本篇文章将已实验的基础来详细讲解MPLS VPN中VRF表的分离技术与静态穿越VRF表
如果你不理解以下四点，那就请继续看下去吧
- 控制层面与数据层面的区别
- MPLS VPN 中VRF表的作用
- 静态路由如何穿越不同的VRF表
- 如何打破AS-Path的防环原则
实验拓扑如下
需求：
- 分部间的通信要绕行总部
- 尽可能减少VRF表的数量（VRF表分离）
- 去往互联网采用静态的VRF穿越
- 主备结构，分流互备
分析：
如何将VRF表分离：
在R3这个PE上做两个VRF表，即spoke作为接收其他分部路由的VRF表（入向添加的是分部的出向），hub作为发出给其他分部的VRF表（分部的入向要添加这个hub的出向）
分离后的好处：
- 适合分支不断扩展，便于做策略
- 可以把安全策略中心与总部结合起来
- 压缩成本
- 便于管理，人员调配
实施：
由于此篇文章重点讲述VRF表分离与静态VRF的穿越，前三步将省略，如果想要了解的话，请看这篇文章，这是一个具体项目的配置方案
- 配置IP地址
- 配置路由（ISP底层用OSPF，配置BGP）
- 运营商内部铺设MPLS VPN隧道
- 配置VRF表
- 配置静态穿越VRF表
- 策略
从第四步开始的详细配置
- 连接总部的边界ISP R3 上的两个VRF表，spoke作为接收分部的路由，hub作为发送给分部的路由
- 连接分部的边界ISP R8 R9的VRF表
新的问题：
由于AS号的昂贵，此实验中模拟了真是环境的操作，即总部与分部的AS号相同，那么此时就会出现一个新的问题,环路问题，即分部的路由进入到总部后，就会因为AS-Path的存在则不能进去
解决：
打破这种默认存在的防环原则
- 连接分部的边界运营商上，在VPNV4的instance中允许给/扔给邻居一个出环（存在分部的AS号）的路由
- 上面的操作在每个连接分部的边界运营商上都要做
- 连接总部的运营商上，允许发出环的路由，且允许收到出环的路由
a.在spoke的VRF表中，对总部进行允许发出/扔给 出环的路由（substitute-as）
b.在hub的VRF表中，对总部进行允许接收/收到 出环的路由（allow-as-loop）
一定要分清楚数据层面与控制层面
- Ping（流量走向）：控制层面是spoke进，hub出，但是，数据层面的话，查看PE（连接总部的PE）的hub路由表，分部的私网路由是CE给的，所以数据层面的流量会从hub子接口进，spoke子接口出
- 打破防环原则时：研究对象是站在PE的角度 对EBGP的CE邻居而言 允许出去或进来的；说明：此时的选择对应的是路由表，即控制层面，则spoke是import分部的VRF的，所以是PE将分部的流量导入给到CE的，那就是允许出去 ，即spoke就对邻居就配置substitue-as；那么在hub中就是允许CE的路由进来，即hub对邻居配置allow-as-loop
图解说明：
- 红色是控制层面，可见经过R6这个路由反射器反射路由并从spoke进入，hub出去
- 黑色是数据层面，可见经过MPLS 隧道从hub进入，spoke出去
详细配置：
R3上，注意允许出环的次数不要用默认的1 要改大些，要不就没有打破原先的防环原则
R8 R9上 允许发出去可能出环的路由
测试：
PC1pingPC2 即分部间的通信，可以明显的看出绕行了总部，且数据层面的流量从hub进，spoke出
接下来做互联网的部分，两种做法，此实验环境采用的是第二种方案
- 连接互联网的VRF表，在spoke中接收一下
- 手工配置静态缺省，穿越VRF白哦
静态穿越VRF表：
目的：为了使VRF来到全局/全局来到VRF/VRF来到VRF（即打破隔离）
实施：
- 写在全局路由表中 穿到VPN 即下一跳为VPN 下一跳前面写vpn-instance
- 写在VPN 中 穿到全局路由表，public为全局下一跳的声明 目的地前面写vpn-instance 下一跳后面写public
- 写在VPN中 穿到VPN中 目的地前面写vpn-instance 下一跳前面写vpn-instance
总结：
静态可以在一个路由器的不同VRF相互穿越，BGP可以做到远端两个VRF相互穿（接收即可），但是其他动态路由协议是不能做到不同VRF相互穿越
配置：R3 R4配置相同，并对互联网邻居做bgp的静态引入
检查，R3的全局路由表有0.0.0.0的下一跳为连接互联网的接口；int这个VRF表中有10网段的路由
R3 R4要对R1 R2下发默认，这个下发的是spoke的邻居，因为此时研究对象是控制层面，即想要达到的是将路由导入
接下来就是制作策略，使R3成为分部间通信的流量承载点，那么将R1选择R3进来（spoke接口）的LP增大，那么流量就会从R3进入，还要控制出去时也走R3，则将R2出去的MED增大，影响R4对我自己的选路，这样一来，R3就成为承载所有分部流量的路由器，为了使R4成为互联网路由器，在互联网路由器上制作策略，即将R4邻居传递来的路由的PV增大
以上就是所有的配置，下面是此实验的技术总结（思维导图的形式），算是给看到这里的你一个彩蛋吧~
