波仔
📡 第三章 路由器和它庞大的功能
📄 一句话概括

VRF 把事情做在「路由表」这一层：一台设备跑多张互不可见的路由表。 它最值钱的场合不是省钱，是「地址重叠」与「管理面隔离」。

📝 本节和前面几节的关系

上一节讲 QoS，这一节讲「一台设备当几台用」。 这是本书最后一节讲功能，也是最能体现「路由器本质是软件」的一节。

一、它解决什么问题

一个公司有两套网络（比如办公网与生产网），地址可能还重叠（都是 192.168.1.0/24）。

不用 VRF：得买两台路由器，各管一套。用 VRF：一台设备，两张表，同样的地址互不冲突。

省的不只是设备钱：电源从四路变两路、机柜从 2U 变 1U， 还有「配置一致性」——一台设备一份配置，改策略只改一处。 两台设备要改两处，而两处不一致是运维事故的常见来源。

二、三种常见用法

一、业务隔离：办公、生产、监控各一个 VRF。互相看不到对方的路由，天然隔离。 二、地址重叠：并购来的公司地址段与本司重叠，用 VRF 分开。 这是 VRF 最不可替代的场合——不划 VRF 就只能改地址，那是一年期的工程。 三、管理面隔离：带外管理与业务分开。 这是安全基线的一条：管理流量与业务流量走不同的表， 业务里的一台机器被攻破，也看不到管理网的路由。

三、代价要说清

VRF 之间默认完全不通。要通必须显式配置（静态路由或路由泄露）。

所以「划了 VRF 之后业务调不通」是必然的，不是故障。 得先想清楚「哪些流量要跨 VRF」，再决定怎么放通。

第二个代价是「排障变难」：所有命令都要加 VRF 名， 忘了加就是「查不到那条路由」——而它其实在另一张表里。这是新手最容易卡住的地方。

四、VRF 与 VLAN 的关系

VLAN 隔离二层，VRF 隔离三层。两件事在不同层，经常配对使用。

典型做法：每个 VLAN 对应一个 VRF，二层靠 VLAN 分开、三层靠 VRF 分开， 这样「地址重叠」与「广播隔离」一次解决。

这也是云数据中心「租户隔离」的实现基础：一个租户一个 VRF + 一组 VLAN， 租户之间看不到对方的路由，地址随便用。

五、动手 Demo：虚拟路由器（VRF），一台设备当几台用

这段对比「不用 VRF」与「用 VRF」两种方案的设备数、电源路数与机柜占用， 再列出 VRF 的三种典型用法与两条代价。

for name, dev, pwr, u_ in plans:
    T([name, u"%d 台" % dev, u"%d 路" % pwr, u"%d U" % u_], [0, 0, 0, 0])

实跑输出：

--------------------------------------------------------------------
虚拟路由器（VRF），一台设备当几台用
--------------------------------------------------------------------
**VRF 把事情做在「路由表」这一层**：一台物理路由器上跑多张互相独立的路由表，
**彼此看不到对方的路由。**

**它解决什么问题**：一个公司有两套网络（比如办公网与生产网），
**地址可能还重叠**（都是 192.168.1.0/24）。

  · 不用 VRF：得买两台路由器。
  · 用 VRF：一台设备，两张表，**同样的地址互不冲突**。

**算一下能省多少**：

  方案         设备数     电源     机柜 U 位
  ----------------------------------------------
  不用 VRF     2 台       4 路     2 U
  用 VRF       1 台       2 路     1 U

**省的不只是钱，是「配置一致性」**：一台设备一份配置，改策略只改一处；
两台设备就要改两处，**而两处不一致是运维事故的常见来源。**

**VRF 的常见用法有三种**：

1. **业务隔离**：办公、生产、监控各一个 VRF。
2. **地址重叠**：并购来的公司地址段与本司重叠，用 VRF 分开。
3. **管理面隔离**：带外管理与业务分开，**这是安全基线的一条。**

**代价要说清**：VRF 之间默认完全不通，**要通必须显式配置（静态路由或路由泄露）。**
**所以「划了 VRF 之后业务调不通」是必然的，不是故障**——**得先想清楚哪些流量要跨 VRF。**

「省 1U、省两路电源」看起来很小，但在机柜空间与配电都紧张的核心机房里，这是实打实的约束。 更重要的是少了一套要维护的配置。

「地址重叠」是 VRF 最不可替代的场合：两家公司合并，两边都是 192.168.1.0/24， 改地址要改几百台设备、停好几个晚上；划 VRF 只要改路由器。 这就是「在正确的层解决问题」的价值。

最后一条「VRF 与 VLAN 配对」是设计要点：很多人以为划了 VLAN 就隔离了， 但三层还能互访——要真正隔离必须 VLAN 加 VRF 两层都做。

30 秒实验

  1. 查一下你的设备支持几个 VRF 实例。
  2. 看有没有把管理面单独划一个 VRF。
  3. 想一想：两家公司合并、地址重叠，除了 VRF 还有什么办法？

常见误区

  1. 以为 VRF 就是 VLAN。一个隔离二层，一个隔离三层。
  2. 以为划了 VRF 业务还能通。默认完全不通，要显式放通。
  3. 以为 VRF 只是省钱的手段。它解决的是隔离与地址重叠。
自测三问（点开对答案） 1. VRF 在哪个层次做隔离？ —— 三层（路由表），与 VLAN 的二层隔离是两件事。 2. VRF 最不可替代的场合是什么？ —— 两套网络地址重叠，不改地址又要互通隔离。 3. 划了 VRF 之后业务不通，正常吗？ —— 正常，VRF 之间默认完全不通，必须显式配置放通。

下一节：功能讲完了，下一章看「怎么把这些功能配起来、管起来」。

相关笔记