CR16000VRRP源MAC

PC的ARP表象不会被刷新成，去往外网，目的MAC就不是虚拟MAC了，而是实际的MAC地址，在封装报文，目的MAC不就不是虚拟mac了

这个现象是设备默认标准行为，不是故障！
流量拆解
PC→外网（上行）：
PC 报文目的 MAC = VRRP 虚拟 MAC（PC ARP 解析网关 VIP 得到 VMAC），送到主 R1。
外网→PC（回程下行）：
R1 三层转发，发出报文【源 MAC = Vlan-interface200 接口真实物理 MAC】，目的 MAC=PC MAC。
原理通俗解释
VRRP虚拟 MAC（VMAC）的唯一作用：
用于接收去往虚拟网关 IP 的流量。主设备响应 ARP 请求，告诉 PC：VIP 对应的 MAC 是 VMAC，终端把上行流量发给 VMAC。
VRRP 协议没有强制要求回程转发报文使用虚拟 MAC。
三层设备转发回程流量时，二层源 MAC 默认使用出接口真实硬件 MAC，这是以太网通用转发逻辑。
VMAC 只负责 “收” 去往网关的包，不负责 “发” 回程包。
二、如果你业务强制要求：回程报文源 MAC 也使用 VRRP 虚拟 MAC
CR16000 支持这条接口命令，在 Vlan-interface200 下配置：
plaintext
interface Vlan-interface 200
vrrp vrid 1 source-mac virtual
✅ 作用：该 VRRP 组下行转发流量，统一使用虚拟 MAC 作为源 MAC。
两台设备都建议配置；切换后备机升主，行为保持一致。
三、重要限制 & 避坑点
不要混淆 vrrp method virtual-mac
vrrp method是系统视图全局命令，控制【ARP 应答时使用什么 MAC】，不能改变转发回程报文源 MAC；解决你的问题必须用接口视图 vrrp vrid X source-mac virtual。
负载均衡模式（vrrp mode load-balance）不支持 source-mac virtual，仅标准主备模式可用。
改动前评估下游二层设备 / 安全设备：
部分 IDS、准入、端口安全、MAC 学习策略，会因源 MAC 变化触发异常，先抓包测试。
故障切换验证：
主设备宕机，备机升主后发送免费 ARP（VMAC），终端流量正常切换，和源 MAC 配置无关。
四、最简总结
默认场景下行回程源 MAC 为接口物理 MAC，属于正常机制，不是 bug；
原因：VMAC 仅用于接收目的为网关的流量，协议不约束回程转发源 MAC；
需求强制统一虚拟 MAC：在 VRRP 所在三层接口配置 vrrp vrid 1 source-mac virtual；
区分命令：全局vrrp method≠接口source-mac virtual，不要配错。
完整参考配置（两台路由器 Vlanif200）
plaintext
interface Vlan-interface 200
ip address x.x.x.x 255.255.255.0
vrrp vrid 1 virtual-ip x.x.x.x
vrrp vrid 1 priority 120
vrrp vrid 1 source-mac virtual

你观察到的现象——主路由器回包使用接口实际MAC而非虚拟MAC——是H3C设备（包括CR16000）在VRRP场景下的默认标准行为，并非设备故障或配置错误。

🧐 为什么回包不用虚拟MAC？

这背后是清晰的设计分工：

• 虚拟MAC（VMAC）的核心职责是“接收”：它的作用是让网络中的终端设备（如你的PC3）能将发往网关的数据，准确地送到当前的主路由器上。当PC3发起ARP请求时，主路由器会回应虚拟MAC，之后PC3发送的所有上行流量，目的MAC都是这个虚拟MAC。

• 回包使用实际MAC是标准转发逻辑：当主路由器处理完数据，需要将回包发给PC3时，它处于三层转发模式。此时，它如同一个普通路由器，会用出接口的实际MAC地址作为报文的源MAC进行封装。这符合以太网的通用转发逻辑，即源MAC是发送该帧的设备接口的真实MAC。

简单来说：虚拟MAC负责“收”，实际MAC负责“发”。

✏️ 如何强制使用虚拟MAC回包（如确有需要）

虽然默认行为没有问题，但如果你的网络环境（如某些安全审计或ACL策略）有特殊要求，必须让回包也使用虚拟MAC，可以在主路由器的VLAN接口下配置一条命令：

配置前请注意以下几点：

• 适用范围：此命令仅对标准主备模式的VRRP生效，负载均衡模式（vrrp mode load-balance）不支持。

• 建议双主配置：为保持主备切换后行为一致，建议在主、备两台设备的接口下都配置此命令。

• 警惕副作用：修改源MAC可能会影响网络中依赖MAC地址学习的设备（如部分IDS/IPS、交换机端口安全等），变更前请务必评估。