• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
  • 漏洞说明
  • 全部
  • 全部
  • 大数据引擎
  • 知了引擎
产品线
搜索
取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式
高级搜索

V7防火墙通过route-replicate实现public实例和自定义VRF间路由互通

2022-01-12 发表
  • 1关注
  • 18收藏 4642浏览
粉丝:34人 关注:1人

组网及说明


FW接口g1/0/1连接运营商网络,属于缺省public实例(缺省vrf)g1/0/2g1/0/3g1/0/4分别作为内网vlan 2vlan3vlan4的网关。其中g1/0/2属于public实例,可以访问运营商网络;g1/0/3属于vrf3g1/0/4属于vrf4,暂时不能访问运营商网络。

 

要求:通过路由复制实现public实例、vrf3vrf4之间互访,vrf3可访问运营商网络,vrf4不可访问运营商网络

配置步骤

配置思路:

1、  通过路由复制将vrf3vrf4的路由引入public实例

2、  通过路由复制将public实例路由引入vrf3

3、  通过路由复制将public实例中默认路由以外路由引入vrf4

4、  通过路由复制分别在vrf3vrf4中引入对方的直连路由

5、  步骤23中可借助路由策略实现只引入需要的路由

  

一、基础环境配置:

#创建vrf3

#

ip vpn-instance vrf3

#

#创建vrf4

ip vpn-instance vrf4

#

#配置g1/0/0口连接运营商网络,同时做NAT源地址转换

interface GigabitEthernet1/0/0

 port link-mode route

 ip address 200.0.0.1 255.255.255.0

 nat outbound

#

#配置g1/0/2口作为内网10.0.12.0/24的网关

#

interface GigabitEthernet1/0/2

 port link-mode route

 ip address 10.0.12.1 255.255.255.0

#

#配置g1/0/3口属于vrf3,同时口作为内网10.0.13.0/24的网关

interface GigabitEthernet1/0/3

 port link-mode route

 ip binding vpn-instance vrf3

 ip address 10.0.13.1 255.255.255.0

#

#配置g1/0/4口属于vrf4,同时口作为内网10.0.14.0/24的网关

interface GigabitEthernet1/0/4

 port link-mode route

 ip binding vpn-instance vrf4

 ip address 10.0.14.1 255.255.255.0

#

#配置public实例中指向运营商网络的默认路由

#

 ip route-static 0.0.0.0 0 200.0.0.254

#

二、基础环境验证

1、查看public实例路由表

dis ip routing-table

Destinations : 14       Routes : 14

Destination/Mask   Proto   Pre Cost        NextHop         Interface

0.0.0.0/0          Static  60  0           200.0.0.254     GE1/0/0

0.0.0.0/32         Direct  0   0           127.0.0.1       InLoop0

10.0.12.0/24       Direct  0   0           10.0.12.1       GE1/0/2

10.0.12.1/32       Direct  0   0           127.0.0.1       InLoop0

10.0.12.255/32     Direct  0   0           10.0.12.1       GE1/0/2

127.0.0.0/8        Direct  0   0           127.0.0.1       InLoop0

127.0.0.1/32       Direct  0   0           127.0.0.1       InLoop0

127.255.255.255/32 Direct  0   0           127.0.0.1       InLoop0

200.0.0.0/24       Direct  0   0           200.0.0.1       GE1/0/0

200.0.0.1/32       Direct  0   0           127.0.0.1       InLoop0

200.0.0.255/32     Direct  0   0           200.0.0.1       GE1/0/0

224.0.0.0/4        Direct  0   0           0.0.0.0         NULL0

224.0.0.0/24       Direct  0   0           0.0.0.0         NULL0

255.255.255.255/32 Direct  0   0           127.0.0.1       InLoop0

2、查看vrf3实例路由表

dis ip routing-table vpn-instance vrf3

Destinations : 10       Routes : 10

Destination/Mask   Proto   Pre Cost        NextHop         Interface

0.0.0.0/32         Direct  0   0           127.0.0.1       InLoop0

10.0.13.0/24       Direct  0   0           10.0.13.1       GE1/0/3

10.0.13.1/32       Direct  0   0           127.0.0.1       InLoop0

10.0.13.255/32     Direct  0   0           10.0.13.1       GE1/0/3

127.0.0.0/8        Direct  0   0           127.0.0.1       InLoop0

127.0.0.1/32       Direct  0   0           127.0.0.1       InLoop0

127.255.255.255/32 Direct  0   0           127.0.0.1       InLoop0

224.0.0.0/4        Direct  0   0           0.0.0.0         NULL0

224.0.0.0/24       Direct  0   0           0.0.0.0         NULL0

255.255.255.255/32 Direct  0   0           127.0.0.1       InLoop0

3、查看vrf4实例路由表

dis ip routing-table vpn-instance vrf4

Destinations : 10       Routes : 10

Destination/Mask   Proto   Pre Cost        NextHop         Interface

0.0.0.0/32         Direct  0   0           127.0.0.1       InLoop0

10.0.14.0/24       Direct  0   0           10.0.14.1       GE1/0/4

10.0.14.1/32       Direct  0   0           127.0.0.1       InLoop0

10.0.14.255/32     Direct  0   0           10.0.14.1       GE1/0/4

127.0.0.0/8        Direct  0   0           127.0.0.1       InLoop0

127.0.0.1/32       Direct  0   0           127.0.0.1       InLoop0

127.255.255.255/32 Direct  0   0           127.0.0.1       InLoop0

224.0.0.0/4        Direct  0   0           0.0.0.0         NULL0

224.0.0.0/24       Direct  0   0           0.0.0.0         NULL0

255.255.255.255/32 Direct  0   0           127.0.0.1       InLoop0

三、路由复制配置

1、  通过路由复制将vrf3vrf4的路由引入public实例,因为只是实现网段之间互通,引入直连路由即可

#配置public引入vrf3vrf4的直连路由

#

ip public-instance

 #

 address-family ipv4

  route-replicate from vpn-instance vrf3 protocol direct

  route-replicate from vpn-instance vrf4 protocol direct

#

2、  通过路由复制将public实例路由引入vrf3,因为vrf除了和public实例互通外还需要访问运营商网络,所以需要引入public实例中的直连路由和静态路由

#配置vrf3引入public的直连路由和静态路由

#

ip vpn-instance vrf3

 #

 address-family ipv4

  route-replicate from public protocol direct

  route-replicate from public protocol static

#

3、  通过路由复制将public实例中默认路由以外路由引入vrf4,同时创建路由策略public2vrf4过滤public实例中的默认路由和不需要的路由

#配置地址前缀列表2vrf4匹配要过滤的默认路由

#

 ip prefix-list 2vrf4 index 10 permit 0.0.0.0 0

#

#配置路由策略public2vrf4,节点10用来拒绝默认路由,为保证后续public实例中其他静态路由也可以引入,再新增一个允许所有的节点20(节点20在当前需求中不是必配的)

#

route-policy public2vrf4 deny node 10

 if-match ip address prefix-list 2vrf4

#

route-policy public2vrf4 permit node 20

#

#配置vrf4引入public的直连路由和通过路由策略public2vrf4过滤后的静态路由

#

ip vpn-instance vrf4

 #

 address-family ipv4

  route-replicate from public protocol direct

  route-replicate from public protocol static route-policy public2vrf4

#

4、  通过路由复制分别在vrf3vrf4中引入对方的直连路由

#

ip vpn-instance vrf3

 #

 address-family ipv4

  route-replicate from vpn-instance vrf4 protocol direct

#

ip vpn-instance vrf4

 #

 address-family ipv4

  route-replicate from vpn-instance vrf3 protocol direct

#

 

四、结果验证

1、查看public实例路由表

dis ip routing-table

Destinations : 20       Routes : 20

Destination/Mask   Proto   Pre Cost        NextHop         Interface

0.0.0.0/0          Static  60  0           200.0.0.254     GE1/0/0

0.0.0.0/32         Direct  0   0           127.0.0.1       InLoop0

10.0.12.0/24       Direct  0   0           10.0.12.1       GE1/0/2

10.0.12.1/32       Direct  0   0           127.0.0.1       InLoop0

10.0.12.255/32     Direct  0   0           10.0.12.1       GE1/0/2

10.0.13.0/24       Direct  0   0           10.0.13.1       GE1/0/3

10.0.13.1/32       Direct  0   0           127.0.0.1       InLoop0

10.0.13.255/32     Direct  0   0           10.0.13.1       GE1/0/3

10.0.14.0/24       Direct  0   0           10.0.14.1       GE1/0/4

10.0.14.1/32       Direct  0   0           127.0.0.1       InLoop0

10.0.14.255/32     Direct  0   0           10.0.14.1       GE1/0/4

127.0.0.0/8        Direct  0   0           127.0.0.1       InLoop0

127.0.0.1/32       Direct  0   0           127.0.0.1       InLoop0

127.255.255.255/32 Direct  0   0           127.0.0.1       InLoop0

200.0.0.0/24       Direct  0   0           200.0.0.1       GE1/0/0

200.0.0.1/32       Direct  0   0           127.0.0.1       InLoop0

200.0.0.255/32     Direct  0   0           200.0.0.1       GE1/0/0

224.0.0.0/4        Direct  0   0           0.0.0.0         NULL0

224.0.0.0/24       Direct  0   0           0.0.0.0         NULL0

255.255.255.255/32 Direct  0   0           127.0.0.1       InLoop0

2、查看vrf3路由表

dis ip routing-table vpn-instance vrf3

Destinations : 20       Routes : 20

Destination/Mask   Proto   Pre Cost        NextHop         Interface

0.0.0.0/0          Static  60  0           200.0.0.254     GE1/0/0

0.0.0.0/32         Direct  0   0           127.0.0.1       InLoop0

10.0.12.0/24       Direct  0   0           10.0.12.1       GE1/0/2

10.0.12.1/32       Direct  0   0           127.0.0.1       InLoop0

10.0.12.255/32     Direct  0   0           10.0.12.1       GE1/0/2

10.0.13.0/24       Direct  0   0           10.0.13.1       GE1/0/3

10.0.13.1/32       Direct  0   0           127.0.0.1       InLoop0

10.0.13.255/32     Direct  0   0           10.0.13.1       GE1/0/3

10.0.14.0/24       Direct  0   0           10.0.14.1       GE1/0/4

10.0.14.1/32       Direct  0   0           127.0.0.1       InLoop0

10.0.14.255/32     Direct  0   0           10.0.14.1       GE1/0/4

127.0.0.0/8        Direct  0   0           127.0.0.1       InLoop0

127.0.0.1/32       Direct  0   0           127.0.0.1       InLoop0

127.255.255.255/32 Direct  0   0           127.0.0.1       InLoop0

200.0.0.0/24       Direct  0   0           200.0.0.1       GE1/0/0

200.0.0.1/32       Direct  0   0           127.0.0.1       InLoop0

200.0.0.255/32     Direct  0   0           200.0.0.1       GE1/0/0

224.0.0.0/4        Direct  0   0           0.0.0.0         NULL0

224.0.0.0/24       Direct  0   0           0.0.0.0         NULL0

255.255.255.255/32 Direct  0   0           127.0.0.1       InLoop0

         

3、查看vrf4路由表

dis ip routing-table vpn-instance vrf4

Destinations : 19       Routes : 19

Destination/Mask   Proto   Pre Cost        NextHop         Interface

0.0.0.0/32         Direct  0   0           127.0.0.1       InLoop0

10.0.12.0/24       Direct  0   0           10.0.12.1       GE1/0/2

10.0.12.1/32       Direct  0   0           127.0.0.1       InLoop0

10.0.12.255/32     Direct  0   0           10.0.12.1       GE1/0/2

10.0.13.0/24       Direct  0   0           10.0.13.1       GE1/0/3

10.0.13.1/32       Direct  0   0           127.0.0.1       InLoop0

10.0.13.255/32     Direct  0   0           10.0.13.1       GE1/0/3

10.0.14.0/24       Direct  0   0           10.0.14.1       GE1/0/4

10.0.14.1/32       Direct  0   0           127.0.0.1       InLoop0

10.0.14.255/32     Direct  0   0           10.0.14.1       GE1/0/4

127.0.0.0/8        Direct  0   0           127.0.0.1       InLoop0

127.0.0.1/32       Direct  0   0           127.0.0.1       InLoop0

127.255.255.255/32 Direct  0   0           127.0.0.1       InLoop0

200.0.0.0/24       Direct  0   0           200.0.0.1       GE1/0/0

200.0.0.1/32       Direct  0   0           127.0.0.1       InLoop0

200.0.0.255/32     Direct  0   0           200.0.0.1       GE1/0/0

224.0.0.0/4        Direct  0   0           0.0.0.0         NULL0

224.0.0.0/24       Direct  0   0           0.0.0.0         NULL0

255.255.255.255/32 Direct  0   0           127.0.0.1       InLoop0

 

4、  ping测试

[FW1]ping 10.0.13.1

Ping 10.0.13.1 (10.0.13.1): 56 data bytes, press CTRL+C to break

56 bytes from 10.0.13.1: icmp_seq=0 ttl=255 time=0.000 ms

56 bytes from 10.0.13.1: icmp_seq=1 ttl=255 time=0.000 ms

56 bytes from 10.0.13.1: icmp_seq=2 ttl=255 time=0.000 ms

56 bytes from 10.0.13.1: icmp_seq=3 ttl=255 time=0.000 ms

56 bytes from 10.0.13.1: icmp_seq=4 ttl=255 time=0.000 ms

--- Ping statistics for 10.0.13.1 ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 0.000/0.000/0.000/0.000 ms

[FW1]%Jan 12 21:14:06:283 2022 FW1 PING/6/PING_STATISTICS: -COntext=1; Ping statistics for 10.0.13.1: 5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss, round-trip min/avg/max/std-dev = 0.000/0.000/0.000/0.000 ms.

[FW1]

[FW1]ping 10.0.14.1

Ping 10.0.14.1 (10.0.14.1): 56 data bytes, press CTRL+C to break

56 bytes from 10.0.14.1: icmp_seq=0 ttl=255 time=0.000 ms

56 bytes from 10.0.14.1: icmp_seq=1 ttl=255 time=0.000 ms

56 bytes from 10.0.14.1: icmp_seq=2 ttl=255 time=0.000 ms

56 bytes from 10.0.14.1: icmp_seq=3 ttl=255 time=0.000 ms

56 bytes from 10.0.14.1: icmp_seq=4 ttl=255 time=0.000 ms

--- Ping statistics for 10.0.14.1 ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 0.000/0.000/0.000/0.000 ms

[FW1]%Jan 12 21:14:13:601 2022 FW1 PING/6/PING_STATISTICS: -COntext=1; Ping statistics for 10.0.14.1: 5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss, round-trip min/avg/max/std-dev = 0.000/0.000/0.000/0.000 ms.

 

[FW1]ping -vpn-instance vrf3 10.0.12.1

Ping 10.0.12.1 (10.0.12.1): 56 data bytes, press CTRL+C to break

56 bytes from 10.0.12.1: icmp_seq=0 ttl=255 time=0.000 ms

56 bytes from 10.0.12.1: icmp_seq=1 ttl=255 time=0.000 ms

56 bytes from 10.0.12.1: icmp_seq=2 ttl=255 time=0.000 ms

56 bytes from 10.0.12.1: icmp_seq=3 ttl=255 time=0.000 ms

56 bytes from 10.0.12.1: icmp_seq=4 ttl=255 time=1.000 ms

--- Ping statistics for 10.0.12.1 in VPN instance vrf3 ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 0.000/0.200/1.000/0.400 ms

[FW1]%Jan 12 21:14:26:086 2022 FW1 PING/6/PING_VPN_STATISTICS: -COntext=1; Ping statistics for 10.0.12.1 in VPN instance vrf3: 5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss, round-trip min/avg/max/std-dev = 0.000/0.200/1.000/0.400 ms.

[FW1]

[FW1]ping -vpn-instance vrf3 10.0.14.1

Ping 10.0.14.1 (10.0.14.1): 56 data bytes, press CTRL+C to break

56 bytes from 10.0.14.1: icmp_seq=0 ttl=255 time=0.000 ms

56 bytes from 10.0.14.1: icmp_seq=1 ttl=255 time=1.000 ms

56 bytes from 10.0.14.1: icmp_seq=2 ttl=255 time=1.000 ms

56 bytes from 10.0.14.1: icmp_seq=3 ttl=255 time=0.000 ms

56 bytes from 10.0.14.1: icmp_seq=4 ttl=255 time=0.000 ms

--- Ping statistics for 10.0.14.1 in VPN instance vrf3 ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 0.000/0.400/1.000/0.490 ms

[FW1]%Jan 12 21:14:29:590 2022 FW1 PING/6/PING_VPN_STATISTICS: -COntext=1; Ping statistics for 10.0.14.1 in VPN instance vrf3: 5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss, round-trip min/avg/max/std-dev = 0.000/0.400/1.000/0.490 ms.

 

[FW1]ping -vpn-instance vrf4 10.0.12.1

Ping 10.0.12.1 (10.0.12.1): 56 data bytes, press CTRL+C to break

56 bytes from 10.0.12.1: icmp_seq=0 ttl=255 time=0.000 ms

56 bytes from 10.0.12.1: icmp_seq=1 ttl=255 time=0.000 ms

56 bytes from 10.0.12.1: icmp_seq=2 ttl=255 time=1.000 ms

56 bytes from 10.0.12.1: icmp_seq=3 ttl=255 time=0.000 ms

56 bytes from 10.0.12.1: icmp_seq=4 ttl=255 time=0.000 ms

--- Ping statistics for 10.0.12.1 in VPN instance vrf4 ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 0.000/0.200/1.000/0.400 ms

[FW1]%Jan 12 21:14:36:760 2022 FW1 PING/6/PING_VPN_STATISTICS: -COntext=1; Ping statistics for 10.0.12.1 in VPN instance vrf4: 5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss, round-trip min/avg/max/std-dev = 0.000/0.200/1.000/0.400 ms.

[FW1]

[FW1]ping -vpn-instance vrf4 10.0.13.1

Ping 10.0.13.1 (10.0.13.1): 56 data bytes, press CTRL+C to break

56 bytes from 10.0.13.1: icmp_seq=0 ttl=255 time=0.000 ms

56 bytes from 10.0.13.1: icmp_seq=1 ttl=255 time=0.000 ms

56 bytes from 10.0.13.1: icmp_seq=2 ttl=255 time=0.000 ms

56 bytes from 10.0.13.1: icmp_seq=3 ttl=255 time=0.000 ms

56 bytes from 10.0.13.1: icmp_seq=4 ttl=255 time=0.000 ms

--- Ping statistics for 10.0.13.1 in VPN instance vrf4 ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 0.000/0.000/0.000/0.000 ms

[FW1]%Jan 12 21:14:40:502 2022 FW1 PING/6/PING_VPN_STATISTICS: -COntext=1; Ping statistics for 10.0.13.1 in VPN instance vrf4: 5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss, round-trip min/avg/max/std-dev = 0.000/0.000/0.000/0.000 ms.

配置关键点


第三步:通过路由复制将public实例中默认路由以外路由引入vrf4,同时创建路由策略public2vrf4过滤public实例中的默认路由和不需要的路由

#配置地址前缀列表2vrf4匹配要过滤的默认路由

#

 ip prefix-list 2vrf4 index 10 permit 0.0.0.0 0

#

#配置路由策略public2vrf4,节点10用来拒绝默认路由,为保证后续public实例中其他静态路由也可以引入,再新增一个允许所有的节点20(节点20在当前需求中不是必配的)

#

route-policy public2vrf4 deny node 10

 if-match ip address prefix-list 2vrf4

#

route-policy public2vrf4 permit node 20

#

#配置vrf4引入public的直连路由和通过路由策略public2vrf4过滤后的静态路由

#

ip vpn-instance vrf4

 #

 address-family ipv4

  route-replicate from public protocol direct

  route-replicate from public protocol static route-policy public2vrf4

#



该案例对您是否有帮助:

您的评价:1

若您有关于案例的建议,请反馈:

作者在2022-02-23对此案例进行了修订
4 个评论
粉丝:0人 关注:0人

..将public实例中默认路由以外路由引入..,建议多加两个字,意思更明显:

..将public实例中默认路由以外路由引入..

再新增一个允许所有的节点20(节点20在当前需求中不是必配的)--细到这个程度,点赞

粉丝:0人 关注:0人

模拟器防火墙外部显示的G0/0口,在内部display查看的时候,应该是G1/0/0,而不是G1/0/1.

虽然意思都能看明白,但是这个确实标示错误了

zhiliao_gjvIzi 知了小白
粉丝:0人 关注:0人

安全策略呢怎么配置,怎么配合策略使用


编辑评论

举报

×

侵犯我的权益 >
对根叔知了社区有害的内容 >
辱骂、歧视、挑衅等(不友善)

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等(不友善)
骚扰我

泄露了我的隐私

×

您好,当您发现根叔知了上有泄漏您隐私的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)

侵犯了我企业的权益

×

您好,当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱,我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么?(请在邮件中列出您举报的内容和链接地址)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
  • 3. 是哪家企业?(营业执照,单位登记证明等证件)
  • 4. 您与该企业的关系是?(您是企业法人或被授权人,需提供企业委托授权书)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好,当您发现根叔知了上有诽谤您的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔知了社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等(不友善)
骚扰我
诱导投票

不规范转载

×

举报说明

提出建议

    +

亲~登录后才可以操作哦!

确定

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作