GPON环境下家庭路由器收到过量VRRP报文致CPU负载过高的技术咨询

我完全理解你遇到的困扰——ISP提供的GPON套装（路由器+ONT）每秒都在收到来自ISP侧两个不同VLAN（语音和IPTV）的VRRP广播报文，不仅1分钟就填满防火墙日志，还把CPU拉到100%负载，关键是你还没法修改防火墙规则，只能调整端口开关，这确实闹心。结合你抓包和日志的信息，我来逐一解答你的疑问：

一、VRRP报文为什么会到你的家庭CPE？这正常吗？ #

VRRP（虚拟路由冗余协议）是ISP用来做网关冗余的技术：他们的语音和IPTV业务网关是成对部署的，通过每秒发送VRRP通告报文（目标组播地址224.0.0.18）来确认主备状态，确保业务不会因为单网关故障中断。

理论上来说，这些VRRP报文完全不应该穿透到家庭用户侧：正常的ISP网络配置里，上游的OLT（光线路终端）或者BRAS（宽带远程接入服务器）应该把这类组播/广播报文限制在ISP的核心/接入层网络内，不会透传给用户的ONT和CPE。所以你能抓到这些报文，大概率是ISP的网络配置有疏漏，属于非预期的异常情况。

你抓到的典型VRRP报文如下：

208 559.061863  10.240.143.252  224.0.0.18  VRRP    90  Announcement (v2)
212 559.258679  10.93.255.252   224.0.0.18  VRRP    64  Announcement (v2)

二、这些VRRP报文和VOIP的IP分配有关吗？ #

没有直接关系。VRRP是给ISP自己的语音业务网关做冗余备份的，确保你的VOIP终端发出的流量能一直找到可用的上游网关；而你的VOIP设备获取IP地址，通常是通过DHCP协议完成的，和VRRP的工作机制完全独立。

三、为什么看似少量的报文会把CPE CPU拉满？ #

你提到每秒只有2个被拦截的报文，看似不多，但问题出在防火墙的日志记录行为：每拦截一个报文，CPE就要完成「识别报文特征→匹配默认拦截规则→生成日志条目→写入日志文件」这一系列操作，而这些操作对于性能较弱的ISP定制CPE来说是CPU密集型的。如果每秒重复2次、24小时不间断，再加上这类设备本身硬件配置普遍不高，很容易就把CPU资源耗尽了。

你的防火墙日志也验证了这一点：

Blocked - Default policy | PT 112 10.240.143.252->224.0.0.18 on stb_wan
Blocked - Default policy | PT 112 10.93.255.252->224.0.0.18 on voice_wan

四、临时缓解和长期解决的建议 #

因为你没法修改CPE的防火墙规则，只能从这几个方向入手：

• 优先联系ISP技术支持：明确告知他们你的CPE收到了来自语音/IPTV VLAN的VRRP报文，导致CPU过载和日志溢出，要求他们排查上游设备的组播/广播过滤配置——这是最根本的解决办法；
• 临时关闭防火墙日志：如果ISP暂时没法处理，看看CPE的管理界面有没有关闭防火墙日志的选项（虽然会失去日志排查能力，但能立刻降低CPU负载）；
• 检查固件更新：确认CPE是否有官方固件更新，有时候ISP会通过固件更新修复这类性能问题。

备注：内容来源于stack exchange，提问作者flyrelay