VRF

Entstehung und Beteiligte

Virtual Routing and Forwarding entwickelte sich in Providerroutern und wurde durch MPLS Layer-3-VPNs breit bekannt. RFC 4364 von 2006 beschreibt getrennte VPN-Routingtabellen über BGP und MPLS. Heute existiert VRF auch ohne MPLS auf Campus- und Rechenzentrumsgeräten.

Welches Problem sollte gelöst werden?

Mehrere Kunden oder Sicherheitsbereiche sollten dieselben Router nutzen, dabei aber überlappende IP-Adressen und vollständig getrennte Routingentscheidungen behalten.

Technische Hürden und Lösungen

Jede VRF benötigt eigene Tabellen, Schnittstellen und oft eigene Routingprotokolle. Route Leaking muss ausdrücklich geplant werden. Managementdienste und Rückwege geraten leicht in die falsche Instanz. Trennung bedeutet zudem nicht automatisch verschlüsselten Verkehr.

Standardisierung und Einordnung

Routingverfahren beantworten die Frage, über welchen nächsten Knoten ein Paket sein Ziel erreicht. Ihre Entwicklung ist eng mit dem Wachstum des Internets und großer Unternehmensnetze verbunden. Die schwierigsten Probleme sind Schleifen, langsame Konvergenz, unvollständige Informationen und die Skalierung großer Tabellen. Kein Algorithmus kennt das gesamte reale Netz in Echtzeit; Router arbeiten mit ausgetauschten Zuständen, Regeln und Metriken.

Technik im praktischen Betrieb

Im Betrieb müssen Steuerungsebene und tatsächliche Weiterleitung getrennt geprüft werden. Eine Route kann im Protokoll gelernt, durch eine Richtlinie verworfen oder wegen eines anderen Präfixes nie verwendet werden. Nach Änderungen sind Nachbarschaft, Datenbank, Routingtabelle, Forwarding-Tabelle und Rückweg zu kontrollieren. Schnelle Konvergenz ist nicht automatisch stabil: zu aggressive Timer können kurze Lastspitzen als Leitungsfehler interpretieren. Zusammenfassungen und Filter reduzieren Größe, können aber Detailinformation verbergen.

Warum das Thema heute noch relevant ist

Die Relevanz dieser Verfahren wächst mit der Abhängigkeit von Netzen. Schon eine kleine fehlerhafte Ankündigung kann heute Rechenzentren, Cloudregionen oder Teile des Internets betreffen. Historisch gewachsene Vertrauensmodelle werden deshalb durch Filter, Authentifizierung, RPKI, Telemetrie und Automatisierung ergänzt. Trotzdem bleibt menschliche Kontrolle notwendig: Ein formal gültiger Weg kann geschäftlich oder sicherheitstechnisch falsch sein, und ein schneller Ersatzpfad kann andere Leitungen überlasten.

Daten und Meilensteine

• VRF trennt Routingtabellen innerhalb eines Geräts.
• VRF Lite arbeitet ohne MPLS-Providerkern.
• Route Distinguisher macht überlappende Präfixe in VPNv4 eindeutig.
• Route Targets steuern Import und Export zwischen VPNs.

Was ist VRF?

Virtual Routing and Forwarding (VRF) ist eine Technologie, die einen physischen Router in mehrere virtuelle Router unterteilt. Jedes VRF hat seinen eigenen Satz von Routing-Tabellen, Forwarding-Tabellen (FIB) und zugewiesenen Interfaces. VRFs sind vollständig voneinander isoliert — wie virtuelle Maschinen auf einem Server, aber für Routing.

Das ermöglicht es, denselben IP-Adressraum in verschiedenen VRFs zu verwenden (z.B. 192.168.1.0/24 in Kunde A UND Kunde B), ohne Konflikte. Im Zusammenspiel mit MPLS bildet VRF die Grundlage für L3VPN-Dienste bei Service-Providern.

VRF-Konfiguration und Konzepte

Jedes Interface wird einem VRF zugeordnet (ip vrf forwarding NAME). Routen, die über ein Interface empfangen werden, landen in der Routing-Tabelle des zugehörigen VRFs — nie im globalen Routing-Table.

VRF Lite: VRF ohne MPLS — in einem einzigen Gerät oder Netzwerk, ohne Provider-Backbone. Nützlich für: • Trennung von Kunden in Shared-Infrastructure • Management-VRF (Out-of-Band-Management-Netz) • Produktiv/Test/Dev-Netze auf demselben Gerät • Compliance-Anforderungen (PCI-DSS, HIPAA) — Netztrennung ohne extra Hardware

Route Leaking zwischen VRFs

VRFs sind standardmäßig vollständig isoliert. Route Leaking ermöglicht kontrollierten Datenaustausch zwischen VRFs:

Mit import/export Route Targets (RT) in MPLS-L3VPN können Routen selektiv zwischen VRFs ausgetauscht werden. Ohne MPLS: Statische Routen zwischen VRFs oder Policy-Based Routing. Typische Anwendung: Shared-Services-VRF (DNS, LDAP, Monitoring) das von allen Kunden-VRFs erreichbar ist, ohne dass Kunden untereinander kommunizieren können.

VRF in modernen Netzen

VRFs finden sich überall:

Service-Provider: MPLS-L3VPN für Geschäftskunden — jeder Kunde hat sein VRF auf den PE-Routern (Provider Edge). ISPs teilen so einen einzigen Backbone für hunderte Kunden.

Enterprises: Trennung von Produktions-, Test- und Management-Netzen. Guest-WLAN in separatem VRF, der nur ins Internet routed.

Data Centers: In modernen DC-Fabrics (Cisco ACI, Arista EVPN) ist VRF das Konzept für Layer-3-Tenants. Mehrere Tenants auf demselben Physical Fabric, vollständig isoliert.

FWFM (Firewall Virtuell Multi-Context) — ähnliches Konzept bei Firewalls.