HSRP と VRRP の違い｜FHRP の選定基準と判断の順序

はじめに

ゲートウェイの冗長化を設計する際、最初に決めるのがプロトコルの選択です。Cisco 環境であれば HSRP、マルチベンダー環境であれば VRRP、という大枠の理解は広く共有されていますが、実際の案件ではこの原則だけで判断できない場面があります。

たとえば、Cisco 機器で構成するものの将来的に他社機器の追加が想定される環境や、冗長スーパーバイザーを搭載したシャーシで無停止切り替えが要件になっている環境です。こうしたケースでは、標準規格かどうかという観点だけでなく、実装レベルの制約まで踏み込んで判断する必要があります。

結論から述べます。Cisco 機器のみで構成し、可用性要件が高い環境では HSRP が第一候補になります。VRRPv3 が SSO に対応しない点、VRRP と HSRP を併用する際にグループ数の制限がある点が主な理由です。一方で、他社機器が 1 台でも混在する構成では VRRP 以外の選択肢がありません。この 2 つの原則を出発点に、可用性要件とバージョン制約で絞り込んでいく形が実務的な判断手順になります。

本記事は選定の判断に絞った内容です。各プロトコルの設定手順は、それぞれの記事で扱っています。

FHRP とは（3 つのプロトコルの位置づけ）

FHRP（First Hop Redundancy Protocol）は、ホストにとっての最初のホップ、つまりデフォルトゲートウェイを冗長化するプロトコルの総称です。特定のプロトコル名ではなく、同じ目的を持つ複数のプロトコルをまとめて指す言葉になります。

FHRP が解決する課題

ホストのデフォルトゲートウェイは静的に設定されるのが一般的です。DHCP で配布する場合も、ホストから見れば固定された 1 つのアドレスになります。この設計はシンプルで実装を選ばない反面、そのアドレスを持つ機器が停止した時点で通信が止まります。

FHRP は、複数の機器で 1 つの仮想 IP アドレスを共有し、障害時に転送責任を引き継ぐことでこの課題に対応します。ホスト側の設定は一切変更しません。ゲートウェイ側だけで冗長性を確保できる点が、すべての FHRP に共通する設計思想です。

3 つのプロトコルの関係

主要な FHRP は次の 3 つです。

プロトコル	標準化の状況	主な特徴
HSRP	Cisco 独自（RFC 2281 は Informational）	Active / Standby の 2 役割。Cisco 実装との連携が豊富
VRRP	標準規格（RFC 5798）	Master / Backup の 2 役割。マルチベンダー構成に対応
GLBP	Cisco 独自	1 グループ内で複数機器に負荷を分散できる

HSRP と VRRP は、役割の呼称こそ異なるものの、動作の考え方はよく似ています。どちらも 1 台がパケットを転送し、残りは待機する構成です。

GLBP だけは動作が異なります。1 つのグループ内で複数の機器が同時にパケットを転送できる仕組みを持っています。

GLBP の位置づけ（本記事では概要のみ）

GLBP は、HSRP と VRRP が対応していない負荷分散の機能を持つ Cisco 独自プロトコルです。1 つのグループ内で AVG（Active Virtual Gateway）が ARP 要求に応答し、グループの各メンバーに異なる仮想 MAC アドレスを割り当てます。割り当てを受けた機器は AVF（Active Virtual Forwarder）となり、自身の仮想 MAC アドレス宛のトラフィックを転送します。

HSRP や VRRP で負荷を分散するには、グループを複数作成して VLAN ごとに Active 機を振り分ける設計が必要です。GLBP はこの手間をかけずに、単一グループで分散を実現できます。

一方で、次の理由から近年の新規構築で採用される機会は限られます。

• Cisco 独自プロトコルであり、マルチベンダー構成では使えません
• スタック構成やシャーシ仮想化（VSS、StackWise Virtual）が普及し、機器を論理的に 1 台に見せる構成で帯域を活用する設計が主流になっています
• ホスト単位で経路が分かれるため、トラブルシューティング時に「どのホストがどの機器を経由しているか」の把握に手間がかかります

本記事は HSRP と VRRP の選定を主題としているため、GLBP の詳細は扱いません。負荷分散が要件になる場合の選択肢として存在を押さえておく、という位置づけになります。

なぜ HSRP と VRRP の 2 択になるのか

実務での選定は、多くの場合この 2 つに絞られます。判断の起点となるのは、標準化の状況の違いです。

HSRP は Cisco 独自プロトコルです。RFC 2281 として文書化されていますが、カテゴリーは Informational（情報提供）であり、インターネット標準を規定するものではありません。他社機器との相互接続はできません。

VRRP は標準規格です。RFC 5798 で定義され、Cisco・Fortinet・NEC・YAMAHA など複数のメーカーが対応しています。ただし、標準規格であることと「どの機器でも同じように動く」ことは別です。監視機能や仮想 IP アドレス宛の通信の扱いなど、RFC が規定していない領域では実装差が生じます。

この構図から、次の 2 つの原則が導かれます。

• 他社機器が混在する構成: VRRP 以外の選択肢がありません
• Cisco 機器のみの構成: どちらも選べるため、実装レベルの差で判断します

前者は判断の余地がありません。設計上の検討が必要になるのは後者で、本記事の中心はここになります。次のセクションから、両プロトコルの仕様差を整理していきます。

HSRP と VRRP の違い

両プロトコルは同じ目的を持ち、動作の考え方も似ていますが、細部では設計判断に影響する差があります。とくに既定値の扱いは、両方を運用する環境で混乱を招きやすい部分です。

用語と役割の対応

まず、呼称の対応関係を整理します。

概念	HSRP	VRRP
転送を担当する機器	Active	Master
待機する機器	Standby	Backup
グループの識別子	グループ番号（v1: 0〜255、v2: 0〜4095）	VRID（1〜255）
ホストが設定するアドレス	仮想 IP アドレス	仮想 IP アドレス
状態の数	6 つ（Initial・Learn・Listen・Speak・Standby・Active）	3 つ（Initialize・Backup・Master）

3 台以上で構成した場合の扱いに違いがあります。HSRP では Standby と呼ばれるのは第 1 の予備 1 台のみで、3 台目以降は Listen 状態で待機します。VRRP では待機側はすべて Backup であり、序列を示す状態は用意されていません。

状態の数の差は、選出プロセスの設計思想の違いによるものです。HSRP は Learn・Listen・Speak という段階を経て選出に参加しますが、VRRP は Backup 状態のまま Advertisement を監視し、条件が整えば Master へ遷移します。

もう 1 点、VRRP には「IP アドレス所有者」という概念があります。仮想 IP アドレスを実インターフェースアドレスとして持つ機器を指し、priority は 255 に固定されます。HSRP にこの概念はなく、仮想 IP アドレスは常に独立したアドレスとして設定します。

通信仕様の違い

パケットの送り方には明確な差があります。

項目	HSRP	VRRP
トランスポート	UDP（ポート 1985）	IP プロトコル番号 112
マルチキャストアドレス	v1: 224.0.0.2 / v2: 224.0.0.102	224.0.0.18
TTL の扱い	1 で送出	255 で送出し、255 以外は破棄
メッセージの種類	3 種類（Hello・Coup・Resign）	1 種類（Advertisement）
仮想 MAC アドレス	v1: 0000.0C07.ACxy / v2: 0000.0C9F.Fxxx	0000.5E00.01xx
認証	v2 で MD5 に対応	VRRPv3 では廃止

TTL の扱いが対照的です。HSRP は TTL 1 で送出することで転送を防ぎ、VRRP は TTL 255 を要求して 255 以外を破棄することで経路越えを検出します。方式は逆向きですが、いずれも同一セグメント内での動作を担保する目的は共通です。

VRRP の方式には副次的な効果があります。RFC 5798 では、この TTL 検証が外部ネットワークからのパケット注入に対する保護として機能すると説明されています。VRRPv3 に認証機能がないにもかかわらず一定の安全性が保たれているのは、この規定によるものです。

メッセージの種類の差は、切り替わりの速度に影響します。HSRP には Coup（Active を奪う通知）と Resign（役割を降りる通知）があり、タイマー満了を待たずに状態が変わる経路が用意されています。VRRP は Advertisement の 1 種類ですが、priority 0 の Advertisement が Resign 相当の役割を果たします。

仮想 MAC アドレスは、いずれもグループ番号または VRID から計算で求められます。先頭のベンダー部分が異なるため、パケットキャプチャで MAC アドレスを見れば、どちらのプロトコルが動作しているかを判別できます。

認証については、VRRP に注意点があります。VRRPv2 にはパスワード認証のフィールドがありましたが、VRRPv3 では仕様から削除されています。セキュリティ要件として「冗長化プロトコルの認証」が求められる案件では、VRRPv3 を選ぶ限り認証を構成できません。HSRPv2 は MD5 認証に対応しているため、この点は HSRP を選ぶ理由になり得ます。

既定値の違い

設計上もっとも注意したい部分です。主要なパラメータの既定値が、両プロトコルで逆または異なります。

パラメータ	HSRP の既定	VRRP の既定
preempt（切り戻し）	無効	有効
priority	100	100
Hello / Advertisement 間隔	3 秒	1 秒
障害検知までの時間	10 秒（Hold Time）	約 3.6 秒（Master_Down_Interval）
priority 同値時の判定	実 IP アドレスが大きいほうを選出	実 IP アドレスが大きいほうを選出
バージョンの既定	v1	実装依存（Cisco は v2）

preempt の既定値の逆転が、もっとも事故につながりやすい差です。

HSRP では既定で無効のため、priority を高く設定した機器が復旧してもそのままでは Active に戻りません。切り戻しを行うには standby preempt の明示的な設定が必要です。詳細は関連記事『HSRP の設定手順｜priority と preempt の設計ポイント』で整理しています。

VRRP は既定で有効です。設定を省略すると自動的に切り戻る動作になります。さらに、仮想 IP アドレスを所有する機器は preempt の設定値にかかわらず常に置き換えを行うという例外規定があります。切り戻しを抑止したい要件がある場合、所有者を作らない構成にする必要があります。VRRP 側の仕様は関連記事『VRRP とは｜Master 選出と priority 設計の落とし穴』で扱っています。

障害検知までの時間にも 3 倍近い差があります。既定値のままであれば、VRRP のほうが 6 秒以上早く切り替わります。ただし、この差は要件次第でどちらにも有利に働きます。切り替わりを速くしたい環境では VRRP の既定値が適しますが、回線が不安定な環境では誤検知によるフラッピングが起きやすくなります。

VRRP の障害検知時間について補足します。ベンダーの資料では「Advertisement 間隔の 3 倍」と説明されることが多いのですが、実際には priority から算出される Skew Time が加算されます。既定値どうしの構成では 3 秒ではなく 3.6 秒前後が目安になります。

既定値の差が実務で問題になる場面

両プロトコルを扱う環境では、次のような状況が発生します。

HSRP から VRRP へ移行した環境

HSRP の運用に慣れていると「preempt は明示的に設定するもの」という前提が定着します。VRRP へ移行した際に設定を省略すると、意図しない切り戻しが自動的に発生します。回線が不安定な区間では、フラッピングによる通信断が繰り返される可能性があります。

VRRP から HSRP へ移行した環境

逆のケースでは、priority を設計どおりに設定したにもかかわらず、障害復旧後も Active が戻らないという状況になります。設計書と実態が乖離し、トラフィックの偏りや帯域設計の前提が崩れます。

両方が混在する環境

セグメントごとにプロトコルが分かれている場合、「FHRP の既定はこう」という思い込みが設計ミスにつながります。既定値はプロトコルごとに確認することをおすすめします。設計書に既定値を明記しておくと、後任者への引き継ぎでも齟齬が生じにくくなります。

Cisco 同士なら HSRP が第一候補になる理由

「Cisco 機器だけの構成でも VRRP を使っておけば、将来の機器追加に対応できる」という考え方があります。合理的に見えますが、Cisco 環境では VRRPv3 に複数の制約があり、要件によっては採用できません。ここでは公式ドキュメントで確認できた制約を整理します。

なお、以下の制約はプラットフォームと IOS のバージョンによって異なります。実際の設計では、対象機種の構成ガイドで確認することをおすすめします。

VRRPv3 は SSO に対応しない

もっとも影響が大きい制約です。Cisco の複数のプラットフォームの構成ガイドで、VRRPv3 は Stateful Switchover（SSO）に対応しないと明記されています。

参考: Cisco IP Addressing Services Configuration Guide / VRRPv3 Protocol Support
“VRRPv3 does not support Stateful Switchover (SSO)”
（VRRPv3 は Stateful Switchover に対応していません）
https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst9300/software/release/17-7/configuration_guide/ip/b_177_ip_9300_cg/vrrpv3_protocol___support.html

SSO は、冗長スーパーバイザーを搭載したシャーシで、アクティブ側が停止した際にスタンバイ側が状態情報を保持したまま処理を引き継ぐ機能です。この構成では、機器 1 台の内部で切り替えが完結するため、外部から見た通信断がほぼ発生しません。

ここに VRRPv3 を組み合わせると、スーパーバイザーの切り替え時に VRRP の状態が保持されない可能性があります。せっかく SSO で内部の無停止切り替えを実現しても、FHRP 側で切り替わりが発生すれば意味が薄れます。

冗長スーパーバイザー構成や、SSO を前提とした可用性要件がある環境では、HSRP を選ぶ理由が明確に存在します。逆に言えば、SSO を使わない構成であればこの制約は判断材料になりません。

VRRPv3 と HSRP の併用に制限がある

複数のプラットフォームの構成ガイドで、次の制限が示されています。VRRPv3 を設定する場合、VRRP と HSRP を合わせて 2 種類までしかサポートされません。

具体例として、VRRP for IPv4 と VRRP for IPv6 の両方を設定した場合、HSRP は設定できないと説明されています。

この制限が問題になるのは、段階的な移行を計画している環境です。

状況	影響
IPv4 は HSRP、IPv6 は VRRPv3 で運用	2 種類のため設定可能
IPv4 と IPv6 の両方を VRRPv3 化	HSRP を併存できず、一括移行が必要
既存 HSRP を残しつつ VRRP を段階導入	組み合わせによっては構成できない

「まず一部のセグメントから VRRP に移行し、残りは HSRP のまま」という段階的な進め方が取れない場合があります。移行計画を立てる際は、この制限を前提に検討する必要があります。

大規模構成ではさらに制約が加わります。VRRPv3 グループを 510 まで拡張する設定を有効にした場合、HSRP はサポートされず、IPv6 VRRP も使用できないと記載されています。加えて、既存の VRRP または HSRP グループが存在する状態では、この拡張設定の有効化・無効化ができないとされています。

VRRPv3 は認証に対応しない

Cisco の構成ガイドでも、VRRPv3 プロトコルは認証をサポートしないと明記されています。RFC 5798 で認証フィールドが廃止された経緯を反映したものです。

HSRPv2 は MD5 認証に対応しているため、セキュリティ要件として冗長化プロトコルの認証が求められる案件では、HSRP が選択肢になります。VRRP を選ぶ場合は、L2 側のポートセキュリティやフィルタリングで代替する設計が必要になります。

VRRPv3 を使うには前提となる設定がある

Cisco IOS で VRRPv3 の構文を使用するには、グローバル設定モードで fhrp version vrrp v3 を投入する必要があります。この 1 行を投入しない状態では VRRPv2 の構文で動作します。

他社機器と VRRPv3 で合わせる要件がある場合、この投入漏れが接続不可の原因になります。設定手順書を作成する際は、インターフェース設定より前の工程として明記しておくと確実です。

グループ数にも上限があります。VRRPv3 でサポートされるグループの最大数は 255 で、これは IPv4 と IPv6 の両方を含む数と記載されています。

判断のまとめ

Cisco 機器のみで構成する場合、次の観点で判断します。

要件	推奨
冗長スーパーバイザー構成で SSO を使う	HSRP
冗長化プロトコルの認証が必要	HSRP（v2 の MD5 認証）
既存 HSRP を残して段階的に移行したい	併用制限を確認したうえで判断
IPv6 環境で標準規格に揃えたい	VRRPv3
将来的に他社機器の追加が確定している	VRRPv3

上記の制約に該当しなければ、どちらを選んでも実務上の差は小さくなります。その場合は、運用チームの習熟度や既存構成との一貫性を基準に決めるのが現実的です。

設定手順は関連記事『HSRP の設定手順｜priority と preempt の設計ポイント』で扱っています。

VRRP を選ぶべき場面

VRRP が適するのは、標準規格であることが要件に直結する場面です。

他社機器が混在する構成

もっとも明確なケースです。Cisco 以外の機器が 1 台でも含まれる場合、HSRP は使用できません。

実務でよくある組み合わせは次のとおりです。

• 上位ルーターは Cisco、ファイアウォールは FortiGate や Palo Alto
• 拠点ルーターは NEC IX や YAMAHA RTX、データセンター側は Cisco
• 既存機器はメーカー A、増設分はコスト面からメーカー B

こうした構成では VRRP を選ぶことになりますが、標準規格であることと「どの機器でも同じように動く」ことは別という点に注意が必要です。仮想 IP アドレス宛の通信の扱いや、上位回線の監視機能は RFC が規定していない領域であり、実装が分かれます。

たとえば、上位回線の障害を検知する機能は、Cisco が priority 減算型、FortiGate が priority 低下通知型、YAMAHA RTX が VRRP 停止型と、方式そのものが異なります。混在構成では、両側の挙動を個別に確認したうえで設計する必要があります。実装差の詳細は関連記事『VRRP とは｜Master 選出と priority 設計の落とし穴』で整理しています。

機器更改の移行期間

既存機器を稼働させたまま新機器を追加し、段階的にゲートウェイを切り替える場面です。メーカーが変わる更改では、移行期間中は必然的にマルチベンダー構成になります。

この用途では、移行完了後にプロトコルを変更するかどうかも検討事項になります。すべて同一メーカーに揃った時点で HSRP へ移行する選択肢もありますが、切り替え作業には通信断が伴います。移行後もそのまま VRRP を継続する判断が一般的です。

FortiGate を含む構成での具体的な設定は、関連記事『FortiGate VRRP の設定手順』で扱っています。HA（FGCP）との使い分けにも触れているため、ファイアウォール側の冗長化方式を検討する際の参考になります。

特定ベンダーへの依存を避けたい方針

技術的な必然性ではなく、調達方針として標準規格を優先するケースもあります。将来のリプレース時に選択肢を狭めない、という考え方です。

この場合、現時点で Cisco 環境であっても VRRP を選ぶ判断はあり得ます。ただし、前述の SSO 非対応や併用制限が要件に抵触しないかを確認しておく必要があります。将来の柔軟性のために現在の可用性を下げる形になっていないか、という観点での検証をおすすめします。

VRRP を選ぶ際に確認したい項目

VRRP の採用を決めた場合、設計前に次を確認しておくと手戻りを防げます。

• 対向機器のバージョン: VRRPv2 と VRRPv3 は相互接続できません。両側で揃える必要があります
• 既定バージョン: 機器によって既定が異なります。明示的な指定を推奨します
• priority の設定範囲: Cisco は 1〜254、FortiGate は 1〜255 と実装差があります
• 監視機能の方式: priority 減算型か VRRP 停止型かで、設計時の計算が変わります
• 仮想 IP アドレスへの疎通確認: 実装によっては応答しません。監視設計に影響します

選定の判断順序

比較表を眺めるだけでは結論に到達しにくいため、絞り込みの順序として整理します。上から順に判定していくと、多くのケースで 2 段階目までに結論が出ます。

判断順序のまとめ

段階	判定項目	結論に至る条件
1	機器構成	他社機器が混在 → VRRP
2	可用性要件	SSO 利用または認証要件あり → HSRP
3	バージョン制約	IPv6 標準化または併用制限 → 個別判断
4	運用体制	一貫性・習熟度で決定

なお、FHRP の設計では PBR（Policy Based Routing）との組み合わせが検討課題になる場面があります。next-hop に仮想 IP アドレスを指定する構成や、トラッキングとの連携は、HSRP と VRRP に共通する設計論です。

まとめ

FHRP の選定は「Cisco なら HSRP、マルチベンダーなら VRRP」という原則から出発しますが、実際の判断では VRRPv3 側の制約が効いてきます。SSO 非対応と認証非対応は、可用性要件やセキュリティ要件がある環境では決定的な差になります。機器構成から順に絞り込む手順を持っておくと、案件ごとの判断がぶれにくくなります。

• FHRP は HSRP・VRRP・GLBP を含むゲートウェイ冗長化の総称
• 他社機器が 1 台でも混在する構成では VRRP 一択
• preempt の既定値は HSRP が無効、VRRP が有効で逆転している
• Cisco の VRRPv3 は SSO と認証のいずれにも対応しない
• VRRPv3 設定時は VRRP と HSRP を合わせて 2 種類までの制限あり
• VRRPv3 の利用には fhrp version vrrp v3 の投入が前提
• 制約に該当しない場合は運用体制を基準に選ぶ判断で差し支えない

以上、最後までお読みいただきありがとうございました。