Catalyst 4500 シリーズ スイッチ Cisco IOS ソフトウェア コンフィギュレーション ガイド リリース IOS XE 3.4.0SG および IOS 15.1(2)SG

VRF-Lite の設定

---

Virtual Private Network（VPN; バーチャル プライベート ネットワーク）は、ISP バックボーン ネットワーク上でお客様にセキュアな帯域幅共有を提供します。VPN は、共通ルーティング テーブルを共有するサイトの集合です。カスタマーのサイトは、1 つまたは複数のインターフェイスでサービス プロバイダーのネットワークに接続され、サービス プロバイダーが各インターフェイスを VPN ルーティング テーブルに対応付けます。VPN ルーティング テーブルは、VPN Routing/Forwarding（VRF; VPN ルーティング/転送）テーブルと呼ばれます。

Catalyst 4500 シリーズ スイッチは、VRF-Lite 機能を使用して Customer Edge（CE; カスタマー エッジ）デバイスで複数の VRF インスタンスをサポートします。（VRF-Lite は、Multi-VRF CE、または Multi-VRF CE デバイスともいいます）。VRF-Lite によって、サービス プロバイダーは 1 つのインターフェイスを使用して、重複する IP アドレスを持つ複数の VPN をサポートできます。

（注） Cisco IOS Release 12.2(52)SG から、Catalyst 4500 シリーズ スイッチでは、ルーティング プロトコル OSPF/EIGRP/BGP での VRF-Lite NSF サポートがサポートされています。

（注） スイッチでは、VPN のサポートのためにマルチプロトコル ラベル スイッチング（MPLS）が使用されません。MPLS VRF の詳細については、次の URL で『Cisco IOS Switching Services Configuration Guide』を参照してください。

http://www.cisco.com/en/US/docs/ios/mpls/configuration/guide/mp_vpn_ipv4_ipv6_ps6922_TSD_Products_Configuration_Guide_Chapter.html

この章の内容は、次のとおりです。

• 「VRF-Lite について」

• 「VRF-Lite のデフォルト設定」

• 「VRF-Lite 設定時の注意事項」

• 「VRF の設定」

• 「VRF 認識サービスの設定」

• 「TACACS+ サーバ用の Per-VRF の設定」

• 「マルチキャスト VRF の設定」

• 「VPN ルーティング セッションの設定」

• 「BGP PE/CE ルーティング セッションの設定」

• 「VRF-Lite の設定例」

• 「VRF-Lite ステータスの表示」

（注） この章で使用するスイッチ コマンドの構文および使用方法の詳細については、次の URL で『Cisco Catalyst 4500 Series Switch Command Reference』と関連資料を参照してください。

http://www.cisco.com/en/US/products//hw/switches/ps4324/index.html

『Catalyst 4500 Series Switch Command Reference』に掲載されていないコマンドについては、より詳細な Cisco IOS ライブラリを参照してください。次の URL で『Cisco IOS Command Reference』と関連資料を参照してください。

http://www.cisco.com/en/US/products/ps6350/index.html

VRF-Lite について

VRF-Lite の機能によって、サービス プロバイダーは、VPN 間で重複した IP アドレスを使用できる複数の VPN をサポートできます。VRF-Lite は入力インターフェイスを使用して異なる VPN のルートを区別し、各 VRF に 1 つまたは複数のレイヤ 3 インターフェイスを対応付けて仮想パケット転送テーブルを形成します。VRF のインターフェイスは、イーサネット ポートなどの物理インターフェイス、または VLAN SVI などの論理インターフェイスにすることができますが、レイヤ 3 インターフェイスは、一度に複数の VRF に属することはできません。

（注） VRF-Lite インターフェイスは、レイヤ 3 インターフェイスである必要があります。

VRF-Lite には次のデバイスが含まれます。

• CE デバイスにおいて、カスタマーは、1 つまたは複数のプロバイダー エッジ（PE）ルータへのデータ リンクを介してサービス プロバイダー ネットワークにアクセスできます。CE デバイスは、サイトのローカル ルートをプロバイダー エッジ ルータにアドバタイズし、そこからリモート VPN ルートを学習します。Catalyst 4500 シリーズ スイッチは CE にすることができます。

• プロバイダー エッジ（PE）ルータは、スタティック ルーティングまたはルーティング プロトコル（BGP、RIPv1、RIPv2 など）を使用して、CE デバイスとルーティング情報を交換します。

PE では、直接接続された VPN の VPN ルートを維持することだけが必要とされます。サービス プロバイダーのすべての VPN ルートを PE が維持する必要はありません。各 PE ルータは、直接接続しているサイトごとに VRF を維持します。すべてのサイトが同じ VPN に存在する場合は、PE ルータの複数のインターフェイスを 1 つの VRF に関連付けることができます。各 VPN は、指定された VRF にマッピングされます。PE ルータは、ローカル VPN ルートを CE から学習したあとで、IBGP を使用して別の PE ルータと VPN ルーティング情報を交換します。

• プロバイダー ルータ（またはコア ルータ）とは、サービス プロバイダー ネットワーク内にあり、CE デバイスに接続していないすべてのルータです。

VRF-Lite を使用すると、複数のお客様が 1 つの CE を共有できます。また、1 つの物理リンクのみが CE と PE 間に使用されます。共有 CE は、お客様ごとに別々の VRF テーブルを維持し、独自のルーティング テーブルに基づいて、お客様ごとにパケットをスイッチングまたはルーティングします。VRF-Lite は限定された PE の機能を CE デバイスに拡張して、個別の VRF テーブルを保守する機能を付与し、VPN のプライバシーおよびセキュリティをブランチ オフィスまで拡張します。

図 40-1 は、各 Catalyst 4500 シリーズ スイッチが複数の仮想 CE として動作する構成を示します。VRF-Lite はレイヤ 3 機能であるため、VRF の各インターフェイスはレイヤ 3 インターフェイスである必要があります。

図 40-1 複数の仮想 CE として動作する Catalyst 4500 シリーズ スイッチ

図 40-1 で、VRF-Lite の CE 対応ネットワークでのパケット転送プロセスについて説明します。

• CE が VPN からパケットを受信すると、CE は入力インターフェイスに基づいたルーティング テーブルを検索します。ルートが見つかると、CE はパケットを PE に転送します。

• 入力 PE は、CE からパケットを受信すると、VRF 検索を実行します。ルートが見つかると、ルータは対応する MPLS ラベルをパケットに追加し、MPLS ネットワークに送信します。

• 出力 PE は、ネットワークからパケットを受信すると、ラベルを除去してそのラベルを使用し、正しい VPN ルーティング テーブルを識別します。次に、出力 PE が通常のルート検索を行います。ルートが見つかると、パケットを正しい隣接デバイスに転送します。

• CE が出力 PE からパケットを受信すると、CE は入力インターフェイスを使用して正しい VPN ルーティング テーブルを検索します。ルートが見つかると、CE はパケットを VPN 内に転送します。

VRF を設定するには、VRF テーブルを作成し、VRF に対応付けられたレイヤ 3 インターフェイスを指定します。次に、VPN および CE と PE 間でルーティング プロトコルを設定します。BGP は、プロバイダーのバックボーンで VPN のルーティング情報を配布するために使用される優先ルーティング プロトコルです。VRF-Lite ネットワークには、次の 3 つの主要なコンポーネントがあります。

• VPN ルート ターゲット コミュニティ：VPN コミュニティの他のすべてのメンバをリストします。VPN コミュニティ メンバごとに VPN ルート ターゲットを設定する必要があります。

• VPN コミュニティ PE ルータのマルチプロトコル BGP ピアリング：VPN コミュニティのすべてのメンバに VRF の到着可能性情報を伝播します。VPN コミュニティのすべての PE ルータで BGP ピアリングを設定する必要があります。

• VPN 転送：VPN サービスプロバイダー ネットワークのすべての VPN コミュニティ メンバ間のすべてのトラフィックを転送します。

VRF-Lite のデフォルト設定

表 40-1 に、VRF のデフォルト設定を示します。

VRF-Lite 設定時の注意事項

ネットワークに VRF を設定する場合に、次の点に留意してください。

• VRF-Lite が設定されたスイッチは複数のカスタマーで共有され、すべてのカスタマーが独自のルーティング テーブルを持ちます。

• カスタマーは別々の VRF テーブルを使用するので、同じ IP アドレスを再利用できます。別々の VPN では IP アドレスの重複が許可されます。

• VRF-Lite では、複数のカスタマーが PE と CE の間で同一の物理リンクを共有できます。複数の VLAN を持つトランク ポートでは、パケットがお客様間で分離されます。すべてのカスタマーが独自の VLAN を持ちます。

• VRF-Lite は、すべての MPLS-VRF 機能（ラベル交換、Label Distribution Protocol（LDP）の隣接関係、またはラベル付きパケット）をサポートしていません。

• PE ルータでは、VRF-Lite の使用と複数の CE の使用には違いがありません。図 40-1 では、複数の仮想レイヤ 3 インターフェイスが VRF-Lite デバイスに接続されています。

• Catalyst 4500 シリーズ スイッチは、物理ポート、VLAN SVI、またはその 2 つの組み合わせを使用した VRF の設定をサポートしています。アクセス ポートまたはトランク ポート経由で SVI を接続できます。

• お客様は、別のお客様と重複しないかぎり、複数の VLAN を使用できます。お客様の VLAN は、スイッチに保存されている適切なルーティング テーブルの識別に使用される特定のルーティング テーブル ID にマッピングされます。

• レイヤ 3 TCAM リソースは、すべての VRF 間で共有されます。各 VRF が十分な CAM 領域を持つようにするには、maximum routes コマンドを使用します。

• VRF を使用した Catalyst 4500 シリーズ スイッチは、1 つのグローバル ネットワークと最大 64 の VRF をサポートできます。サポートされるルートの総数は、TCAM のサイズに制限されます。

• CE と PE 間のほとんどのルーティング プロトコル（BGP、OSPF、EIGRP、RIP、およびスタティック ルーティング）を使用できます。ただし、次の理由から External BGP（EBGP）を使用することを推奨します。

– BGP では、複数の CE とのやり取りに複数のアルゴリズムを必要としません。

– BGP は、さまざまな管理者によって稼働するシステム間でルーティング情報を渡すように設計されています。

– BGP では、ルートの属性を CE に簡単に渡すことができます。

• VRF-Lite は、Interior Gateway Routing Protocol（IGRP）および ISIS をサポートしません。

• VRF-Lite は、パケット スイッチング レートに影響しません。

• Cisco IOS Release 12.2(50)SG から、マルチキャストと VRF は、レイヤ 3 インターフェイスに一緒に設定できます。

• Catalyst 4500 シリーズ スイッチでは、すべての PIM プロトコル（PIM-SM、PIM-DM、PIM-SSM、PIM BiDIR）がサポートされます。

• router ospf の capability vrf-lite サブコマンドは、PE と CE 間のルーティング プロトコルとして OSPF が設定されている場合に使用する必要があります。

VRF の設定

1 つまたは複数の VRF を設定するには、次の作業を行います。

（注） 次のコマンドの構文および使用方法の詳細については、このリリースのスイッチ コマンド リファレンスと、http://www.cisco.com/en/US/docs/ios/ipswitch/command/reference/isw_book.html にある『Cisco IOS Switching Services Command Reference』を参照してください。

VRF を削除してすべてのインターフェイスを削除するには、 no ip vrf vrf-name グローバル コンフィギュレーション コマンドを使用します。VRF からあるインターフェイスを削除するには、 no ip vrf forwarding インターフェイス コンフィギュレーション コマンドを使用します。

VRF 認識サービスの設定

IP サービスは、グローバルなインターフェイス上と、グローバルなルーティング インスタンス内で設定できます。IP サービスは複数のルーティング インスタンス上で稼働するように拡張されます。これが、VRF 認識です。システム内の任意の設定済み VRF であればいずれも、VRF 認識サービス用に指定できます。

VRF 認識サービスは、プラットフォームから独立したモジュールに実装されています。VRF は、Cisco IOS 内の複数のルーティング インスタンスを提供します。各プラットフォームには、サポートする VRF 数に関して独自の制限があります。

VRF 認識サービスには、次の特性があります。

• ユーザは、ユーザ指定の VRF 内のホストに ping を実行できます。

• ARP エントリは、個別の VRF で学習されます。ユーザは、特定の VRF の ARP エントリを表示できます。

これらのサービスは VRF 認識です。

• ARP

• ping

• 簡易ネットワーク管理プロトコル（SNMP）

• Unicast Reverse Path Forwarding（uRPF; ユニキャスト RPF）

• Syslog

• traceroute

• FTP および TFTP

• Telnet および SSH

• NTP

TACACS+ サーバ用の Per-VRF の設定

TACACS+ サーバ機能の per-VRF は TACACS+ サーバの per- 仮想単位ルート転送（per-VRF）の認証、認可、アカウンティング（AAA）を設定することができます。

TACACS+ サーバの per-VRF を設定する前に、AAA およびサーバ グループを設定しておく必要があります。VRF ルーティング テーブル（ステップ 3 および 4 で示すように）を作成し、インターフェイスを設定する（ステップ 6、7、および 8）ことができます。TACACS+ サーバの per-VRF 単位の実際の設定は、ステップ 10～13 で行われます。

次の例で、per-VRF TACACS+ の設定に必要なすべての手順をリストします。

Switch> enable

Switch# configure terminal

Switch (config)# ip vrf cisco

Switch (config-vrf)# rd 100:1

Switch (config-vrf)# exit

Switch (config)# interface Loopback0

Switch (config-if)# ip vrf forwarding cisco

Switch (config-if)# ip address 10.0.0.2 255.0.0.0

Switch (config-if)# exit

Switch (config-sg-tacacs+)# ip vrf forwarding cisco

Switch (config-sg-tacacs+)# ip tacacs source-interface Loopback0

Switch (config-sg-tacacs)# exit

TACACS+ サーバの per-VRF の設定の詳細については、『Cisco IOS Per VRF for TACACS + Server, Release 12.3(7)T』を参照してください。

マルチキャスト VRF の設定

VRF テーブル内でマルチキャストを設定するには、次の作業を行います。

Multi-VRF CE 内でのマルチキャスト設定の詳細については、『Cisco IOS IP Multicast Configuration Guide, Release 12.4』を参照してください。

VRF を削除してすべてのインターフェイスを削除するには、 no ip vrf vrf-name グローバル コンフィギュレーション コマンドを使用します。VRF からあるインターフェイスを削除するには、 no ip vrf forwarding インターフェイス コンフィギュレーション コマンドを使用します。

VPN ルーティング セッションの設定

VPN 内のルーティングは、サポートされるルーティング プロトコル（RIP、OSPF、または BGP）、またはスタティック ルーティングで設定できます。ここで説明する設定は OSPF のものですが、その他のプロトコルでも手順は同じです。

VPN に OSPF を設定するには、次の作業を行います。

VPN 転送テーブルと OSPF ルーティング プロセスの関連付けを解除するには、 no router ospf process-id vrf vrf-name グローバル コンフィギュレーション コマンドを使用します。

次の例は、VRF-RED という名前の単一の VRF を設定します。

BGP PE/CE ルーティング セッションの設定

CE ルーティング セッションに BGP PE を設定するには、次の作業を行います。

BGP ルーティング プロセスを削除するには、 no router bgp autonomous-system-number グローバル コンフィギュレーション コマンドを使用します。ルーティング特性を削除するには、コマンドにキーワードを指定してこのコマンドを使用します。

VRF-Lite の設定例

図 40-2 は、図 40-1 と同じネットワークの物理接続を単純化した例です。VPN1、VPN2、およびグローバル ネットワークで使用されるプロトコルは OSPF です。CE/PE 接続には BGP が使用されます。次の例のコマンドは、CE スイッチ S8 を設定する方法を示し、スイッチ S20 および S11 の VRF 設定、およびスイッチ S8 のトラフィックに関連する PE ルータ コマンドが含まれます。その他のスイッチの設定のコマンドは含まれていませんが、類似したものになります。

図 40-2 VRF-Lite の設定例

VRF-Lite ステータスの表示

VRF-Lite の設定およびステータスに関する情報を表示するには、次の作業のいずれかを行います。

次に、VRF インスタンス内のマルチキャスト ルート テーブル情報を表示する例を示します。

（注） 表示される情報の詳細については、次の URL にある『Cisco IOS Switching Services Command Reference』を参照してください。

http://www.cisco.com/en/US/docs/ios/ipswitch/command/reference/isw_book.html