Tweet
VRF (Virtual Routing and Forwarding) – Biến một Router vật lý thành nhiều Router độc lập
Trong các mạng doanh nghiệp lớn, nhiều phòng ban hoặc ứng dụng cần dùng chung một router vật lý nhưng vẫn phải tách biệt hoàn toàn về định tuyến. Đây chính là mục đích của VRF (Virtual Routing and Forwarding).
VRF cho phép một router duy trì nhiều bảng định tuyến (Routing Table) độc lập trên cùng một thiết bị. Có thể hình dung VRF giống như VLAN ở Layer 3: nếu VLAN chia switch thành nhiều Broadcast Domain thì VRF chia router thành nhiều Virtual Router.
Vì sao cần VRF?
Giả sử doanh nghiệp có ba phòng ban:
Cả ba đều sử dụng cùng dải mạng:
Engineering : 192.168.1.0/24
Finance : 192.168.1.0/24
HR : 192.168.1.0/24
Một router thông thường sẽ không thể phân biệt các mạng này vì chỉ có một Global Routing Table.
VRF giải quyết bằng cách tạo nhiều bảng định tuyến:
Global Routing Table
VRF Engineering
192.168.1.0/24
VRF Finance
192.168.1.0/24
VRF HR
192.168.1.0/24
Nhờ đó, các mạng trùng địa chỉ IP vẫn hoạt động độc lập.
Path Isolation
Khái niệm đầu tiên của VRF là Path Isolation (cô lập đường đi).
Nhiều mạng có thể dùng chung:
nhưng lưu lượng của từng mạng vẫn hoàn toàn tách biệt.
Ví dụ:
VRF Engineering
≠
VRF Finance
Router sẽ không chuyển tiếp lưu lượng giữa hai VRF nếu không cấu hình Route Leaking.
Data Path Virtualization
VRF còn cung cấp Data Path Virtualization, tức tạo nhiều đường dữ liệu logic trong cùng một router.
Physical Router
├── VRF Engineering
├── VRF Finance
└── VRF HR
Mỗi VRF có:
Về bản chất, một router vật lý hoạt động như nhiều router độc lập.
Router có nhiều Routing Table
Thông thường router chỉ có:
Global Routing Table
Sau khi triển khai VRF:
Global Routing Table
VRF A
VRF B
VRF C
Mỗi interface được gán vào một VRF:
Gi0/0 → VRF Engineering
Gi0/1 → VRF Finance
Các route học được chỉ tồn tại trong VRF tương ứng.
VRF hoạt động như thế nào?
Ví dụ:
Gi0/0
10.1.1.1
↓
VRF EngineeringGi0/1
10.1.1.1
↓
VRF Finance
Hai interface vẫn có thể dùng cùng địa chỉ IP vì chúng thuộc hai bảng định tuyến khác nhau.
Hai loại VRF
1. VRF-Lite
Đây là loại phổ biến nhất trong doanh nghiệp.
Đặc điểm:
Ví dụ:
Engineering → VRF ENG
Finance → VRF FIN
2. Full VRF (MPLS VPN)
Được sử dụng chủ yếu trong mạng của các nhà cung cấp dịch vụ.
Nó kết hợp:
để mở rộng VRF trên toàn bộ hạ tầng MPLS.
So sánh VRF-Lite và Full VRF
VRF-Lite
Full VRF
Lợi ích của VRF-Lite
Tách biệt Data Plane và Control Plane
Mỗi VRF có:
Sự cố ở một VRF không ảnh hưởng trực tiếp đến VRF khác. Dễ quản trị và Troubleshooting
Có thể kiểm tra từng VRF riêng:
show ip route vrf Engineeringshow ip route vrf Finance
Thay vì phải xem toàn bộ bảng định tuyến. Hỗ trợ Default Route riêng
Ví dụ:
VRF Engineering
0.0.0.0/0
→ ISP AVRF Finance
0.0.0.0/0
→ Firewall
Mỗi VRF có thể có chính sách định tuyến và đường ra Internet riêng.
Ví dụ thực tế
Một doanh nghiệp có:
Tất cả dùng chung Core Switch nhưng được tách thành:
VRF ENG
VRF FIN
VRF GUEST
Kết quả:
Toàn bộ đều dùng chung hạ tầng vật lý nhưng có Routing Table, đường đi và chính sách riêng, giúp tăng bảo mật và đơn giản hóa quản trị.
Câu hỏi ôn tập
Which statement regarding broadcasts and VLANs is true?
Đáp án đúng:
Giải thích: VLAN là một Broadcast Domain ở Layer 2. Các thiết bị trong cùng VLAN sẽ nhận các frame Broadcast (ARP, DHCP Discover...), trong khi Broadcast sẽ không được chuyển sang VLAN khác nếu không có thiết bị Layer 3 thực hiện định tuyến hoặc relay. Điều này giúp giảm lưu lượng Broadcast và nâng cao hiệu quả hoạt động của mạng LAN.
Trong các mạng doanh nghiệp lớn, nhiều phòng ban hoặc ứng dụng cần dùng chung một router vật lý nhưng vẫn phải tách biệt hoàn toàn về định tuyến. Đây chính là mục đích của VRF (Virtual Routing and Forwarding).
VRF cho phép một router duy trì nhiều bảng định tuyến (Routing Table) độc lập trên cùng một thiết bị. Có thể hình dung VRF giống như VLAN ở Layer 3: nếu VLAN chia switch thành nhiều Broadcast Domain thì VRF chia router thành nhiều Virtual Router.
Vì sao cần VRF?
Giả sử doanh nghiệp có ba phòng ban:
- Engineering
- Finance
- HR
Cả ba đều sử dụng cùng dải mạng:
Engineering : 192.168.1.0/24
Finance : 192.168.1.0/24
HR : 192.168.1.0/24
Một router thông thường sẽ không thể phân biệt các mạng này vì chỉ có một Global Routing Table.
VRF giải quyết bằng cách tạo nhiều bảng định tuyến:
Global Routing Table
VRF Engineering
192.168.1.0/24
VRF Finance
192.168.1.0/24
VRF HR
192.168.1.0/24
Nhờ đó, các mạng trùng địa chỉ IP vẫn hoạt động độc lập.
Path Isolation
Khái niệm đầu tiên của VRF là Path Isolation (cô lập đường đi).
Nhiều mạng có thể dùng chung:
- Router
- CPU
- RAM
- Đường truyền vật lý
nhưng lưu lượng của từng mạng vẫn hoàn toàn tách biệt.
Ví dụ:
VRF Engineering
≠
VRF Finance
Router sẽ không chuyển tiếp lưu lượng giữa hai VRF nếu không cấu hình Route Leaking.
Data Path Virtualization
VRF còn cung cấp Data Path Virtualization, tức tạo nhiều đường dữ liệu logic trong cùng một router.
Physical Router
├── VRF Engineering
├── VRF Finance
└── VRF HR
Mỗi VRF có:
- Routing Table (RIB)
- Forwarding Table (FIB)
- Interface riêng
- Giao thức định tuyến và chính sách riêng
Về bản chất, một router vật lý hoạt động như nhiều router độc lập.
Router có nhiều Routing Table
Thông thường router chỉ có:
Global Routing Table
Sau khi triển khai VRF:
Global Routing Table
VRF A
VRF B
VRF C
Mỗi interface được gán vào một VRF:
Gi0/0 → VRF Engineering
Gi0/1 → VRF Finance
Các route học được chỉ tồn tại trong VRF tương ứng.
VRF hoạt động như thế nào?
Ví dụ:
Gi0/0
10.1.1.1
↓
VRF EngineeringGi0/1
10.1.1.1
↓
VRF Finance
Hai interface vẫn có thể dùng cùng địa chỉ IP vì chúng thuộc hai bảng định tuyến khác nhau.
Hai loại VRF
1. VRF-Lite
Đây là loại phổ biến nhất trong doanh nghiệp.
Đặc điểm:
- Không cần MPLS.
- Không cần MP-BGP.
- Triển khai đơn giản.
- Tách biệt hoàn toàn các Routing Table.
Ví dụ:
Engineering → VRF ENG
Finance → VRF FIN
2. Full VRF (MPLS VPN)
Được sử dụng chủ yếu trong mạng của các nhà cung cấp dịch vụ.
Nó kết hợp:
- MPLS
- MP-BGP
- VPN Labels
để mở rộng VRF trên toàn bộ hạ tầng MPLS.
So sánh VRF-Lite và Full VRF
VRF-Lite
- Không cần MPLS.
- Không cần MP-BGP.
- Phù hợp mạng Enterprise.
- Dễ triển khai.
Full VRF
- Cần MPLS.
- Sử dụng MP-BGP.
- Hỗ trợ MPLS L3VPN.
- Phù hợp Service Provider.
Lợi ích của VRF-Lite
Tách biệt Data Plane và Control Plane
Mỗi VRF có:
- Routing Table riêng
- Forwarding Table riêng
- Giao thức định tuyến riêng
Sự cố ở một VRF không ảnh hưởng trực tiếp đến VRF khác. Dễ quản trị và Troubleshooting
Có thể kiểm tra từng VRF riêng:
show ip route vrf Engineeringshow ip route vrf Finance
Thay vì phải xem toàn bộ bảng định tuyến. Hỗ trợ Default Route riêng
Ví dụ:
VRF Engineering
0.0.0.0/0
→ ISP AVRF Finance
0.0.0.0/0
→ Firewall
Mỗi VRF có thể có chính sách định tuyến và đường ra Internet riêng.
Ví dụ thực tế
Một doanh nghiệp có:
- Engineering
- Finance
- Guest Wi-Fi
Tất cả dùng chung Core Switch nhưng được tách thành:
VRF ENG
VRF FIN
VRF GUEST
Kết quả:
- Engineering truy cập hệ thống phát triển.
- Finance chỉ truy cập máy chủ kế toán.
- Guest chỉ được phép ra Internet.
Toàn bộ đều dùng chung hạ tầng vật lý nhưng có Routing Table, đường đi và chính sách riêng, giúp tăng bảo mật và đơn giản hóa quản trị.
Câu hỏi ôn tập
Which statement regarding broadcasts and VLANs is true?
Đáp án đúng:
Ports in the same VLAN share broadcasts, while ports in different VLANs do not.
Giải thích: VLAN là một Broadcast Domain ở Layer 2. Các thiết bị trong cùng VLAN sẽ nhận các frame Broadcast (ARP, DHCP Discover...), trong khi Broadcast sẽ không được chuyển sang VLAN khác nếu không có thiết bị Layer 3 thực hiện định tuyến hoặc relay. Điều này giúp giảm lưu lượng Broadcast và nâng cao hiệu quả hoạt động của mạng LAN.
Attached Files