VRF-Befehle: VRF-Lite und MPLS-L3VPN auf Cisco IOS und Linux einrichten

VRF-Befehle zeigen, wie man eine VRF (Virtual Routing and Forwarding) auf Cisco-Routern und unter Linux anlegt und prüft. Eine VRF ist eine eigene Routing- und Weiterleitungstabelle auf einem Gerät — sie trennt Kundennetze, Abteilungen oder Dienste, auch wenn dieselben IP-Adressen mehrfach vorkommen.

Cisco IOS-XE: VRF anlegen

Die moderne Form nutzt vrf definition (unterstützt IPv4- und IPv6-Adressfamilien), die klassische IPv4-Variante ist ip vrf. Route Distinguisher (RD) und Route Targets (RT) braucht nur, wer die VRF in einem L3VPN über MP-BGP teilt:

vrf definition KUNDE-A
 rd 65000:1
 address-family ipv4
  route-target export 65000:1
  route-target import 65000:1
 exit-address-family
!
interface GigabitEthernet0/1
 vrf forwarding KUNDE-A
 ip address 10.0.0.1 255.255.255.0

vrf forwarding KUNDE-A an der Schnittstelle ordnet sie der Tabelle zu — dabei verliert das Interface seine bisherige IP, die Adresse wird danach neu vergeben. VRF-Lite (ohne MPLS/BGP) braucht weder RD noch RT; die Trennung gilt dann nur lokal.

Verifikation auf Cisco

show ip vrf
show ip vrf detail
show ip route vrf KUNDE-A
ping vrf KUNDE-A 10.0.0.2
show ip bgp vpnv4 vrf KUNDE-A

show ip vrf detail bestätigt, dass RD und Schnittstellen korrekt hinterlegt sind; ping vrf KUNDE-A testet die Erreichbarkeit aus der richtigen Tabelle heraus.

Linux: VRF-Devices mit iproute2

Im Linux-Kernel ist eine VRF ein virtuelles Netzwerk-Device, das eine Routing-Tabelle bündelt. Angelegt wird sie mit ip link add, Schnittstellen bindet ip link set ... master:

sudo ip link add vrf-red type vrf table 10
sudo ip link set vrf-red up
sudo ip link set dev eth1 master vrf-red
sudo ip addr add 192.0.2.1/24 dev eth1
ip vrf show
ip route show vrf vrf-red
sudo ip vrf exec vrf-red ping 192.0.2.2

ip vrf show listet Name und Tabelle aller VRF-Devices. ip vrf exec vrf-red <befehl> führt einen Befehl innerhalb der VRF aus — praktisch für ping, traceroute oder curl in der isolierten Tabelle. Auch SD-WAN-Edge-Geräte bilden ihre Dienst-VPNs technisch als VRF-artige Tabellen ab.

Verwandte Grundlagen: L3VPN-Befehle, SD-WAN-Befehle, VRF, L3VPN, MPLS, BGP.