Kaspersky SD-WAN

Работа с виртуальными таблицами маршрутизации (VRF)

Развернуть всё | Свернуть всё

Kaspersky SD-WAN поддерживает технологию Virtual Routing and Forwarding (VRF) для создания виртуальных таблиц маршрутизации на устройствах CPE. Вы можете создать не более 100 виртуальных таблиц маршрутизации.

При создании виртуальной таблицы маршрутизации вам нужно выбрать сетевые интерфейсы, которые хотите в нее добавить. Один сетевой интерфейс невозможно добавить в несколько виртуальных таблиц маршрутизации. Сетевые интерфейсы для подключения устройства CPE к контроллеру и оркестратору автоматически добавляются в виртуальную таблицу маршрутизации по умолчанию, и вы не можете добавить их в другие виртуальные таблицы маршрутизации.

Если сетевые интерфейсы добавлены в разные виртуальные таблицы маршрутизации, подключенные к этим сетевым интерфейсам сети не имеют доступа друг к другу. При этом сетевым интерфейсам можно назначить IP-адреса из одинаковых или пересекающихся подсетей.

Когда вы создаете виртуальную таблицу маршрутизации, на устройстве CPE автоматически создается системный сетевой интерфейс, соответствующий этой виртуальной таблице маршрутизации. Системный сетевой интерфейс используется для передачи трафика между сетевыми интерфейсами в виртуальной таблице маршрутизации. Для работы системного сетевого интерфейса вам нужно создать для него запись в веб-интерфейсе оркестратора.

Если сетевым интерфейсам в виртуальной таблице маршрутизации не назначены зоны межсетевого экрана, вам нужно убедиться, что по умолчанию межсетевой экран устройства CPE принимает пакеты трафика, пересылаемые между сетевыми интерфейсами и подсетями. Вы можете указать действия по умолчанию при настройке основных параметров межсетевого экрана.

Если сетевым интерфейсам в виртуальной таблице маршрутизации назначены зоны межсетевого экрана, и по умолчанию межсетевой экран устройства CPE не принимает пакеты трафика, пересылаемые между сетевыми интерфейсами и подсетями, вам нужно назначить системному сетевому интерфейсу зону межсетевого экрана. Назначенная зона межсетевого экрана также должна быть назначена одному из сетевых интерфейсов в виртуальной таблице маршрутизации.

Вы можете добавить в виртуальные таблицы маршрутизации BGP-маршруты и статические маршруты устройства CPE. Для добавления BGP-маршрутов в виртуальную таблицу маршрутизации вам нужно указать эту виртуальную таблицу маршрутизации при настройке основных параметров BGP. Для добавления статического маршрута в виртуальную таблицу маршрутизации вам нужно указать эту виртуальную таблицу маршрутизации при добавлении статического маршрута.

Виртуальные таблицы маршрутизации можно использовать в следующих сценариях:

• Сегментация сети с помощью виртуальных таблиц маршрутизации.

  Вы можете создать виртуальные таблицы маршрутизации, чтобы сегментировать сеть. На рисунке ниже сеть Network 1 построена между сетевым интерфейсом overlay1 и пользовательским персональными компьютерами (PC), а Network 2 – между сетевым интерфейсом overlay2 и банкоматами (ATM). Оба сетевых интерфейса находятся в виртуальной таблице маршрутизации по умолчанию (Default VRF), поэтому сети имеют доступ друг к другу и являются небезопасными.

  

  Подключенные к разным сетям сетевые интерфейсы в виртуальной таблице маршрутизации по умолчанию

  Для изоляции сетей Network 1 и Network 2 сетевые интерфейсы overlay1 и overlay2 необходимо добавить в разные виртуальные таблицы маршрутизации, в результате чего будут созданы два сегмента (см. рисунок ниже).

  

  Подключенные к разным сетям сетевые интерфейсы в отдельных виртуальных таблицах маршрутизации

• Передача маршрута 0.0.0.0/0 по протоколу BGP.

  Вы можете создать отдельную виртуальную таблицу маршрутизации, чтобы передавать между устройствами маршрут 0.0.0.0/0 по протоколу BGP. На рисунке ниже представлено устройство CPE с ролью шлюза SD-WAN (GW) и стандартное устройство. Все устройства CPE добавлены в виртуальную таблицу маршрутизации по умолчанию.

  Если шлюз SD-WAN передает маршрут 0.0.0.0/0 по протоколу BGP с сетевого интерфейса overlay 10.10.10.254/24 на overlay 10.10.10.1/24, этот маршрут невозможно использовать. Это происходит потому, что в виртуальной таблице маршрутизации по умолчанию уже есть маршруты 0.0.0.0/0 с более низкой административной дистанцией для подключения к контроллеру и оркестратору.

  

  Передача маршрута 0.0.0.0/0 на устройство CPE с виртуальной таблицей маршрутизации по умолчанию

  Для передачи маршрута 0.0.0.0/0 по протоколу BGP через сетевой интерфейс overlay 10.10.10.254/24 на overlay 10.10.10.1/24 необходимо создать отдельную таблицу для сетевого интерфейса overlay 10.10.10.1/24 и добавить в нее BGP-маршруты (см. рисунок ниже).

  

  Передача маршрута 0.0.0.0/0 на устройство CPE с отдельной виртуальной таблицей маршрутизации для BGP-маршрутов

Таблица виртуальных таблиц маршрутизации отображается в шаблоне CPE и на устройстве CPE:

• Для отображения таблицы виртуальных таблиц маршрутизации в шаблоне CPE вам нужно в меню перейти в раздел SD-WAN → Шаблоны CPE, нажать на шаблон CPE и выбрать вкладку VRF.
• Для отображения таблицы виртуальных таблиц маршрутизации на устройстве CPE вам нужно в меню перейти в раздел SD-WAN → Устройства CPE, нажать на устройство CPE и выбрать вкладку VRF.

Информация о виртуальных таблицах маршрутизации отображается в следующих столбцах таблицы:

• Имя – имя виртуальной таблицы маршрутизации.
• Таблица – идентификатор виртуальной таблицы маршрутизации.
• Интерфейсы – сетевые интерфейсы, которые были добавлены в виртуальную таблицу маршрутизации.