Tweet
🔥 Một thiết bị – nhiều thế giới định tuyến độc lập
Nếu bạn từng nghĩ rằng một switch Layer 3 chỉ có thể có một bảng định tuyến, thì Virtual Routing and Forwarding (VRF) sẽ khiến bạn phải suy nghĩ lại. Với VRF trên Cisco NX-OS, chúng ta có thể biến một thiết bị vật lý thành nhiều hệ thống định tuyến Layer 3 độc lập, hoạt động song song nhưng hoàn toàn cách ly nhau. Đây chính là nền tảng của rất nhiều thiết kế mạng doanh nghiệp, Data Center và MPLS VPN hiện đại.
1️⃣ Virtual Routing and Forwarding (VRF) là gì?
VRF (Virtual Routing and Forwarding) là một chức năng của Cisco NX-OS cho phép phân tách thông tin định tuyến thành các miền định tuyến logic Layer 3 riêng biệt, gọi là VRF instances.
Mỗi VRF có:
- Cơ sở dữ liệu định tuyến riêng (RIB riêng)
- Bảng chuyển tiếp riêng (FIB riêng)
- Không gian địa chỉ IP riêng
Nói cách khác, một switch/router có thể hoạt động như nhiều router Layer 3 khác nhau, nhưng chỉ dùng một phần cứng duy nhất → tiết kiệm điện, tiết kiệm chi phí, giảm quản trị nhưng vẫn cực kỳ linh hoạt.
📌 Tư duy rất quan trọng:
VRF ở Layer 3 tương tự VLAN ở Layer 2 – nhưng thay vì tách broadcast domain, VRF tách routing domain.
2️⃣ Phân tách bảng định tuyến Layer 3 – vấn đề cốt lõi
🔹 Mặc định (không dùng VRF)
- Router hoặc switch Layer 3 chỉ có một global routing table
- Toàn bộ interface Layer 3 đều thuộc global RIB
- Không có cách ly logic giữa các miền định tuyến
Điều này ổn cho mạng nhỏ, nhưng rất nguy hiểm khi:
- Nhiều khách hàng dùng chung hạ tầng
- Nhiều môi trường (Prod / Test / Dev)
- Mạng DC đa tenant
3️⃣ RIB và FIB – vai trò trong VRF
🔸 RIB (Routing Information Base)
- Thuộc control plane
- Tổng hợp route từ:
- Static route
- Dynamic routing protocols (OSPF, BGP, IS-IS, …)
- Chỉ route tốt nhất được giữ lại
👉 Với VRF: mỗi VRF có một RIB riêng
🔸 FIB (Forwarding Information Base)
- Thuộc data plane
- Được sinh ra từ RIB
- Chứa thông tin tối thiểu để chuyển tiếp cực nhanh:
- Prefix
- Next-hop
👉 Với VRF:
- Mỗi VRF có FIB riêng
- FIB được download xuống line card để forward packet
📌 Điều này đảm bảo:
Gói tin trong VRF A không bao giờ bị forward sang VRF B (trừ khi có cấu hình đặc biệt như route-leaking).
4️⃣ VRF = Phân tách cả Control Plane lẫn Data Plane
Để tạo cách ly Layer 3 thực sự, VRF không chỉ tách routing table, mà còn:
- Tách control plane (routing protocol, RIB)
- Tách data plane (FIB, forwarding decision)
Điều này rất giống cách:
- VLAN tách Layer 2 forwarding & MAC table
- VRF tách Layer 3 routing & forwarding
5️⃣ Mỗi VRF instance bao gồm những gì?
🔹 1. Tập con các interface Layer 3
- Mỗi interface Layer 3 chỉ thuộc một VRF
- Có thể là:
- Interface vật lý
- Subinterface
- Tunnel interface
- Loopback
- SVI (VLAN interface)
👉 Giống như: port Layer 2 chỉ thuộc một VLAN
🔹 2. Một bảng định tuyến riêng (RIB)
- Đảm bảo traffic giữa các VRF bị cách ly
- Interface thuộc VRF này không thể route sang VRF khác
📌 Ví dụ thực tế:
- VRF-CUSTOMER-A dùng subnet 10.1.1.0/24
- VRF-CUSTOMER-B cũng dùng chính subnet đó
→ Hoàn toàn hợp lệ, vì mỗi VRF có RIB riêng.
🔹 3. Một bảng chuyển tiếp riêng (FIB)
- Dùng cho forwarding thực tế
- Có FIB riêng cho:
- IPv4
- IPv6
👉 Điều này cực kỳ quan trọng trong Data Center hiệu năng cao.
🔹 4. Routing protocol theo từng VRF
Để cách ly control plane, routing protocol phải chạy per-VRF:
- Có thể:
- Chạy process riêng cho từng VRF
- Hoặc chạy sub-process / instance trong global process
📌 Ví dụ:
- OSPF process 10 cho VRF-A
- OSPF process 20 cho VRF-B
6️⃣ Đặc điểm quan trọng của VRF
- Quyết định routing và forwarding độc lập
- Tự động tạo:
- IPv4 unicast table
- IPv6 unicast table
- Multicast tables (nếu hỗ trợ)
- Số lượng route được lập trình có giới hạn (phụ thuộc phần cứng)
7️⃣ VRF khác gì VLAN?
- VLAN: tách Layer 2 (MAC, broadcast)
- VRF: tách Layer 3 (IP, routing)
👉 Bạn có thể:
- Dùng VLAN mà không cần VRF
- Nhưng muốn đa tenant Layer 3 → bắt buộc phải có VRF
🎯 Kết luận từ góc nhìn CCIE / CISSP
VRF là nền móng của mọi thiết kế mạng đa tenant hiện đại: từ Enterprise, Service Provider cho tới Data Center và Cloud. Nếu bạn chưa hiểu sâu VRF, thì mọi khái niệm như MPLS L3VPN, segmentation, Zero Trust network… sẽ chỉ là bề nổi.
Attached Files