HSRP (Hot Standby Router Protocol)

Was ist das HSRP (Hot Standby Router Protocol)?

Das Hot Standby Router Protocol (HSRP) ist ein von Cisco entwickeltes First-Hop-Redundanzprotokoll (FHRP) für IPv4/IPv6. Es sorgt dafür, dass Endgeräte in einem Subnetz stets ein erreichbares Standard-Gateway haben, auch wenn ein Router oder ein Uplink ausfällt. HSRP stellt dazu ein virtuelles Gateway mit gemeinsamer IP-Adresse und MAC-Adresse bereit. Dieses wird von einem aktiven Router geführt und von mindestens einem Standby-Router abgesichert.

Aufbau und Rollen

Ein HSRP-Verbund (Gruppe) besteht aus mehreren Routern auf demselben Layer-3-Segment oder VLAN. Alle Mitglieder konfigurieren:

• Virtuelle IP-Adresse (VIP), die als Standard-Gateway auf den Endgeräten eingetragen wird.
• Virtuelle MAC-Adresse, die im lokalen Netz angekündigt wird.
• Gruppen-ID und optionale Authentifizierung.

Innerhalb der Gruppe übernehmen die Router feste Rollen:

• Active Router: Leitet den gesamten Datenverkehr an das virtuelle Gateway weiter.
• Standby-Router: Hält sich synchron und übernimmt bei Ausfall des Active Routers.
• Listen-/Speak-Teilnehmer: Weitere Router, die Statusmeldungen austauschen und bei Bedarf in höhere Rollen wechseln.

Ablauf und Zustände

Die HSRP-Router tauschen in regelmäßigen Abständen Statusmeldungen über Multicast/UDP aus. Auf dieser Basis durchlaufen sie definierte Zustände (unter anderem Init, Listen, Speak, Standby und Active). Fällt der Active-Router aus oder werden Zeitlimits verfehlt, übernimmt nahtlos der Standby-Router: Er sendet ARP-Updates/Neighbor-Advertisements für die virtuelle Adresse und beantwortet ab dann die Gateway-Anfragen. Endgeräte müssen ihre Standard-Gateway-Konfiguration dafür nicht ändern.

Priorität, Preemption und Tracking

Die Auswahl des Active Routers erfolgt über eine Priorität (numerischer Wert). Bei Gleichstand entscheidet die höchste IP-Adresse. Typische Steuerungsoptionen:

• Preemption: Ein Router mit höherer Priorität darf nach seiner Rückkehr wieder aktiv werden (wichtig nach Wartungen).
• Interface/Object Tracking: Sinkt die Verfügbarkeit bestimmter Leitungen oder Next Hops, reduziert der Router seine Priorität. So kann der Traffic gezielt auf einen Pfad mit besserer Erreichbarkeit umgeschaltet werden.
• Mehrere Gruppen (MHSRP): Durch mehrere HSRP-Gruppen pro VLAN lassen sich Lastverteilung auf Gateways (Active/Active je VLAN) und getrennte Prioritäten realisieren.

HSRP-Versionen und Protokolldetails

Es gibt zwei Hauptversionen von HSRP:

• HSRPv1 ist die ursprüngliche Variante für IPv4 und unterstützt eine begrenzte Anzahl an Gruppen pro Interface.
• HSRPv2 erweitert die Gruppenzahl und die Funktionskonsistenz, unterstützt IPv6 und modernere Authentifizierungsmechanismen. In der Praxis ist HSRPv2 die empfohlene Wahl für neue Installationen.

Weitere Betriebsaspekte:

• Die Timer für Erkennung und Umschaltung sind anpassbar, um schnellere oder konservativere Failover-Zeiten zu erzielen.
• Authentifizierung schützt die Gruppenzugehörigkeit. Das einfache Klartext-Passwort ist weit verbreitet, sicherer ist jedoch die MD5-basierte Authentifizierung. In produktiven Netzen sollte auf starke Verfahren geachtet werden.
• HSRP arbeitet transparent für die Endgeräte: Sie kommunizieren nur mit der virtuellen Adresse; Routing-Protokolle hinter den Gateways (etwa OSPF, EIGRP, BGP) bleiben davon entkoppelt.

HSRP vs. VRRP und GLBP

HSRP ist eine proprietäre Cisco-Lösung, die aber auch in Multivendor-Netzen funktioniert, solange die HSRP-Gruppe ausschließlich auf Cisco-Geräten läuft. Alternativen:

• VRRP (Virtual Router Redundancy Protocol): Ein offener Standard mit sehr ähnlichem Funktionsumfang. In heterogenen Umgebungen ist VRRP oft die erste Wahl.
• GLBP (Gateway Load Balancing Protocol): Ebenfalls Cisco-spezifisch, verteilt Endgeräte aktiv auf mehrere Gateways (echte Lastverteilung am ersten Hop), dafür aber komplexer.

Wesentliche Entscheidungsfaktoren:

• Vendor-Strategie (nur Cisco versus Multivendor),
• Bedarf an aktiver Lastverteilung und vorhandenes Betriebs-Know-how.
• Vorhandenes Betriebs-Know-how und Automatisierung sind ebenfalls entscheidende Faktoren.

Einsatzszenarien und Best Practices

Typische Einsatzfelder sind Campussnetzwerke und Rechenzentren, in denen Endgeräte ein redundantes Standard-Gateway benötigen – etwa pro VLAN in einer Core/Distribution-Topologie. Empfehlungen für den Betrieb:

• Klar definierte Prioritäten und Preemption aktivieren: So kann nach Reparaturen die präferierte Rolle wiederhergestellt werden.
• Tracking nutzen: So kann bei Uplink- oder Routing-Fehlern schneller auf intakte Pfade gewechselt werden.
• Symmetrische Planung: Für mehrere VLANs die Active-Rolle zwischen den beiden Gateway-Routern aufteilen (VLAN-weise Active/Standby gegenläufig), um die Last zu balancieren.
• Timer nur vorsichtig senken: Sehr kurze Intervalle führen zu höherer Control-Plane-Last und können Instabilitäten bei CPU-Spitzen begünstigen. Pairen Sie schnelle Timer mit belastbaren Plattformen und sauberen QoS-Regeln.
• Protokoll-Mix sauber entkoppeln: HSRP regelt nur das erste Hop-Gateway. Die dahinterliegenden Routing-Protokolle sollten unabhängig konvergieren können, um Blackholing zu vermeiden.
• Dokumentation und Monitoring: Gruppen-IDs, VIPs, Rollen und Track-Objekte müssen exakt dokumentieren. Zustände und Timer müssen über Netflow/Telemetrie, SNMP oder die Controller-Plattform überwacht werden.

Grenzen und Sicherheit

HSRP erhöht zwar die Verfügbarkeit des Gateways, ersetzt jedoch keine Ende-zu-Ende-Redundanz. Bekannte Grenzen:

• Single VIP pro Gruppe: Das virtuelle Gateway stellt aus Sicht der Endgeräte einen logischen Single Point für die Default-Route dar (Failover ist vorgesehen, aber es findet keine echte Lastverteilung wie bei GLBP statt).
• Protokollschutz: Ohne Authentifizierung könnten fremde Geräte HSRP-Pakete einschleusen und die Rolle übernehmen (Rogue Active). Aktivieren Sie deshalb Authentifizierung, segmentieren Sie Broadcast-Domains und nutzen Sie Port-Security/ACLs.
• Fehlerdomänen: Beide Gateways sollten nicht am selben Stromkreis oder derselben Trunk-Leitung hängen. Redundanz muss physisch wie logisch geplant werden.
• IPv6-Spezifika: Für reine IPv6-VLANs HSRPv2 einsetzen und Neighbor-Discovery-Interaktionen berücksichtigen.

Fazit

HSRP ist ein bewährtes FHRP und stellt eine einfache und robuste Methode bereit, um Standard-Gateways hochverfügbar zu machen. Mit Prioritäten, Preemption und Tracking lässt sich die aktive Rolle steuerbar halten und auf Netzereignisse reagieren. In reinen Cisco-Umgebungen ist HSRP oft der pragmatischste Ansatz, in Multivendor-Netzen bietet VRRP die interoperable Alternative. Entscheidend sind eine saubere Planung der Gruppen je VLAN, disziplinierte Dokumentation sowie Monitoring und Authentifizierung – dann liefert HSRP zuverlässig das ausfallsichere erste Gateway im Unternehmensnetz.