2. Comware多租户网络基础

在园区、数据中心或运营商边缘设备上，同一台物理设备往往需要同时承载多个客户、多个部门甚至多个业务系统的流量。多租户网络的核心目标，就是让这些“租户”在同一套物理资源上共存，同时保证彼此之间的转发、路由、地址空间和管理权限互不干扰。Comware 通过 VRF、VPN 实例、VS（Virtual System）等机制，把一台物理设备切分成多个逻辑上独立的转发与管理单元，从而支撑这种共享基础设施上的隔离需求。

什么是多租户：从“共享设备”到“逻辑独立”

多租户并不是简单地把多个 VLAN 堆在一台交换机上。VLAN 解决的是二层广播域隔离，而多租户要解决的是更完整的隔离：每个租户可以拥有自己的接口、IP 地址空间、路由表、路由协议进程、ACL、QoS 策略，甚至独立的配置管理视图。租户 A 的 10.0.0.0/8 与租户 B 的 10.0.0.0/8 可以同时存在，互不冲突，因为它们的路由信息被放在不同的路由表中。

在 Comware 中，最常用的多租户承载单元是 VRF（Virtual Routing and Forwarding，虚拟路由转发）。一个 VRF 本质上是一张独立的路由表加一组绑定到该 VRF 的接口。接口一旦加入某个 VRF，其收到的报文只会在该 VRF 的路由表中查找转发，不会泄漏到其他 VRF。VPN 实例则是 VRF 在 MPLS L3VPN 等场景下的扩展，它除了路由表之外，还关联 RD（Route Distinguisher）和 RT（Route Target），用于在 PE 之间传递和区分不同租户的路由。

租户隔离的三个层面

多租户隔离通常需要同时覆盖以下三个层面，缺一不可：

• 转发隔离：不同租户的报文不能互相转发。VRF 通过独立路由表和接口绑定实现这一点。
• 地址空间隔离：不同租户可以使用重叠的 IP 地址段。VRF 使同一台设备上存在多张互不干扰的路由表，重叠地址不会冲突。
• 管理隔离：不同租户的管理员只能看到和操作自己的配置。Comware 通过 VS（Virtual System）或 RBAC + 上下文视图实现管理面的切分。

如果只做转发隔离而不做管理隔离，租户管理员仍可能看到或修改其他租户的配置；如果只做管理隔离而不做转发隔离，则数据面仍会互相影响。因此，实际工程中需要根据租户数量和运维模式，选择 VRF、VPN 实例或 VS 的组合。

VRF、VPN 实例与 VS 的关系

这三者容易混淆，可以用“隔离粒度”和“使用场景”来区分：

在 Comware 中，VPN 实例可以理解为“带 MPLS 属性的 VRF”。当租户只需要在本设备内隔离时，创建普通 VRF 即可；当租户需要跨设备通过 MPLS L3VPN 互通时，则需要配置 VPN 实例，并为其指定 RD 和 RT。VS 则更进一步，它把设备的管理面、控制面和转发面都切分成多个逻辑系统，每个 VS 有独立的命令行视图、独立的配置文件，适合租户需要自行管理设备的场景。

Comware 多租户支持框架

Comware 对多租户的支持可以概括为“一个物理设备、多张逻辑表、多套管理视图”的框架。其核心组件包括：

• VRF 管理模块：负责创建、删除 VRF，维护 VRF 与接口、路由协议进程的绑定关系。
• 路由表实例：每个 VRF 对应一张独立的路由表，静态路由、OSPF、BGP 等协议进程可以按 VRF 启动。
• VPN 实例与 MPLS 控制面：通过 MP-BGP 扩展团体属性传递 VPNv4/VPNv6 路由，RD 保证路由唯一性，RT 控制路由导入导出。
• VS 管理框架：将物理资源（CPU、内存、接口）按需分配给各个 VS，每个 VS 运行独立的协议栈和管理进程。
• 资源与配额管理：限制每个租户可使用的接口数、路由条目数、ACL 条目数等，防止单租户耗尽全局资源。

下面这张图展示了 Comware 多租户框架中，物理设备、VRF/VPN 实例、VS 以及租户之间的逻辑关系。图中左侧为物理设备资源，中间为逻辑隔离单元，右侧为租户视角，箭头表示绑定或映射关系。

一个可参考的 VRF 配置示例

下面以 Comware V7 为例，展示如何为两个租户创建 VRF，并把接口和静态路由绑定到各自的 VRF 中。示例中租户 A 使用 10.1.1.0/24，租户 B 使用 10.1.1.0/24（地址重叠），通过 VRF 实现隔离。

# 创建 VRF
system-view
ip vpn-instance Tenant_A
 quit
ip vpn-instance Tenant_B
 quit

# 将接口加入 VRF
interface GigabitEthernet1/0/1
 ip binding vpn-instance Tenant_A
 ip address 10.1.1.1 24
 quit
interface GigabitEthernet1/0/2
 ip binding vpn-instance Tenant_B
 ip address 10.1.1.1 24
 quit

# 为各 VRF 配置静态路由
ip route-static vpn-instance Tenant_A 10.1.1.0 24 GigabitEthernet1/0/1
ip route-static vpn-instance Tenant_B 10.1.1.0 24 GigabitEthernet1/0/2

# 查看 VRF 路由表
display ip routing-table vpn-instance Tenant_A
display ip routing-table vpn-instance Tenant_B

执行后，display ip routing-table vpn-instance Tenant_A 只会显示 Tenant_A 的路由条目，Tenant_B 的路由不会出现在其中。两个 VRF 中虽然都配置了 10.1.1.0/24，但彼此独立，转发时不会混淆。这就是 VRF 实现地址空间隔离的直接效果。

选择隔离机制时的判断依据

实际工程中，选择 VRF、VPN 实例还是 VS，可以按以下逻辑判断：

• 租户只需在本设备内隔离，且不需要跨设备互通：使用普通 VRF。
• 租户需要跨多台 PE 通过 MPLS L3VPN 互通：使用 VPN 实例，并规划 RD/RT。
• 租户需要独立的管理员账号、独立的配置文件和独立的资源配额：使用 VS。
• 租户数量多、地址重叠严重：优先使用 VRF 或 VPN 实例，避免依赖 VLAN 或 ACL 做隔离。

需要注意的是，VS 会消耗更多的 CPU 和内存资源，且部分硬件转发资源可能无法完全均分。因此，在租户数量较多但管理隔离要求不高的场景下，通常采用“VRF + RBAC”的组合，而不是为每个租户创建一个 VS。

小结与关键检查点

多租户网络的基础是“共享物理资源、逻辑独立转发与管理”。Comware 通过 VRF 提供转发和路由表隔离，通过 VPN 实例提供跨设备的 MPLS 路由隔离，通过 VS 提供管理面和控制面的彻底切分。理解这三者的层次关系，是后续配置多租户路由协议、MPLS L3VPN 和资源配额管理的前提。

在动手配置前，建议先确认以下检查点：租户地址空间是否重叠、是否需要跨设备互通、是否需要独立管理视图、设备资源是否足够支撑计划创建的 VRF/VS 数量。这些判断将直接决定你选择哪种隔离机制，以及后续路由协议和 MPLS 参数的规划方式。