Kubernetes多租户网络部署与eBPF性能优化 - 第4节
4.1 VRF（虚拟路由转发）技术原理与配置
VRF（Virtual Routing and Forwarding）是网络虚拟化的基础技术，通过在单一物理路由器上创建多个独立的虚拟路由表，实现租户间流量的完全隔离。每个 VRF 实例拥有独立的路由表、转发表、接口绑定和路由协议进程，从数据平面和控制平面同时保证隔离性。
核心隔离机制：VRF 通过“接口 + 路由表”的绑定关系实现隔离。同一物理接口只能属于一个 VRF，不同 VRF 之间的流量默认完全阻断，必须通过 Route Leaking 或防火墙策略才能互通。
4.1.1 VRF 配置步骤（以 Cisco IOS 为例）
- 创建 VRF 实例：
ip vrf Tenant-A，进入 VRF 配置模式。 - 配置 RD（Route Distinguisher）：
rd 65000:100，用于区分不同 VRF 的相同路由前缀。 - 配置 RT（Route Target）：
route-target export 65000:100和route-target import 65000:100，控制路由的导入/导出策略。 - 绑定接口：
interface GigabitEthernet0/1.10→ip vrf forwarding Tenant-A，将子接口加入 VRF。 - 配置 IP 地址与路由协议：在 VRF 上下文中配置接口 IP 和 OSPF/BGP 进程。
! 创建 VRF 实例
ip vrf Tenant-A
rd 65000:100
route-target export 65000:100
route-target import 65000:100
!
! 绑定子接口到 VRF
interface GigabitEthernet0/1.10
encapsulation dot1Q 10
ip vrf forwarding Tenant-A
ip address 192.168.10.1 255.255.255.0
!
! VRF 内的 OSPF 配置
router ospf 100 vrf Tenant-A
network 192.168.10.0 0.0.0.255 area 0
配置要点：接口绑定 VRF 后，原有 IP 地址会被清除，需重新配置。建议先绑定 VRF，再配置 IP 地址，避免地址冲突。
4.2 VRF Lite 架构与适用场景
VRF Lite 是 VRF 技术的轻量级实现，不依赖 MPLS 核心网络，仅在单台或多台直连路由器上使用 VRF 实现租户隔离。它适用于中小规模多租户环境，如数据中心接入层、企业分支汇聚等场景。
4.2.1 VRF Lite 关键特征
| 特征 | 说明 |
|---|---|
| 控制平面 | 每个 VRF 独立运行路由协议（OSPF/EIGRP/BGP），互不干扰 |
| 数据平面 | 基于接口绑定实现二层/三层隔离，无 MPLS 标签封装 |
| 扩展性 | 受限于设备 CPU/内存，通常支持 50~200 个 VRF 实例 |
| 互联方式 | 通过 Trunk 子接口或物理接口直连，需手工配置路由泄露 |
| 典型场景 | 数据中心 ToR 交换机、企业分支多部门隔离、实验室多租户 |
4.2.2 VRF Lite 互联拓扑
下图展示了两台 PE 路由器通过 VRF Lite 实现跨设备租户隔离的典型拓扑。每个租户拥有独立的 VRF 实例，通过 Trunk 子接口互联，路由协议在 VRF 内独立运行。
4.3 MPLS L3VPN 架构与工作原理
MPLS L3VPN 是运营商级多租户 VPN 解决方案，在 MPLS 核心网络基础上叠加 VRF 和 MP-BGP 协议，实现大规模、可扩展的跨地域租户隔离。它解决了 VRF Lite 在扩展性和跨域互联方面的局限性。
4.3.1 MPLS L3VPN 核心组件
| 组件 | 角色 | 功能说明 |
|---|---|---|
| CE（Customer Edge） | 用户侧设备 | 连接租户内部网络，与 PE 运行标准路由协议 |
| PE（Provider Edge） | 运营商边缘设备 | 维护 VRF 实例，运行 MP-BGP 交换 VPNv4 路由 |
| P（Provider） | 运营商核心设备 | 仅运行 MPLS LDP 和 IGP，不感知 VPN 信息 |
| MP-BGP | 控制平面协议 | 携带 VPNv4 路由（含 RD+IPv4 前缀），通过 RT 控制分发 |
| LDP | 标签分发协议 | 为 IGP 路由分配 MPLS 标签，建立 LSP 隧道 |
4.3.2 MPLS L3VPN 数据转发流程
- 路由学习：CE 通过 OSPF/BGP 将路由通告给 PE，PE 将路由导入对应 VRF 实例。
- VPNv4 分发：PE 将 VRF 路由转换为 VPNv4 路由（添加 RD），通过 MP-BGP 通告给对端 PE。
- 标签栈构建：PE 为 VPNv4 路由分配内层 VPN 标签，LDP 为 IGP 路由分配外层 LDP 标签。
- 数据封装：入方向 PE 为数据包打上两层 MPLS 标签（外层 LDP 标签 + 内层 VPN 标签）。
- 核心转发：P 设备仅根据外层标签进行 MPLS 交换，不查看 IP 头。
- 标签弹出：出方向 PE 弹出外层标签，根据内层 VPN 标签查找 VRF 转发表，转发给 CE。
4.4 VRF Lite 与 MPLS L3VPN 对比分析
两种技术各有优劣，选择时需综合考虑网络规模、设备能力、运维成本和扩展需求。下表从多个维度进行详细对比：
| 对比维度 | VRF Lite | MPLS L3VPN |
|---|---|---|
| 核心依赖 | 仅需 VRF 功能，无 MPLS 要求 | 依赖 MPLS 核心 + MP-BGP + LDP |
| 扩展性 | 受限于设备性能，通常 <200 租户 | 支持数千租户，适合运营商级部署 |
| 跨域互联 | 需手工配置子接口和路由泄露 | 通过 MP-BGP 自动分发 VPNv4 路由 |
| 控制平面 | 每个 VRF 独立运行路由协议 | MP-BGP 集中管理 VPN 路由 |
| 数据平面 | 基于 IP 转发，无标签封装 | 两层 MPLS 标签封装，核心透明传输 |
| 设备要求 | 中低端交换机/路由器即可支持 | 需支持 MPLS 和 MP-BGP 的高端设备 |
| 运维复杂度 | 较低，配置直观 | 较高，需掌握 MPLS/BGP 高级特性 |
| 典型场景 | 数据中心接入、企业分支 | 运营商 VPN、跨地域企业网络 |
选型建议：如果网络规模较小（<50 租户）、设备不支持 MPLS、或运维团队经验有限，优先选择 VRF Lite。如果网络需要跨地域扩展、租户数量大、或需要与运营商网络对接，MPLS L3VPN 是更优选择。
4.5 性能调优要点
4.5.1 VRF Lite 性能优化
- 路由表规模控制：每个 VRF 的路由条目建议控制在 5000 条以内，避免 TCAM 溢出。
- 接口绑定优化：使用子接口而非物理接口，减少接口资源占用。
- 路由协议收敛：启用 BFD 检测，将故障收敛时间从秒级降至毫秒级。
- Route Leaking 限制：跨 VRF 路由泄露使用静态路由或策略路由，避免环路。
4.5.2 MPLS L3VPN 性能优化
- 标签分配策略：使用 Per-Prefix 标签分配，避免 Per-VRF 标签导致的转发膨胀。
- BGP 路由反射器：部署 RR 减少 PE 间的 BGP 会话数量，提升控制平面扩展性。
- LDP 与 IGP 同步：启用 LDP-IGP 同步机制，避免 MPLS 黑洞。
- QoS 策略：在 PE 入方向设置 MPLS EXP 位，实现租户级流量优先级保障。
性能基准参考：在 Cisco ASR 9000 平台上，单台 PE 可支持 1000+ VRF 实例，每个 VRF 承载 10000 条路由，转发性能可达 400 Gbps。实际部署时建议预留 30% 的性能余量。