Catalyst 4500 シリーズ スイッチ Cisco IOS ソフトウェア コンフィギュレーション ガイド Release 12.2(44)SG

VRF-Lite の設定

---

Virtual Private Network（VPN; バーチャル プライベート ネットワーク）は、ISP バックボーン ネットワーク上で帯域幅を共有する安全な手段をカスタマーに提供します。VPN は、共通のルーティング テーブルを共有するサイトの集まりです。カスタマーのサイトは、1 つまたは複数のインターフェイスでサービス プロバイダーのネットワークに接続され、サービス プロバイダーが各インターフェイスを VPN ルーティング テーブルに対応付けます。VPN ルーティング テーブルは、VPN Routing/Forwarding（VRF; VPN ルーティング/転送）テーブルと呼ばれます。

Catalyst 4500 シリーズ スイッチは、VRF-Lite 機能を使用して Customer Edge（CE; カスタマー エッジ）デバイスで複数の VRF インスタンスをサポートします（VRF-Liteは、Multi-VRF CE、または Multi-VRF CE デバイスともいいます）。VRF-Lite によって、サービス プロバイダーは 1 つのインターフェイスを使用して、重複する IP アドレスを持つ複数の VPN をサポートできます。

（注） スイッチは、VPN をサポートするのに Multiprotocol Label Switching（MPLS; マルチプロトコル ラベル スイッチング）を使用しません。MPLS VRF については、次の URL で『Cisco IOS Switching Services Configuration Guide』Release 12.3 を参照してください。

http://www.cisco.com/univerd/cc/td/doc/product/software/ios123/123cgcr/swit_vcg.htm

この章の内容は、次のとおりです。

• 「VRF-Lite の概要」

• 「VRF-Lite のデフォルト設定」

• 「VRF-Lite 設定時の注意事項」

• 「VRF の設定」

• 「VPN ルーティング セッションの設定」

• 「CE ルーティング セッションへの BGP PE の設定」

• 「VRF-Lite の設定例」

• 「VRF-Lite ステータスの表示」

（注） この章のスイッチ コマンドの構文および使用方法の詳細については、『Catalyst 4500 Series Switch Cisco IOS Command Reference』および次の URL の関連マニュアルを参照してください。

http://www.cisco.com/univercd/cc/td/doc/product/software/ios124/124cr/index.htm

VRF-Lite の概要

VRF-Lite の機能によって、サービス プロバイダーは、VPN 間で重複した IP アドレスを使用できる複数の VPN をサポートできます。VRF-Lite は入力インターフェイスを使用して異なる VPN のルートを区別し、各 VRF に 1 つまたは複数のレイヤ 3 インターフェイスを対応付けて仮想パケット転送テーブルを形成します。VRF のインターフェイスには、イーサネット ポートなどの物理インターフェイス、または VLAN（仮想 LAN）Switch Virtual Interface（SVI; スイッチ仮想インターフェイス）などの論理インターフェイスが有効ですが、レイヤ 3 インターフェイスは、複数の VRF に属することは常にできません。

（注） VRF-Lite インターフェイスは、レイヤ 3 インターフェイスである必要があります。

VRF-Lite には次のデバイスが含まれます。

• CE デバイスにおいて、カスタマーは、1 つまたは複数の Provider Edge（PE; プロバイダー エッジ）ルータへのデータ リンクを介してサービス プロバイダー ネットワークにアクセスできます。CE デバイスは、サイトのローカル ルートを PE ルータへアドバタイズし、PE ルータからリモート VPN ルートを学習します。Catalyst 4500 シリーズ スイッチは CE にすることができます。

• PE ルータは、スタティック ルーティング、または Border Gateway Protocol（BGP）、Routing Information Protocol バージョン 1（RIPv1）、Routing Information Protocol バージョン 2（RIPv2）などのルーティング プロトコルを使用して CE デバイスとルーティング情報を交換します。

• PE では、直接接続された VPN の VPN ルートを維持することだけが必要とされます。サービス プロバイダーのすべての VPN ルートを PE が維持する必要はありません。各 PE ルータは、直接接続されたサイトごとの VRF を維持します。このようなサイトのすべてが同一のVPNに参加する場合は、PE ルータ上の複数のインターフェイスを単一の VRF に対応付けることができます。各 VPN は、指定された VRF にマッピングされます。CE からローカルの VPN ルートが学習されると、PE ルータは Internal BGP（IBGP）を使用してその他の PE ルータと VPN ルーティング情報を交換します。

• プロバイダー ルータ（またはコア ルータ）は、CE デバイスに接続されていないサービス プロバイダー ネットワーク内のルータです。

VRF-Lite により、複数のカスタマーが 1 つの CE を共有でき、CE と PE の間には物理リンクが 1 つだけ使用されます。共有された CE は、カスタマーの別個の VRF テーブル、独自のルーティング テーブルに基づいて各カスタマーのパケットをスイッチングまたはルーティングします。VRF-Lite は、制限された PE 機能を CE デバイスに拡張して、VPN のプライバシーおよびセキュリティを支店に拡張するために、別個の VRF テーブルを維持する機能を提供しています。

図33-1 は、各 Catalyst 4500 シリーズ スイッチが複数の仮想 CE として動作する構成を示します。VRF-Lite はレイヤ 3 機能であるため、VRF の各インターフェイスはレイヤ 3 インターフェイスである必要があります。

図33-1 複数の仮想 CE として動作する Catalyst 4500 シリーズ スイッチ

次に、図33-1に表示される VRF-Lite CE 対応ネットワークのパケット転送プロセスを示します。

• CE が VPN からパケットを受信すると、CE は入力インターフェイスに基づいたルーティング テーブルを検索します。ルートが見つかると、CE はパケットを PE に転送します。

• 入力 PE が CE からのパケットを受信すると、VRF 検索を実行します。ルートが見つかると、ルータは対応する MPLS ラベルをパケットに追加して、それを MPLS ネットワークに送信します。

• 出力 PE がネットワークからパケットを受信すると、ラベルを除去し、そのラベルを使用して正しい VPN ルーティング テーブルを識別します。次に、出力 PE が通常のルート検索を行います。ルートが見つかると、PE はパケットを正しい隣接デバイスに転送します。

• CE が出力 PE からパケットを受信すると、CE は入力インターフェイスを使用して正しい VPN ルーティング テーブルを検索します。ルートが見つかると、CE はパケットを VPN 内に転送します。

VRF を設定するには、VRF テーブルを作成し、VRF に対応付けられたレイヤ 3 インターフェイスを指定します。次に、VPN、および CE と PE の間にルーティング プロトコルを設定します。BGP は、VPN ルーティング情報をプロバイダーのバックボーン上に配布するのに最適なルーティング プロトコルです。VRF-Lite ネットワークには、次の 3 つの主要なコンポーネントがあります。

• VPN ルート ターゲット コミュニティ ― VPN コミュニティの他のすべてのリストです。各 VPN コミュニティ メンバに VPN ルート ターゲットを設定する必要があります。

• VPN コミュニティ PE ルータのマルチプロトコル BGP ピアリング ― VPN コミュニティのすべてのメンバに VRF の到着可能性情報を伝播します。VPN コミュニティ内のすべての PE ルータに BGP ピアリングを設定する必要があります。

• VPN 転送 ― VPN サービスプロバイダー ネットワークのすべての VPN コミュニティ メンバ間のすべてのトラフィックを転送します。

VRF-Lite のデフォルト設定

表33-1 に、VRF のデフォルト設定を示します。

VRF-Lite 設定時の注意事項

ネットワークに VRF を設定する場合に、次の点に留意してください。

• VRF-Lite が設定されたスイッチは複数のカスタマーで共有され、すべてのカスタマーが独自のルーティング テーブルを持ちます。

• カスタマーは異なる VRF テーブルを使用するので、同一の IP アドレスを再使用できます。重複した IP アドレスは、異なる VPN で使用できます。

• VRF-Lite では、複数のカスタマーが PE と CE の間で同一の物理リンクを共有できます。複数の VLAN があるトランク ポートは、パケットをカスタマーごとに分類します。すべてのカスタマーが独自の VLAN を持ちます。

• VRF-Lite は、すべての MPLS-VRF 機能（ラベル交換、Label Distribution Protocol [LDP] の隣接関係、またはラベル付きパケット）をサポートしていません。

• PE ルータでは、VRF-Lite の使用と複数の CE の使用には違いがありません。図33-1では、複数の仮想レイヤ 3 インターフェイスが VRF-Lite デバイスに接続されています。

• Catalyst 4500 シリーズ スイッチは、物理ポート、VLAN SVI、またはその 2つの組み合わせを使用した VRF の設定をサポートしています。SVI は、アクセス ポートまたはトランク ポートを介して接続できます。

• カスタマーは、他のカスタマーと重複しないかぎり複数の VLAN を使用できます。カスタマーの VLAN は、スイッチに格納された適切なルーティング テーブルを識別するのに使用する、特定のルーティング テーブル ID にマッピングされます。

• レイヤ 3 Ternary CAM（TCAM）リソースは、すべての VRF 間で共有されます。各 VRF が十分な CAM（連想メモリ）領域を持つようにするには、maximum routes コマンドを使用します。

• VRF を使用した Catalyst 4500 シリーズ スイッチは、1 つのグローバル ネットワークと最大 64 の VRF をサポートできます。サポートされるルートの総数は、TCAM のサイズに制限されます。

• ほとんどのルーティング プロトコル（BGP、Open Shortest Path First [OSPF]、Enhanced Interior Gateway Routing Protocol [EIGRP]、Routing Information Protocol [RIP] 、およびスタティック ルーティング）を CE と PE 間で使用できます。ただし、次のような理由から External BGP（EBGP）の使用を推奨しています。

–BGP は、複数の CE と通信するのに複数のアルゴリズムを必要としません。

–BGP は、異なる管理下で実行されるシステム間でルーティング情報を渡すために設計されています。

–BGP を使用すると、CE にルートのアトリビュートを譲渡することが容易になります。

• VRF-Lite は、Interior Gateway Routing Protocol（IGRP）および ISIS をサポートしません。

• VRF-Lite は、パケット スイッチング レートに影響しません。

• マルチキャストを同時に同一のレイヤ 3 インターフェイス上に設定することはできません。

• router ospf の capability vrf-lite サブコマンドは、PE と CE 間のルーティング プロトコルとして OSPF が設定されている場合に使用する必要があります。

VRF の設定

1 つまたは複数の VRF を設定するには、次の作業を行います。

	コマンド	目的
ステップ 1	Switch# configure terminal	グローバル コンフィギュレーション モードを開始します。
ステップ 2	Switch(config)# ip routing	IP ルーティングをイネーブルにします。
ステップ 3	Switch(config)# ip vrf vrf-name	VRF 名を指定し、VRF コンフィギュレーション モードを開始します。
ステップ 4	Switch(config-vrf)# rd route-distinguisher	ルート識別子を指定して VRF テーブルを作成します。Autonomous System（AS; 自律システム）番号および任意の数（xxx:y）または IP アドレスおよび任意の数（A.B.C.D:y）のどちらかを入力します。
ステップ 5	Switch(config-vrf)# route-target { export | import | both } route-target-ext-community	指定された VRF のインポート、エクスポート、またはインポートおよびエクスポート ルート ターゲット コミュニティのリストを作成します。AS 番号および任意の数（xxx:y）、IP アドレスおよび任意の数（A.B.C.D:y）のどちらかを入力します。 （注） このコマンドは、BGP が稼働している場合にのみ有効です。
ステップ 6	Switch(config-vrf)# import map route-map	（任意）VRF にルート マップを対応付けます。
ステップ 7	Switch(config-vrf)# interface interface-id	インターフェイス コンフィギュレーション モードを開始して、VRF に対応付けるレイヤ 3 インターフェイスを指定します。有効なインターフェイスは、ルーテッド ポートまたは SVI です。
ステップ 8	Switch(config-if)# ip vrf forwarding vrf-name	VRF をレイヤ 3 インターフェイスに対応付けます。
ステップ 9	Switch(config-if)# end	特権 EXEC モードに戻ります。
ステップ 10	Switch# show ip vrf [ brief | detail | interfaces ] [ vrf-name ]	設定を確認します。設定した VRF に関する情報を表示します。
ステップ 11	Switch# copy running-config startup-config	（任意）コンフィギュレーション ファイルに設定を保存します。

（注） コマンドの構文および使用方法の詳細については、このリリースに対するスイッチ コマンド リファレンスおよび『Cisco IOS Switching Services Command Reference』Release 12.2 を参照してください。

VRF を削除、および VRF からすべてのインターフェイスを削除するには、 no ip vrf vrf-name グローバル コンフィギュレーション コマンドを使用します。VRF から 1 つのインターフェイスを削除するには、 no ip vrf forwarding インターフェイス コンフィギュレーション コマンドを使用します。

VPN ルーティング セッションの設定

VPN 内のルーティングは、サポートされるルーティング プロトコル（RIP、OSPF、または BGP）、またはスタティック ルーティングで設定できます。ここで表示する設定は OSPF 用ですが、その他のプロトコルでもプロセスは同じです。

VPN に OSPF を設定するには、次の作業を行います。

OSPF ルーティング プロセスから VPN 転送テーブルの対応付けを解除するには、 no router ospf process-id vrf vrf-name グローバル コンフィギュレーション コマンドを使用します。

CE ルーティング セッションへの BGP PE の設定

CE ルーティング セッションに BGP PE を設定するには、次の作業を行います。

BGP ルーティング プロセスを削除するには、 no router bgp autonomous-system-number グローバル コンフィギュレーション コマンドを使用します。ルーティングの特性を削除するには、キーワードとともにコマンドを使用します。

VRF-Lite の設定例

図33-2は、図33-1 と類似したネットワークの物理接続を簡略化した例です。OSPFは、VPN1、VPN2、およびグローバル ネットワークで使用されるプロトコルです。BGP は、CE と PE の接続に使用されます。次の例のコマンドは、CE スイッチ S8 を設定する方法を示し、スイッチ S20 および S11 の VRF 設定、およびスイッチ S8 のトラフィックに関連する PE ルータ コマンドが含まれます。その他のスイッチの設定のコマンドは含まれていませんが、類似したものになります。

図33-2 VRF-Lite の設定例

VRF-Lite ステータスの表示

VRF-Lite の設定およびステータスに関する情報を表示するには、次の作業のいずれかを行います。

（注） この出力の情報の詳細については、次の URL の『Cisco IOS Switching Services Command Reference』Release 12.2 を参照してください。

http://www.cisco.com/univercd/cc/td/doc/product/software/ios122/122cgcr/fswtch_r