Sistema e alta affidabilitàIntermedio

VRRP: gateway virtuale ridondante tra due router

Come configurare VRRP in RouterOS v7 per creare un gateway virtuale ridondante con un router master e un backup, garantendo continuità del servizio in caso di guasto.

VRRP (Virtual Router Redundancy Protocol) permette a due o più router di condividere un indirizzo IP virtuale. I client della rete puntano a questo IP virtuale come gateway: se il router master va offline, il backup assume automaticamente l'IP virtuale entro pochi secondi, senza alcuna modifica ai client.

Scenario: due router MikroTik per la rete LAN

Router R1 (Master): IP fisico 192.168.1.10/24, priority 200
Router R2 (Backup): IP fisico 192.168.1.20/24, priority 100 (default)
IP virtuale VRRP: 192.168.1.1/32 — questo è il gateway dei client
VRID: 49 — deve essere identico su entrambi i router

Configurazione Router Master (R1)

R1 — Router Master VRRP

# Assegna l'IP fisico all'interfaccia LAN
/ip/address add address=192.168.1.10/24 interface=ether1 comment="IP fisico R1"

# Crea l'interfaccia VRRP con priorità alta (master)
# vrid=49 deve corrispondere su tutti i router del gruppo
# interval=1s = advertisement ogni secondo
/interface/vrrp add name=vrrp-lan interface=ether1 vrid=49 priority=200 \
    interval=1s preemption-mode=yes comment="VRRP LAN master"

# Assegna l'IP virtuale all'interfaccia VRRP (netmask /32 su stessa subnet)
/ip/address add address=192.168.1.1/32 interface=vrrp-lan comment="Gateway virtuale"

# Verifica stato VRRP (deve mostrare flag "M" = master)
/interface/vrrp print detail

Configurazione Router Backup (R2)

R2 — Router Backup VRRP

# Assegna l'IP fisico all'interfaccia LAN
/ip/address add address=192.168.1.20/24 interface=ether1 comment="IP fisico R2"

# Crea l'interfaccia VRRP con priorità bassa (backup)
# STESSO vrid=49 del master; priority=100 è il default
/interface/vrrp add name=vrrp-lan interface=ether1 vrid=49 priority=100 \
    interval=1s preemption-mode=yes comment="VRRP LAN backup"

# Assegna lo STESSO IP virtuale all'interfaccia VRRP
/ip/address add address=192.168.1.1/32 interface=vrrp-lan comment="Gateway virtuale"

# Verifica stato VRRP (deve mostrare flag "B" = backup)
/interface/vrrp print detail

# Test: da un client, esegui ping 192.168.1.1 e spegni R1
# il backup dovrebbe rispondere entro 3-4 secondi

Failover basato sull'uplink WAN (tracking via script)

VRRP di base reagisce solo al guasto del router master, non alla perdita dell'uplink Internet del master. Se R1 è vivo ma ha perso la WAN, continuerebbe a fare il gateway pur non avendo uscita. La soluzione è ridurre dinamicamente la priority del master quando la sua WAN cade, lasciando il ruolo al backup. Si realizza con Netwatch o uno script schedulato.

Abbassare la priorità VRRP se la WAN cade (su R1)

# Netwatch monitora il gateway ISP; se cade, declassa la VRRP a backup
/tool/netwatch add host=8.8.8.8 interval=5s timeout=1s \
    down-script={
        /interface/vrrp set vrrp-lan priority=50
        :log warning "WAN persa: VRRP declassata, passo il testimone a R2"
    } \
    up-script={
        /interface/vrrp set vrrp-lan priority=200
        :log info "WAN ripristinata: VRRP torna master"
    }

Verifica e troubleshooting

Comandi di verifica VRRP

# Mostra flag: "RM" = Running Master, "RB" = Running Backup
/interface/vrrp print detail

# Verifica la tabella ARP (il MAC virtuale deve apparire)
/ip/arp print

# Test di failover: spegni il master e controlla il backup
# Ping continuo dal client: ping -t 192.168.1.1
# Il failover deve avvenire entro 3*interval (default: 3 secondi)

Usa la stessa versione di RouterOS su tutti i router con lo stesso VRID per evitare incompatibilità nel protocollo di advertisement. Con preemption-mode=yes (default), se R1 torna online dopo un guasto, riacquisirà automaticamente il ruolo di master grazie alla priorità più alta. Se hai Reverse Path Filtering attivo, imposta rp-filter=loose su R2 altrimenti potrebbe scartare i pacchetti VRRP. Per sicurezza in reti meno controllate, abilita authentication=ah password=... su entrambi i router. Ricorda: i due router devono condividere anche lo STESSO default gateway/uscita o le sessioni si interrompono al failover — abbina VRRP a connection tracking coerente o a un firewall identico sui due nodi.

VRRPVirtual Router Redundancy Protocolalta affidabilitàgateway ridondantemasterbackupfailovervridprioritypreemptionvrrp trackingRouterOS

Continua con

Orologio di sistema: impostare data, ora e fuso orario NTP Client: sincronizzazione automatica dell'ora NTP Server interno: distribuire l'ora alla tua rete Identity e hardening dei servizi di gestione

Configura senza fatica con l'AI

In WispOS l'agente AI genera la configurazione RouterOS dalle tue parole e un tutor ti guida passo passo.

Prova WispOS