📚 课程目录第3章 Nexus 管理 VRF 与带内管理网络隔离配置

3. Nexus 管理 VRF 与带内管理网络隔离配置

为什么需要独立管理 VRF

Nexus 默认所有接口（含 mgmt0）都位于 default VRF。当带内管理网段与业务网段共用同一路由表时，业务侧的路由抖动、ACL 误配或默认路由覆盖都可能影响 SSH 可达性。做法是新建一个 management VRF，把 mgmt0 与 SSH 的源接口绑定到该 VRF，使管理流量拥有独立的路由表与转发实例。

配置步骤

以下命令在 Nexus 9000 的全局配置模式下执行。假设带内管理网段为 10.10.10.0/24，网关为 10.10.10.1，交换机管理地址规划为 10.10.10.2/24。

! 1. 创建管理 VRF
vrf context management
  address-family ipv4 unicast
  exit

! 2. 将 mgmt0 放入 management VRF 并配置地址
interface mgmt0
  vrf member management
  ip address 10.10.10.2/24
  no shutdown
  exit

! 3. 在 management VRF 内配置默认路由
vrf context management
  ip route 0.0.0.0/0 10.10.10.1
  exit

! 4. 指定 SSH 使用 management VRF 作为源
ip ssh source-interface mgmt0

! 5. 保存配置
copy running-config startup-config

如果 mgmt0 之前已在 default VRF 配置过 IP，执行 vrf member management 前需先 no ip address 清除旧地址，否则会提示地址冲突。

验证隔离效果

配置完成后，通过以下命令确认管理 VRF 已生效且与业务 VRF 隔离：

! 查看 VRF 列表
show vrf

! 查看 management VRF 的路由表
show ip route vrf management

! 查看 mgmt0 接口状态
show interface mgmt0

! 从 management VRF 内 ping 网关
ping 10.10.10.1 vrf management

! 确认 SSH 源接口
show ip ssh

检查项	预期结果	判断依据
`show vrf`	出现 `management` 条目	VRF 已创建并关联接口
`show ip route vrf management`	包含 `0.0.0.0/0 via 10.10.10.1`	默认路由在管理 VRF 内生效
`show interface mgmt0`	VRF 字段显示 `management`，状态 up	接口已正确绑定
`ping 10.10.10.1 vrf management`	5 个包全部成功	管理 VRF 转发正常
从业务网段 ping 10.10.10.2	不通	业务 VRF 无管理网段路由，隔离生效

若 ping 10.10.10.1 vrf management 失败，优先检查 mgmt0 是否 up、网关地址是否正确、以及 management VRF 内是否缺少默认路由。不要直接在 default VRF 下 ping 管理网关，那会走错路由表。

常见问题与排查

SSH 无法登录：确认 ip ssh source-interface mgmt0 已配置，且 mgmt0 在 management VRF 中处于 up 状态。
管理 VRF 内路由缺失：使用 show ip route vrf management 检查，必要时手动添加静态路由。
业务流量误入管理 VRF：检查业务接口是否被错误地 vrf member management，业务接口应保持在 default VRF。
配置回退：若需恢复，执行 no vrf context management 前先将 mgmt0 移回 default VRF 并重新配置 IP。