Kiểm thử VRRP/HSRP: gateway failover, ARP/ND và service restoration

RFC 9568 là đặc tả VRRPv3 hiện hành cho IPv4 và IPv6, thay thế RFC 5798. RFC mới dùng thuật ngữ Active Router thay cho Master; thiết bị và tài liệu cũ có thể vẫn hiển thị Master. HSRP là cơ chế first-hop redundancy của Cisco với mục tiêu vận hành tương tự nhưng không phải cùng giao thức. Phép thử phải xác định đúng implementation, phiên bản, timer và hành vi host, không gộp kết quả của VRRP cho HSRP hoặc ngược lại.

Ba câu hỏi cốt lõi là: khi fault xảy ra, vai trò Active/Master đổi trong bao lâu; virtual IP và virtual MAC có được quảng bá/cập nhật nhất quán; và dịch vụ end-to-end phục hồi khi nào. Một control-plane convergence nhanh vẫn có thể đi kèm outage dài nếu CAM, ARP, ND, ECMP hoặc đường về chưa hội tụ.

Topology tối thiểu gồm hai gateway nối cùng VLAN người dùng, hai uplink độc lập tới mạng dịch vụ và một host-generator ở mỗi phía. Đặt observation point tại access segment, từng uplink và mạng đích. Với IPv6, bật ND/Router Advertisement đúng như production; với IPv4, thu gratuitous ARP. Đồng bộ clock giữa generator, switch, router và collector.

Lấy baseline khi router ưu tiên cao giữ vai trò chính: state, priority, advertisement/hello interval, virtual IP/MAC, ARP/ND cache, CAM entry, route/FIB và traffic profile. Phát đồng thời flow ngắn và dài, TCP/UDP/ICMP, nhiều DSCP và packet size. Không thay đổi nhiều biến trong cùng một case.

Khóa mode VRRP/HSRP, address family, group, priority, preempt, delay, authentication nếu có, interface/object tracking, BFD integration, timer, link debounce và routing protocol phía uplink. Ghi rõ switch CAM aging, port-channel, vPC/MLAG và cơ chế chống loop vì chúng có thể chi phối restoration.

Ở phía host, kiểm soát OS, neighbor-cache state, default-route lifetime, NIC offload và retry của ứng dụng. Ở phía tải, khóa session count, new connection rate, frame size, offered load và return-path policy. Nếu dùng sub-second timer, xác minh CPU và scheduler dưới tải thay vì chỉ chạy khi router nhàn.

KPI control plane gồm thời gian phát hiện fault, role transition và ổn định sau preemption. KPI data plane gồm outage duration, packet loss theo burst, throughput, latency/jitter, TCP reset, tỷ lệ flow mới thành công và path correctness. Đo riêng chiều đi và chiều về; aggregate throughput có thể che một chiều đang blackhole.

Bằng chứng tối thiểu gồm packet capture giao thức, gratuitous ARP/unsolicited Neighbor Advertisement, snapshot ARP/ND/CAM/FIB, interface counter, event log và kết quả generator có timestamp. Báo cáo cần đặt các mốc fault injection, role change, neighbor update và gói dịch vụ đầu tiên phục hồi trên cùng timeline.

Pass/fail nên có ngân sách mất gói và restoration riêng cho thoại, giao dịch, telemetry và bulk traffic. Không chấp nhận loop, duplicate kéo dài hoặc đường về sai dù tổng outage nằm dưới ngưỡng.

• Tình huống: Mất link LAN của gateway chính · Kỳ vọng: Standby tiếp quản, host dùng virtual MAC · Bằng chứng: state + PCAP + CAM · Dấu hiệu fail: role đổi nhưng traffic vẫn vào port cũ
• Tình huống: Mất uplink nhưng LAN còn up · Kỳ vọng: Tracking hạ priority và chuyển vai trò · Bằng chứng: object log + route + traffic · Dấu hiệu fail: gateway chính giữ vai trò và blackhole
• Tình huống: Router reload · Kỳ vọng: Failover trong SLO, không split-brain · Bằng chứng: power event + dual capture · Dấu hiệu fail: hai thiết bị cùng chuyển tiếp sai
• Tình huống: Gateway chính quay lại · Kỳ vọng: Preempt theo policy, chỉ một lần chuyển · Bằng chứng: state timeline · Dấu hiệu fail: flapping hoặc outage lần hai vượt ngưỡng
• Tình huống: IPv6 neighbor cache đang STALE · Kỳ vọng: ND cập nhật đúng virtual router · Bằng chứng: NS/NA + cache · Dấu hiệu fail: host giữ L2 mapping sai
• Tình huống: Tải control plane cao · Kỳ vọng: Timer vẫn đáng tin trong profile đã định · Bằng chứng: CPU + hello gap + traffic · Dấu hiệu fail: missed hello giả hoặc delay không ổn định

Chạy lần lượt shutdown interface LAN, rút uplink, rút nguồn, reload process/chassis, mất route upstream và lỗi tracking object. Với từng fault, đo detection, election và service restoration. Sau đó phục hồi thiết bị chính để kiểm preempt delay, warm-up routing và khả năng tránh chuyển vai trò trước khi uplink sẵn sàng.

• Xác nhận chỉ một Active/Master và một virtual MAC hợp lệ.
• Ghi timer quảng bá thực tế từ packet capture.
• Fault từng interface và từng dependency upstream.
• So sánh flow đang tồn tại với flow khởi tạo mới.
• Kiểm preempt bật, tắt và có delay.
• Lặp lại khi routing table và CPU ở mức tải mục tiêu.
• Kiểm fault kép: uplink chính lỗi trong lúc gateway dự phòng vừa phục hồi.

Trong cấu hình dùng virtual MAC ổn định, failover thông thường giữ nguyên ánh xạ virtual IP–MAC của host; điểm cần hội tụ thường là vị trí MAC trong bảng chuyển mạch. Không đặt tiêu chí bắt buộc host phải đổi MAC sau mỗi failover. Các chế độ dùng MAC vật lý như HSRP use-bia cần được kiểm riêng theo tài liệu hãng. Với IPv4, kiểm gói gratuitous ARP, CAM move và tính đúng đắn của ARP cache trên nhiều hệ điều hành. Với IPv6, kiểm unsolicited NA, neighbor state và lưu lượng khi cache ở REACHABLE, STALE hoặc DELAY. Không giả định tất cả host phản ứng giống nhau; thiết bị OT, appliance và hypervisor có thể giữ cache lâu hơn.

Phát traffic hai chiều qua nhiều VLAN và tenant. Đối soát ingress/egress sequence number để nhận ra loss, duplication và reordering. Khi firewall hoặc load balancer stateful nằm phía sau, kiểm session affinity và return path; first-hop redundancy không tự đồng bộ session của middlebox.

Tăng số group, VLAN, neighbor và flow theo bậc; đo percentile restoration và CPU thay vì chỉ giá trị trung bình. Chạy soak test với churn có kiểm soát để phát hiện timer drift, memory leak hoặc preemption lặp. Regression bắt buộc sau đổi NOS, line card, switch access, tracking logic hoặc routing policy.

Triển khai canary trên một VLAN ít rủi ro. Runbook cần OOB access, lệnh xác nhận role, cách cô lập gateway split-brain, ngưỡng rollback timer/preempt và người chịu trách nhiệm. Không rút cả hai đường quản trị khi thử nguồn hoặc chassis.

Kết quả chỉ đúng cho topology, implementation, phiên bản, timer, host OS, L2 fabric, route scale và traffic profile đã thử. Không suy “zero loss” nếu độ phân giải generator hoặc capture thấp hơn outage dự kiến.

VRRP/HSRP giải quyết default gateway availability, không chứng minh upstream routing, firewall state, DNS hay ứng dụng đã sẵn sàng. Kết luận cuối phải là service restoration end-to-end và nêu rõ thành phần ngoài phạm vi.

• Virtual IP/MAC: địa chỉ gateway logic dùng chung bởi nhóm dự phòng.
• Master/Active: router đang sở hữu vai trò chuyển tiếp chính.
• Preemption: router ưu tiên cao giành lại vai trò sau khi phục hồi.
• Object tracking: thay đổi priority dựa trên trạng thái interface, route hoặc probe.
• Gratuitous ARP: ARP dùng để cập nhật ánh xạ IP–MAC mà không chờ truy vấn.
• Unsolicited NA: Neighbor Advertisement IPv6 chủ động thông báo ánh xạ.
• Service restoration: thời điểm dịch vụ thực tế đáp ứng lại SLO.