《Cisco防火墙》一6.2 从数据平面说起：VLAN与VRF

6.2 从数据平面说起：VLAN与VRF

Cisco防火墙
起初，有了网络。网络空虚混沌，渊面因冲突而黑暗。网络造物主的灵运行在无所不包的广播域（broadcast domain）上。

网络造物主说：“要有路由器”，于是数据帧和数据包便有了希望。网络造物主看路由器是好的，就把广播域分开了，每一部分皆称为子网（subnet）。

网络造物主说：“每个子网内要能扩展，以控制冲突域的边界。”事就这样成了，网络造物主称扩展装置为LAN交换机1。

好了，这就是对网络之初的概述。所有这些造物后来都被证明是正确而伟大的，但这些显然都有改进的空间。主要是由于人们需要在（2层或3层）网络中定义更小型的环境，同时保留其上级网络的特性。

6.2.1 虚拟LAN

虽然使用LAN交换机可以消除网络中出现冲突（collision）的情况，但这样会使网络中产生一个广播域。随着网络中主机数量的增加，以及每台计算机上所运行应用的种类的扩展，人们显然需要在物理LAN交换机上通过某项技术来将广播限制在一个可以定义的区域中。这种方案催生了虚拟局域网（VLAN）技术，而这也是网络领域最重要的一项虚拟化技术。

划分VLAN的经典方式是以端口为单位进行划分，也就是使特定的物理端口成为某个VLAN的成员。在最初的概念中，属于同一个VLAN的主机可以直接相互通信，因为它们位于某个广播域中的同一个逻辑子网中。但当位于某个VLAN中的主机需要与其他VLAN中的主机进行通信时，就需要通过路由器来执行网络互连的功能。

VLAN是在一个LAN交换机中隔离广播域的技术。但是如果人们无法在通过物理链路连接的设备之间（比如交换机与交换机，或者交换机与路由器），共享这种隔离关系，那么VLAN存在的意义就远不会像现在这样重大。

为了能够在同一条链路上承载属于不同VLAN的流量，出现了VLAN trunk技术。在VLAN trunk上，IEEE 802.1Q是标准的以太网帧标记方式。802.1Q trunking设备会向原始的数据帧中注入一个（长度为4字节的）标记，并在通过trunk接口发送该数据帧之前重新计算帧校验序列（FCS）。而在trunk的另一端，接收方设备会清除该标记，然后将该数据帧转发给相应的VLAN。

注释 VLAN在扩展防火墙部署环境方面显然起到了革命性的作用。如果一个物理接口只能对应一个逻辑（3层）子网的话，那么有些防火墙恐怕就得配备成百上千个接口了，这样的设备既不实用，也必然不会便宜（要知道，大多数防火墙设备都是建立在服务器的硬件平台之上，如果没有VLAN技术，它们的每个接口就都要占用LAN交换机上的一个对应的端口）。

6.2.2 VRF

VRF（虚拟路由与转发）实例是3层设备中盛放分段路由信息的容器。VRF的基本组成如下所示。

IP路由表：由3层设备控制平面所创建的数据，其中包含静态和动态条目。
转发表：来自于IP路由表。
多个接口：3层设备不仅通过这些接口交换路由信息，目的地址通过这个VRF可达的数据包，也会通过这些接口进行转发。
在默认条件下，Cisco路由器只有全局表（global table）（而且也没有定义VRF）。路由器中的路由表总数可以用N+1来表示，其中N表示创建的VRF数量。图6-1所示为一台拥有3个VRF的路由器，其外还有自身的全局表。该图也显示了如何查看全局表，以及特定VRF的路由表。

管理员可以使用命令ip vrf来创建VRF，该命令可以让设备进入VRF配置模式。VRF一个必不可少的参数是路由区分符（Route Distinguisher），这是（VRF的）IP地址前的64位前缀，这个参数的目的是为了确保VRF的唯一性。同一个3层设备中，每个VRF的RD必须是唯一的。

RD这个参数带来的一大好处是可以重复使用IP地址。为了更好地理解这个效果，我们先来回顾一下区号在电话系统中的作用。本地电话号码XYZW一定存在于多个不同的区域（市、省、州等）中。在与不同区域的号码通信时，必须使用区域前缀（即区码），否则就会因为各地都有相同的号码而出现歧义。

注释本节仅介绍了VRF在本地的使用，在Cisco的术语中，这种用法通常称为VRF-lite（VRF简化版）或multi-VRF（多VRF）功能。如果把VRF用于MPLS VPN的环境中，那么，通过多协议BGP和route-target（RT）扩展社团（community），多VRF的路由信息就可以在两台远端服务提供商边缘（PE）路由器之间进行交换。切勿将RT与RD的概念搞混。前者的作用是选择哪些路由应该包含在一个给定的虚拟路由表中，而后者的作用则是为了确保地址的唯一性。

例6-1使用了图6-1所示的拓扑。管理员创建了一些VRF，并为每个VRF分配了唯一的RD。然后（在接口模式下）使用命令ip vrf forwarding为各个VRF划分了本地路由器接口。

该例也显示出了每个VRF所包含的接口和路由，并演示了穿越某VRF的接口，对可达的目的地址执行ping和Telnet测试的过程。

例6-1 VRF基础

提示命令ip vrf forwarding可以移除此前配置在这个接口的IP地址。最方便（也最节省时间和工作量）的方法是在向VRF分配接口之后再配置IP地址。

注释每个VRF中也许都有多个VLAN以及相应的3层子网；不需要在VLAN和VRF之间建立一一对应的映射关系。

图6-2所示为一个研究VRF中静态路由的方案。启用了VRF的路由器（其具体的配置方式如例6-1所示）用一条静态路由指向汇总网络172.20.0.0/14，并使用R1（可以通过位于VRF VPN1的接口VLAN 1151到达）作为其网关。

例6-2显示了图6-2方案中的一些更为具体的信息。其中R1（外部路由器）没有VRF的概念，因此它会将VRF VPN1当作一台普通的路由器来处理。

例6-2 VRF与静态路由

在图6-3所示的方案中，管理员在一台启用了VRF的路由器上部署了3个IGP协议（这些协议已经在第5章进行了介绍）。位于VPN1、VPN2和VPN3这三个VRF中的路由分别是通过OSPF、EIGRP和RIPv2学习到的。例6-3到例6-5提供了每个IGP的具体配置方式。

例6-3所示为图6-3方案中OSPF的配置部分。在启用VRF的设备上配置OSPF最大的不同之处在于每个VPF都需要配置一个专门的OSPF进程。在下面的案例中，管理员会选择数字1100作为VRF VPN1的OSPF进程号。本例中另一点值得注意的是命令capability vrf-lite，其作用是表示这台设备是一台VRF-lite路由器，而不是一台真正的MPLS VPN服务提供商边缘路由器（还有一些常用于MPLS VPN环境中的复杂验证无需在这里执行）。

例6-3 在VRF上启用OSPF

注释由于启用了VRF的OSPF需要使用独立的路由进程，因此所有OSPF命令（如show ip ospf neighbour和show ip ospf database）都必须指明OSPF进程号，而不是VRF名称。

例6-4所示为图6-3方案中EIGRP的配置部分，而例6-5则显示了RIPv2的配置。与OSPF不同，EIGRP和RIP都可以（通过命令address-family ipv4 vrf）在同一个路由进城下创建多个路由实例。每个地址族的配置都与第5章中介绍的方法基本相同。唯一的区别在于，每个EIGRP实例都需要一个专用的AS号（这个AS号需要通过命令autonomous-system来指定）。

例6-4 在VRF上启用EIGRP