Virtual Routing and Forwarding

怼烎@ 2021-10-26 15:28 482阅读 0赞 
  1. 一 简介
  2. VRF策略和路由规则配合在Linux网络协议栈中提供了一种创建虚拟路由与转发域地能力。一个典型的例子就是多租户问题，租户有自己地路由表，并且是不同的网关。
  4. 进程清晰地知道使用哪个VRF，通过将socket绑定在特定的VRF策略上。数据包通过socket系统调用后，使用与VRF策略关联的路由表发出。VRF策略实现的一个重要特性就是它只影响L3层及以上，所以L2工具(如LLDP)不受影响（即它们不需要在每个VRF中运行）。该设计还支持在VRF策略规则的基础上使用更高优先级的ip规则(策略路由PBR)进行优先引导特定流量。
  6. 此外，VRF策略允许将VRF嵌入到命名空间中，例如网络命名空间提供VRF虚拟网络接口层的隔离，命名空间内接口上的vlan提供L2隔离，VRF提供L3隔离。
  8. 二 设计
  9. 在创建VRF策略时，也会创建出一个虚拟网卡，所以文中的VRF策略与VRF虚拟网卡基本等同。
  11. VRF虚拟网卡的创建会关联一张路由表，然后将实际网络接口或者VLAN等虚拟接口加入到特定的VRF策略，如下图所示:

20190820104833748.png

网络接口收到报文后在IPv4和IPv6协议栈上处理给中会交给VRF虚拟网络接口， 造成一种是数据报文是经过VRF设备的假象(因为VRF是三层隔离，所以在ip-input中修改入接口为VRF虚拟接口)。与之类似，出接口上的路由规则让报文先经过VRF设备，而后再经过实际接口发出。这种实现就支持了tcpdump在VRF虚拟接口上对进出的报文进行tcpdump抓包，同时包括netfilter，tc在内。

[1] 转发的报文不会经过VRF虚拟网卡，因此这种报文无法被tcpdump抓取。———->求证

[2] IPtable在入方向实际接口支持PREROUTINT钩子点，在VRF虚拟接口支持INPUT和PREROUTING。在出方向，不管是实际接口还是VRF虚拟接口，都支持POSTROUTING和OUTPUT。

三 步骤

  1. VRF虚拟接口在创建时会关联一张FIB路由表，命令如下

    ip link add vrf-blue type vrf table 10 创建一个虚拟接口并关联一张表

    ip link set dev vrf-blue up 将虚拟接口状态置为UP

  2. 通过ip rule show 可知在虚拟网卡创建时，会生成一条策略路由指向l3mdev-table，这条策略路由对所有的VRF生效。用户可以修改这条策略路由的优先级，或者添加针对每个VRF虚拟网卡的策略。

ip rule add oif vrf-blue table 10

  1. 设置默认路由

ip route add table 10 unreachable default metric 4278198272

较高的metric 值保证可默认不可达路由可被路由协议生成的路由覆盖。FRR将metric解释为前一个字节表示距离，后面三个字节表示优先级。上述值即为[255/8192]

4, 设置L3接口归属于VRF虚拟接口

  1. ip link set dev ens6 master vrf-blue
  3. L3接口的主机路由和直连路由会自动的加入到VRF虚拟接口对应的路由表中，其

它依赖此接口的路由将被丢弃，需要重新加入到VRF接口对应的表中。

5，添加路由到表中

  1.     ip route add table …….
  3.     ip route add vrf vrf-xxx ……….

四 应用

  1.  应用在使用VRF时，需要将socket绑定到相应的VRF 虚拟网卡上，或者在发送数据时通过IP\_PKTINFO指定出接口信息。
  3.  setsockopt(sd, SOL\_SOCKET, SO\_BINDTODEVICE, dev, strlen(dev)+1)
  5.   对于没有绑定接口的socket，端口范围就是在默认VRF（全局VRF）中。也就是说当归属于VRF虚拟网口的接口收到报文后，将无法匹配到对应的socket，因为应用程序可能绑定同样的端口。
  7.  TCP和UDP服务运行在默认VRF上下文(即是没有绑定到任何VRF接口上) 可以在所有VRF域中生效通过设置下述选项:
  9.  sysctl –w net.ipv4.tcp\_l3mdev\_accept = 1
  11.  sysctl –w net.ipv4.udp\_l3mdev\_accept = 1
  13.  这两个选项在默认情况下是关闭的，因此socket 只会选择对应VRF的报文。与之类似的是原始套接字，为了更好的向后兼容性，默认使能，效果相当于是没有绑定虚拟网口，每次通过IP\_PKTINFO指定出接口发送报文。

五 使用iproute2 配置VRF

  1.      ip link add dev NAME type vrf table ID
  3.      ip [-d] link show type vrf
  5.      ip -br link show type vrf
  7.      ip link set dev NAME master NAME
  9.      ip link show vrf NAME
  11.      ip [-6] neigh show vrf NAME
  13.      ip addr show vrf NAME
  15.      ip [-6] route show vrf NAME
  17.      ip [-6] route show table ID
  19.      ip link set dev NAME nomaster

https://blog.csdn.net/dog250/article/details/78069964

发表评论

表情：
评论列表 （有 0 条评论，482人围观）

还没有评论，来说两句吧...

相关阅读

    相关 forward转发

    forword处理流程： 1清空Response存放响应正文数据的缓冲区。 2如果目标资源为Servlet或JSP，就调用它们的service()方法，把该方法产生的响应结

    不念不忘少年蓝@不念不忘少年蓝@/ 0 赞/ 159 阅读

    相关 对routes,route,router的理解

    路由，其实就是指向的意思，当我点击页面上的home按钮时，页面中就要显示home的内容，如果点击页面上的about 按钮，页面中就要显示about 的内容。Home按钮  =>

    短命女短命女/ 0 赞/ 311 阅读

    相关 Virtual Routing and Forwarding

    一 简介 VRF策略和路由规则配合在Linux网络协议栈中提供了一种创建虚拟路由与转发域地能力。一个典型的例子就是多租户问题，租户有自己地路由表，并且是不同的网

    怼烎@怼烎@/ 0 赞/ 482 阅读