三个状态，一键回滚，学生反复练习不担心配崩。而GNS3依赖QEMU虚拟化，启动慢、内存吃紧、VRRP报文偶尔丢失，某次我带训时，GNS3里Backup始终收不到Advertisement，最后发现是QEMU的网络驱动兼容性问题，白白浪费两小时。eNSP虽已停止更新，但它对AR系列路由器的模拟精度，至今仍是教学场景的黄金标准——就像学开车先用驾驶模拟器，而不是直接上高速。

2.3 核心目标设定：不止于“配通”，更要“证真”

很多实验报告止步于“ping通了”，这远远不够。一个合格的VRRP实验，必须完成三个层次的验证闭环：

第一层是基础连通性验证：PC1能ping通虚拟IP（192.168.10.254），且能traceroute到外网（如8.8.8.8），证明默认网关生效，路由可达。这一步排除物理连接、IP配置、静态路由等前置错误。

第二层是协议状态验证：通过display vrrp brief确认RouterA为Master、RouterB为Backup；通过display arp | include 192.168.10.254查看PC1的ARP表，验证学到的MAC地址是否为VRRP虚拟MAC（0000-5e00-0101），而非某台路由器的真实MAC。这一步确认VRRP协议栈已正确运行，且下游设备已识别虚拟网关。

第三层是故障切换验证：执行shutdown interface GigabitEthernet0/0/0 on RouterA，等待3秒后，立即在RouterB上执行display vrrp brief，观察State是否变为Master；同时在PC1上持续ping 192.168.10.254，记录丢包数（应≤1个ICMP包）。这一步是灵魂，它把“理论上的3秒切换”变成“眼见为实的毫秒级恢复”。我在某金融客户现场做割接演练时，就是用这招说服了CTO：当主防火墙心跳中断，备用设备接管的瞬间，交易系统的TCP连接未重置，订单流水号连续无断点——这种确定性，正是VRRP给企业网络的底气。

3. 核心细节解析与实操要点：那些教科书不会写的“坑”

3.1 VRRP组ID与虚拟IP的绑定规则：为什么VRID必须是1-255，而虚拟IP不能是接口IP

初学者最容易栽的第一个跟头，就是随手把VRID设成1000，或者把虚拟IP配成和路由器接口IP一模一样。结果是display vrrp brief里State永远是Initialize，死活起不来。这背后是VRRP协议栈的硬性校验逻辑。

VRID（Virtual Router Identifier）的取值范围是1-255，这是RFC 3768明文规定的。eNSP的VRID校验非常严格：当你输入vrrp vrid 1000 virtual-ip 192.168.10.254时，CLI会直接报错%Error: The VRID must be in the range from 1 to 255. 这个限制不是华为拍脑袋定的，而是为了确保VRRP报文的VRID字段（占1字节）能被所有厂商设备正确解析。我曾帮某集成商调试跨厂商VRRP（华为+H3C），就是因为H3C设备VRID设为0，华为设备拒绝接收其Advertisement，导致主备失联——归根结底，就是没守住1-255这条铁律。

虚拟IP（Virtual IP Address）的配置禁忌更多。它必须满足三个条件：

1. 与接口IP同网段：这是强制前提。比如RouterA的G0/0/0口IP是192.168.10.1/24，那么虚拟IP只能是192.168.10.x/24范围内的地址。如果配成192.168.20.254，display vrrp brief会显示State: Initialize，因为协议栈发现虚拟IP和接口不在同一子网，拒绝启动。
2. 不能与任何接口IP冲突：这是最常被忽略的点。假设RouterA接口IP是192.168.10.1，RouterB是192.168.10.2，你把虚拟IP设为192.168.10.1，结果RouterA的VRRP组会启动失败，报错%Error: The virtual IP address conflicts with the interface IP address. 因为VRRP要求虚拟IP必须是一个“不存在于任何物理接口”的独立地址，这样才能保证ARP响应的唯一性。
3. 不能是网络地址或广播地址：比如192.168.10.0或192.168.10.255，这类地址在IP协议里有特殊用途，VRRP协议栈会直接拒绝。

提示：一个快速检查方法是，在配置完vrrp vrid 1 virtual-ip 192.168.10.254后，立即执行display ip interface brief，确认192.168.10.254没有出现在任何接口的IP列表中。如果出现了，说明你误把它配到了某个Loopback口或物理口上，必须undo掉。

3.2 优先级（Priority）与抢占（Preempt）的协同机制：为什么110和100是黄金组合

VRRP的主备选举，表面看是“谁优先级高谁当Master”，但实际是一套精密的状态机博弈。优先级（Priority）默认值是100，取值范围1-255，0是特殊值（表示主动放弃Master地位）。但光设优先级还不够，必须配合抢占模式（Preempt Mode），否则会出现“主挂了，备也不上”的诡异局面。

抢占模式的开关命令是vrrp vrid 1 preempt-mode timer delay 20（延迟20秒抢占）或vrrp vrid 1 preempt-mode timer delay 0（立即抢占）。很多教程只写vrrp vrid 1 preempt，这是不完整的——eNSP要求必须指定delay时间，否则报错。而delay时间的选择，直接决定故障恢复的确定性。

为什么推荐RouterA设priority 110、RouterB设100，并开启立即抢占（delay 0）？因为这组参数构建了一个“无歧义”的决策树：

• 正常情况下，RouterA优先级110 > RouterB的100，RouterA成为Master；
• 当RouterA故障（如接口shutdown），它停止发送Advertisement，RouterB的Master Down Timer开始倒计时（默认3×3=9秒）；
• Timer超时后，RouterB检测到“当前无Master”，且自己的优先级100 > 0，于是立即触发状态迁移，升为Master；
• 如果RouterA恢复（如undo shutdown），它会以优先级110发送Advertisement，RouterB收到后，因110 > 100，立刻降为Backup，RouterA重新接管——整个过程平滑，无脑切换。

但如果把RouterB的优先级也设成110，或者关闭抢占（vrrp vrid 1 preempt-mode disable），问题就来了。前者会导致两台路由器都认为自己该当Master，疯狂发送Advertisement，网络里充斥着冲突报文，PC的ARP表频繁刷新，ping测试出现大面积丢包；后者则更致命：RouterA挂了，RouterB稳坐Backup不动，直到你手动敲命令把它拉起来——这完全违背了VRRP的设计初衷。

注意：在生产环境，我们通常会给抢占加一个短延迟（如delay 5），避免因瞬时抖动（如CPU峰值）导致不必要的主备切换。但在eNSP实验里，用delay 0能最清晰地验证协议逻辑，建议新手从这里起步。

3.3 认证（Authentication）配置的实操陷阱：明文认证为何在eNSP里形同虚设

VRRP支持三种认证方式：无认证（none）、简单明文认证（simple）、MD5加密认证（md5）。很多教程会强调“生产环境必须开MD5”，但在eNSP里，这个建议要打个大大的问号。

原因在于eNSP对VRRP认证的模拟存在历史局限性。当你在RouterA上配置vrrp vrid 1 authentication-mode simple plain huawei，在RouterB上配同样的密码，理论上它们应该能建立安全会话。但实测发现，eNSP的VRRP模块在处理simple认证时，会忽略密码校验，只要VRID和虚拟IP匹配，Advertisement就能互通。我做过对比实验：RouterA配密码"huawei"，RouterB配"admin"，display vrrp brief依然显示正常Master/Backup关系，抓包看Advertisement报文里Authentication Data字段确实是明文"huawei"，但RouterB根本不校验它。

这并非bug，而是eNSP作为教学工具的取舍——它把精力放在协议状态机、报文格式、定时器行为等核心逻辑上，对安全特性做了简化。所以，在eNSP里配置认证，更多是为了让你熟悉命令语法，而不是验证安全强度。真正的MD5认证效果，必须在真实AR设备或华为云沙箱上测试。我在某运营商省公司做技术交流时，就用真实设备演示了MD5认证的必要性：当攻击者伪造Advertisement报文（用Scapy构造），无认证的VRRP组会轻易被劫持，而开启MD5后，伪造报文因摘要不匹配被直接丢弃。

实操心得：eNSP实验阶段，认证配置可以跳过，先把主备切换逻辑跑通。等你掌握了display vrrp verbose里每个字段的含义，再回头补认证命令，此时你关注的就不再是“能不能通”，而是“报文里Authentication Type字段是不是02（MD5），Key ID是不是匹配”——这才是进阶者的视角。

4. 实操过程与核心环节实现：从零开始的完整配置流

4.1 环境准备与基础配置：5分钟搭好实验舞台

在eNSP里新建工程，按标准拓扑拖入设备：

• 路由器：AR2220（RouterA）、AR2220（RouterB）
• 交换机：S5700（Switch）
• 终端：PC1、PC2

设备命名后，开始物理连线：

• RouterA的G0/0/0口 → Switch的G0/0/1口
• RouterB的G0/0/0口 → Switch的G0/0/2口
• PC1的Ethernet0/0/0口 → Switch的G0/0/3口
• PC2的Ethernet0/0/0口 → Switch的G0/0/4口
• RouterA的G0/0/1口 → RouterB的G0/0/1口（直连，用于心跳）

提示：eNSP里设备间连线，务必使用“自动连接”模式（工具栏第二个图标），它会智能匹配接口类型。如果手动选错（如把GE口连到FE口），设备启动后会报错%Error: Interface does not exist，必须删除重连。

启动所有设备，进入CLI配置基础IP：

# RouterA基础配置 <Huawei> system-view [Huawei] sysname RouterA [RouterA] interface GigabitEthernet0/0/0 [RouterA-GigabitEthernet0/0/0] ip address 192.168.10.1 24 [RouterA-GigabitEthernet0/0/0] quit [RouterA] interface GigabitEthernet0/0/1 [RouterA-GigabitEthernet0/0/1] ip address 192.168.100.1 30 [RouterA-GigabitEthernet0/0/1] quit [RouterA] ip route-static 0.0.0.0 0.0.0.0 192.168.100.2 # 指向RouterB的互联口

# RouterB基础配置 <Huawei> system-view [Huawei] sysname RouterB [RouterB] interface GigabitEthernet0/0/0 [RouterB-GigabitEthernet0/0/0] ip address 192.168.10.2 24 [RouterB-GigabitEthernet0/0/0] quit [RouterB] interface GigabitEthernet0/0/1 [RouterB-GigabitEthernet0/0/1] ip address 192.168.100.2 30 [RouterB-GigabitEthernet0/0/1] quit [RouterB] ip route-static 0.0.0.0 0.0.0.0 192.168.100.1 # 指向RouterA的互联口

# Switch基础配置（仅需二层转发） <Huawei> system-view [Huawei] sysname Switch [Switch] vlan batch 10 [Switch] interface GigabitEthernet0/0/1 [Switch-GigabitEthernet0/0/1] port link-type access [Switch-GigabitEthernet0/0/1] port default vlan 10 [Switch-GigabitEthernet0/0/1] quit [Switch] interface GigabitEthernet0/0/2 [Switch-GigabitEthernet0/0/2] port link-type access [Switch-GigabitEthernet0/0/2] port default vlan 10 [Switch-GigabitEthernet0/0/2] quit [Switch] interface GigabitEthernet0/0/3 [Switch-GigabitEthernet0/0/3] port link-type access [Switch-GigabitEthernet0/0/3] port default vlan 10 [Switch-GigabitEthernet0/0/3] quit [Switch] interface GigabitEthernet0/0/4 [Switch-GigabitEthernet0/0/4] port link-type access [Switch-GigabitEthernet0/0/4] port default vlan 10 [Switch-GigabitEthernet0/0/4] quit

# PC1/PC2配置（在eNSP里右键PC→设置→IP地址） PC1: IP 192.168.10.10/24, Gateway 192.168.10.254 PC2: IP 192.168.10.11/24, Gateway 192.168.10.254

此时，先不做VRRP，用PC1 ping 192.168.10.1和192.168.10.2，确认物理连通；再ping 192.168.100.2（RouterB互联口），验证静态路由生效。这一步耗时约3分钟，却是后续所有VRRP操作的基石——很多学员跳过此步，直接配VRRP，结果状态起不来，却在VRRP命令里死磕，殊不知是底层路由不通。

4.2 VRRP核心配置与状态验证：一行命令，一次心跳

基础连通确认后，开始VRRP配置。记住口诀：“先Master，后Backup；先设IP，再调优”。

RouterA（Master）配置：

[RouterA] interface GigabitEthernet0/0/0 [RouterA-GigabitEthernet0/0/0] vrrp vrid 1 virtual-ip 192.168.10.254 [RouterA-GigabitEthernet0/0/0] vrrp vrid 1 priority 110 [RouterA-GigabitEthernet0/0/0] vrrp vrid 1 preempt-mode timer delay 0 [RouterA-GigabitEthernet0/0/0] quit

RouterB（Backup）配置：

[RouterB] interface GigabitEthernet0/0/0 [RouterB-GigabitEthernet0/0/0] vrrp vrid 1 virtual-ip 192.168.10.254 [RouterB-GigabitEthernet0/0/0] vrrp vrid 1 priority 100 [RouterB-GigabitEthernet0/0/0] vrrp vrid 1 preempt-mode timer delay 0 [RouterB-GigabitEthernet0/0/0] quit

配置完成后，立即执行状态验证：

• 在RouterA上：display vrrp brief
  输出应为：

  VRID State Interface Type Virtual IP 1 Master GigabitEthernet0/0/0 Normal 192.168.10.254

• 在RouterB上：display vrrp brief
  输出应为：

  VRID State Interface Type Virtual IP 1 Backup GigabitEthernet0/0/0 Normal 192.168.10.254

如果RouterB显示State: Initialize，请立即检查：

1. RouterB的G0/0/0口是否已undo shutdown（有时eNSP启动后接口默认shutdown）；
2. RouterB的IP地址192.168.10.2是否与虚拟IP 192.168.10.254同网段；
3. RouterA和RouterB的VRID是否都是1，虚拟IP是否完全一致（注意空格和点号）。

实操心得：我习惯在配置完RouterA后，立刻在RouterB上执行debugging vrrp packet，然后在RouterA上reset counters interface GigabitEthernet0/0/0，再ping 192.168.10.254。这时RouterB的debug日志会刷出“Received VRRP Advertisement from 192.168.10.1, priority 110”，证明Advertisement已成功送达。这个技巧比干等display命令更直观，尤其适合调试网络不通的场景。

4.3 故障切换全流程实录：从拔线到恢复的3秒真相

现在进入实验高潮——故障注入与切换验证。全程用秒表计时，记录每一个关键节点。

步骤1：建立基线
在PC1上开启持续ping：ping -t 192.168.10.254（Windows）或ping 192.168.10.254（Linux/macOS）。观察输出，应为：

Reply from 192.168.10.254: bytes=32 time<1ms TTL=255 Reply from 192.168.10.254: bytes=32 time<1ms TTL=255 ...

同时，在RouterA和RouterB上分别执行display vrrp verbose，记录Master Down Timer初始值（默认2700ms，即3×900ms）。

步骤2：触发故障
在RouterA上执行：interface GigabitEthernet0/0/0→shutdown。
按下回车的瞬间，开始计时。

步骤3：观察状态迁移

• 第1秒：PC1的ping输出出现第一个“Request timed out”；
• 第2秒：RouterB上执行display vrrp brief，State仍为Backup；
• 第3秒整：RouterB上display vrrp brief的State变为Master；
• 第3.2秒：PC1的ping恢复，“Reply from 192.168.10.254”再次出现，后续全部通。

此时，RouterB的display vrrp verbose中，Master Down Timer应重置为0，Adver Timer开始计时（默认1000ms）。

步骤4：验证恢复能力
在RouterA上执行：interface GigabitEthernet0/0/0→undo shutdown。
由于开启了立即抢占（delay 0），RouterA会在1秒内（Adver Timer超时）发送高优先级Advertisement，RouterB收到后立即降为Backup。PC1的ping会再次短暂丢包（1个包），然后回归稳定。

注意：这个3.2秒的切换时间，是eNSP在默认参数下的实测值。如果你修改了通告间隔（如vrrp vrid 1 timer advertise 500），超时时间会变为3×500=1500ms，切换将更快。但切记，过短的间隔会增加网络负担，企业网通常设为1000ms或2000ms，平衡可靠性与资源消耗。

4.4 抓包分析VRRP报文：读懂Advertisement里的“心跳密码”

最后一步，用eNSP内置抓包功能，解码VRRP协议的本质。这是区分“会配”和“真懂”的分水岭。

在eNSP顶部菜单，点击“工具”→“抓包”，选择RouterA的G0/0/0接口，Filter填vrrp，点击“开始”。然后在RouterA上执行ping 192.168.10.254，抓取几个包后停止。

Wireshark界面中，找到VRRP报文（Protocol列显示VRRP），双击展开。关键字段解读如下：

• Version（版本）：值为2，表示VRRPv2（eNSP默认）；
• Type（类型）：值为1，表示Advertisement（通告报文）；
• VRID（虚拟路由器ID）：值为1，与配置一致；
• Priority（优先级）：RouterA的报文里是110（十六进制0x6E），RouterB的是100（0x64）；
• IP Address Count（IP地址数量）：值为1，因为只配置了一个虚拟IP；
• Auth Type（认证类型）：值为0，表示无认证；若配了simple，此处为1，MD5为2；
• Advertisement Interval（通告间隔）：值为1000ms（十六进制0x03E8）；
• Checksum（校验和）：动态计算，确保报文完整性。

最有趣的是Virtual Rtr IP Addr字段，它显示的不是RouterA的真实IP（192.168.10.1），而是虚拟IP 192.168.10.254。这说明VRRP报文是“代表虚拟路由器发声”，而非物理设备自报家门。我在某次技术分享会上，用这个截图解释“为什么PC的ARP请求发给192.168.10.254，而响应的MAC是0000-5e00-0101”，台下工程师瞬间明白了VRRP的“虚拟”二字究竟虚拟在哪里。

5. 常见问题与排查技巧实录：那些让我熬夜到凌晨的“幽灵故障”

5.1 问题速查表：5类高频故障与10秒定位法

这张表是我过去三年整理的精华，覆盖了95%的eNSP VRRP实验问题。其中“RouterB缺少回程路由”是最隐蔽的坑——因为RouterB的G0/0/0口在192.168.10.0网段，它天然认为该网段直连，无需路由。但VRRP切换后，PC的流量经RouterB转发，RouterB要把响应包送回PC，就必须知道192.168.10.0网段的下一跳是直连（即自身G0/0/0口）。这个逻辑看似简单，但新手常忽略，以为配了VRRP就万事大吉。

5.2 独家避坑技巧：3个让实验成功率翻倍的细节

技巧1：用“display vrrp verbose”替代“display vrrp brief”做日常巡检
brief只告诉你State和Priority，而verbose会列出：

• Current Master IP（当前Master的IP，帮你确认谁在扛活）；
• Configured Master IP（配置的Master IP，用于对比是否漂移）；
• Adver Timer（通告定时器剩余时间，判断是否卡住）；
• Master Down Timer（Master失效倒计时，预判切换时机）。
  我在某次客户现场，就是靠verbose里Master Down Timer卡在2700ms不动，反向定位到RouterA的G0/0/0口物理连接松动——因为Timer不走，说明Advertisement根本没发出去。

技巧2：故障注入前，先在PC上执行arp -a记录原始ARP表
正常时，arp -a会显示：

192.168.10.254 00-00-5e-00-01-01 dynamic

切换后，再次执行arp -a，如果MAC地址变成RouterB的真实MAC（如00e0-fc01-