Cem Kemal Erbaş Network, Siber Güvenlik ve Teknik Rehberler
Aynı router veya Layer-3 switch üzerinde birbirinden bağımsız routing dünyaları oluşturmak istiyorsanız VRF — Virtual Routing and Forwarding kullanılabilir.
VRF sayesinde tek cihaz üzerinde birden fazla ayrı routing table bulunabilir.
Basit mantık:
USERS VRF → Kendi Routing Table’ı
SERVERS VRF → Kendi Routing Table’ı
Varsayılan olarak bu iki VRF birbirinin route’larını görmez.
1. VRF Oluşturma
Modern IOS XE syntax’ıyla:
vrf definition USERS
address-family ipv4
exit-address-family
vrf definition SERVERS
address-family ipv4
exit-address-familyCisco VRF-Lite, aynı cihaz üzerinde bağımsız routing ve forwarding tablolarının oluşturulmasını sağlar.
2. Interface’i VRF’e Bağlayın
Örneğin:
interface GigabitEthernet0/0
vrf forwarding USERS
ip address 10.10.10.1 255.255.255.0
interface GigabitEthernet0/1
vrf forwarding SERVERS
ip address 10.20.20.1 255.255.255.0Burada komut sırası önemlidir:
Önce vrf forwarding, ardından IP address.
Cisco’nun güncel VRF-Lite yapılandırma örneklerinde de interface VRF’e bağlandıktan sonra IP adresi yapılandırılır.
Mevcut production interface’i sonradan VRF’e taşırken IP configuration etkilenebileceği için değişiklik mutlaka kontrollü yapılmalıdır.
3. Routing Tablolarını Ayrı Kontrol Edin
show ip route vrf USERS
show ip route vrf SERVERSUSERS VRF içerisinde bulunan bir route varsayılan olarak SERVERS VRF routing table’ında bulunmaz.
Bu da gerçek Layer-3 routing izolasyonu sağlar.
Cisco’nun güncel IOS XE dokümantasyonu da farklı VRF’lerin ayrı routing table tuttuğunu ve route leaking olmadan birbirleri arasında routing yapılamadığını belirtir.
4. Ping ve Traceroute’u Doğru VRF’ten Çalıştırın
Troubleshooting sırasında:
ping vrf USERS 10.10.10.10
traceroute vrf USERS 8.8.8.8kullanılabilir.
Normal ping çalıştırırsanız test global routing table üzerinden yapılabilir ve yanlış sonuca ulaşabilirsiniz.
Bu nedenle VRF troubleshooting sırasında:
Source VRF → Route → Next-Hop → Interface
bağlamını korumak önemlidir.
5. Her VRF’in Farklı Default Route’u Olabilir
Örneğin:
ip route vrf USERS 0.0.0.0 0.0.0.0 192.168.1.1Bu default route yalnızca USERS VRF için geçerlidir.
SERVERS VRF ise tamamen farklı bir:
Gateway → Firewall → WAN
çıkışı kullanabilir.
Tabii next-hop’un ilgili VRF içerisinden erişilebilir olması gerekir.
6. İki VRF Birbiriyle Konuşacaksa?
Varsayılan izolasyonu bozmak için Route Leaking gerekir.
Ancak burada:
USERS ← tüm route’lar → SERVERS
şeklinde kontrolsüz paylaşım yapmak yerine yalnızca gerçekten gerekli prefix’lerin paylaşılması daha güvenlidir.
IOS XE’de route leaking; platform ve tasarıma göre static route, BGP, import/export map veya route-target gibi farklı mekanizmalarla uygulanabilir. Cisco’nun güncel örneklerinde VRF’ler arasında prefix-list ve route-map kullanılarak kontrollü route leaking gösterilmektedir.
Bu nedenle production tasarımında:
Minimum gerekli prefix → Kontrollü route leaking
yaklaşımı tercih edilmelidir.
VRF-Lite Nerelerde Kullanılır?
VRF-Lite özellikle Management network izolasyonu, kullanıcı/sunucu ayrımı, müşteri network’lerinin ayrılması, farklı firewall/WAN çıkışları ve overlapping IP addressing senaryolarında kullanışlıdır.
En basit ayrım:
VLAN → Layer-2 broadcast domain segmentasyonu
VRF → Layer-3 routing table izolasyonu
Yani iki VLAN aynı routing domain içerisinde konuşabilirken, iki farklı VRF varsayılan olarak birbirinin route’larını kullanamaz.
🔥 VRF’in asıl gücü interface’i ayırmak değil, routing kararlarını birbirinden izole etmektir.
