从VRRP到BFD：双核心网络高可用设计与故障切换实战

先讲一个我实际遇到过的场景。某个业务高峰日上午，园区网核心交换机的一块业务板卡突然报错重启，主备两台核心之间明明配置了VRRP，可整个办公区还是断了将近十分钟网。后来查下来，问题出在上行链路检测上面：出口防火墙到核心之间的链路是正常的，可业务板卡所在的某个接口已经起不来了，VRRP主设备没有感知到，流量照样往故障路径上送，备机又一直处于空闲状态，结果谁也没接管。

那次故障之后，我把“可靠性技术”这几个字重新盘了一遍。需求方嘴上说的是“高可用”，但真正决定可用性的不是设备品牌，不是冗余协议本身，而是“故障发生时系统能不能快速感知、快速切换、快速恢复”，以及这些机制在日常运维里能不能长期保持有效。这篇内容我准备从真实落地角度来拆解可靠性技术，把它从概念变成能落地的一整套方法，适合正在做网络方案设计、准备高级运维考试，或者打算优化现有核心网络稳定性的朋友参考。

1. 可靠性设计：先搞清楚到底要防什么

1.1 网络可用性的本质是压缩故障影响时间

很多人一提到可靠性，第一反应就是“加设备、做冗余”，似乎核心交换机买两台，链路拉两条，可靠性就解决了。但我更倾向于先回答一个更本质的问题：你的网络到底允许中断多久？

衡量可靠性的硬指标通常写作可用性（Availability），公式并不复杂：可用性 = MTBF / (MTBF + MTTR)。MTBF是平均无故障运行时间，MTTR是平均恢复时间。要提升可用性，无非两条路：要么延长MTBF，让设备少出问题；要么压缩MTTR，让出了问题能快速恢复。可靠性技术解决的核心问题，其实是第二件事——当故障发生时，如何让网络自动完成感知、切换和收敛，把终端和业务感知到的中断时间压缩到可接受范围内。

这个思路决定了整个方案的走向。单台设备再稳定，也存在升级、重启、板卡故障这类必须要中断的场景。可靠性技术要做的不是“保证不出事”，而是“出了事也不至于全盘瘫痪”。所以设计核心网可靠性的时候，我习惯先问业务方：RTO（恢复时间目标）是多少？30秒、10秒、还是0丢包？这个问题不明确，后面选什么冗余机制、配多少探测间隔、要不要做双活，其实都缺乏依据。

1.2 可靠性不是堆设备，是消除单点故障

网络里最常见的隐患就是单点故障。一台汇聚交换机下面挂了几十台接入交换机，这台汇聚如果发生硬件故障，影响的可能就是整片业务区；一台防火墙的某个接口光模块老化，流量走这个接口就会间歇性丢包。冗余的核心思路，就是给网络里每一个可能发生单点故障的位置都留下“备用通道”和“备用角色”。

但冗余技术本身也会引入新问题。两台设备同时承担同一个网关地址，如果协调不好就会产生地址冲突；两条链路都往同一个交换机转发数据，如果环路控制没做好，广播风暴比断网更可怕。做可靠性设计最忌讳的是只盯着“有没有冗余”，而忽略了“冗余后的协商、切换、防环机制是否严密”。举个最简单的例子，一台交换机同时连到两台核心，如果不启用STP相关的保护机制，双上行链路反而会把网络打成环路。

所以我的看法是，可靠性技术是一套组合技术，而不是单个协议。典型的核心网可靠性方案通常包含三层能力：设备级可靠性（硬件冗余、板卡热插拔）、网络级可靠性（链路聚合、VRRP、堆叠）、链路感知与快速切换（BFD、接口监测）。这三层缺一不可，少了任意一环，表面上看起来“都是双份配置”，实际故障发生时却很难真正实现快速切换。

1.3 我见过最容易翻车的三类不靠谱设计

做网络久了，你会发现真正出大故障的往往不是“没有冗余”的方案，而是“看似有冗余、实则冗余失效”的方案。这类方案大体有三类特征：

第一类是备机长期不做验证。VRRP备机配置好了，但从来没有把业务流量切过去试过。等到主设备真发生故障时，备机的配置可能早就和主设备不一致了，路由表不全、网关接口状态异常、与上层网络断连，切换过去之后业务起不来，甚至比主设备故障影响更大。

第二类是检测链路只看接口状态。接口的物理状态是Up，不代表转发路径是通的。Real场景中，光模块老化、中间传输设备故障、单纤收发异常，都可能导致接口Up但实际链路已经无法正常转发业务流量。若VRRP或路由协议只按照接口Switch状态来决策主备切换，这种“半死不活”的故障根本无法触发切换，只能等到用户投诉后才被动处理。

第三类是切换设计只考虑核心，不考虑上下游。主备核心切换成功了，但上联防火墙、下联接入交换机、终端网关ARP表项没有同步收敛，流量仍然可能走旧的路径。可靠性是个全链路的事，必须在所有层面统一设计、统一验证，而不是只盯着一两台核心设备。

2. 核心可靠性技术选型：该用冗余的时候就别含糊

2.1 链路聚合：把多条物理链路变成一条逻辑链路

链路聚合可以说是性价比最高的可靠性手段。它把多条物理链路捆绑成一个逻辑端口，既能提升带宽，又能实现链路冗余。当其中一条物理链路故障时，流量自动在剩余链路上重新分布，对业务基本无感知。

链路聚合有两种模式需要区分。一种是手工静态聚合，只要把端口加入聚合组并启用，链路就会聚合，简单粗暴，但双方配置不一致时可能形成环路或转发异常，一般不建议用在核心环境。另一种是LACP动态聚合，两端通过LACPDU协议报文协商，能够自动识别对端状态，链路状态异常时自动剔除故障成员口，这才是生产环境的主流选择。配置时还会涉及负载分担方式，根据源目MAC、源目IP、或者更细的四层端口信息做哈希转发，需要根据实际业务流量特征来选。

核心到核心之间、核心到汇聚之间的链路聚合，基本已经成为标准配置了。配置链路聚合还有一个额外好处：万一其中一条成员链路需要更换光模块或者做链路扩容，可以先把流量切换到其他成员上，然后对故障链路进行维护，业务无感知。

2.2 VRRP：给终端一个不会消失的网关

VRRP解决的是网关冗余问题。终端设备通常只配置一个默认网关，如果这台三层设备故障了，需要另一台设备无缝接替