HCIE考试核心内容 第一部分 VRF相关

VRF（Virtual Routing and Rorwarding，虚拟路由转发）

1.  概念

 VRF（Virtual Routing and Forwarding，虚拟路由转发）技术通过在一台三层转发设备上创建多张路由表实现数据或业务的隔离，常用于MPLS VPN、防火墙等一些需要实现隔离的应用场景。

1.  VRP优点
   1. 隔离网络
   2. 实现MPLS VPN等功能
   3. 增加虚拟交换机
2.  通过VRF技术实现一台设备虚拟出多台设备
   1. 
   2. 
3.  VRF实现过程

VRF是对物理设备的一个逻辑划分，每个逻辑单元都被称为一个VPN实例，实例之间在路由层面是隔离的。VRF实现过程如下：

1. 1. 创建实例，并将三层接口（可以是路由器的物理接口或者子接口，也可以是VLANIF接口）绑定到实例；
   2. （可选）配置与实例绑定的路由协议或静态路由；
   3. 基于与实例绑定的接口和路由协议等建立实例路由表并基于实例路由表转发数据，实现实例间隔离。
   4. 
2.  常见应用场景
   1. 防火墙虚拟系统

虚拟系统（Virtual System）是在一台物理设备上划分出的多台相互独立的逻辑设备。虚拟系统主要具有以下特点：

资源虚拟化：每个虚拟系统都有独享的资源，包括接口、VLAN、策略和会话等。

路由虚拟化：每个虚拟系统都拥有各自的路由表，相互独立隔离。

其中路由虚拟化依靠创建VPN实例来实现。

1. 1. BGP/MPLS IP VPN

BGP/MPLS IP VPN是一种基于PE的L3VPN技术。它使用BGP在服务提供商骨干网上发布VPN路由，使用MPLS在服务提供商骨干网上转发VPN报文。

通过创建VPN实例的方式在PE上区别不同VPN的路由。

1.  VRF基本配置命令
   1. 1.创建VPN实例/进入VPN实例视图

[Huawei] ip vpn-instance vpn-instance-name

ip vpn-instance命令用来创建VPN实例，并进入VPN实例视图。缺省情况下，未配置VPN实例。

1. 1. 2.使能VPN实例的IPv4类型的路由通告和数据转发功能

[Huawei-vpn-instance-InstanceName] ipv4-family

ipv4-family命令用来使能VPN实例的IPv4地址族，并进入VPN实例IPv4地址族视图。缺省情况下，未使能VPN实例的IPv4地址族。接口不能与未使能任何地址族的VPN实例绑定。

1. 1. 3.将接口绑定到VPN实例

3.将接口绑定到VPN实例

[Huawei-GigabitEthernet0/0/0]ip binding vpn-instance vpn-instance-name

ip binding vpn-instance命令用来将PE上的接口与VPN实例绑定。缺省情况下，接口不与任何VPN实例绑定，属于根实例。配置接口与VPN实例绑定后，或取消接口与VPN实例的绑定，都会清除该接口的IP地址、三层特性和IP相关的路由协议，如果需要应重新配置。

1. 1. 4.向VPN实例的路由表中添加静态路由

4.向VPN实例的路由表中添加静态路由

[Huawei] ip route-static vpn-instance vpn-instance-name ip-address { mask | mask-length } { nexthop-address | interface-type interface-number }

1. 1. 5.创建与VPN实例绑定的动态路由协议进程（以OSPF为例）

5.创建与VPN实例绑定的动态路由协议进程（以OSPF为例）

[Huawei] ospf [ process-id | router-id router-id ] vpn-instance vpn-instance-name 

注：不同VPN实例之间的进程号不可重叠。

1. 1. 6.VPN实例维护命令

[Huawei] display ip routing-table  vpn-instance vpn-instance-name 

[Huawei] ping -vpn-instance vpn-instance-name host   

[Huawei] tracert -vpn-instance vpn-instance-name host   

注：如果执行ping时没有携带vpn-instance关键字及参数，则默认在根设备上执行ping操作，并且所产生的ICMP报文根据全局路由表进行转发。tracert操作同理。

1. 配置案例
   1. 
   2. 地址规划，比如AR1，AR2互联地址10.1.12.0/24

每台设备都有loop back口，AR1 10.1.1.1/32，AR210.1.2.2/32，PC1和PC2网段冲突

1. 1. 实验目的：实现PC1访问AR2和PC2访问AR3的流量完全隔离
   2. SW1配置：