Module 1 · Chapitre 1.9.X

Les VRFs

VRF lite : créer plusieurs tables de routage virtuelles isolées sur un même routeur, comme des VLANs pour la couche 3.

Le problème : une seule table de routage par défaut

Par défaut, un routeur ne possède qu’une seule table de routage, dite globale. Elle regroupe tous les réseaux directement connectés et tous les préfixes appris (routes statiques ou dynamiques). Tant qu’on gère un seul réseau, cela suffit.

Mais imaginez un routeur partagé entre deux clients différents qui utilisent, par malchance, les mêmes plages d’adresses, et qui ne doivent surtout pas se voir. Avec une seule table, c’est impossible : les routes se mélangent et l’isolation n’existe pas.

• Une seule table globale = un seul espace de routage partagé par tout le monde.
• Deux clients avec des IP qui se chevauchent créent des conflits.
• Aucune étanchéité entre les réseaux qui transitent par le routeur.

Le VRF : des « VLANs pour la couche 3 »

Un VRF (Virtual Routing and Forwarding) permet de créer plusieurs tables de routage virtuelles et totalement isolées sur un même routeur physique. Chaque interface est rattachée à un VRF, et chaque VRF a sa propre table : c’est exactement l’idée d’un VLAN, mais appliquée au routage (couche 3) au lieu de la commutation (couche 2).

• Chaque VRF a sa propre table de routage, indépendante des autres.
• Deux VRF peuvent utiliser les mêmes adresses IP sans aucun conflit.
• Le trafic d’un VRF ne peut pas passer dans un autre sans configuration explicite.

Quand on utilise les VRF sans MPLS, on parle de VRF lite — c’est le cas que nous étudions ici. Les VRF sont aussi la brique de base des VPN MPLS chez les opérateurs.

Configurer un VRF lite : les 3 étapes

La mise en place tient en trois commandes, à comprendre plutôt qu’à réciter. Prenons deux clients, Blue et Red, sur un routeur partagé.

1. Créer les VRF — on déclare simplement chaque table virtuelle par son nom :

2. Rattacher les interfaces — chaque interface est affectée à un VRF. Attention : appliquer ip vrf forwarding efface l’adresse IP existante, il faut donc la remettre juste après :

3. Un routage par VRF — chaque VRF a besoin de ses propres routes. Avec OSPF, on lance un processus rattaché au VRF :

• ip vrf <nom> — crée la table virtuelle.
• ip vrf forwarding <nom> — place l’interface dans ce VRF (et efface l’IP, à reconfigurer).
• router ospf <id> vrf <nom> — associe un processus de routage au VRF (idem pour EIGRP/BGP).

La topologie d’exemple

Deux clients, Blue et Red, sont raccordés à un routeur ISP commun. Chaque client possède deux sites (une paire de routeurs) qui doivent se joindre entre eux, mais rester invisibles pour l’autre client. Côté client, la configuration est classique et identique dans son principe :

Configuration type d’un routeur client (ici Blue1) — aucune notion de VRF, c’est un routeur ordinaire :

Les trois autres routeurs clients (Blue2, Red1, Red2) suivent le même modèle, avec leurs propres adresses. Toute l’intelligence de l’isolation se trouve sur le routeur ISP :

Configuration du routeur ISP partagé — chaque interface est rattachée au bon VRF, et chaque client a son propre processus OSPF :

Vérifier que l’isolation fonctionne

Une fois configuré, il faut prouver que Blue et Red sont bien étanches. Trois commandes suffisent.

Ce qu’il faut retenir

Le VRF lite transforme un routeur unique en plusieurs routeurs logiques étanches. On crée les VRF, on y rattache les interfaces, on associe un routage à chacun, puis on vérifie l’isolation avec les commandes vrf. C’est simple, puissant, et incontournable dès qu’un même équipement doit servir plusieurs entités sans qu’elles se voient.