Bilgi Güvenliği Forensic Malware Analysis: VRRP

VRRP (Virtual Router Redundancy Protocol) , IEEE standardında bir yönlendirici yedekliliği protokolüdür. VRRP, HSRP (Hot Standby Router Protocol)’ de olduğu gibi birden çok yönlendirici (router)'nin tek bir sanal yönlendirici (virtual router) gibi davranmasına imkan sağlar. Sanal yönlendirici, bir yönlendirici grubunu temsil eder ve VRRP grubu ya da sanal yönlendirici olarak adlandırılır. VRRP’de seçilen bir yönlendirici sanal IP adresine gelen istekleri işler. Bu yönlendiriciye ana yönlendirici (master router) denir. VRRP grubunda bir tane ana yönlendirici ve bir veya birden fazla yedek yönlendirici (backup router) bulunur. Yerel ağ cihazları varsayılan ağ geçidi olarak sanal yönlendirici grubunun IP adresini kullanır. VRRP'yi bir diğer yedeklilik protokolü olan HSRP'den ayıran başlıca özellikleri şunlardır:

o HSRP Cisco’ya özel bir protokolken VRRP IEEE standartında açık bir protokoldür.

o HSRP’deki aktif yönlendirici (active router) VRRP’de ana yönlendirici olarak adlandırılır.

o VRRP’de yönlendiricilere sanal yönlendirici grubunun IP adresi verilebilir. Sanal yönlendirici grubunun IP adresi verilen yönlendirici ana yönlendirici olur.

o HSRP’de sadece bir adet yedek yönlendirici bulunurken VRRP’de birden fazla yedek yönlendirici bulunabilir.

VRRP'nin özellikleri aşağıdaki gibi sıralanabilir.

1. Yedeklilik (Redundancy): VRRP birden çok yönlendiriciyi varsayılan ağ geçidi (default gateway) olarak yapılandırmaya izin verir; bu da single point of failure olasılığını düşürür.

2. Yük paylaşımı (Load sharing): VRRP LAN cihazlarının trafiğinin birden fazla yönlendirici üzerinden iletilmesine imkan sağlar. Veri trafiğinin birden fazla yönlendirici tarafından paylaşılması yönlendirici üzerindeki yükü azaltır.

3. Birden çok sanal yönlendirici desteği (Multiple virtual routers support): VRRP, yönlendiricinin fiziksel portunda 255 adete kadar sanal yönlendirici (VRRP grubu)'yi destekler. Birden çok yönlendirici desteği alan bir LAN topolijisinde yedeklilik ve yük paylaşımı sağlanmış olur.

4. Çoklu IP adresi (Multiple IP adresses): Sanal yönlendiriciye ikincil IP (secondary IP) de olmak üzere birden fazla IP adresi atanabilir. Bu şekilde eğer birEthernet bağlantı noktasından birden fazla alt ağ (subnet) yapılandırılırsa her alt ağ için ayrı bir VRRP yapılandırması yapılabilir.

Preemption: Bu özellik aktif hale getirilirse VRRP’deki ana yönlendiricinin düşmesi durumunda önceliğine göre ana yönlendirici olan yedek yönlendirici, düşen yönlendiricinin tekrardan çalışır duruma gelmesinden sonra yeniden yedek yönlendirici olur.

Şimdi de aşağıda verilen örnek bir topolojide temel VRRP komutlarını uygulayalım.

Yukarıdaki topolojide 3 yönlendiriciden oluşturulmuş bir sanal yönlendirici grubu bulunmaktadır. Öncelik numarası (priority number) en yüksek olan R1 ana yönlendirici olarak gözükmektedir. Bunun yanında R1 yönlendiricisine sanal yönlendirici grubunun IP adresi olan 10.0.0.1 verilmiştir. VRRP'nin özelliklerinden biri de bir yönlendiriciye hangi öncelik numarası verilirse verilsin eğer yönlendiricinin IP adresi sanal yönlendirici grubunun IP adresi ise o yönlendiricinin öncelik numarası otomatik olarak 255 olur ve ana yönlendirici olur. Bu durumda R1'e diğerlerinden daha düşük öncelik numarası verilse bile R1 ana yönlendirici olacaktır. Öncelik numarası varsayılan olarak 100’dür. Bir yönlendiriciye elle 1-254 arası öncelik numarası verilebilir. Topolojideki yönlendiriciler aşağıdaki gibi yapılandırılır.

R1 için:
interface Ethernet1/0
ip address 10.0.0.1 255.255.255.0
vrrp 10 ip 10.0.0.1
vrrp 10 priority 250

R2 için:
interface Ethernet1/0
ip address 10.0.0.2 255.255.255.0
vrrp 10 ip 10.0.0.1
vrrp 10 priority 150

R3 için:
interface Ethernet1/0
ip address 10.0.0.3 255.255.255.0
vrrp 10 ip 10.0.0.1
vrrp 10 priority 200

Yönlendiriciler üzerinde yapılandırmalar yapıldıktan sonra “show vrrp” komutuyla VRRP durumu ayrıntılı olarak öğrenilebilir.

R1'e bakıldığında öncelik numarası 250 olarak belirlenmesine rağmen sanal yönlendirici grubunun IP adresi verildiği için öncelik numarasının 255 olarak sabitlendiği görülmektedir. Yukarıdaki topolojide eğer ana yönlendirci olan R1 düşerse öncelik numarası daha yüksek olan R3 ana yönlendirici görevini devralır.