CN107210961A

CN107210961A - 基于网络覆盖的环境中的优化的vrf（虚拟路由和转发）间的路由泄漏

Info

Publication number: CN107210961A
Application number: CN201580061311.1A
Authority: CN
Inventors: 卢卡斯·卡拉蒂格尔; 希亚姆·卡帕迪亚
Original assignee: Cisco Technology Inc
Current assignee: Cisco Technology Inc
Priority date: 2014-11-12
Filing date: 2015-10-26
Publication date: 2017-09-26
Anticipated expiration: 2035-10-26
Also published as: US10050876B2; EP3219057B1; WO2016077060A1; US20160134520A1; CN107210961B; EP3219057A1

Abstract

在一个实施例中，一种方法包括在覆盖网络中的叶节点处导入针对远程虚拟路由和转发实例(VRF)的路由目标，叶节点包括被配置在叶节点上的至少一个本地VRF；在叶节点处处理所接收的针对路由目标的路由；并且在叶节点处的本地VRF处安装针对远程VRF的路由，以允许实现经由叶节点的VRF间通信。这里还公开了一种装置和逻辑。

Description

基于网络覆盖的环境中的优化的VRF（虚拟路由和转发）间的路由泄漏

技术领域

本公开总地涉及通信网络，并且更具体地涉及虚拟路由和转发(VRF)路由泄漏。

技术背景

对于大规模的多租户部署而言，所支持的VRF实例的数目可能是上万量级的。租户可能包括多个VRF，其中每个VRF可能具有多个IP网络。VRF内的端主机之间的流量本质上被隔离，从而防止VRF之间的通信并且提供分开的IP路由域。然而，常常需要路由隔离的VRF之间的通信，导致需要VRF间的路由泄漏。

附图说明

图1示出了其中可以实现本文中所描述的实施例的网络的示例。

图2示出了用于在实现本文中所描述的实施例的网络设备的示例。

图3是示出了根据一个实施例的用于VRF路由泄漏的过程的概况的流程图。

图4示出了图1的网络中的VRF路由泄漏的示例。

在整个附图中，相应的标号指示相应的部件。

具体实施方式

概括

在一个实施例中，一种方法总地包括在覆盖网络中的叶节点处导入针对远程虚拟路由和转发实例(VRF)的路由目标，叶节点包括被配置在叶节点上的至少一个本地VRF；在叶节点处处理所接收的针对路由目标的路由；并且在叶节点处的本地VRF处安装针对远程VRF的路由，以允许实现经由叶节点的VRF间通信。

在另一实施例中，一种装置总地包括处理器，用于在覆盖网络中的叶节点处导入针对远程虚拟路由和转发实例(VRF)的路由目标，叶节点包括被配置在叶节点上的至少一个本地VRF；并且在叶节点处的本地VRF处安装针对远程VRF的路由，以允许实现经由叶节点的VRF间通信。该装置还包括用于存储路由的存储器。

示例实施例

以下描述被呈现以使得本领域普通技术人员能够构建和使用实施例。对具体实施例和应用的描述仅仅作为示例被提供，并且本领域技术人员将很容易明白各种修改。本文中所描述的一般原理可以在不脱离实施例的范围的情况下被应用于其它应用。因而，实施例不局限于所示出的那些实施例，而是对应到与本文中所描述的原理和特征相一致的最宽的范围。为了清楚起见，关于本领域中公知的与实施例相关的技术内容的细节没有被详细描述。

动态架构自动化(DFA)是用于辅助实现数据中心联网的网络覆盖架构体系结构的一个示例。DFA的拓扑结构可以基于两层的胖树，其中多个叶节点连接到多个脊节点中的每个脊节点上。DFA架构可以例如通过一个或多个边界叶节点与其它DFA架构及其它网络(例如互联网、数据中心网络)通信。DFA是基于多协议BGP(边界网关协议)(MP-BGP)将控制平面与覆盖技术(例如VXLAN(虚拟可扩展局域网)和/或FabricPath)配对的技术的一个示例。流量分离是在不使用MPLS本身的情况下使用MPLS(多协议标签交换)类型的方法来实现的。这提供了用于端主机与子网络之间的优化的转发路径的灵活性和可扩展性。

VRF间的路由泄漏可以被用在DFA或其它类似的覆盖网络拓扑结构中，以利用最优的转发路径提供被隔离的DFA之间的通信。VRF之间的通信可以被用于例如经由专门的VRF到达互联网，允许不同VRF中的端主机之间的通信，或者允许访问被提供给多个租户(VRF)的共享资源，例如共享的DHCP(动态主机配置协议)、DNS(域名系统)等。

为了提供VRF之间的路由泄漏功能，VRF可以被配置在叶子上，即使对于特定VRF而言不存在附接的端主机。在传统的系统中，只有当所关注的两个VRF都被配置在给定的叶子上时，才可能通过适当的路由-目标导入/导出声明泄漏该叶子上的这两个VRF之间的路由。但是，这可能影响可扩展性。例如，如果VRF被配置在所有叶子上以提供路由泄漏功能，那么每当需要路由泄漏时，总体的可扩展性可能会受到影响并且向外扩展基础设施的方法可能会受到限制。理想情况下，VRF应当只有在它需要服务该VRF内位于该VRF下面的本地端主机的情况下，才被配置在叶子上。按照这种方式，可以以一种优化的方式供应资源。

VRF之间的路由泄漏还可以在边界叶子上的数据中心边缘或者直接被连接的边缘路由器处被执行。但是，这可能导致次优的转发，因为端主机与子网络之间的最优(直接)转发路径必须途经VRF路由泄漏点。这可能导致流量经过额外的路由跳数，因为从一个VRF中的端主机到另一VRF中的端主机的流量需要经过被指定为路由泄漏点的边界叶子(可能的瓶颈点)。理想情况下，只有真正需要离开数据中心的流量应当经过边界叶子。

本文中所描述的实施例提供了利用端主机之间的优化的转发路径的VRF间的路径泄漏。这些实施例不需要仅仅为了VRF间的路由泄漏的目的而额外创建VRF。某些实施例也可以在来自网络(例如数据中心)外部的VRF间路由或外部路由被泄漏到架构中时被使用。这些实施例可以通过简化配置和优化属于不同租户/VRF的端主机之间的转发，来实现资源节省，从而实现更大的可扩展性和灵活性。因此，在诸如企业和服务提供者(SP)数据中心之类的应用中，可以提供规模可变的多租户。与架构覆盖相独立地提供了架构内的VRF间流量的优化转发。

现在参考附图，首先参考图1，示出了其中可以实现本文中所描述的实施例的网络的示例。为了简单起见，只示出了少量节点(网络设备)。在图1的示例中，架构10包括多个叶节点12(LN1、LN2、LN3和LN4)。叶节点12可以连接到一个或多个主机14(例如托管虚拟机(VM) 的服务器)。叶节点12经由链路17被连接到多个脊节点16。每个叶节点12被连接到每个脊节点16并且被配置为路由主机14与其它网络元件之间的通信。叶节点12和脊节点16可以是交换机、路由器或者包括被配置为执行转发功能的网络交换或路由元件的其它网络设备(例如L2、L3或者L2/L3设备)。叶节点12可以被实现为例如交换元件(例如架顶式(ToR)交换机)或者任何其它网络元件。

在一个示例中，架构10包括具有多个租户的基于覆盖的架构体系结构。租户可以被分配叶节点12上的一个或多个VLAN(虚拟局域网)，VLAN的虚拟机被连接到叶节点12。租户还可以与叶节点12上的VRF相关联。每个VRF与第3层(L3)分段ID相关联，该L3分段ID被用于封装在架构10上路由的流量。应理解DFA只是个示例，在不脱离实施例的范围的情况下也可以使用其它类型的覆盖体系结构。

叶节点12管理源自和去往该叶节点12所连接到的主机14的通信(例如路由和转发)。叶节点12可以基于控制平面功能(例如具有基于分段ID的转发以及基于MP-BGP的控制平面的FabricPath)执行转发。例如，架构10可以包括MP-BGP控制平面，该控制平面在叶节点12之间分发端主机14的信息并且提供端主机与子网络之间的优化转发。除了转发优化以外，可以实现基于选播(anycast)的分布式网关功能，这允许实现高效的扩展体系结构中的IP(互联网协议)移动性和洪水域局部化。

在图1中所示的示例中，叶节点LN4是被连接到位于外部网络19(例如互联网/WAN(广域网))中的边缘设备(例如路由器)18的边界叶子。该边界叶子可以被用于将任意类型的外部网络设备或服务(例如防火墙、路由器端口等)连接到架构10。

脊节点16互连到Clos拓扑结构中的所有叶节点12。例如，脊节点16可以基于叶节点12所封装的头部外信息透明地转发流量。路由反射器(未示出)可以存在于脊节点16上，以帮助在不需要保持完全吻合的BGP邻居配置和会话关系的情况下向大量的邻居发送单个路由更新。

叶节点12和脊节点16中的每一个节点包括附接到架构中的其它节点的架构接口(即面向架构的接口)。架构接口可以被配置为添加覆盖头部。主机14可以被连接到在L2主机接口处的叶节点12。在图1中所示的示例中，叶节点LN2被连接到主机H1并且叶节点LN3被连接到主机H2。每个叶节点12可以被连接到任意数目的主机14，这些主机可以包括任意数目的虚拟机。主机H1和H2属于不同的VRF。

每个主机14上可以在其上实例化一个或多个虚拟交换机，用于托管一个或多个虚拟机(未示出)。例如，虚拟交换机和虚拟机可以被创建并且在每个物理服务器上在安装在该服务器上的管理程序上方运行。虚拟机被配置为与其它虚拟机交换通信。网络可以包括托管任意数目的虚拟机的任意数目的物理服务器。主机14还可以包括没有虚拟机的刀片/物理服务器。虽然该示例示出了虚拟机，但是所提出的创新点与端主机本身可以被虚拟化或者不被虚拟化无关。

每个虚拟机可以是可以包含一个或多个VLAN的租户网络的成员。该租户网络可以跨越多个VLAN。每个租户网络还可以与分段标识符(分段ID)相关联，该分段标识符被用于在唯一地标识特定架构中的该租户网络。分段ID可以是例如24位标识符。VXLAN是具有VNI(虚拟网络标识符)(24位标识符)的封装机制的一个示例。按照这种方式，VLAN标识符的意义现在变成在叶子本地或者甚至是在叶端口本地。VRF可以由L3分段ID或VNI唯一地标识。应理解本文中所使用的术语‘分段’可以指任意类型的标识符，并不是指封装应当是VXLAN，而是可以是任何其它类型的封装机制。

如下面将详细描述的，叶节点12中的一个或多个叶节点可以被配置为在不需要在节点上实例化每个VRF的情况下提供VRF路由泄漏。这实现了直接在叶节点之间的流量最优转发，而不需要将流量传送到边界叶节点。例如，如图1中所示，从叶节点LN2处的主机H1接收的去往主机H2的流量可以直接被传送到叶节点LN3(如路径15所示)，而不需要经过边界叶节点LN4。此外，不需要在叶节点LN2上实例化(配置)与H2相关联的VRF。

应理解图1中所示的网络只是个示例并且本文中所描述的实施例可以在包括不同网络拓扑结构或网络设备或者利用不同的协议的网络中实现，而不脱离实施例的范围。例如，网络可以包括任意数目的边缘节点或者中间(核心)节点(例如路由器、交换机、接入层设备、汇聚层设备、网关或其它网络设备)，这些节点辅助实现网络内的数据传送。而且，上述的图1中所示的拓扑结构是可以很容易地扩展的并且可以容纳大量的组件以及更复杂的安排和配置。例如，网络可以包括任意数目的架构，这些架构可以是地理上分散的或者位于相同的地理区域中。

图2示出了可以被用于实现本文中所描述的实施例的网络设备20的示例(例如图1中的叶节点12)。在一个实施例中，网络设备20是可以用任何合适的硬件、固件和软件的组合实现的可编程机器。网络设备20包括一个或多个处理器22、存储器24和网络接口26。

存储器24可以是易失性存储器或者非易失性存储装置，存储供处理器22执行和使用的各种应用、操作系统、模块和数据。例如，存储器可以存储路由或转发表(例如RIB(路由信息库)、FIB(转发信息库))(未示出)和导入路由(本地VRF路由和远程VRF路由)28，如下所述。设备20可以包括任意数目的存储器组件。

在一个或多个有形介质中可以编码有供处理器22执行的逻辑。例如，处理器22可以执行存储在诸如存储器24之类的计算机可读介质中的代码。计算机可读介质可以是例如电子介质(例如RAM(随机访问存储器)、ROM(只读存储器)、EPROM(可擦除式可编程只读存储器))、磁性介质、光介质(例如CD、DVD)、电磁介质、半导体技术介质或者任何其它合适的介质。在一个示例中，计算机可读介质包括非暂态计算机可读介质。网络设备20可以包括任意数目的处理器22。

网络接口26可以包括用于接收数据和向其它设备传送数据的任意数目的接口(线卡、端口)。网络接口可以包括例如用于连接到计算机或网络的以太网接口。

应理解上文所描述的以及图2中所示的网络设备20只是个示例，并且可以使用网络设备的不同配置。例如，网络设备20还可以包括可操作为辅助实现本文中所描述的能力的硬件、软件、算法、处理器、设备、组件或元件的任意组合。

图3是示出了根据一个实施例的用于覆盖网络中的VRF间路由泄漏的过程的概况的流程图。在步骤30处，叶节点(例如图1中的LN2)导入针对远程虚拟路由和转发实例(例如叶节点LN3上所配置的VRF)的路由目标。叶节点12上配置有至少一个本地VRF。叶节点LN2处理所接收到的针对路由目标的路由并且在叶节点处的本地VRF处安装针对远程VRF的路由，以允许实现经由叶节点的VRF间通信(步骤32)。

当叶节点LN2接收到去往与远程VRF相关联的主机H2的分组(步骤34)时，叶节点执行目的地查找(步骤36)。例如，叶节点12可以在其中插入有针对远程VRF的路由的本地VRF中执行针对目的地的L3查找。然后，叶节点12封装分组(步骤38)并将分组转发给针对远程VRF的叶节点(步骤40)。叶节点可以例如将指定远程VRF的分段标识符添加到导出的原始头部中。按照这种方式，当在叶节点LN3上接收到这个分组时，它的转发查找将发生在右边的VRF中，从而使得该分组正确转发到H2。

应理解上述的图3中所示的处理过程只是个示例并且那些步骤可以在不脱离实施例的范围的情况下被修改、组合、添加或移除。

图4示出了两个不同的虚拟路由和转发实例(VRF“foo”和VRF“bar”)之间的路由泄漏的示例。在该示例中，基于网络覆盖的架构10包括具有BGP(边界网关协议)AS(自治系统)编号65000的网络。主机H1被配置有VLAN 111，且主机H2被配置有VLAN 222。架构10通过按照以下方式定义的VLAN 2501和VLAN 2502传送流量：

在该示例中，LN2上配置(实例化)有VRF“foo”并且LN3上配置有VRF“bar”。从叶节点LN2的角度来看，VRF“foo”被称为本地VRF(与VRF“foo”相关联的附接主机H1)并且VRF“bar”被称为远程VRF(与VRF“bar”相关联的远程主机H1)。

VRF可以例如通过VRF上下文下的VNI配置按如下方式配置：

vrf context foo

vni 50003

rd auto

address-family ipv4unicast

route-target both auto

vrf context bar

vni 50004

rd auto

address-family ipv4unicast

route-target both auto

router bgp 100

vrf foo

address-family ipv4unicast

vrf bar

address-family ipv4unicast

在一个实施例中，命令“route-target both auto”确保利用$asn：$layer3-segmentId生成的路由目标被自动附接到这个VRF内的路由并且随后在VRF中被导入和导出。在该示例中，为了将路由从VRF“foo”泄漏到VRF“bar”中，仅仅需要如下配置：

以下配置可以被用于将路由从VRF“bar”泄漏到VRF“foo”中：

应当注意到路由目标导入声明可以与路由地图或导入声明相关联，所述路由地图或导入声明可以使用附加的滤波器在VRF之间泄漏所选择的特定路由。本文中所描述的示例被用于将所有路由从VRF“bar”泄漏到VRF“foo”中(反之亦然)并且为了简单起见按以上形式被呈现。应理解本文中所描述的配置命令仅仅是示例并且在不脱离实施例的范围的情况下可以使用其他格式。

在一个实施例中，被插入到VRF“bar”的属于VRF“foo”的路由可以利用正确的邻接信息用硬件来安装。邻接信息可以包括例如被附接到目的地主机(端节点)14的叶节点12的目的地MAC(介质访问控制)地址以及将进而导致远程流量被转发至具有与VRF“foo”相对应的L3分段ID(例如VNI)的架构的硬件桥接域(BD)。这允许出口叶节点12处的路由查找在正确的VRF(例如VRF“foo”)中完成，从而导致正确的流量转发。

并非在LN3处为了这个目的而实例化VRF“foo”，针对VRF“foo”的配置的实例化在叶节点LN3上被自动触发。更具体而言，配置与分段ID相映射的面向核心的VLAN(由叶节点本地分配)，所述分段ID对应于与VRF“foo”相关联的VNI。这将确保平台代码在针对从VRF“foo”泄漏到VRF“bar”中的路由填充下一跳/邻接表时拥有正确的信息。样本配置的示例显示如下：

类似地，代替在LN2处实例化VRF“bar”，针对VRF“bar”的配置的实例化在叶节点LN2上被自动触发。更具体而言，配置与分段ID相映射的面向核心的VLAN(同样在LN2上本地分配)，所述分段ID对应于与VRF“bar”相关联的VNI。这将确保平台代码在针对从VRF“bar”泄漏到VRF“foo”中的路由填充下一跳/邻接表时拥有正确的信息。样本配置的示例显示如下：

在某些实施例中，可以使用基于模板的自动配置。基于路由目标导入声明的配置对VRF间路由泄漏的触发，这个模板可以按如下方式在叶节点上自动实例化：

config profile vrf-leak

vrf context$vrfName

vni$vrf_segid

rd auto

address-family ipv4unicast

route-target import$asn：$leak_vrf_segid

route-target both auto

router bgp$asn

vrf$vrfName

address-family ipv4unicast

vlan$vlanId

mode fabricpath

vn-segment$leak_vrf_segid

end

在集中的实施例中，VRF路由泄漏配置简档(config-profile)可以在网络管理器(例如DCNM(数据中心网络管理器))内被创建，并且被适当地填充正确的参数，以使得当在叶节点上调出配置简档并且实例化时，利用VRF间路由泄漏配置正确地建立该配置简档。

再次参考图4，下面描述在叶节点LN2处配置了针对VRF“bar”(远程VRF)的路由泄漏之后从主机H1发送的去往主机H2的分组的流经路径的示例。叶节点LN2上已经配置有VRF“foo”(本地VRF)。主机H1首先生成具有目的地主机H2的数据分组42。如图4中的步骤(1)所示，该分组具有目的地MAC地址G_MAC、源MAC地址H1_MAC、VLAN 111、目的地IP地址20.20.20.20和源IP地址10.10.10.10。叶节点LN2(叶节点“foo”)接收分组42并且在给定的VRF(“foo”)中执行针对目的地H2的L3查找(如图4中的步骤(2)所示)。基于L3查找下一跳，分组得到被指定为“bar”的VRF的分段ID(VNI)并且被转发至叶节点LN3上的“bar”。如分组44处所示，叶节点“foo”(LN2)将指定VRF的分段ID(VNI)封装并添加到出口的原始头部中(步骤(3))。分组44被转发至叶节点“bar”(LN3)。叶节点“bar”(LN3)接收分组并对分组进行去封装。叶节点“bar”执行第3层查找并将VRF“bar”内的分组转发至主机H2(步骤(4))。

虽然已根据所示出的实施例描述了方法和装置，但是本领域普通技术人员将很容易地意识到在不脱离实施例的范围的情况下可以做出变形。因此，希望以上描述中所包含的和附图中所示出的所有内容应当被理解为说明性的而非限制性的。

Claims

1.一种方法，包括：

在覆盖网络中的叶节点处导入针对远程虚拟路由和转发实例(VRF)的路由目标，所述叶节点包括被配置在所述叶节点上的至少一个本地VRF；

在所述叶节点处处理所接收的针对所述路由目标的路由；并且

在所述叶节点处的所述本地VRF处安装针对所述远程VRF的路由，以允许实现经由所述叶节点的VRF间通信。

2.根据权利要求1所述的方法，还包括：接收去往与所述远程VRF相关联的主机的分组，并将所述分组转发给配置有所述远程VRF的叶节点。

3.根据权利要求2所述的方法，还包括：在所述本地VRF中针对目的地主机执行第3层查找，并且利用被分配给所述远程VRF的分段标识符封装所述分组。

4.根据权利要求1所述的方法，其中导入所述路由目标包括：配置针对与所述远程VRF相关联的分段标识符的路由目标入口。

5.根据权利要求4所述的方法，其中所述分段标识符包括用于结合VXLAN(虚拟可扩展局域网)使用的虚拟网络标识符(VNI)。

6.根据权利要求1所述的方法，其中所述覆盖网络包括动态架构自动化网络。

7.根据权利要求1所述的方法，其中所述覆盖网络包括多个叶节点，所述多个叶节点中的每个叶节点与多个脊节点中的每个脊节点通信。

8.根据权利要求1所述的方法，其中导入所述路由目标包括：配置面向核心的虚拟局域网，该面向核心的虚拟局域网被映射到与所述远程VRF相对应的分段标识符。

9.根据权利要求1所述的方法，还包括：从配置有所述远程VRF的叶节点接收分组，对所述分组进行去封装，并且在所述本地VRF中执行第3层查找。

10.一种装置，包括：

处理器，用于在覆盖网络中的叶节点处导入针对远程虚拟路由和转发实例(VRF)的路由目标，所述叶节点包括被配置在所述叶节点上的至少一个本地VRF；并且在所述叶节点处的所述本地VRF处安装针对所述远程VRF的路由，以允许实现经由所述叶节点的VRF间通信；以及

用于存储所述路由的存储器。

11.根据权利要求10所述的装置，其中所述处理器还可操作为：接收去往与所述远程VRF相关联的主机的分组，并将所述分组转发给配置有所述远程VRF的叶节点。

12.根据权利要求11所述的装置，其中所述处理器还可操作为：在所述本地VRF中针对目的地主机执行第3层查找，并且利用被分配给所述远程VRF的分段标识符封装所述分组。

13.根据权利要求10所述的装置，其中导入所述路由目标包括配置针对与所述远程VRF相关联的分段标识符的路由目标入口。

14.根据权利要求13所述的装置，其中所述分段标识符包括用于结合VXLAN(虚拟可扩展局域网)使用的虚拟网络标识符(VNI)。

15.根据权利要求10所述的装置，其中所述覆盖网络包括动态架构自动化网络。

16.根据权利要求10所述的装置，其中所述覆盖网络包括多个叶节点，所述多个叶节点中的每个叶节点与多个脊节点中的每个脊节点通信。

17.根据权利要求10所述的装置，其中导入所述路由目标包括配置面向核心的虚拟局域网，该面向核心的虚拟局域网被映射到与所述远程VRF相对应的分段标识符。

18.根据权利要求10所述的装置，其中所述处理器还可操作为：处理从配置有所述远程VRF的叶节点接收的分组，对所述分组进行去封装，并且在所述本地VRF中执行第3层查找。

19.被编码在一个或多个非暂态计算机可读介质上的逻辑，该逻辑供处理器执行并且当该逻辑被执行时可操作为：

在覆盖网络中的叶节点处导入针对远程虚拟路由和转发实例(VRF)的路由目标，所述叶节点包括被配置在所述叶节点上的至少一个本地VRF；并且

20.根据权利要求19所述的逻辑，还可操作为针对目的地主机执行第3层查找，利用被分配给所述远程VRF的分段标识符封装所述分组，并且将所述分组转发给配置有所述远程VRF的叶节点。