HSRP に関する情報
Hot Standby Router Protocol（HSRP）は、ファーストホップ IP デバイスのフェールオーバーを透過的に実行できるように作成された First Hop Redundancy Protocol（FHRP）です。デフォルト ゲートウェイの IP アドレスが設定されたネットワーク上の IP ホストにファーストホップのルーティング冗長性を確保することによって、高いネットワーク アベイラビリティを提供します。ルータグループ内のアクティブデバイスとスタンバイデバイスを識別する場合は、HSRP を使用します。デバイスインターフェイスのグループでは、アクティブデバイスは、パケットをルーティングするために選択されるデバイスです。スタンバイデバイスはアクティブデバイスで障害が発生するか、事前設定された条件が満たされた場合に処理を引き継ぐデバイスです。
複数のホットスタンバイグループをインターフェイスに設定できるので、冗長デバイスおよびロードシェアリングを最大限に活用できるようになっています。
次の図に、HSRP 用に設定されたネットワークのセグメントを示します。仮想 MAC アドレスおよび IP アドレスを共有することによって、複数台のデバイスが 1 台の仮想ルータとして機能します。仮想デバイスは、互いのバックアップになるように設定されている複数のデバイスの共有のデフォルトゲートウェイになります。アクティブデバイスの IP アドレスを使用して、LAN 上でホストを設定する必要はありません。その代わりに、仮想デバイスの IP アドレス（仮想 IP アドレス）をデフォルトゲートウェイとして使用して設定できます。設定した時間内にアクティブデバイスが hello メッセージを送信できない場合、スタンバイデバイスが処理を引き継いで仮想アドレスに対応するアクティブデバイスになり、アクティブデバイスの役割を引き受けます。
HSRP バージョン 2 のサポート
HSRP バージョン 2（HSRPv2）の機能は次のとおりです。
-
HSRPv2 では、ミリ秒のタイマー値がアドバタイズおよび検出されます。この変更により、あらゆる状況での HSRP グループの安定性が確保されています。
-
HSRPv2 では、グループ番号の範囲が 0 ～ 4095 に拡張されています。
-
HSRPv2 では、管理性とトラブルシューティング機能が向上しています。HSRPv2 のパケット形式には、メッセージの送信元を一意に特定するための 6 バイトの識別子フィールドが組み込まれています。通常は、インターフェイスの MAC アドレスがこのフィールドに格納されます。
-
HSRPv2 は 224.0.0.102 の IP マルチキャストアドレスを使用して hello パケットを送信します。このマルチキャストアドレスにより、シスコ グループ管理プロトコル（CGMP）の脱退処理を HSRP と同時に有効にできます。
-
HSRPv2 のパケット形式は、Type-Length-Value（TLV）を使用する別の形式です。
HSRP MD5 認証
HSRP では、プロトコルパケット認証に単純なプレーンテキスト文字列と Message Digest 5（MD5）スキームを使用できます。HSRP MD5 認証は、マルチキャスト HSRP プロトコルパケットの HSRP 部分の MD5 ダイジェストを生成する、拡張タイプの認証方式です。この機能により、セキュリティが強化され、HSRP スプーフィング ソフトウェアの脅威に対する保護が得られます。
MD5 認証を使用すると、別のプレーン テキスト認証方式よりもセキュリティを強化できます。HSRP グループの各メンバーは秘密キーを使用して、発信パケットの一部となるキー付き MD5 ハッシュを生成できます。着信パケットのキー付きハッシュが生成され、着信パケット内のハッシュが生成されたハッシュに一致しない場合、そのパケットは無視されます。
MD5 ハッシュのキーは、キー ストリングを使用して設定で直接指定するか、またはキー チェーンを使用して間接的に指定できます。
HSRP パケットが拒否されるのは、次のいずれかの場合です。
-
認証方式がデバイスと着信パケットの間で異なっている。
-
MD5 ダイジェストがデバイスと着信パケットで異なる。
-
テキスト認証文字列がデバイスと着信パケットで異なる。
HSRP のオブジェクト トラッキング
オブジェクトトラッキングにより、HSRP からトラッキングメカニズムが分離され、他のプロセスおよび HSRP で使用可能な独立したトラッキングプロセスが別に生成されます。デバイスがオブジェクトトラッキング対応として設定されていて、トラッキング対象のオブジェクトがダウンした場合、デバイスの優先順位はダイナミックに変更されます。トラッキング可能なオブジェクトには、インターフェイスのライン プロトコル ステートや IP ルートの到達可能性などがあります。指定したオブジェクトがダウンすると、HSRP プライオリティが引き下げられます。
HSRP 静的 NAT 冗長性の概要
Cisco IOS XE リリース 17.9.1a リリース以降、HSRP 静的 NAT 冗長性は Cisco IOS XE SD-WAN でサポートされます。HSRP で静的マッピングがサポートされるため、NAT アドレスが設定されたアクティブルータで着信 ARP に応答できます。この機能により、以前のアクティブルータからの ARP エントリがタイムアウトするのを待たずに、HSRP アクティブルータからスタンバイルータにフェールオーバーするトラフィックで NAT の冗長性を利用できます。
静的 NAT 設定はアクティブルータとスタンバイルータでミラーリングされ、アクティブルータがトラフィックを処理します。
ルータには仮想 IP アドレスが割り当てられます。エッジデバイスは、仮想 IP アドレスにトラフィックを送信し、そのトラフィックはアクティブルータによって処理されます。スタンバイルータはアクティブルータをモニタリングします。フェールオーバーが発生すると、新しい HSRP アクティブエッジルータは、ARP がタイムアウトするのを待たずに、静的 NAT マッピングの所有権を自動的に再開します。静的 NAT マッピングエントリの Gratuitous ARP を送信して、同じ LAN セグメント内の独自の MAC アドレスを持つようにデバイスを更新します。
 （注） |
HSRP NAT 冗長構成では、静的 NAT のみがサポートされます。 |
アクティブルータとスタンバイルータで次のタスクを実行し、HSRP に NAT の静的マッピングを設定します。
-
送信元と宛先の NAT が機能していることを確認します。
-
NAT インターフェイスの HSRP を有効にします。
-
HSRP 冗長性グループ名を設定します。
-
設定されている HSRP 冗長性グループ名を参照して、アクティブエッジとスタンバイエッジの両方で静的 NAT マッピングを手動で設定します。
HSRP 環境の高可用性で静的 NAT 冗長性を有効にする場合は、「Static NAT mapping support with HSRP」を参照してください。
HSRP の利点
-
冗長性：HSRP には、実績があり、大規模ネットワークで広範に導入されている冗長性方式が採用されています。
-
高速なフェールオーバー：HSRP はファーストホップデバイスの透過的な高速フェールオーバーを提供します。
-
プリエンプション：プリエンプションにより、スタンバイデバイスがアクティブになるのを一定時間遅らせることができます（この時間は設定可能です）。
-
認証：HSRP の MD5 アルゴリズム認証は、HSRP スプーフィングソフトウェアからの保護に対応し、業界標準の MD5 アルゴリズムを使用して信頼性とセキュリティを向上させます。
フィードバック