Was ist VRF?

Virtual Routing and Forwarding (VRF) ist eine Technologie, mit der ein Router oder Edge-Gerät mehrere unabhängige Routing- und Weiterleitungstabellen gleichzeitig verwalten kann, sodass verschiedene Netzwerke – unterschiedliche Mandanten, Kunden oder Datenverkehrstypen – eine einzige Hardware gemeinsam nutzen können, während ihre Routen und sogar sich überschneidende IP-Adressbereiche vollständig voneinander isoliert bleiben.

Die wichtigsten Erkenntnisse

• VRF weist jedem Mandanten oder Netzwerksegment eine eigene, isolierte Routing-Tabelle zu.
• Sich überschneidende IP-Adressbereiche können problemlos auf demselben Gerät nebeneinander bestehen.
• Versa SD-WAN nutzt VRF als zentralen Baustein für die Mandantenfähigkeit.
• MP-BGP-Routenunterscheidungsmerkmale und Routenziele sorgen dafür, dass VRF-Routen voneinander getrennt bleiben.
• Jeder LAN- oder WAN-Port ist explizit an genau ein VRF gebunden.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · VRF & Versa · Häufig gestellte Fragen

Warum ist VRF wichtig?

Ein einzelner Router verwaltet normalerweise eine einzige Routing-Tabelle, sodass jedes daran angeschlossene Netzwerk nicht überlappende IP-Adressen verwenden muss und jede Route in dieser Tabelle für jede Schnittstelle sichtbar ist. Dies funktioniert nicht mehr, sobald ein physisches Gerät mehr als ein unabhängiges Netzwerk bedienen muss – beispielsweise bei einem Managed-Service-Anbieter mit mehreren Kunden, einem SD-WAN-Edge-Gerät nach dem „ Versa “-Prinzip, das mehrere Geschäftsbereiche unterstützt, oder einer Zweigstelle, in der sich Gast- und Unternehmensdatenverkehr niemals vermischen dürfen.

VRF löst dieses Problem, indem es ermöglicht, dass auf derselben Hardware mehrere Routing- und Weiterleitungstabellen nebeneinander ausgeführt werden, wobei sich jede so verhält, als befände sie sich auf einem eigenen, separaten Router. Zwei Mandanten können intern beide 10.0.0.0/8 ohne Kollision nutzen, da ihre Routen in unterschiedlichen VRFs liegen und sich nie überschneiden. Das macht die Mandantenfähigkeit auf gemeinsam genutzter Edge-Hardware praktikabel: Ein Anbieter oder IT-Team nimmt einen neuen Kunden oder eine neue Abteilung auf, indem es einen VRF anstelle eines physischen Geräts hinzufügt, und eine Fehlkonfiguration in einem VRF kann keine Routen in einen anderen VRF gelangen lassen.

Was ist VRF?

VRF ist eine Router-Funktion, die mehrere logisch voneinander getrennte Instanzen der IP-Routing-Tabelle und der Weiterleitungstabelle auf einer einzigen Hardware-Einheit verwaltet. Jedes VRF verfügt über einen eigenen Satz an Routen, eigene, daran gebundene Schnittstellen und – je nach Plattform – eine eigene Instanz von Routing-Protokollen wie BGP oder OSPF. Ein Paket, das an einer VRF-A zugewiesenen Schnittstelle eintrifft, wird ausschließlich anhand der Tabelle von VRF-A weitergeleitet; es wird niemals anhand der Einträge von VRF-B geroutet, selbst wenn VRF-B eine Route enthält, die ansonsten passen würde.

VRF hat seinen Ursprung in MPLS-Layer-3-VPNs, bei denen ein Anbieter pro Kunde ein VRF verwendet, um Routen voneinander zu trennen, während MP-BGP – erweitert um die Attribute „Route Distinguisher“ und „Route Target“ – die Routen jedes Kunden über einen gemeinsamen Kernnetzbereich transportiert, ohne dass sie sich vermischen. SD-WAN-Plattformen, darunter auch die von Versa, nutzen denselben Mechanismus, um die VRF-basierte Segmentierung auf ein verschlüsseltes Overlay-Netzwerk anstelle eines MPLS-Kernnetzwerks auszuweiten.

Arten von VRF-Systemen

VRF-Implementierungen unterscheiden sich in mehreren Punkten. Die Untersche idung zwischen LAN-VRF und Transport-VRF trennt die mandantenorientierte Routing-Instanz – den LAN-VRF, der die internen Routen eines Kunden enthält – vom unterlagenspezifischen Transport-VRF, der die WAN-Konnektivität über MPLS- oder Internet-Verbindungen verwaltet; Edge-Geräte verbinden die beiden intern über BGP, um genau zu steuern, welche Routen zwischen ihnen ausgetauscht werden. Bei Single-VRF -Bereitstellungen (Single-Tenant) wird einer Organisation eine eigene Routing-Instanz zugewiesen. Bei Multi-VRF-Bereitstellungen (Multitenant) werden mehrere VRFs auf demselben Edge-Gerät betrieben – eine pro Mandant oder Geschäftsbereich –, und jede VRF kann mit einer eigenen, unabhängigen Overlay-Topologie konfiguriert werden: So könnte beispielsweise eine VRF ein Vollmaschennetz für Echtzeit-Sprachverkehr nutzen, während eine andere auf demselben physischen Gerät ausschließlich ein Spoke-to-Hub-Netz für eine festgelegte Gruppe von Endgeräten verwendet. Der Unterschied zwischen Standard- und benutzerdefinierten VRFs ist auch aus betrieblicher Sicht von Bedeutung: Plattformen erstellen in der Regel automatisch einen Standard-VRF pro Organisation, der nicht gelöscht werden kann, wobei zusätzliche VRFs explizit bis zu einer plattformspezifischen Obergrenze hinzugefügt werden können.

VRF & Versa

Versa SD-WAN betrachtet VRF als die Kerneinheit der Mandantenfähigkeit. Jede Organisation auf einem VOS-Edge-Gerät erhält ein eigenes VRF, und die CPE-Geräte von „ Versa “ verteilen VRF-Labels und weisen eine globale VRF-ID, einen Routenunterscheider sowie BGP-Route-Target- und Community-Attribute zu, sodass Routen isoliert bleiben und über die SD-WAN-Controller-Knoten korrekt abgebildet werden – siehe „Versa : SD-WAN-Topologiekonstrukte auf Basis von BGP-Attributen“. Verschiedene VRFs auf demselben Gerät können unterschiedliche Overlay-Topologien ausführen – Full-Mesh, Hub-and-Spoke oder Spoke-to-Spoke-Direct –, ein Muster, das im „Consolidated SD-WAN Design Guide“ als Multi-VRF- oder Multitenant-Topologie dokumentiert ist.

Bei der Konfiguration von LAN-Verbindungen ordnen Administratoren jeden LAN- oder WLAN-Port einem bestimmten VRF zu; eine Organisation erhält automatisch einen standardmäßigen, nicht löschbaren VRF und kann bis zu 20 weitere hinzufügen. VRF bildet auch die Grundlage für den direkten Internetzugang (DIA): Eine logische BGP-Verbindung zwischen dem VRF des Mandanten und dem WAN-Transport-VR ermöglicht es jedem Mandanten, lokal auf das Internet zuzugreifen, während seine Routing-Tabelle von denen aller anderen Mandanten auf dem Gerät getrennt bleibt.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem VRF und einem VLAN?

VLANs segmentieren den Datenverkehr auf Schicht 2, der Switching-Domäne; VRFs segmentieren den Datenverkehr auf Schicht 3, der Routing-Domäne. Ein Gerät kann ein VLAN einem bestimmten VRF zuordnen, sodass der auf Schicht 2 getrennte Datenverkehr ebenfalls eine eigene, unabhängige Routing-Tabelle erhält. Die beiden Mechanismen lösen jedoch unterschiedliche Probleme und werden in der Regel gemeinsam eingesetzt.

Können zwei VRFs denselben IP-Adressbereich verwenden?

Ja. Da jedes VRF über eine vollständig separate Routing- und Weiterleitungstabelle verfügt, können zwei VRFs auf demselben Gerät überlappende oder identische Adressbereiche verwenden – beispielsweise zwei Mandanten, die beide den Bereich 192.168.1.0/24 nutzen –, ohne dass es zu Konflikten kommt, da keine der beiden Tabellen Einblick in die andere hat.

Wie wird der Datenverkehr zwischen zwei VRFs auf demselben Gerät weitergeleitet?

Standardmäßig ist dies nicht der Fall: VRFs sind voneinander isoliert, und es findet kein Datenverkehr zwischen ihnen statt. Ein gezieltes „Leaking“ ist zwar über Route-Target-Import- und -Export-Richtlinien, MP-BGP-Redistribution oder einen VRF-übergreifenden Firewall- oder NAT-Hop möglich, muss jedoch explizit konfiguriert werden – die Isolierung ist die Standardkonfiguration.

Was ist der Unterschied zwischen einem VRF und einem VPN?

Ein VPN ist ein weiter gefasster Begriff: ein privates Netzwerk, das auf einer gemeinsam genutzten oder öffentlichen Infrastruktur aufgebaut ist. VRF ist ein Mechanismus, der zur Umsetzung dieser privaten Routing-Trennung auf den Routern selbst verwendet wird, meist als Teil eines MPLS-Layer-3-VPNs oder eines SD-WAN-Overlays.

Wie viele VRFs kann ein Gerät unterstützen?

Das hängt von der Plattform und der Lizenz ab. Versa Titan – Verwaltete Organisationen können bis zu 20 VRFs pro Organisation konfigurieren, während Versa SD-WAN-Edge-Geräte, die über Director verwaltet werden, eine Anzahl von VRFs unterstützen, die von den Skalierungsgrenzen der Plattform und den Besonderheiten des Multitenancy-Designs der Bereitstellung abhängt.

Mehr zum Thema VRF

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit VRF beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.