如何利用交換機裡的虛擬化路由功能

不僅僅是伺服器和電腦平台，如今區域網廠商們也在竭力宣傳虛擬化功能。

虛擬化技術應用於伺服器或者儲存系統，可以讓使用者放置幾十個甚至幾百個伺服器作業系統例項，或者劃分及控制不同磁碟上的儲存容量。支持者聲稱，這項技術降低了運營成本、減少了複雜性。 www.2cto.com

現在網路廠商們聲稱，虛擬化技術也可以適用於企業網路核心和邊緣的路由。如果把乙個企業網路分隔成多個不同的子網路——它們使用不同的規則和控制，使用者就可以充分利用交換機的虛擬化路由功能，而不是購買及插入新的機架或者裝置來實現這種分隔機制。

虛擬化網路概念並不是什麼新概念，因為多年來，虛擬區域網（vlan）技術作為經實踐證明切實可靠的一種方法，歷來用於在乙個乙太網交換上或者跨多個交換機來構建安全、獨立的區域網網段。

而核心機架交換機裡面的虛擬化路由功能是可以在第三層分隔企業網路、對內外網路流量提供更多安全和控制的一種類似工具。

通過vrf進行隔離

在多協議標記交換（mpls）運營商網路，虛擬路由和**（virtual routing forwarding，vrf）被用於把客戶流量分割成獨立路由**的幾段流量，這步操作有時在同乙個裝置上進行。 www.2cto.com

廠商們稱，針對企業應用，精簡版vrf（一種規模比較小的vrf，不需要mpls）可以把乙個路由器劃分成多個虛擬化裝置。譬如說，extreme公司就在其模組化的extremeware xos交換機作業系統裡面新增了虛擬化路由器配置這項功能。

除了其他路由平台外，juniper公司的isg系列安全路由器/防火牆也支援虛擬化技術。思科的ios型號的catalyst 6500交換機裡面新增了支援vrf和精簡版vrf的功能。

網捷網路公司的netiron交換機支援multi-vrf，這可以讓使用者在乙個裝置裡面建立多個虛擬化路由選擇域。這些路由選擇域類似第二層虛擬區域網，可以對流量進行分離。使用者可以在該裝置外面安裝防火牆，也可以安裝內部訪問控制列表，從而監管虛擬化路由器網段之間共享的那些流量。

通過思科ios交換機裡面的命令，就可以啟用及配置vrf和精簡版vrf。據思科負責路由器和交換機產品的營銷經理marie hattar聲稱，為了在catalyst 6500上使用虛擬化、經過路由的網段，需要這一步操作。

hattar說: 「這項技術會充分利用vrf的各部分。我們正在試圖為企業客戶提供設定虛擬化服務的一種方法，而不必使用基於mpls的實現系統，因為後者比較複雜。」

虛擬化路由器

amica保險公司使用了其extreme blackdiamond 10k的虛擬化路由功能，還使用了juniper isg路由器/防火牆; blackdiamond 10k可以分割成多個虛擬化路由器。

據該公司的it主管ron rivet聲稱，這種方案可以把負責傳送web、虛擬專用網（vpn）和外聯網等流量的複雜邊緣基礎設施全部收縮到兩個物理裝置裡面。

在amica公司的網路上，blackdiamond 10k被分割成了六個虛擬化路由器，每個路由器都有各自的路由表、ip位址、訪問控制及規則。乙個虛擬化路由器負責處理所有進出的網際網路流量，並且使用多路ds-3連線。

juniper isg這個路由器連線到juniper防火牆，也被分割成多個虛擬化路由器。isg負責對資料報進行過濾，並確定流量是傳送到幾個非軍事區（dmz）當中的乙個——這些dmz面向外聯網的應用軟體或者公共**，還是傳送到存放有在公司內部網路上執行的應用軟體的vpn網段。

isg將分段流量傳送到第二個虛擬化路由器，該路由器再將流量路由**到isg裡面的虛擬化路由器網段——在這裡，防火牆規則第二次加以運用。流量由此傳送到blackdiamond 10k的其中乙個虛擬化路由器。blackdiamond 10k負責處理不同網段的流量。

rivet說，如果在amica的網路安全配置的每個步驟都安裝不同廠商的乙個個裝置來處理流量需要高昂成本——他估計硬體費用至少需要5萬到10萬美元，管理起來也比較困難。

行業觀察人士認為，大多數企業恐怕不會充分利用由思科、網捷及其他廠商提供的這幾種虛擬化路由功能。

yankee集團的分析師zeus kerr**ala說: 「這幾種網路虛擬化功能其實適用於電信公司和高階企業，因為它們有多個客戶或者部署需要服務，也需要這種虛擬化功能進行擴充套件。」

其他人士則說，就為大型企業網路劃分網段而言，在物理裝置上新增另外一台路由器、對網路進行分段是比較簡單也是比較安全的一種方法。