Bài 17: Cân bằng tải & dự phòng — FHRP tổng quan

💡 Liên hệ thực tế

Một cửa hàng chỉ có 1 lối ra duy nhất. Nếu cửa đó bị kẹt hay khóa hỏng, toàn bộ khách hàng bên trong bị mắc kẹt hoàn toàn, không có lối thoát nào khác — dù cửa hàng có rộng và đẹp đến đâu.

🚪 Trong mạng máy tính, Default Gateway (thường là 1 Router) chính là "lối ra duy nhất" để các máy trong mạng LAN đi ra ngoài (Internet hoặc mạng khác). Nếu Router đó hỏng, toàn bộ mạng LAN bị cắt đứt kết nối ra ngoài — dù switch, cáp mạng, mọi thứ khác vẫn hoạt động bình thường. Đây chính là vấn đề mà FHRP (First Hop Redundancy Protocol) sinh ra để giải quyết: tạo thêm "cửa dự phòng" để khi cửa chính hỏng, khách vẫn có lối ra.

📘 Kiến thức cốt lõi

FHRP (First Hop Redundancy Protocol) là một nhóm giao thức giúp nhiều Router vật lý cùng đóng vai trò là 1 Default Gateway ảo duy nhất đối với các máy trong mạng LAN. Khi Router đang hoạt động (Active) bị hỏng, một Router dự phòng (Standby) sẽ tự động đảm nhận vai trò Gateway mà các máy trạm hoàn toàn không hay biết gì — không cần đổi cấu hình, không mất kết nối.

⚙️ 3 giao thức FHRP phổ biến — so sánh nhanh:

💡 Khác biệt lớn nhất giữa GLBP và 2 giao thức còn lại: HSRP/VRRP chỉ có 1 Router làm việc thật sự tại 1 thời điểm (Router còn lại "đứng chờ" không dùng đến), trong khi GLBP cho phép nhiều Router cùng lúc xử lý traffic, tận dụng tối đa cả 2 (hoặc nhiều) Router thay vì để phí phạm.

🎯 Cơ chế cốt lõi: 1 địa chỉ IP ảo (Virtual IP) dùng chung cho nhiều Router vật lý: Thay vì mỗi máy trạm cấu hình Default Gateway trỏ thẳng vào IP thật của 1 Router cụ thể (ví dụ 192.168.1.1), FHRP tạo ra 1 địa chỉ IP ảo (ví dụ 192.168.1.254) mà máy trạm sẽ trỏ Gateway vào đó. Địa chỉ ảo này được "gán tạm" cho Router nào đang đóng vai trò Active tại thời điểm đó.

🔑 Virtual MAC — mảnh ghép còn lại giúp failover không cần ARP lại:

Chỉ riêng Virtual IP thì chưa đủ để việc chuyển đổi Active/Standby diễn ra hoàn toàn trong suốt. Nhắc lại từ Bài 16: trước khi gửi dữ liệu, máy trạm phải ARP để lấy MAC của Gateway (192.168.1.254), rồi lưu cặp IP–MAC đó vào ARP cache. Nếu Router trả lời ARP bằng MAC vật lý thật của chính nó, thì khi Router đó hỏng và Router kia tiếp quản, MAC trong ARP cache của máy trạm sẽ sai — máy trạm phải đợi ARP cache hết hạn hoặc ARP lại mới cập nhật được, gây gián đoạn thật sự trong vài giây đến vài phút.

Để tránh việc này, FHRP không dùng MAC thật — mà tạo ra 1 địa chỉ MAC ảo (Virtual MAC) cố định, gắn liền với Virtual IP. Router nào đang là Active sẽ "nhận" luôn cả Virtual IP lẫn Virtual MAC, trả lời ARP bằng MAC ảo đó. Khi failover xảy ra, Router Standby tiếp quản cả 2 địa chỉ ảo (IP lẫn MAC) không đổi — nên ARP cache trên máy trạm vẫn đúng, không cần ARP lại, không phát sinh gián đoạn ở tầng Layer 2.

💡Chính vì mỗi giao thức có 1 dải Virtual MAC riêng (khác hẳn dải MAC thật do hãng sản xuất cấp), khi bắt gói bằng Wireshark hoặc xem show mac address-table, chỉ cần nhìn thấy MAC bắt đầu bằng 0000.0C07.AC là biết ngay đây là traffic liên quan đến HSRP, không cần đoán mò. Đây cũng là lý do GLBP cần tới yy (số AVF) trong Virtual MAC — vì có nhiều Router cùng active song song (đã nói ở phần so sánh giao thức phía trên), mỗi Router đảm nhận 1 Virtual MAC khác nhau trong cùng 1 nhóm để chia tải thực sự.

🎯 Ví dụ thực tế dễ hình dung: VNExperts có 2 Router: Router A (IP thật 192.168.1.1) và Router B (IP thật 192.168.1.2), cùng chia sẻ 1 địa chỉ ảo 192.168.1.254. Toàn bộ máy trạm trong công ty cấu hình Default Gateway là 192.168.1.254. Bình thường, Router A đóng vai trò Active — xử lý toàn bộ traffic đi ra ngoài. Nếu Router A gặp sự cố (đứt cáp, hỏng nguồn...), Router B tự động tiếp quản vai trò Active trong vài giây, các máy trạm vẫn tiếp tục ra Internet bình thường mà không cần đổi bất kỳ cấu hình nào.

📡 Tracking — khi Router Active vẫn "sống" nhưng đã mất đường ra ngoài:

Toàn bộ ví dụ trên chỉ xử lý tình huống Router A (Active) hỏng hẳn. Nhưng có 1 tình huống khác nguy hiểm hơn: Router A vẫn hoạt động bình thường phía LAN (vẫn liên tục phát gói tin Hello FHRP đều đặn — là cách mà Router A thông báo rằng "Tôi vẫn sống khỏe, tôi đang làm Active"), nhưng interface đi ra WAN của nó bị đứt cáp. Nếu không có gì can thiệp, Router A vẫn nghiễm nhiên giữ vai trò Active — máy trạm vẫn gửi traffic đến Router A, nhưng Router A không còn đường nào để chuyển tiếp ra Internet, gây gián đoạn dù về mặt FHRP không có gì "báo lỗi".

Đây là lý do cần đến Tracking — cơ chế giúp Router tự phát hiện và phản ứng với tình huống này:

• Object Tracking: cơ chế tổng quát của Cisco IOS, cho phép theo dõi trạng thái của 1 đối tượng bất kỳ (interface, route trong bảng định tuyến, hoặc kết quả ping đến 1 đích nào đó).
• Interface Tracking: 1 dạng cụ thể của Object Tracking — theo dõi riêng trạng thái up/down của 1 interface, thường là interface đi ra WAN.
• HSRP Tracking (FHRP Tracking nói chung): khi Object/Interface được theo dõi chuyển sang down, Router sẽ tự động giảm Priority của mình xuống một mức đã định trước — đủ thấp để Router kia (vẫn còn đường ra ngoài) vượt lên và tiếp quản vai trò Active.

🎯 Quay lại ví dụ VNExperts: nếu Router A bị đứt cáp WAN, nhưng được cấu hình Tracking cho interface đó, Router A sẽ tự giảm Priority ngay khi phát hiện interface down — Router B (đang có đường ra ngoài bình thường) sẽ tự động trở thành Active, giúp máy trạm tiếp tục ra Internet được thay vì bị "mắc kẹt" ở Router A đã mất đường ra.

💬 Hỏi & Đáp nhanh

❓ Nếu công ty chỉ có 1 Router duy nhất thì có cần dùng FHRP không?

❌ Không cần — FHRP chỉ có ý nghĩa khi có từ 2 Router trở lên cùng đóng vai trò Gateway dự phòng cho nhau. Với 1 Router duy nhất, không có gì để "dự phòng" cả, máy trạm cứ trỏ thẳng Gateway vào IP thật của Router đó.

❓ Máy trạm có cần biết Router nào đang là Active để đổi cấu hình khi có sự cố không?

❌ Không — đây chính là điểm mạnh cốt lõi của FHRP. Máy trạm chỉ biết duy nhất địa chỉ IP ảo, hoàn toàn không quan tâm (và không cần biết) Router vật lý nào đang thực sự xử lý phía sau. Việc chuyển đổi Active/Standby diễn ra hoàn toàn trong suốt với người dùng cuối.

❓ HSRP và VRRP có thể dùng chung trong 1 mạng có cả thiết bị Cisco và hãng khác không?

✅ Nếu mạng có thiết bị đa hãng (không chỉ Cisco), nên chọn VRRP vì đây là chuẩn mở quốc tế, được hầu hết các hãng hỗ trợ. HSRP là giao thức độc quyền của Cisco, chỉ hoạt động ổn định khi toàn bộ thiết bị đều là Cisco.

❓ Nếu Router chỉ dùng Virtual IP mà không có Virtual MAC thì chuyện gì xảy ra khi failover?

⚠️ ARP cache trên máy trạm sẽ tạm thời sai — vẫn còn lưu MAC thật của Router A (đã hỏng) cho địa chỉ IP ảo. Máy trạm sẽ tiếp tục gửi Frame đến MAC cũ đó cho đến khi ARP cache hết hạn (theo Aging Time đã học ở Bài 16) hoặc ARP lại, gây gián đoạn kết nối trong khoảng thời gian đó. Đây chính là lý do Virtual MAC là bắt buộc, không phải tùy chọn.

❓ Router Standby (dự phòng) có phản hồi ARP Request bằng Virtual MAC không khi chưa phải Active?

❌ Không — chỉ Router đang giữ vai trò Active mới trả lời ARP Request cho Virtual IP bằng Virtual MAC. Router Standby lúc này im lặng ở vai trò Gateway (dù vẫn tham gia trao đổi thông điệp FHRP nội bộ để theo dõi tình trạng Active), chỉ khi Active gặp sự cố, Standby mới tiếp quản và bắt đầu trả lời ARP bằng chính Virtual MAC đó.

❓ Nếu Router Active mất kết nối WAN nhưng LAN vẫn ổn, FHRP có tự phát hiện và chuyển Active không nếu không cấu hình Tracking?

❌ Không — nếu không có Tracking, FHRP chỉ theo dõi việc Router có còn gửi Hello cho nhau qua LAN hay không. Router A trong tình huống này vẫn gửi Hello bình thường (vì LAN vẫn sống), nên vẫn được xem là "khỏe mạnh" và tiếp tục giữ Active — dù đã mất hoàn toàn đường ra ngoài. Đây chính là lý do phải cấu hình thêm Tracking cho interface WAN, để Router tự giảm Priority khi phát hiện interface đó down.

📝 Bài tập đánh giá

Câu 1: Vai trò chính của FHRP trong mạng doanh nghiệp là gì?

• A. Mã hóa dữ liệu truyền qua mạng
• B. Tạo Default Gateway dự phòng, tránh gián đoạn khi Router chính gặp sự cố
• C. Tăng tốc độ Internet cho toàn mạng
• D. Ngăn chặn tấn công từ bên ngoài vào mạng nội bộ

Câu 2: Điểm khác biệt lớn nhất giữa GLBP và HSRP/VRRP là gì?

• A. GLBP chỉ dùng được cho mạng IPv6
• B. GLBP cho phép nhiều Router cùng xử lý traffic song song, thay vì chỉ 1 Router active
• C. GLBP không cần địa chỉ IP ảo
• D. GLBP chỉ hoạt động trên thiết bị của hãng khác ngoài Cisco

Câu 3: Vì sao FHRP cần có Virtual MAC, không chỉ riêng Virtual IP?

• A. Vì Virtual IP không hợp lệ nếu thiếu MAC đi kèm
• B. Để ARP cache trên máy trạm không cần cập nhật lại khi Router Active thay đổi
• C. Vì mỗi Router vật lý chỉ được phép có 1 địa chỉ MAC duy nhất
• D. Để tăng tốc độ truyền dữ liệu qua Gateway

Câu 4: Địa chỉ Virtual MAC dạng 0000.0C07.AC01 thuộc về giao thức FHRP nào, và con số 01 thể hiện điều gì?

• A. VRRP — thể hiện số VRID là 1
• B. GLBP — thể hiện số AVF là 1
• C. HSRP — thể hiện số Group là 1
• D. Không giao thức nào dùng định dạng này

Câu 5: Router A đang là Active nhưng bị đứt cáp WAN (LAN vẫn hoạt động bình thường). Cơ chế nào giúp Router B tự động tiếp quản vai trò Active trong tình huống này?

• A. Aging Time của bảng MAC
• B. Object/Interface Tracking, khiến Router A tự giảm Priority khi WAN down
• C. ARP Spoofing
• D. Virtual MAC tự động đổi sang Router B

👉 Đáp án:

Câu 1: B — FHRP đảm bảo mạng LAN luôn có Default Gateway hoạt động, ngay cả khi Router chính gặp sự cố, nhờ cơ chế Router dự phòng tự động tiếp quản.

Câu 2: B — GLBP là cải tiến của Cisco cho phép nhiều Router cùng lúc xử lý traffic (chia tải thực sự), khác với HSRP/VRRP chỉ có 1 Router Active tại 1 thời điểm.

Câu 3: B — Nếu chỉ có Virtual IP mà Router trả lời ARP bằng MAC thật, ARP cache trên máy trạm sẽ sai khi đổi Router Active. Virtual MAC giữ nguyên bất kể Router vật lý nào đang Active, nên ARP cache luôn đúng, không cần ARP lại.

Câu 4: C — Định dạng 0000.0C07.ACxx là của HSRP, trong đó xx (ở đây là 01) thể hiện số nhóm HSRP (Group number) viết dưới dạng hex.

Câu 5: B — Vì FHRP mặc định chỉ theo dõi Hello qua LAN, không tự biết interface WAN đã down. Object/Interface Tracking giúp Router A phát hiện WAN down và tự giảm Priority, nhường vai trò Active cho Router B.

📚 Bài viết thuộc khóa học CCNA của VNExperts

🧭 Điều hướng