VRF Leaking with Static and Policy Sample Configuration(Cisco IOL)

1. VRF Leaking with Static and Policy Sample Configuration 구성도

• 테스트 장비
  • 에뮬레이터 : EVE-NG
  • 라우터 : Cisco IOL I86BI_LINUX-ADVENTERPRISEK9-M, Version 15.5(2)T
  • 스위치 : Cisco IOL I86BI_LINUXL2-ADVENTERPRISEK9-M, Version 15.1
• 테스트를 위하여 R1에 Global, VRF10, VRF20에 해당하는 Loopback Interface를 생성
• 본 글에서는 BGP 사용 없이 VRF Leaking 하는 것이 목표
  • Static Route 및 Policy(PBR)를 사용하여 VRF Leaking
  • ① : VRF↔Global 간에 Static Route를 설정하여 통신하는 것이 목표
  • ② : VRF↔Global 간에 Policy를 사용하여 통신하는 것이 목표
  • ③ : 서로 다른 VRF 간에 Static Route를 설정하여 통신하는 것이 목표
• 본 글에서 진행하는 테스트는 BGP를 사용하지 않으므로 Route Target이 불필요
• 기본적인 VRF 설정은 'VRF Sample Configuration' 글 참고

 

 

2. VRF Leaking with Static and Policy Sample Configuration

1) Global Interface Configuration

• Global Interface에 해당하는 IP Address를 설정

 

• SW 인터페이스에 IP Address를 설정하며 테스트를 위해 Default-Route를 설정
• 모든 SW는 SW1의 구성과 비슷하게 설정

 

2) VRF Interface Configuration

• ‘vrf definition [vrf-name]’을 지정하여 VRF를 생성
• 해당 VRF에 대한 RD(Route Distinguisher)를 지정
• 'address-family ipv4'를 설정하여 VRF IPv4를 적용할 것임을 선언
  
  • 'address-family ipv4' 설정이 없을 경우 VRF를 사용할 인터페이스에 IPv4 Address 설정 불가

 

• R1에서 VRF로 사용할 인터페이스 설정
• 'vrf forwarding [vrf-name]'을 설정하여 해당 인터페이스가 설정한 VRF에 소속되겠다고 선언
  
  • 현재 VRF는 IPv4 VRF를 의미
• 'vrf forwarding [vrf-name]' 설정 시, 기존에 입력되어 있던 IP Address가 제거되므로 주의

 

• 생성한 VRF Name, RD, Protocol, 할당한 Interface에 대한 정보 확인 가능

 

3) Global and VRF Interface Configuration Verification

• 인터페이스 Status 및 IP Address 확인이 가능하지만 VRF 별로 확인이 불가능

 

• R1에서 설정한 Global, VRF10, VRF20에 대한 설정이 라우팅 테이블에 정상적으로 올라온 것을 확인

 

• R1에서 인접 장비까지 Ping Test 진행
• 'ping vrf [vrf-name] [destination-ip]'를 입력하여 VRF에 해당하는 장비로 Ping Test 가능

 

4) ① VRF10→Global Leaking with Static

VRF10 → Global Leaking

• Static Route를 사용하여 VRF 네트워크를 Global 라우팅 테이블에 설치하는 방법은 일반적인 Static Route 설정 방법과 동일하지만 OIF(Outgoing Interface) 설정이 반드시 필요

 

5) ① Global→VRF10 Leaking with Static

Global → VRF10 Leaking

• 'global' 옵션을 사용하지 않으면 VRF 라우팅 테이블에서 Next-Hop이 유효하지 않으므로 설정한 Static Route가 VRF 라우팅 테이블에 생성 불가
  • 즉, 'global' 옵션을 사용하지 않으면 Next-Hop에 대한 유효성 검사를 해당 VRF에서 진행
• 'global' 옵션을 사용하면 Global 라우팅 테이블에서 설정한 VRF Static Route의 Next-Hop(11.11.11.2)의 유효성을 검사
  
  • Global 라우팅 테이블을 참조하여 Next-Hop(11.11.11.2)이 유효한 것을 확인하였으므로 VRF 라우팅 테이블에 설정한 Static Route 설치 가능
• VRF에서 일반적인 Static Route를 설정하는 방법
  • 위의 Static Route 설정에서 'global' 옵션을 제외하고 설정
  • Ex) ip route vrf VRF10 192.0.0.0 255.255.255.0 11.11.11.2

 

• Global↔VRF10(SW1↔SW3) 간 통신 확인

 

6) ② VRF20↔Global Leaking with Policy

• 해당 라우터의 인터페이스에서 수신할 Packet의 D-IP를 고려하여 Access-List를 생성

 

• 'set global'을 설정하여 Match 되는 Packet은 Global Table을 참조하도록 PBR 설정
• 'set vrf VRF20'을 설정하여 Match 되는 Packet은 VRF20 Table을 참조하도록 PBR 설정

 

• 위에서 설정한 Route-Map을 각 인터페이스에 적용

 

• Global 및 VRF20 라우팅 테이블에 Packet의 D-IP에 해당하는 Route 정보가 없음을 확인

 

• PBR을 이용하여 e0/0으로 Import 된 Packet이 VRF Routing Table을 참조하는 것이 아닌 Global Routing Table을 참조
• PBR을 이용하여 e0/1로 Import 된 Packet이 Global Routing Table을 참조하는 것이 아닌 VRF Routing Table을 참조
• Global↔VRF20(SW1↔SW5) 간 통신 확인

 

7) ③ VRF20→VRF10 Leaking with Static

• Cisco는 서로 다른 VRF 간에 바로 VRF Leaking이 불가능하므로 반드시 Global 테이블을 거쳐야 Leaking 가능

• Global 라우팅 테이블에 Next-Hop(55.55.55.2)의 유효성이 확인되지 않아 VRF 라우팅 테이블에 Static Route 생성 불가

 

• 위에서 설정한 VRF Static Route의 Next-Hop에 대한 유효성을 검사하기 위해 Global Static Route를 설정
• Global Static Route를 설정할 때 Next-Hop만 설정하면 안 되고 반드시 OIF(Outgoing Interface)를 설정
  • Global 라우팅 테이블에 설정할 Next-Hop에 대한 유효성이 없기 때문

 

• Global 라우팅 테이블에서 VRF Static Route의 Next-Hop(55.55.55.2)의 유효성이 확인되므로 VRF 라우팅 테이블에 Static Route 생성 가능

 

8) ③ VRF10→VRF20 Leaking with Static

• VRF Static Route 설정 시, 'global' 옵션을 사용하지 않으면 VRF 라우팅 테이블에서 Next-Hop이 유효하지 않아 설정한 Static Route가 VRF 라우팅 테이블에 생성 불가
• 'global' 옵션을 사용하면 VRF Static Route의 Next-Hop(33.33.33.2) 유효성 검사를 Global 라우팅 테이블 진행
  • Global 라우팅 테이블을 참조하여 Next-Hop(33.33.33.2)이 유효한 것을 확인하였으므로 VRF 라우팅 테이블에 설정한 Static Route 설치 가능

 

• 서로 다른 VRF(SW3↔SW5) 간 통신 확인

 

9) Static Routing Without Leaking

• VRF20→VRF10으로 향하는 Static Route를 설정할 때, VRF Leaking을 사용하지 않고 Static Route를 설정할 때 OIF를 바로 설정하여 Next-Hop(33.33.33.2)이 Global 라우팅 테이블에서 확인이 불가능해도 설정한 Static Route가 라우팅 테이블에 설치