H3C VRF（VPN-instance）

1. 概述

VRF（Virtual Routing and Forwarding，虚拟路由转发）在 H3C 设备中称为 VPN-instance，本质是在一台物理设备上创建多个相互独立的路由表和转发表，实现三层路由隔离。

每个 VRF 实例拥有独立的：

路由表
转发信息表（FIB）
绑定的三层接口
RD（路由区分符）
VPN-Target / RT（路由目标）

VRF 不是 VLAN 的替代品，而是互补技术。VLAN 做二层隔离，VRF 做三层路由隔离。

2. 适用场景

多业务网络隔离（办公、生产、访客、IoT 等）
多租户/多部门 IP 地址重叠共存
跨站点 L3VPN 互通（MPLS VPN 场景）
多出口分流（不同 VRF 走不同上网出口）
防火墙引流与东西向安全隔离

3. 关键概念

概念	说明
VPN-instance / VRF	设备上的私有路由转发实例
RD（Route Distinguisher）	用于区分不同 VRF 中的相同 IP 前缀，同一设备上必须唯一
VPN-Target / RT	控制路由导入（Import）和导出（Export），决定哪些路由进入/离开该 VRF
Public 路由表	默认全局路由表，未绑定 VRF 的接口属于公网

RD 常见格式：

AS号:自定义数，如 65001:1
IP地址:自定义数，如 10.1.1.1:1
32位AS号:16位自定义数，如 65536:1

4. 基础配置步骤

4.1 创建 VRF 实例

system-view
[H3C] ip vpn-instance OFFICE
[H3C-vpn-instance-OFFICE] description "办公网络VRF"
[H3C-vpn-instance-OFFICE] route-distinguisher 65001:1
[H3C-vpn-instance-OFFICE] vpn-target 65001:1 export-extcommunity
[H3C-vpn-instance-OFFICE] vpn-target 65001:1 import-extcommunity
[H3C-vpn-instance-OFFICE] quit

RD 在同一设备上必须唯一；VPN-Target 用于控制路由导入导出，MPLS VPN 场景下尤为重要。

4.2 接口绑定 VRF

[H3C] interface GigabitEthernet1/0/1
[H3C-GigabitEthernet1/0/1] ip binding vpn-instance OFFICE
[H3C-GigabitEthernet1/0/1] ip address 10.1.1.1 24
[H3C-GigabitEthernet1/0/1] quit

注意：绑定 VRF 会清除接口原有 IP 地址，必须重新配置。

4.3 VLAN 接口绑定 VRF

[H3C] interface Vlan-interface 100
[H3C-Vlan-interface100] ip binding vpn-instance OFFICE
[H3C-Vlan-interface100] ip address 10.1.1.1 24
[H3C-Vlan-interface100] quit

4.4 配置 VRF 内静态路由

[H3C] ip route-static vpn-instance OFFICE 0.0.0.0 0 10.1.1.254

4.5 配置 VRF 内动态路由（OSPF 示例）

[H3C] ospf 1 vpn-instance OFFICE
[H3C-ospf-1-OFFICE] area 0
[H3C-ospf-1-area-0.0.0.0] network 10.1.1.0 0.0.0.255
[H3C-ospf-1-area-0.0.0.0] quit
[H3C-ospf-1-OFFICE] quit

5. 跨 VRF 通信

VRF 之间默认完全隔离。如需互通，常见方式：

静态路由 + public 关键字：将 VRF 路由指向全局路由表，或反之。
防火墙引流：不同 VRF 流量经过防火墙，由安全策略控制互访。
OSPF 多实例：通过多 OSPF 进程实现路由交叉。

示例：VRF 路由指向全局路由表

[H3C] ip route-static vpn-instance OFFICE 192.168.1.0 24 10.1.1.254 public

public 参数表示该路由的下一跳在全局路由表中迭代。

6. 验证与维护

# 查看所有 VRF 实例
display ip vpn-instance

# 查看指定 VRF 实例详细信息
display ip vpn-instance name OFFICE

# 查看 VRF 内的路由表
display ip routing-table vpn-instance OFFICE

# VRF 内 Ping 测试
ping -vpn-instance OFFICE 10.1.1.100

# VRF 内 Tracert 测试
tracert -vpn-instance OFFICE 10.1.1.100

7. 常见注意事项

先绑 VRF，再配 IP：绑定操作会清除接口已有 IP 地址。
RD 必须唯一：同一设备上不同 VRF 的 RD 不能重复。
VRF ≠ VLAN：VLAN 隔离二层广播域，VRF 隔离三层路由表，两者配合使用效果最佳。
跨 VRF 需显式放行：默认完全隔离，互通必须通过静态路由、防火墙或路由协议实现。
防火墙场景：VRF 接口需划入对应安全域，并配置域间安全策略。
型号确认：不同 H3C 平台（S6520、S6850、S12500、SR6600 等）对 VRF 的支持细节可能略有差异，建议以对应型号的配置手册为准。

8. 完整配置示例

假设在一台 H3C 核心交换机上为两个部门创建隔离 VRF：

部门	VRF 名称	RD	网段	接口
研发	RND_VRF	65001:10	10.10.0.0/24	Vlan-interface 10
财务	FIN_VRF	65001:20	10.20.0.0/24	Vlan-interface 20

system-view
sysname Core-SW

# 创建研发 VRF
ip vpn-instance RND_VRF
 description "研发部门网络"
 route-distinguisher 65001:10
 vpn-target 65001:10 export-extcommunity
 vpn-target 65001:10 import-extcommunity
quit

# 创建财务 VRF
ip vpn-instance FIN_VRF
 description "财务部门网络"
 route-distinguisher 65001:20
 vpn-target 65001:20 export-extcommunity
 vpn-target 65001:20 import-extcommunity
quit

# 绑定研发 VRF 接口
interface Vlan-interface 10
 ip binding vpn-instance RND_VRF
 ip address 10.10.0.1 24
quit

# 绑定财务 VRF 接口
interface Vlan-interface 20
 ip binding vpn-instance FIN_VRF
 ip address 10.20.0.1 24
quit

# 研发 VRF 默认路由
ip route-static vpn-instance RND_VRF 0.0.0.0 0 10.10.0.254

# 财务 VRF 默认路由
ip route-static vpn-instance FIN_VRF 0.0.0.0 0 10.20.0.254

验证：

display ip vpn-instance
display ip routing-table vpn-instance RND_VRF
display ip routing-table vpn-instance FIN_VRF
ping -vpn-instance RND_VRF 10.10.0.100
ping -vpn-instance FIN_VRF 10.20.0.100