¿Qué es el VRF?

El enrutamiento y reenvío virtual (VRF) es una tecnología que permite a un router o dispositivo periférico mantener varias tablas de enrutamiento y reenvío independientes al mismo tiempo, de modo que redes distintas —diferentes inquilinos, clientes o tipos de tráfico— puedan compartir un mismo dispositivo de hardware, manteniendo al mismo tiempo sus rutas, e incluso rangos de direcciones IP que se solapan, totalmente aislados entre sí.

Puntos clave

• VRF asigna a cada inquilino o segmento de red su propia tabla de enrutamiento aislada.
• Los rangos de direcciones IP que se solapan pueden coexistir sin problemas en el mismo dispositivo.
• Versa La SD-WAN utiliza el VRF como elemento fundamental de su arquitectura multitenencia.
• Los identificadores de ruta MP-BGP y los destinos de ruta mantienen separadas las rutas de los VRF.
• Cada puerto LAN o WAN está vinculado explícitamente a un único VRF.

En esta página: Por qué es importante · Cómo funciona · Tipos · VRF y Versa · Preguntas frecuentes

¿Por qué es importante el VRF?

Normalmente, un único router mantiene una sola tabla de enrutamiento, por lo que todas las redes conectadas a él deben utilizar direcciones IP que no se solapen, y todas las rutas de dicha tabla son visibles para todas las interfaces. Esto deja de funcionar en el momento en que un dispositivo físico tiene que dar servicio a más de una red independiente: un proveedor de servicios gestionados con múltiples clientes, un dispositivo periférico SD-WAN de Versa que da soporte a varias unidades de negocio, o una sucursal en la que el tráfico de invitados y el corporativo nunca deben mezclarse.

VRF resuelve este problema permitiendo que el mismo hardware ejecute varias tablas de enrutamiento y reenvío simultáneamente, cada una de las cuales se comporta como si estuviera en su propio router independiente. Dos inquilinos pueden utilizar ambos 10.0.0.0/8 internamente sin que se produzcan colisiones, ya que sus rutas residen en VRF diferentes y nunca se cruzan. Esto es lo que hace que la multitenencia en hardware perimetral compartido sea práctica: un proveedor o un equipo de TI incorpora a un nuevo cliente o departamento añadiendo un VRF en lugar de un equipo físico, y un error de configuración en un VRF no puede provocar la fuga de rutas a otro.

¿Qué es el VRF?

VRF es una función del router que mantiene varias instancias, separadas lógicamente, de la tabla de enrutamiento IP y de la tabla de reenvío en un único dispositivo de hardware. Cada VRF tiene su propio conjunto de rutas, sus propias interfaces asociadas y —dependiendo de la plataforma— su propia instancia de protocolos de enrutamiento, como BGP u OSPF. Un paquete que llega a una interfaz asignada a VRF-A se reenvía utilizando únicamente la tabla de VRF-A; nunca se enruta utilizando las entradas de VRF-B, incluso si VRF-B contiene una ruta que, en otras circunstancias, coincidiría.

El VRF tiene su origen en las VPN de capa 3 de MPLS, en las que un proveedor utiliza un VRF por cliente para mantener las rutas diferenciadas, mientras que el MP-BGP —ampliado con los atributos «route distinguisher» y «route target»— transporta las rutas de cada cliente a través de un núcleo compartido sin permitir que se mezclen. Las plataformas SD-WAN, incluida la de Versa, reutilizan ese mismo mecanismo para extender la segmentación basada en VRF a través de una superposición cifrada en lugar de un núcleo MPLS.

Tipos de sistemas VRF

Las implementaciones de VRF varían en función de varios aspectos. La distinción entre VRF de LAN y VRF de transporte separa la instancia de enrutamiento orientada al cliente —el VRF de LAN, que contiene las rutas internas del cliente— del VRF de transporte, orientado a la red subyacente, que gestiona la conectividad WAN a través de MPLS o circuitos de Internet; los dispositivos periféricos conectan ambos internamente mediante BGP para controlar exactamente qué rutas se intercambian entre ellos. Las implementaciones de VRF único (un solo cliente) dedican una instancia de enrutamiento a una sola organización. Las implementaciones de VRF múltiples (multitenant) ejecutan varios VRF en el mismo dispositivo periférico, uno por cliente o unidad de negocio, y cada VRF puede configurarse con su propia topología de superposición independiente: por ejemplo, uno podría utilizar una malla completa para el tráfico de voz en tiempo real, mientras que otro utilizaría únicamente una topología «spoke-to-hub» para un conjunto restringido de terminales, todo ello en el mismo dispositivo físico. La diferencia entre VRF predeterminados y personalizados también es importante desde el punto de vista operativo: las plataformas suelen crear automáticamente un VRF predeterminado por organización que no se puede eliminar, y se pueden añadir VRF adicionales de forma explícita hasta un límite específico de la plataforma.

VRF y Versa

Versa La SD-WAN considera el VRF como la unidad básica de la multitenencia. Cada organización en un dispositivo periférico VOS dispone de su propio VRF, y los dispositivos CPE de Versa distribuyen etiquetas de VRF y asignan un identificador global de VRF, un distinguidor de ruta y los atributos de destino de ruta y comunidad de BGP, de modo que las rutas permanezcan aisladas y se reflejen correctamente en todos los nodos del controlador SD-WAN; véase «Versa : Estructuras de topología SD-WAN basadas en atributos BGP». Los distintos VRF de un mismo dispositivo pueden ejecutar diferentes topologías de superposición —malla completa, hub-and-spoke o spoke-to-spoke-direct—, un patrón documentado como topología multi-VRF o multitenant en la Guía de diseño consolidada de SD-WAN.

Los administradores asocian cada puerto LAN o WLAN a un VRF específico al configurar las conexiones LAN; una organización obtiene automáticamente un VRF predeterminado que no se puede eliminar y puede añadir hasta 20 más. El VRF también es la base del acceso directo a Internet (DIA): una conexión BGP lógica entre el VRF del inquilino y el VR de transporte de la WAN permite a cada inquilino conectarse a Internet de forma local, al tiempo que mantiene su tabla de enrutamiento separada de la de cualquier otro inquilino del dispositivo.

Preguntas frecuentes

¿Cuál es la diferencia entre un VRF y una VLAN?

Las VLAN segmentan el tráfico en la capa 2, el dominio de conmutación; los VRF segmentan el tráfico en la capa 3, el dominio de enrutamiento. Un dispositivo puede asignar una VLAN a un VRF específico, de modo que el tráfico separado en la capa 2 también disponga de su propia tabla de enrutamiento independiente, pero ambos mecanismos resuelven problemas distintos y suelen utilizarse conjuntamente.

¿Pueden dos VRF utilizar el mismo rango de direcciones IP?

Sí. Dado que cada VRF mantiene una tabla de enrutamiento y reenvío totalmente independiente, dos VRF en el mismo dispositivo pueden utilizar rangos de direcciones que se solapen o sean idénticos —por ejemplo, dos clientes que utilicen ambos 192.168.1.0/24— sin que se produzca ningún conflicto, ya que ninguna de las tablas tiene visibilidad sobre la otra.

¿Cómo se transmite el tráfico entre dos VRF en un mismo dispositivo?

Por defecto, no es así: los VRF están aislados y el tráfico no se cruza entre ellos. Es posible provocar fugas deliberadas mediante políticas de importación y exportación de rutas-destino, la redistribución MP-BGP o un salto de cortafuegos o NAT entre VRF, pero debe configurarse explícitamente; el aislamiento es la configuración predeterminada.

¿Cuál es la diferencia entre un VRF y una VPN?

Una VPN es el concepto más amplio: una red privada construida sobre una infraestructura compartida o pública. Un VRF es un mecanismo que se utiliza para implementar esa separación de enrutamiento privado en los propios routers, normalmente como parte de una VPN MPLS de capa 3 o de una superposición SD-WAN.

¿Cuántos VRF puede admitir un dispositivo?

Depende de la plataforma y la licencia. Versa Titan : las organizaciones gestionadas pueden configurar hasta 20 VRF por organización, mientras que Versa los dispositivos periféricos SD-WAN gestionados a través de Director admiten un número de VRF que viene determinado por los límites de escalabilidad de la plataforma y las características específicas del diseño multitenencia de la implementación.

Más información sobre VRF

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre VRF, te conviene echar un vistazo a lo siguiente.