1. 多租户网络与VRF隔离工程导入

在传统数据中心里，网络往往被当作一张“大平面”：所有业务、所有部门、所有环境共享同一套三层路由域。随着云化、业务外包、多部门共用机房以及生产/测试/开发环境并存的场景普及，这种平面化网络开始暴露出一系列难以回避的问题。本节作为整门课程的导入，先厘清多租户数据中心到底难在哪里，再说明VRF（Virtual Routing and Forwarding，虚拟路由转发）在其中的技术定位，最后给出Nexus平台的多租户能力全景和本课程贯穿始终的实战项目拓扑与租户需求。

一、多租户数据中心网络的核心挑战

多租户的本质，是让多个逻辑上彼此独立的“租户”共用同一套物理网络设备与链路，同时保证它们之间在二层和三层上都互不可见、互不可达。这带来四类典型挑战。

第一是地址空间重叠。租户A和租户B完全可能都使用 10.10.10.0/24 作为自己的业务网段，因为它们在各自视角里都是“私有网络”。如果共用一张路由表，同一前缀会出现冲突，路由无法同时存在。第二是路由表隔离。即使地址不重叠，租户之间也不应互相学习路由，否则一个租户的错误路由或大量前缀会污染其他租户的转发表。第三是故障与安全域隔离。某租户的广播风暴、路由震荡或误配置不应扩散到其他租户。第四是运维与策略独立。每个租户可能需要独立的默认路由、ACL、QoS策略和网关地址，这些策略必须能按租户分别下发。

这四类挑战指向同一个结论：仅靠VLAN或ACL是不够的。VLAN解决的是二层广播域隔离，但三层路由仍然是全局共享的；ACL能过滤流量，却无法让两个租户各自拥有独立的、可重叠的路由表。真正需要的是“路由表级别的隔离”。

二、VRF的技术定位

VRF可以理解为在一台物理路由器或三层交换机内部，虚拟出多台相互独立的路由器。每个VRF拥有自己独立的路由表（RIB）、转发表（FIB）、接口集合、路由协议进程实例和路由策略。同一台Nexus设备上，VRF-A和VRF-B可以各自存在一条 10.10.10.0/24 的路由，互不冲突，因为它们在逻辑上属于不同的路由实例。

VRF与VLAN的关系需要特别说明：VLAN负责二层隔离，VRF负责三层隔离，二者通常配合使用。一个常见做法是把某个VLAN划入某个VRF，形成“VLAN + VRF”的租户边界。VRF本身不改变数据包的封装格式，它改变的是设备在查表时使用哪一张路由表。因此VRF是一种控制面与转发表隔离技术，而不是隧道技术；跨租户通信如果需要，必须通过显式的路由泄漏（route leaking）或外部设备实现。

三、Nexus平台多租户能力全景

Cisco Nexus系列交换机对多租户的支持是分层的。最基础的是VRF-Lite，即在设备上创建多个VRF并绑定三层接口，适合中小规模、租户数量有限的场景。再往上是VXLAN + EVPN，通过VXLAN把二层和三层网络overlay化，用EVPN作为控制面传递租户路由，天然支持大规模租户和跨Leaf的灵活扩展。在Nexus 9000平台上，VRF、VLAN、VXLAN VNI、EVPN实例之间可以形成清晰的映射关系。

此外，Nexus还提供VRF感知的ACL、QoS、PBR（策略路由），以及租户级的管理隔离（如基于角色的访问控制）。这些能力共同构成“多租户能力全景”：从转发隔离、路由隔离，到策略隔离和管理隔离。本课程前期以VRF-Lite为主线讲清隔离原理与配置，后期再引入VXLAN/EVPN的租户扩展方式。

四、课程实战项目拓扑与租户需求

本课程围绕一个可复现的实战项目展开。物理拓扑采用两台Nexus 9000v（或Nexus 9300）作为Leaf，一台作为Spine，Leaf下挂两台服务器模拟租户主机。逻辑上规划三个租户：Tenant-A（财务）、Tenant-B（研发）、Tenant-C（测试）。其中Tenant-A与Tenant-B故意使用重叠网段 10.10.10.0/24，用来验证VRF对地址重叠的隔离能力；Tenant-C使用 10.20.20.0/24，用于验证非重叠场景下的独立路由。

租户需求如下：每个租户拥有独立的VRF、独立的VLAN、独立的网关地址和独立的默认路由；租户之间默认不可互访；Tenant-A与Tenant-C之间允许通过一条受控的共享服务网段（10.99.99.0/24）互访，用于演示路由泄漏；所有租户共用同一对物理上行链路，但通过VRF实现逻辑隔离。示例参数如下表所示。

需要强调的是，上表中的网段、VLAN和VRF名称均为教学示例参数，实际工程中应根据客户地址规划与命名规范调整。判断隔离是否生效，最直接的方法是：在Tenant-A主机上 ping 10.10.10.1 应通，ping Tenant-B主机地址应不通；在Nexus上执行 show ip route vrf VRF-FIN 与 show ip route vrf VRF-RD，应看到两张独立的路由表，且各自都包含 10.10.10.0/24 而互不冲突。这就是VRF隔离最核心的验证依据。