Qu'est-ce que le VRF ?

Le routage et le transfert virtuels (VRF) constituent une technologie qui permet à un routeur ou à un périphérique de périphérie de gérer simultanément plusieurs tables de routage et de transfert indépendantes. Ainsi, des réseaux distincts (différents locataires, clients ou types de trafic) peuvent partager un même matériel tout en conservant leurs routes, et même des plages d'adresses IP qui se chevauchent, totalement isolées les unes des autres.

Points clés à retenir

• Le VRF attribue à chaque locataire ou segment de réseau sa propre table de routage isolée.
• Des plages d'adresses IP qui se chevauchent peuvent coexister sans problème sur un même appareil.
• Versa Le SD-WAN utilise le VRF comme élément fondamental de sa structure multi-locataire.
• Les identificateurs de route MP-BGP et les cibles de route permettent de distinguer les routes VRF les unes des autres.
• Chaque port LAN ou WAN est explicitement associé à un seul et même VRF.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · VRF et Versa · FAQ

Pourquoi le VRF est-il important ?

Un routeur dispose généralement d’une seule table de routage ; par conséquent, tous les réseaux qui y sont connectés doivent utiliser des adresses IP qui ne se chevauchent pas, et chaque route de cette table est visible par toutes les interfaces. Ce principe ne tient plus dès lors qu’un périphérique physique doit desservir plusieurs réseaux indépendants : qu’il s’agisse d’un fournisseur de services gérés comptant plusieurs clients, d’un périphérique SD-WAN de périphérie Versa prenant en charge plusieurs divisions, ou d’une succursale où le trafic des visiteurs et celui de l’entreprise ne doivent en aucun cas se mélanger.

La technologie VRF résout ce problème en permettant à un même matériel d’exécuter simultanément plusieurs tables de routage et de transfert, chacune se comportant comme si elle se trouvait sur un routeur distinct. Deux locataires peuvent tous deux utiliser l’adresse 10.0.0.0/8 en interne sans collision, car leurs routes résident dans des VRF différents et ne se croisent jamais. C’est ce qui rend la multi-location sur du matériel périphérique partagé pratique : un fournisseur ou une équipe informatique intègre un nouveau client ou un nouveau service en ajoutant un VRF plutôt qu’un boîtier physique, et une erreur de configuration dans un VRF ne peut pas entraîner la fuite de routes vers un autre.

Qu'est-ce que le VRF ?

Le VRF est une fonctionnalité de routeur qui permet de gérer plusieurs instances, logiquement distinctes, de la table de routage IP et de la table de transfert sur un même matériel. Chaque VRF dispose de son propre ensemble de routes, de ses propres interfaces qui lui sont associées et, selon la plate-forme, de sa propre instance de protocoles de routage tels que BGP ou OSPF. Un paquet arrivant sur une interface attribuée au VRF-A est transféré en utilisant uniquement la table du VRF-A ; il n’est jamais routé à l’aide des entrées du VRF-B, même si ce dernier contient une route qui correspondrait autrement.

La technologie VRF trouve son origine dans les VPN MPLS de couche 3, où un fournisseur utilise un VRF par client pour maintenir la distinction entre les routes, tandis que le protocole MP-BGP – enrichi des attributs « route distinguisher » et « route target » – achemine les routes de chaque client à travers un cœur de réseau partagé sans les mélanger. Les plateformes SD-WAN, y compris celle d’ Versa, réutilisent ce même mécanisme pour étendre la segmentation basée sur les VRF à un réseau superposé chiffré, plutôt qu’à un cœur de réseau MPLS.

Types de systèmes VRF

Les implémentations VRF varient selon plusieurs axes. La distinction entre le VRF LAN et le VRF de transport sépare l’instance de routage orientée vers le locataire – le VRF LAN, qui contient les routes internes d’un client – du VRF de transport orienté vers le réseau sous-jacent, qui gère la connectivité WAN via des circuits MPLS ou Internet ; les périphériques de périphérie relient les deux en interne via le protocole BGP afin de contrôler précisément quelles routes transitent entre eux. Les déploiements à VRF unique (monolocataire) consacrent une instance de routage à une seule organisation. Les déploiements multi-VRF (multi-locataires) exécutent plusieurs VRF sur le même périphérique de périphérie, à raison d’un par locataire ou par unité opérationnelle, et chaque VRF peut être configuré avec sa propre topologie de superposition indépendante : l’un peut utiliser un maillage complet pour le trafic vocal en temps réel tandis qu’un autre utilise une topologie « spoke-to-hub » uniquement pour un ensemble verrouillé de terminaux, sur le même boîtier physique. La distinction entre VRF par défaut et VRF personnalisés a également une importance sur le plan opérationnel : les plateformes créent généralement automatiquement un VRF par défaut par organisation qui ne peut pas être supprimé, des VRF supplémentaires pouvant être ajoutés explicitement dans la limite spécifique à la plateforme.

VRF & Versa

Versa Le SD-WAN considère le VRF comme l’unité centrale de la multi-location. Chaque organisation sur un périphérique de bord VOS dispose de son propre VRF, et les périphériques CPE d’ Versa t distribuent des étiquettes VRF et attribuent un identifiant VRF global, un distinctif de route, ainsi que des attributs de cible de route et de communauté BGP, afin que les routes restent isolées et soient correctement répercutées sur l’ensemble des nœuds du contrôleur SD-WAN – voir « Versa : Structures topologiques SD-WAN basées sur les attributs BGP ». Différents VRF sur un même périphérique peuvent exécuter différentes topologies de superposition – maillage complet, hub-and-spoke ou spoke-to-spoke-direct – un modèle documenté comme topologie multi-VRF, ou multi-locataire, dans le Guide de conception SD-WAN consolidé.

Lors de la configuration des connexions LAN, les administrateurs associent chaque port LAN ou WLAN à un VRF spécifique ; une organisation se voit automatiquement attribuer un VRF par défaut, qui ne peut être supprimé, et peut en ajouter jusqu'à 20 supplémentaires. Le VRF est également à la base de l'accès direct à Internet (DIA) : une connexion BGP logique entre le VRF du locataire et le VR de transport WAN permet à chaque locataire de se connecter à Internet localement tout en conservant sa table de routage distincte de celle de tous les autres locataires sur le dispositif.

Questions fréquentes

Quelle est la différence entre un VRF et un VLAN ?

Les VLAN segmentent le trafic au niveau de la couche 2, c'est-à-dire au niveau du domaine de commutation ; les VRF segmentent le trafic au niveau de la couche 3, c'est-à-dire au niveau du domaine de routage. Un équipement peut associer un VLAN à un VRF spécifique afin que le trafic séparé au niveau de la couche 2 dispose également de sa propre table de routage indépendante, mais ces deux mécanismes répondent à des besoins différents et sont généralement utilisés conjointement.

Deux systèmes VRF peuvent-ils utiliser la même plage d'adresses IP ?

Oui. Étant donné que chaque VRF dispose d’une table de routage et de transfert totalement distincte, deux VRF sur le même équipement peuvent utiliser des plages d’adresses qui se chevauchent ou qui sont identiques – par exemple, deux locataires utilisant tous deux la plage 192.168.1.0/24 – sans qu’il y ait de conflit, car aucune des deux tables n’a accès à l’autre.

Comment le trafic circule-t-il entre deux VRF sur un même équipement ?

Par défaut, ce n'est pas le cas : les VRF sont isolés et le trafic ne circule pas entre eux. Il est possible de provoquer délibérément des fuites via les politiques d'importation et d'exportation de cibles de routage, la redistribution MP-BGP, ou un pare-feu ou un saut NAT inter-VRF, mais cela doit être explicitement configuré – l'isolation est le principe par défaut.

Quelle est la différence entre un VRF et un VPN ?

Un VPN est un concept plus large : il s'agit d'un réseau privé mis en place sur une infrastructure partagée ou publique. Le VRF est l'un des mécanismes utilisés pour mettre en œuvre cette séparation de routage privé au niveau des routeurs eux-mêmes, le plus souvent dans le cadre d'un VPN MPLS de couche 3 ou d'une superposition SD-WAN.

Combien de VRF un appareil peut-il prendre en charge ?

Cela dépend de la plateforme et de la licence. Versa Titan : les organisations gérées peuvent configurer jusqu’à 20 VRF par organisation, tandis que Versa les périphériques SD-WAN gérés via Director prennent en charge un nombre de VRF déterminé par les limites d’évolutivité de la plateforme et les spécificités de la conception multi-locataire du déploiement.

En savoir plus sur le VRF

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au système VRF, voici quelques liens qui pourraient vous intéresser.