H3C防火墙基于VRF和路由复制实现AWS DX多租户隔离配置手册

一、背景说明

在当前数据中心网络架构中：

机房内部所有 node 节点位于统一的内部网络，通过默认 VRF 访问公网。而由于 AWS 上存在多个租户，租户之间的地址可能重叠，因此防火墙使用了 VRF 隔离 BGP 连接。为了简化 node 节点的配置，并避免将它们划入多个 VRF，防火墙通过 route-replicate 功能将全局路由表中的静态路由导入到指定租户的 VRF 中，实现租户对机房 node 节点的访问，而无需更改 node 本身的网关配置。

---

二、网络拓扑图

HCL模拟器图示：

---

三、配置目标

• 为每个 AWS 租户配置一个独立 VRF，通过 BGP 与 AWS 建立邻居关系。

• 启用 route-replicate，将全局路由表中需要分配给各租户的node节点路由复制到各个VRF中。

• 内网节点统一默认网关，无需复杂配置即可让 AWS 多租户和内网节点互访。

---

四、配置步骤

步骤1：创建 VRF 实例

#
ip vpn-instance vlan103
 route-distinguisher 103:103
 vpn-target 103:103 import-extcommunity
 vpn-target 103:103 export-extcommunity