Cisco ❀ VRF（虚拟路由转发表）

Posted 2022-08-02 无糖可乐没有灵魂

VRF-（Virtual Routing Forwarding）虚拟路由转发表

VPN虚拟路由转发表，也称VPN-instance（VPN实例），是PE为直接相连的site建立并维护的一个专门实体

每个site在PE上都有自己的VPN-instance，每个VPN-instance包含到一个或多个与该PE直接相连的CE的路由和转发表，另外如果要实现同一VPN各个Site间的互通，该VPN-instance还就应该包含连接在其他PE上的发出该VPN的Site的路由信息。

一、VRF的介绍

MPLS VPN网络主要由CE、PE和P等3部分组成：

1. CE(Customer Edge Router，用户网络边缘路由器）设备直接与服务提供商网络（图1中的MPLS骨干网络）相连，它“感知”不到VPN的存在；
2. PE(Provider Edge Router，骨干网边缘路由器）设备与用户的CE直接相连，负责VPN业务接入，处理VPN-IPv4路由，是MPLS三层VPN的主要实现者；
3. P(Provider Router，骨干网核心路由器）负责快速转发数据，不与CE直接相连。在整个MPLS VPN中，P、PE设备需要支持MPLS的基本功能，CE设备不必支持MPLS。

PE是MPLS VPN网络的关键设备，根据PE路由器是否参与客户的路由,MPLS VPN分成Layer3 MPLS VPN和Layer2 MPLS VPN。
其中Layer3 MPLS VPN遵循RFC2547bis标准，使用MBGP在PE路由器之间分发路由信息，使用MPLS技术在VPN站点之间传送数据，因而又称为 BGP/MPLS VPN。

本文主要阐述的是Layer3 MPLS VPN。

在MPLS VPN网络中，对VPN的所有处理都发生在PE路由器上，为此，PE路由器上起用了VPNv4地址族，引入了RD(Route Distinguisher）和RT(Route Target）等属性。

1. RD具有全局唯一性，通过将8byte的RD作为IPv4地址前缀的扩展，使不唯一的IPv4地址转化为唯一的VPNv4地址。VPNv4地址对客户端设备来说是不可见的，它只用于骨干网络上路由信息的分发。PE对等体之间需要发布基于VPNv4地址族的路由，这通常是通过 MBGP实现的。正常的BGP4能只传递IPv4的路由，MP-BGP在BGP的基础上定义了新的属性。MP-iBGP在邻居间传递VPN用户路由时会将 IPv4地址打上RD前缀，这样VPN用户传来的IPv4路由就转变为VPNv4路由，从而保证VPN用户的路由到了对端的PE上以后，即使存在地址空间重叠，对端PE也能够区分开分属不同VPN的用户路由。
2. RT使用了BGP中扩展团体属性，用于路由信息的分发，具有全局唯一性，同一个RT只能被一个 VPN使用，它分成Import RT和Export RT，分别用于路由信息的导入和导出策略。在PE路由器上针对每个site都创建了一个虚拟路由转发表VRF(VPN Routing & Forwarding），VRF为每个site维护逻辑上分离的路由表，每个VRF都有Import RT和Export RT属性。当PE从VRF表中导出VPN路由时，要用Export RT对VPN路由进行标记；当PE收到VPNv4路由信息时，只有所带RT标记与VRF表中任意一个Import RT相符的路由才会被导入到VRF表中，而不是全网所有VPN的路由，从而形成不同的VPN，实现VPN的互访与隔离。通过对Import RT和Export RT的合理配置，运营商可以构建不同拓扑类型的VPN，如重叠式VPN和Hub-and-spoke VPN。

整个MPLS VPN体系结构可以分成控制面和数据面
控制面定义了LSP的建立和VPN路由信息的分发过程，
数据面则定义了VPN数据的转发过程。

1. 在控制层面，P路由器并不参与VPN路由信息的交互，客户路由器是通过CE和PE路由器之间、PE路由器之间的路由交互知道属于某个VPN的网络拓扑信息。CE-PE路由器之间通过采用静态/默认路由或采用IGP(RIPv2、OSPF）等动态路由协议。PE-PE之间通过采用MP-iBGP进行路由信息的交互，PE路由器通过维持iBGP网状连接或使用路由反射器来确保路由信息分发给所有的PE路由器。除了路由协议外，在控制层面工作的还有 LDP，它在整个MPLS网络中进行标签的分发，形成数据转发的逻辑通道LSP。

在数据转发层面，MPLS VPN网络中传输的VPN业务数据采用外标签（又称隧道标签）和内标签（又称VPN标签）两层标签栈结构。当一个VPN业务分组由CE路由器发给入口PE 路由器后，PE路由器查找该子接口并转发VPN业务数据。

RD：区分VRF给进入VRF路一个X:X RD的标识，在一个路由器有效
RT：router-target分为import RT与export RT区分在不同路由器上的VRF路由，import觉得接收那些VRF RT标识的路由，export决定发出那些VRF RT标识的路由

RD与RT的export RT值都是传递的
RT入方向可以存在多个值，可以接收多个VRF的路由
RT出方向只能存在一个值

MPLS标签分配范围：MPLS label range 100-199

查看双标签：

show ip cef vrf x y.y.y.y/24
（带V标识该路由由VPNV4传递）

Show ip cef 
查看CEF表
Show ip bgp vpnv4 all 
查看VPNV4所有路由
show mpls forwarding-table 
查看CEF的标记

二、VRF解决的问题

1. 实现类似专用PE的功能，用路由隔离不同的vpn用户。

2. 解决地址重叠的问题
   即同时支持使用公有地址的客户端设备和私有地址的客户端设备，或者多个VPN使用同一个地址空间；
   也可以支持创建重叠VPN，所谓重叠VPN是指同一个站点同时属于多个VPN的情况。

三、为何引入RT与RD
1. 引入RT的概念
在PE 中，存在全局路由表、vrf 等，从全局路由表选择路由到vrf 称为export导出；从vrf 中选择路由到全局路由表称为import。RT 用于路由信息的分发，它分成Import RT和Export RT，分别用于路由信息的导入、导出策略。当从全局路由表中导出路由到vrf 时，要用Export RT对VPN路由进行标记；在往全局路由导入VPNv4 路由时，只有所带RT 标记与VRF 表中任意一个Import RT相符的路由才会被导入到全局路由表中。RT使得PE路由器只包含和其直接相连的VPN的路由，而不是全网所有ipvpnv4 的路由，从而节省了PE路由器的资 源，提高了网络拓展性。在一个VRF中，在发布路由时使用RT 的export 规则。直接发送给其他的PE设备。在接收端的PE上，接收所有的路由，并根据每个VRF 配置的RT 的import 规则进行检查，如果与路由中的RT属性match，则将该路由加入到相应的VRF中。

Export Target: 我这个VRF 发出的路由打上什么标记；
Import Target：我这个VRF 接受什么标记的路由。

2. 引入RD的概念
ISP 网络需要把来自CE 用户的路由，通过公用网络传递到用户的其他CE 路由器。但是来自不同用户的路由可能相同（重叠）。假设A 用户有个路由条目是10.180.0.0/16，B 用户有个路由也是10.180.0.0/16。这样在ISP 内部将不能区分10.180.0.0/16 到底是那个用户的。为了解决这个问题映入RD （64bit）概念，将ipv4 地址扩展为ipvpn4 地址（RD:ipv4）， 在ISP 内部传播路由时为每个来自CE 的路由加一个区别标识，这样对端ISP，PE收到不同vrf的相同路由，就能准确区分。假设A 用户的RD 是65001:1,B 用户的RD为65002：1， 这样A 的10.180.0.0/16 就扩充为65001:1:10.180.0.0/16,B 扩充为65002：1：10.180.0.0/16 ，这种扩充后的路由成为ipvpn4 route。只要RD 全局唯一， 将不唯一的IPv4地址转化为唯一的IPVPNv4 地址，但是IPVPNv4 地址对客户端设备来说是不可见的。

创作者：Eric· Charles