VRF Lite

[dangquangminh]

🚀 VRF Lite trên Cisco IOS – Khi Router Không Còn Chỉ Có “Một” Bảng Định Tuyến!


Bạn có bao giờ tự hỏi: làm sao một router có thể phục vụ nhiều khách hàng nhưng vẫn đảm bảo cách ly hoàn toàn traffic? Nếu chỉ dùng routing table truyền thống thì gần như không thể. Đây chính là lúc VRF (Virtual Routing and Forwarding) xuất hiện – một trong những công nghệ phải nắm “must-know” cho CCNP/CCIE.

---

🧠 VRF là gì? (Hiểu đúng từ gốc)


VRF cho phép một router có nhiều bảng định tuyến độc lập, thay vì chỉ một bảng global.

• Mặc định: Router dùng global routing table
• Khi dùng VRF: Router có thể có nhiều routing table song song
• Mỗi interface sẽ “thuộc về” một VRF cụ thể

👉 Hiểu đơn giản:
VRF giống như VLAN nhưng áp dụng cho Layer 3 (routing)

---

🎯 VRF Lite là gì?


Trong tài liệu, VRF được triển khai trong môi trường không có MPLS → gọi là VRF Lite

• Không cần MPLS core
• Dùng cho enterprise hoặc lab
• Dễ triển khai, nhưng không mở rộng scale tốt như MPLS VPN

---

🏗️ Topology thực tế (page 1)


Mô hình gồm:

• 1 router ISP ở giữa
• 2 khách hàng:
  • Customer Blue
  • Customer Red
• Mỗi khách hàng có 2 site

👉 Điểm quan trọng:

• Tất cả kết nối đều đi qua ISP router
• Nếu không dùng VRF → tất cả mạng sẽ nằm chung 1 bảng định tuyến → xung đột & không cách ly

---

🔥 Bước 1: Tạo VRF trên router

ISP(config)#ip vrf Red
ISP(config-vrf)#exit
ISP(config)#ip vrf Blue
ISP(config-vrf)#exit

👉 Đây là bước tạo “container routing” cho từng khách hàng

---

🔌 Bước 2: Gán interface vào VRF

ISP(config)#interface FastEthernet0/0
ISP(config-if)#ip vrf forwarding Blue

⚠️ Lưu ý cực quan trọng:

• Khi gán ip vrf forwarding, IP trên interface bị xóa
• Phải cấu hình lại IP

ISP(config-if)#ip address 192.168.1.254 255.255.255.0

👉 Đây là lỗi rất hay gặp khi đi thi CCNP/CCIE

---

📊 Kết quả sau khi cấu hình


Dùng lệnh:
show ip vrf

Ta sẽ thấy:

• VRF Blue → chứa Fa0/0, Fa2/0
• VRF Red → chứa Fa1/0, Fa3/0

---

⚠️ Điều thú vị: Global routing table… rỗng!


Sau khi gán tất cả interface vào VRF:
show ip route

👉 Không có route nào

💡 Vì tất cả interface đã “rời khỏi global table”

---

🔍 Kiểm tra routing theo VRF

show ip route vrf Blue
show ip route vrf Red

👉 Mỗi VRF có bảng định tuyến riêng

---

🧪 Ping trong VRF

ping vrf Blue 192.168.1.1

👉 Nếu không chỉ định VRF → router dùng global table → fail

---

🧭 Static Route trong VRF

ip route vrf Blue 1.1.1.1 255.255.255.255 192.168.1.1

👉 Điểm khác biệt:

• Phải chỉ định rõ vrf Blue
• Nếu không → route sẽ vào global table

---

🔁 Dynamic Routing (OSPF trong VRF)

Trên router ISP:

router ospf 1 vrf Blue
network 192.168.1.0 0.0.0.255 area 0
network 192.168.3.0 0.0.0.255 area 0router ospf 2 vrf Red
network 192.168.2.0 0.0.0.255 area 0
network 192.168.4.0 0.0.0.255 area 0

👉 Lưu ý:

• Mỗi VRF có thể dùng process OSPF riêng
• Hoặc reuse process ID nhưng phải tách VRF

---

📈 Routing table sau OSPF (page 5)

• VRF Blue → học route từ Blue1 & Blue2
• VRF Red → học route từ Red1 & Red2

👉 Hai bảng định tuyến hoàn toàn độc lập

---

💡 Insight quan trọng (CCIE mindset)

1. VRF tạo multi-tenant routing trên cùng thiết bị
2. Interface chỉ thuộc 1 VRF duy nhất
3. Global routing table không còn ý nghĩa nếu toàn bộ interface vào VRF
4. Mọi thao tác (ping, route, OSPF…) phải chỉ rõ VRF
5. VRF Lite:
   • ✔ Dễ triển khai
   • ❌ Không scale (chỉ 1 ISP router trong ví dụ)

---

🧪 Ví dụ thực tế dễ hiểu


Giả sử:

• Công ty A và B dùng chung router
• Cả hai đều dùng IP: 192.168.1.0/24

👉 Nếu không có VRF → conflict ngay

👉 Nếu dùng VRF:

• VRF A → 192.168.1.0/24
• VRF B → 192.168.1.0/24

➡️ Hoạt động bình thường vì tách routing table

---

🎯 Kết luận cho bài lab VRF Lite


VRF Lite là khái niệm cơ bản, quan trọng để sau đó chúng ta có thể hiểu:

• MPLS L3VPN
• Multi-tenant network
• Data Center segmentation
• Zero Trust network segmentation