Aula 22: Cisco IOS em alta disponibilidade — HSRP, VRRP e GLBP

Bem-vindo à vigésima segunda aula do curso “Cisco IOS — Do Zero ao Avançado”. Nesta etapa, você vai dominar os três protocolos de redundância de gateway mais utilizados no mundo corporativo: HSRP (Hot Standby Router Protocol), VRRP (Virtual Router Redundancy Protocol) e GLBP (Gateway Load Balancing Protocol). Quando falamos de Cisco IOS em alta disponibilidade, estamos tratando de um requisito crítico para qualquer infraestrutura que não pode parar — e é exatamente isso que estes protocolos proporcionam. Você aprenderá a configurar cada um deles passo a passo, entendendo suas diferenças, vantagens e cenários de aplicação, além de verificar o funcionamento e solucionar os problemas mais comuns.

A necessidade de alta disponibilidade em gateways de rede surge porque a maioria dos hosts clientes em uma LAN possui apenas uma rota padrão (default gateway) configurada. Se o roteador que atua como gateway falhar, os dispositivos da rede local ficam completamente isolados das demais redes, mesmo que existam outros roteadores fisicamente conectados ao mesmo segmento. Os protocolos de redundância de gateway resolvem esse problema criando um endereço IP virtual compartilhado entre dois ou mais roteadores, de modo que, se um falhar, o outro assume automaticamente o papel de gateway sem que os hosts precisem alterar suas configurações.

Esta aula é de nível avançado e assume que você já concluiu as aulas anteriores do curso, dominando conceitos de roteamento, VLANs, interfaces e o IOS em geral. Você vai trabalhar com uma topologia simulada em GNS3, EVE-NG ou Cisco Packet Tracer, com dois roteadores Cisco IOS e um switch, demonstrando cada protocolo na prática. Ao final, você será capaz de projetar gateways redundantes com qualquer um dos três protocolos, entender quando usar cada um e realizar troubleshooting de forma eficiente.

Nos projetos da JRT Technology Solutions, nossos especialistas utilizam diariamente estes protocolos para garantir continuidade operacional em clientes de diversos portes, desde pequenas empresas até datacenters. Ao longo desta aula, compartilharemos as práticas que aplicamos em campo, para que você possa replicar o mesmo nível de excelência em seus ambientes. Prepare seu laboratório, pois a partir daqui vamos mergulhar em configurações detalhadas e funcionais.

O que você vai aprender nesta aula

• Entender os conceitos fundamentais de redundância de gateway e por que eles são essenciais para Cisco IOS em alta disponibilidade;
• Diferenciar os protocolos HSRP, VRRP e GLBP, suas características e casos de uso;
• Configurar HSRP com prioridade, preempção, autenticação e interface tracking;
• Configurar VRRP com parâmetros avançados e integração com roteamento;
• Configurar GLBP com balanceamento de carga e alta disponibilidade simultâneos;
• Verificar o funcionamento de cada protocolo com comandos show e interpretar as saídas;
• Solucionar os erros mais comuns em ambientes de produção com redundância de gateway;
• Aplicar boas práticas de segurança e desempenho baseadas em experiências reais da JRT Technology Solutions.

Pré-requisitos e Ambiente

Antes de iniciar esta aula, é essencial que você tenha um ambiente de laboratório funcionando. Recomendamos o uso de GNS3 ou EVE-NG com imagens Cisco IOS, pois permitem simular o comportamento real dos protocolos sem limitações. O Cisco Packet Tracer também pode ser usado, embora com suporte parcial a alguns recursos avançados, como balanceamento do GLBP. Em todos os casos, a topologia mínima necessária é composta por dois roteadores (que chamaremos de R1 e R2), um switch e dois hosts de teste (ex.: PCs com IP estático ou máquinas Linux com ping).

Você precisa ter conhecimentos sólidos de configuração básica do Cisco IOS, incluindo acesso via console ou SSH, configuração de interfaces, endereçamento IP e roteamento estático ou dinâmico. Além disso, revise os conceitos de ARP, MAC address e VLANs, pois eles são a base para entender o funcionamento dos protocolos de redundância de gateway. Se você não se sente seguro nesses tópicos, recomendamos revisitar as aulas 10 a 15 deste curso antes de prosseguir.

Outro pré-requisito importante é ter acesso a dois roteadores Cisco IOS com suporte aos comandos standby, vrrp e glbp. A maioria das imagens IOS 12.x e 15.x suporta os três protocolos, mas é importante verificar a licença da imagem. Em nossos projetos na JRT Technology Solutions, utilizamos majoritariamente IOS 15.x em roteadores ISR (Integrated Services Routers) para garantir compatibilidade total com os recursos discutidos nesta aula.

Por fim, prepare um bloco de anotações ou documento de texto para registrar os comandos e saídas que você executar. A redundância de gateway envolve muitas variáveis interdependentes, como timers, prioridades e estados, e a documentação é uma prática fundamental que você deve adotar desde já em sua carreira de administrador de redes. Vamos começar com a base teórica necessária para compreender o que faremos na prática.

Conceitos Fundamentais de Redundância de Gateway

Em uma rede local, cada dispositivo host possui uma configuração de default gateway, que normalmente é o endereço IP do roteador conectado ao segmento. Quando um host precisa enviar um pacote para fora de sua sub-rede, ele consulta a tabela ARP para descobrir o endereço MAC associado ao IP do gateway e, em seguida, envia o quadro. Se o roteador falhar, todos os hosts daquela sub-rede perdem a capacidade de comunicação com redes externas, mesmo que haja outro roteador disponível, pois o IP do gateway antigo não está mais ativo. Esse é o ponto crítico que os protocolos de redundância de gateway resolvem.

O conceito central desses protocolos é a criação de um endereço IP virtual, que será configurado como gateway padrão nos hosts. Dois ou mais roteadores físicos participam de um grupo (ou virtual router) e elegem um deles como o responsável por responder pelo IP virtual em determinado momento. Os demais permanecem em estado de espera (standby) ou balanceamento, monitorando continuamente o roteador ativo. Se o ativo falhar, o standby assume o endereço IP virtual e passa a encaminhar o tráfego, tudo de forma transparente para os hosts.

Existem três protocolos principais que implementam esse conceito, cada um com características específicas. O HSRP é um protocolo proprietário da Cisco, definido na RFC 2281, que cria um endereço IP virtual e um endereço MAC virtual derivado do número do grupo. Ele opera com um roteador ativo e um ou mais standby, sem balanceamento de carga nativo. O VRRP é um padrão aberto da IETF, definido na RFC 5798, muito similar ao HSRP em funcionamento, mas com algumas diferenças, como a possibilidade de o endereço virtual ser o mesmo IP físico do roteador ativo. Já o GLBP é um protocolo também proprietário da Cisco que, além da redundância, oferece balanceamento de carga, atribuindo endereços MAC virtuais diferentes para os membros do grupo de acordo com o algoritmo configurado.

Para garantir a convergência rápida, os protocolos utilizam mecanismos de hello messages e hold timers. O roteador ativo envia mensagens de hello periodicamente (normalmente a cada 3 segundos no HSRP), e os demais aguardam um período de hold (geralmente 10 segundos) antes de declarar o ativo como falho e iniciar o processo de eleição. A prioridade é o principal critério de eleição: o roteador com maior prioridade torna-se o ativo; em empate, o maior endereço IP da interface desempata. O comando preempt permite que um roteador com prioridade maior retome o papel de ativo quando voltar ao grupo.

Ao entender esses fundamentos, você percebe que a redundância de gateway é uma camada essencial para alcançar Cisco IOS em alta disponibilidade. Nos ambientes que administramos na JRT Technology Solutions, raramente encontramos uma infraestrutura crítica sem pelo menos uma dessas tecnologias implementadas. Nos próximos tópicos, vamos explorar cada protocolo em profundidade, com configurações completas e funcionais.

HSRP — Cisco IOS em alta disponibilidade com Hot Standby Router Protocol

O HSRP (Hot Standby Router Protocol) é o protocolo de redundância mais tradicional em ambientes Cisco. Ele define um grupo HSRP identificado por um número (de 0 a 255) e um endereço IP virtual que será usado como gateway pelos hosts. Internamente, o grupo possui um endereço MAC virtual no formato 0000.0c07.acXX, onde XX é o número do grupo em hexadecimal. Essa característica permite que os hosts mantenham o mesmo endereço MAC do gateway mesmo quando há troca de roteador ativo, evitando a necessidade de atualização ARP.

A eleição do roteador ativo no HSRP segue critérios bem definidos. O roteador com maior prioridade configurada (o padrão é 100) vence a eleição; em caso de empate, o roteador com maior endereço IP na interface HSRP assume. O parâmetro preempt é crucial quando você deseja que um roteador específico (por exemplo, com melhor hardware ou link de saída) reassuma o papel de ativo após uma falha. Sem o preempt, o roteador que assumir primeiro permanecerá ativo mesmo que outro com prioridade maior entre no grupo posteriormente.

Para demonstrar a configuração passo a passo, montaremos um cenário típico: dois roteadores R1 e R2 conectados a um switch na VLAN 10. O gateway virtual será 192.168.10.254, e os hosts da VLAN 10 usarão esse IP como default gateway. O R1 terá prioridade maior para ser o ativo, enquanto o R2 atuará como standby. Utilizaremos HSRP versão 2, que suporta grupos até 4095 e timers milissegundos, e adicionaremos autenticação para segurança.

Nos projetos da JRT Technology Solutions, configuramos HSRP em praticamente todos os ambientes com roteadores Cisco e requisitos de alta disponibilidade, especialmente quando o balanceamento de carga não é necessário. A simplicidade e a previsibilidade do HSRP o tornam a escolha padrão para a maioria dos cenários corporativos.

1. Acesse o roteador R1 via console ou SSH e entre no modo privilegiado com enable. Em seguida, entre no modo de configuração global com configure terminal. A partir deste ponto, todos os comandos serão aplicados na configuração ativa (running-config).
2. Configure a interface GigabitEthernet0/0 que será usada para o HSRP. Atribua o endereço IP físico 192.168.10.2/24 e habilite a interface com no shutdown. É importante que os dois roteadores estejam no mesmo segmento L2 para que possam trocar mensagens de hello.
3. Defina a versão do HSRP com o comando standby version 2 dentro da interface. Isso garante compatibilidade com timers menores e grupos acima de 255.
4. Crie o grupo HSRP 1 e atribua o endereço IP virtual 192.168.10.254 com o comando standby 1 ip 192.168.10.254. Este IP será o gateway que os hosts da VLAN 10 usarão.
5. Configure a prioridade do R1 para 110 com standby 1 priority 110, garantindo que ele seja eleito o ativo em condições normais.
6. Habilite a preempção com standby 1 preempt. Isso permite que o R1 reassuma o papel de ativo quando voltar ao grupo após uma falha, mesmo que o R2 esteja ativo.
7. Configure autenticação com standby 1 authentication md5 key-string cisco123 para evitar ataques ou configurações acidentais. Use uma senha forte em ambientes reais.
8. Acompanhe a interface WAN (ou uplink) com standby 1 track GigabitEthernet0/1 20. Se a interface rastreada falhar, a prioridade do R1 será reduzida em 20 (ficando em 90), permitindo que o R2 assuma.
9. Salve a configuração com end e write memory.
10. Repita o procedimento no R2, mas com prioridade 100 (padrão, sem necessidade de configurar explicitamente) e o mesmo IP virtual. O R2 não precisará de configurar o standby version 2 se já foi definido, mas é recomendável para consistência.

Vamos ver agora os comandos completos para os dois roteadores, com comentários em linha para cada ação:

! === Configuração do R1 (Roteador Ativo) ===
enable
configure terminal
!
! Configurando a interface GigabitEthernet0/0
interface GigabitEthernet0/0
 ! Endereço IP físico do R1 no segmento VLAN 10
 ip address 192.168.10.2 255.255.255.0
 ! Habilitando HSRP versão 2
 standby version 2
 ! Criando grupo HSRP 1 com IP virtual (gateway para os hosts)
 standby 1 ip 192.168.10.254
 ! Definindo prioridade 110 para este roteador ser o ativo
 standby 1 priority 110
 ! Permitindo que este roteador reassuma o papel de ativo quando voltar
 standby 1 preempt
 ! Configurando autenticação MD5 para segurança do grupo
 standby 1 authentication md5 key-string cisco123
 ! Rastreando a interface de uplink; se cair, reduz prioridade em 20
 standby 1 track GigabitEthernet0/1 20
 ! Ativando a interface
 no shutdown
exit
!
! Configurando a interface de uplink (apenas para demonstrar o tracking)
interface GigabitEthernet0/1
 ip address 200.0.0.1 255.255.255.252
 no shutdown
exit
!
end
write memory

! === Configuração do R2 (Roteador Standby) ===
enable
configure terminal
!
interface GigabitEthernet0/0
 ip address 192.168.10.3 255.255.255.0
 standby version 2
 standby 1 ip 192.168.10.254
 ! Prioridade padrão é 100, portanto o R2 será standby
 standby 1 preempt
 standby 1 authentication md5 key-string cisco123
 ! Rastreando sua própria interface de uplink
 standby 1 track GigabitEthernet0/1 20
 no shutdown
exit
!
interface GigabitEthernet0/1
 ip address 200.0.1.1 255.255.255.252
 no shutdown
exit
!
end
write memory

Agora, vamos verificar o estado do HSRP no R1 após a configuração completa. A saída abaixo mostra o grupo HSRP 1 na interface GigabitEthernet0/0, com estado Active e todas as informações relevantes:

R1#show standby
GigabitEthernet0/0 - Group 1
  State is Active
    2 state changes, last state change 00:10:25
  Virtual IP address is 192.168.10.254
  Active virtual MAC address is 0000.0c9f.f001
    Local virtual MAC address is 0000.0c9f.f001 (v2 default)
  Hello time 3 sec, hold time 10 sec
    Next hello sent in 1.248 secs
  Preemption enabled
  Active router is local
  Standby router is 192.168.10.3, priority 100 (expires in 8.672 sec)
  Priority 110 (configured 110)
  Track object 1 interface GigabitEthernet0/1 state Up decrement 20
  Group name is "hsrp-Gi0/0-1" (default)
  Authentication MD5, key-string "cisco123"

Observe que o R1 está com estado Active e o R2 aparece como Standby com prioridade 100. O endereço MAC virtual é 0000.0c9f.f001 — note que o formato para HSRP versão 2 é 0000.0c9f.fXXX, diferente do HSRP versão 1 que usa 0000.0c07.acXX. O campo Track object mostra que a interface de uplink está Up e, se cair, decrementará 20 na prioridade, levando a prioridade do R1 para 90 e permitindo que o R2 assuma o papel de ativo.

VRRP — Cisco IOS em alta disponibilidade com Virtual Router Redundancy Protocol

O VRRP (Virtual Router Redundancy Protocol) é o padrão aberto da IETF para redundância de gateway, definido na RFC 5798. Ao contrário do HSRP, que é proprietário, o VRRP permite interoperabilidade entre equipamentos de diferentes fabricantes, tornando-o a escolha ideal em ambientes heterogêneos. O conceito é muito semelhante: um grupo VRRP (chamado de virtual router) compartilha um endereço IP virtual entre dois ou mais roteadores, e um deles é eleito o Master, enquanto os demais ficam em estado Backup.

Existem algumas diferenças importantes entre HSRP e VRRP. No VRRP, o roteador pode usar o endereço IP virtual como seu próprio endereço IP físico, o que economiza um endereço e simplifica a configuração. O endereço MAC virtual do VRRP é 0000.5e00.01XX, onde XX é o número do grupo em hexadecimal. O intervalo de grupos é de 1 a 255. A prioridade padrão no VRRP é 100, e o roteador que possui o IP virtual configurado na interface torna-se automaticamente o Master com prioridade 255, invencível por padrão.

Outra diferença relevante é o comportamento da preempção. No VRRP, a preempção é habilitada por padrão, e o roteador com maior prioridade assume o papel de Master sempre que estiver ativo. Isso elimina a necessidade de configurar explicitamente o comando preempt na maioria dos cenários, embora você possa desabilitá-la se necessário. Os timers de hello no VRRP são configurados em segundos (padrão 1 segundo) ou em milissegundos, dependendo da versão e da plataforma.

Em nossos projetos na JRT Technology Solutions, utilizamos VRRP quando há necessidade de integração com equipamentos de terceiros, como firewalls ou switches que não suportam HSRP. A natureza aberta do protocolo garante que a solução de alta disponibilidade funcione de forma consistente em qualquer combinação de fabricantes. Vamos configurar o VRRP no mesmo cenário de laboratório, substituindo o HSRP.

1. Limpe a configuração HSRP anterior nos roteadores para evitar conflitos. Entre na interface e remova os comandos standby com no standby 1 e no standby version 2.
2. No R1, configure a interface GigabitEthernet0/0 com o IP físico 192.168.10.2/24 e habilite o VRRP com o comando vrrp 1 ip 192.168.10.254. Este comando cria o grupo VRRP 1 e define o IP virtual.
3. Defina a prioridade do R1 para 120 com vrrp 1 priority 120, garantindo que ele seja eleito Master.
4. Configure o timer de hello para 2 segundos com vrrp 1 timers advertise 2. O hold time será automaticamente 3 vezes o hello, ou seja, 6 segundos.
5. Habilite a autenticação com vrrp 1 authentication md5 key-string vrrp-secret para proteger o grupo contra falsificação.
6. Rastreie a interface de uplink com o recurso de object tracking do IOS. Primeiro crie o objeto com track 1 interface GigabitEthernet0/1 line-protocol, depois associe ao VRRP com vrrp 1 track 1 decrement 30.
7. No R2, configure o IP físico 192.168.10.3/24 e o mesmo grupo VRRP com vrrp 1 ip 192.168.10.254. A prioridade padrão é 100, então o R2 será Backup.
8. Configure timers e autenticação idênticos no R2 para garantir convergência correta.
9. Salve as configurações com end e write memory.

Os comandos completos para VRRP estão abaixo, organizados por roteador e com comentários:

! === Configuração do R1 (Master VRRP) ===
enable
configure terminal
!
! Rastreamento de interface para ajuste dinâmico de prioridade
track 1 interface GigabitEthernet0/1 line-protocol
exit
!
interface GigabitEthernet0/0
 ip address 192.168.10.2 255.255.255.0
 ! Criando grupo VRRP 1 com IP virtual 192.168.10.254
 vrrp 1 ip 192.168.10.254
 ! Definindo prioridade 120 para garantir papel de Master
 vrrp 1 priority 120
 ! Configurando hello de 2 segundos (hold time = 6 segundos)
 vrrp 1 timers advertise 2
 ! Habilitando autenticação MD5 para segurança
 vrrp 1 authentication md5 key-string vrrp-secret
 ! Associando o objeto de rastreamento ao grupo VRRP 1
 vrrp 1 track 1 decrement 30
 no shutdown
exit
!
interface GigabitEthernet0/1
 ip address 200.0.0.1 255.255.255.252
 no shutdown
exit
!
end
write memory

! === Configuração do R2 (Backup VRRP) ===
enable
configure terminal
!
track 1 interface GigabitEthernet0/1 line-protocol
exit
!
interface GigabitEthernet0/0
 ip address 192.168.10.3 255.255.255.0
 vrrp 1 ip 192.168.10.254
 ! Prioridade padrão 100, suficiente para ser Backup
 vrrp 1 timers advertise 2
 vrrp 1 authentication md5 key-string vrrp-secret
 vrrp 1 track 1 decrement 30
 no shutdown
exit
!
interface GigabitEthernet0/1
 ip address 200.0.1.1 255.255.255.252
 no shutdown
exit
!
end
write memory

Após a configuração, o comando show vrrp no R1 exibe o estado do grupo VRRP. A saída esperada confirma que o R1 é o Master, com o endereço IP virtual e o rastreamento ativo:

R1#show vrrp
GigabitEthernet0/0 - Group 1
  State is Master
  Virtual IP address is 192.168.10.254
  Virtual MAC address is 0000.5e00.0101
  Advertisement interval is 2.000 sec
  Preemption enabled
  Priority is 120
  Master Router is 192.168.10.2 (local), priority is 120
  Master Advertisement interval is 2.000 sec
  Master Down interval is 6.003 sec
  Track object 1 state Up decrement 30
  Authentication MD5, key-string "vrrp-secret"

Note que o endereço MAC virtual do VRRP é 0000.5e00.0101, correspondente ao grupo 1. O intervalo de anúncio é de 2 segundos, e o Master Down interval (hold time) é de aproximadamente 6 segundos, como esperado. A prioridade do R1 é 120 e o rastreamento da interface de uplink está ativo com decremento de 30. Se a interface GigabitEthernet0/1 falhar, a prioridade cairá para 90, permitindo que o R2 assuma como Master.

GLBP — Cisco IOS em alta disponibilidade com Gateway Load Balancing Protocol

O GLBP (Gateway Load Balancing Protocol) é a evolução natural dos protocolos de redundância de gateway, pois oferece simultaneamente alta disponibilidade e balanceamento de carga. Diferentemente do HSRP e VRRP, onde apenas um roteador encaminha o tráfego por vez enquanto o outro fica ocioso, o GLBP permite que múltiplos roteadores no grupo compartilhem a carga de tráfego, aproveitando melhor os recursos da rede. Isso é especialmente valioso em ambientes com alto volume de tráfego, onde deixar um roteador standby sem uso representa desperdício de capacidade.

O GLBP funciona com um grupo que possui um endereço IP virtual compartilhado, mas em vez de um único endereço MAC virtual, ele atribui endereços MAC virtuais exclusivos para cada roteador do grupo, chamados de Active Virtual Forwarders (AVFs). Um roteador é eleito Active Virtual Gateway (AVG), responsável por responder às solicitações ARP dos hosts e distribuir os MACs virtuais de acordo com o algoritmo de balanceamento configurado (round-robin, weighted, host-dependent). Os demais roteadores atuam como Standby Virtual Gateways (SVGs), prontos para assumir o papel de AVG em caso de falha.

No GLBP, cada roteador pode ser AVF para um ou mais MACs virtuais. O tráfego dos hosts é distribuído entre os AVFs disponíveis, proporcionando balanceamento real de saída. O mecanismo de redundância monitora constantemente os membros do grupo e, se um roteador falhar, outro assume seus MACs virtuais, mantendo a continuidade do serviço. A configuração do GLBP é muito semelhante à do HSRP, com prioridade, preempção e autenticação, acrescentando o comando de balanceamento de carga.

Nos ambientes de datacenter e redes de grande porte que administramos na JRT Technology Solutions, o GLBP é frequentemente a escolha certa quando ambos os roteadores podem ser utilizados simultaneamente sem criar problemas de roteamento assimétrico. Contudo, é preciso atenção especial ao design, pois o balanceamento de carga pode interagir com firewalls e sessões de estado, exigindo análise cuidadosa do fluxo de tráfego.

1. Remova qualquer configuração anterior de HSRP ou VRRP nos roteadores para evitar conflitos. Use os comandos no standby ou no vrrp conforme necessário.
2. No R1, entre no modo de configuração global e acesse a interface GigabitEthernet0/0 com IP 192.168.10.2/24.
3. Crie o grupo GLBP 1 com o comando glbp 1 ip 192.168.10.254. Isso define o IP virtual que será o gateway dos hosts.
4. Defina a prioridade do R1 para 110 com glbp 1 priority 110 para que ele seja eleito o AVG. A preempção é habilitada por padrão no GLBP.
5. Configure o balanceamento de carga com glbp 1 load-balancing round-robin. Esse algoritmo distribui os hosts igualmente entre os AVFs, alternando o MAC virtual atribuído a cada solicitação ARP.
6. Habilite autenticação com glbp 1 authentication md5 key-string glbp-secret.
7. Rastreie a interface de uplink com glbp 1 track GigabitEthernet0/1 30 para reduzir a prioridade em caso de falha no caminho WAN.
8. Configure o R2 de forma semelhante, com IP físico 192.168.10.3/24, mesmo grupo GLBP e balanceamento round-robin. A prioridade padrão 100 o torna elegível como AVF e standby do AVG.
9. Salve as configurações com end e write memory.

Abaixo estão os comandos completos para o GLBP, com explicações em cada linha:

! === Configuração do R1 (AVG principal) ===
enable
configure terminal
!
interface GigabitEthernet0/0
 ip address 192.168.10.2 255.255.255.0
 ! Criando grupo GLBP 1 com IP virtual
 glbp 1 ip 192.168.10.254
 ! Definindo prioridade 110 para eleger este roteador como AVG
 glbp 1 priority 110
 ! Habilitando preempção explícita (recomendado para consistência)
 glbp 1 preempt
 ! Configurando balanceamento de carga round-robin
 glbp 1 load-balancing round-robin
 ! Autenticação MD5 para segurança do grupo
 glbp 1 authentication md5 key-string glbp-secret
 ! Rastreando interface de uplink; decremento de 30 na prioridade
 glbp 1 track GigabitEthernet0/1 30
 no shutdown
exit
!
interface GigabitEthernet0/1
 ip address 200.0.0.1 255.255.255.252
 no shutdown
exit
!
end
write memory

! === Configuração do R2 (Segundo AVG/AVF) ===
enable
configure terminal
!
interface GigabitEthernet0/0
 ip address 192.168.10.3 255.255.255.0
 glbp 1 ip 192.168.10.254
 ! Prioridade padrão 100 – o R2 será standby do AVG e AVF para o IP virtual
 glbp 1 preempt
 glbp 1 load-balancing round-robin
 glbp 1 authentication md5 key-string glbp-secret
 glbp 1 track GigabitEthernet0/1 30
 no shutdown
exit
!
interface GigabitEthernet0/1
 ip address 200.0.1.1 255.255.255.252
 no shutdown
exit
!
end
write memory

O comando show glbp no R1 exibe o estado do grupo, incluindo o papel do roteador, os AVFs e o balanceamento configurado. Veja a saída esperada:

R1#show glbp
GigabitEthernet0/0 - Group 1
  State is Active
    1 state change, last state change 00:05:42
  Virtual IP address is 192.168.10.254
  Hello time 3 sec, hold time 10 sec
    Next hello sent in 0.624 secs
  Redirect time 600 sec, forwarder timeout 14400 sec
  Preemption enabled
  Active is local
  Standby is 192.168.10.3, priority 100 (expires in 8.672 sec)
  Priority 110 (configured)
  Weighting 100 (configured 100), thresholds: lower 1, upper 100
  Track object 1 state Up decrement 30
  Load balancing: round-robin
  Group members:
    0000.0c9f.f001 (192.168.10.2) local
    0000.0c9f.f002 (192.168.10.3)
  There are 2 forwarders (1 active)
  Forwarder 1
    State is Active
      1 state change, last state change 00:05:32
    MAC address is 0000.0c9f.f001 (default)
    Owner ID is 0000.0c9f.f001
    Redirection enabled
    Preemption enabled
    Active is local
    Forwarder 1 has 0 members
  Forwarder 2
    State is Listen
    MAC address is 0000.0c9f.f002 (learnt)
    Owner ID is 0000.0c9f.f002
    Redirection enabled, 597.120 sec remaining (maximum 600 sec)
    Active is 192.168.10.3 (primary), weighting 100

A saída mostra o grupo GLBP 1 com estado Active no R1, que é o AVG. O R2 aparece como Standby com prioridade 100. O balanceamento configurado é round-robin, e existem dois forwarders: o Forwarder 1, associado ao MAC virtual 0000.0c9f.f001 (ativo no R1), e o Forwarder 2, associado ao MAC 0000.0c9f.f002 (ativo no R2). Quando um host envia um ARP para o IP virtual, o AVG (R1) responde com um dos dois MACs virtuais, alternando entre eles de acordo com o round-robin, balanceando a carga de tráfego entre os dois roteadores.

Configuração Detalhada — Arquivo de Configuração Completo com Rastreamento e Autenticação

Nesta seção, vamos consolidar a configuração de um cenário misto, onde os dois roteadores utilizam HSRP para redundância e object tracking para garantir que a rota ativa seja sempre a mais adequada. Utilizaremos o recurso de Enhanced Object Tracking do Cisco IOS para monitorar a disponibilidade da interface de uplink e também a rota para uma rede específica. Isso é fundamental em cenários reais, onde a simples queda da interface não é o único indicador de falha — é preciso acompanhar a rota na tabela de roteamento.

O arquivo de configuração completo abaixo representa um roteador de borda (R1) com HSRP, tracking de interface e de rota, e autenticação. Este arquivo pode ser usado como referência para implementação em seus projetos. Em nossos treinamentos na JRT Technology Solutions, incentivamos os alunos a compreenderem cada linha e adaptarem os parâmetros conforme o contexto da rede.

! === Arquivo de configuração completo do R1 (running-config) ===
version 15.1
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname R1
!
enable secret 5 $1$mERr$hx5rVt7rPNoS4wqbXKX7m0
!
no ip domain-lookup
ip domain-name jrt.local
!
! Configuração de rastreamento de objetos
! Objeto 1 rastreia a interface GigabitEthernet0/1 (uplink principal)
track 1 interface GigabitEthernet0/1 line-protocol
exit
!
! Objeto 2 rastreia a rota para a rede 200.0.0.0/24 via next-hop 200.0.0.2
track 2 ip route 200.0.0.0 255.255.255.0 reachability
exit
!
!
interface GigabitEthernet0/0
 description LAN_VLAN10
 ip address 192.168.10.2 255.255.255.0
 ! Configuração HSRP avançada
 standby version 2
 standby 1 ip 192.168.10.254
 standby 1 priority 110
 standby 1 preempt
 standby 1 authentication md5 key-string cisco123
 ! Associando o objeto 1 ao grupo HSRP 1
 standby 1 track 1 decrement 20
 ! Associando o objeto 2 ao grupo HSRP 1
 standby 1 track 2 decrement 30
 no shutdown
!
interface GigabitEthernet0/1
 description UPLINK_WAN_1
 ip address 200.0.0.1 255.255.255.252
 no shutdown
!
interface GigabitEthernet0/2
 description LAN_MANAGEMENT
 ip address 10.0.0.1 255.255.255.0
 no shutdown
!
! Configuração de roteamento estático para a rede externa
ip route 0.0.0.0 0.0.0.0 200.0.0.2
!
line con 0
 password cisco
 login
line aux 0
line vty 0 4
 password cisco
 login
 transport input all
!
end

No arquivo acima, destacam-se os comandos de tracking que vão além da simples interface rastreada. O objeto track 2 monitora a rota para a rede de destino, e sua falha decrementa a prioridade do HSRP em 30, mesmo que a interface física esteja ativa. Essa abordagem garante que a redundância de gateway responda a falhas de conectividade de camada 3, não apenas a quedas de link. A autenticação MD5 com chave compartilhada previne ataques de injeção de pacotes HSRP falsos, um vetor de ataque bem documentado em redes corporativas.

Verificando a Instalação / Testando a Configuração

Após configurar qualquer um dos protocolos de redundância, é fundamental realizar uma bateria de testes de verificação para garantir que o comportamento está conforme o esperado. Nesta seção, vamos executar os comandos de verificação essenciais e interpretar as saídas, bem como simular falhas para testar a convergência. Os procedimentos são válidos para HSRP, VRRP e GLBP, com pequenas variações nos comandos.

O primeiro passo é verificar o estado do protocolo configurado. Para HSRP, use show standby; para VRRP, show vrrp; e para GLBP, show glbp. Esses comandos exibem o estado do grupo, prioridades, IP virtual, MAC virtual e o papel de cada roteador. Em um cenário saudável, você deve ver um roteador como ativo/master/AVG e o outro como standby/backup/SVG, com as prioridades corretas.

Além do