EVPN小实验：配置实例间访问控制

女爷i 2023-01-23 08:00 501阅读 0赞

前两个实验中我们发现EVPN中大量使用了VPN实例，并得到以下结论：RT是一种BGP扩展团体属性，用于控制EVPN路由的发布与接收。也就是说，RT决定了本端的EVPN路由可以被哪些对端所接收，以及本端是否接收对端发来的EVPN路由。RT分为ERT（Export RT，本端发送EVPN路由时，携带的RT属性设置为ERT）和IRT（Import RT，本端设置接收的对端的EVPN路由属性）。本端在收到对端的EVPN路由时，将路由中携带的ERT与本端的IRT进行比较，只有两者相等时才接收该路由，否则丢弃该路由

# 组网需求 #

VSR1、VSR2、VSR3为与服务器连接的分布式EVPN网关设备，VSR-RR为RR，负责在路由器之间反射BGP路由。

虚拟机VM 1属于VXLAN 10、位于VPN实例VPNA；VM 2和VM 4属于VXLAN 20、位于VPN实例VPNB；VM 3属于VXLAN 30、位于VPN实例VPNC。通过EVPN分布式网关配置，相同VXLAN之间可以二层互通，确保虚拟机在站点之间进行迁移时用户的访问流量不会中断；不同VXLAN之间通过分布式EVPN网关实现VM 1和VM 4之间互通，VM 4不能访问VM 3，VM 1和VM 3之间互通。

## 实验环境 ##

VMWare ESXi 6.7.0（ProLiant DL360 Gen9，48核心，128G内存）

H3C VSR1000（Version 7.1.064, Release 0621P18，4核心，8G内存）

H3C VFW1000（Version 7.1.064, ESS 1171P13，4核心，8G内存)

Windows 7旗舰版（测试用虚拟机，8核心，16G内存）

# 组网图 #

互通配置组网图如下。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70][]

M地址指远程管理的带外管理口地址。新建一个vSwitch，所有线路均使用该vSwitch中端口组实现，建议将不同链路隔离进不同的VLAN，避免广播风暴。

# 配置步骤 #

## 1、配置IP地址和单播路由协议 ##

调通底层网络，配置各接口的IP地址和子网掩码，并在IP核心网络内配置OSPF协议，和之前的实验配置基本相同。

将VM1的网关地址指定为192.168.2.1，将VM2和VM4的网关地址指定为192.168.10.1，将VM3的网关地址指定为192.168.20.1。

## 2、配置VSR1 ##

如文章开始所讲，限制VXLAN网络间的访问时间上就是通过调整VPN实例的vpn-target来实现访问限制。调整后的VSR1配置如下：

ip vpn-instance vpna

route-distinguisher 1:1

address-family ipv4

vpn-target 2:2 3:3 1:1 import-extcommunity

vpn-target 1:1 export-extcommunity

address-family evpn

vpn-target 1:1 2:2 3:3 import-extcommunity

vpn-target 1:1 export-extcommunity

ip vpn-instance vpnb

route-distinguisher 2:2

address-family ipv4

vpn-target 2:2 1:1 import-extcommunity

vpn-target 2:2 export-extcommunity

address-family evpn

vpn-target 2:2 1:1 import-extcommunity

vpn-target 2:2 export-extcommunity

vxlan tunnel mac-learning disable

ospf 1 router-id 1.1.1.1

area 0.0.0.0

network 1.1.1.1 0.0.0.0

network 14.1.1.0 0.0.0.255

l2vpn enable

vxlan tunnel arp-learning disable

vsi vpna

gateway vsi-interface 1

vxlan 10

evpn encapsulation vxlan

route-distinguisher auto

vpn-target auto export-extcommunity

vpn-target auto import-extcommunity

vsi vpnb

gateway vsi-interface 2

vxlan 20

evpn encapsulation vxlan

route-distinguisher auto

vpn-target auto export-extcommunity

vpn-target auto import-extcommunity

interface LoopBack0

ip address 1.1.1.1 255.255.255.255

interface GigabitEthernet2/0

ip address 14.1.1.1 255.255.255.0

interface GigabitEthernet3/0

xconnect vsi vpna

interface GigabitEthernet4/0

xconnect vsi vpnb

interface Vsi-interface1

ip binding vpn-instance vpna

ip address 192.168.2.1 255.255.255.0

mac-address 0001-0001-0001

local-proxy-arp enable

distributed-gateway local

interface Vsi-interface2

ip binding vpn-instance vpnb

ip address 192.168.10.1 255.255.255.0

mac-address 0002-0002-0002

local-proxy-arp enable

distributed-gateway local

interface Vsi-interface3

ip binding vpn-instance vpna

l3-vni 1000

interface Vsi-interface4

l3-vni 2000

interface Vsi-interface5

l3-vni 3000

bgp 1234

peer 4.4.4.4 as-number 1234

peer 4.4.4.4 connect-interface LoopBack0

address-family l2vpn evpn

peer 4.4.4.4 enable

## 3、配置VSR2 ##

调整VPN实例的vpn-target来实现访问限制，调整后的VSR2配置如下：

ip vpn-instance vpnb

route-distinguisher 2:2

address-family ipv4

vpn-target 2:2 1:1 import-extcommunity

vpn-target 2:2 export-extcommunity

address-family evpn

vpn-target 2:2 1:1 import-extcommunity

vpn-target 2:2 export-extcommunity

vxlan tunnel mac-learning disable

ospf 1 router-id 2.2.2.2

area 0.0.0.0

network 2.2.2.2 0.0.0.0

network 22.1.1.0 0.0.0.255

network 24.1.1.0 0.0.0.255

l2vpn enable

vxlan tunnel arp-learning disable

vsi vpnb

gateway vsi-interface 1

vxlan 20

evpn encapsulation vxlan

route-distinguisher auto

vpn-target auto export-extcommunity

vpn-target auto import-extcommunity

interface LoopBack0

ip address 2.2.2.2 255.255.255.255

interface GigabitEthernet2/0

ip address 24.1.1.2 255.255.255.0

interface GigabitEthernet3/0

xconnect vsi vpnb

interface Vsi-interface1

ip binding vpn-instance vpnb

ip address 192.168.10.1 255.255.255.0

mac-address 0002-0002-0002

local-proxy-arp enable

distributed-gateway local

interface Vsi-interface3

l3-vni 1000

interface Vsi-interface4

ip binding vpn-instance vpnb

l3-vni 2000

interface Vsi-interface5

l3-vni 3000

bgp 1234

peer 4.4.4.4 as-number 1234

peer 4.4.4.4 connect-interface LoopBack0

address-family l2vpn evpn

peer 4.4.4.4 enable

## 4、配置VSR3 ##

调整VPN实例的vpn-target来实现访问限制，调整后的VSR3配置如下：

ip vpn-instance vpnc

route-distinguisher 3:3

address-family ipv4

vpn-target 3:3 1:1 import-extcommunity

vpn-target 3:3 export-extcommunity

address-family evpn

vpn-target 3:3 1:1 import-extcommunity

vpn-target 3:3 export-extcommunity

vxlan tunnel mac-learning disable

ospf 1 router-id 3.3.3.3

area 0.0.0.0

network 3.3.3.3 0.0.0.0

network 34.1.1.0 0.0.0.255

l2vpn enable

vxlan tunnel arp-learning disable

vsi vpnc

gateway vsi-interface 1

vxlan 30

evpn encapsulation vxlan

route-distinguisher auto

vpn-target auto export-extcommunity

vpn-target auto import-extcommunity

interface LoopBack0

ip address 3.3.3.3 255.255.255.255

interface GigabitEthernet2/0

ip address 34.1.1.3 255.255.255.0

interface GigabitEthernet3/0

xconnect vsi vpnc

interface Vsi-interface1

ip binding vpn-instance vpnc

ip address 192.168.20.1 255.255.255.0

mac-address 0003-0003-0003

local-proxy-arp enable

distributed-gateway local

interface Vsi-interface3

l3-vni 1000

interface Vsi-interface4

l3-vni 2000

interface Vsi-interface5

ip binding vpn-instance vpnc

l3-vni 3000

bgp 1234

peer 4.4.4.4 as-number 1234

peer 4.4.4.4 connect-interface LoopBack0

address-family l2vpn evpn

peer 4.4.4.4 enable

## 5、配置VSR-RR ##

配置VSR-RR作为RR路由反射器与其他路由器建立BGP连接, 配置发布EVPN路由，并关闭BGP EVPN路由的VPN-Target过滤功能。无需调整配置。

# 验证配置 #

## 1、验证分布式EVPN网关设备VSR1 ##

查看EVPN自动发现的邻居信息，包含各VSI的IMET路由和MAC/IP路由。

display evpn auto-discovery imet

dis evpn auto-discovery macip-prefix

![20210713204054121.png][]

查看EVPN的ARP信息和MAC地址信息，

dis evpn route arp

dis evpn route mac

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 1][]

查看EVPN路由表信息，因为绑定了VPN实例，所以记得带实例查看。

display evpn routing-table vpn-instance vpna

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 2][]

查看Tunnel接口信息，可以看到VXLAN模式的Tunnel接口处于UP状态。

display interface tunnel

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 3][]

查看VSI虚接口信息，可以看到VSI虚接口处于UP状态。

display interface vsi-interface

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 4][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 5][]

查看VSI的详细信息，可以看到VSI内创建的VXLAN、与VXLAN关联的VXLAN隧道、与VSI关联的VSI虚接口等信息。多了3个自动创建的VSI接口。

display l2vpn vsi verbose

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 6][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 7][]

查看VSI的MAC地址表项信息，可以看到已学习到的MAC地址信息。

![20210713204145214.png][]

查看BGP l2vpn对等体信息。

display bgp l2vpn evpn

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 8][]

VSR1设备上的VPN实例vpna和vpnb的路由信息如下：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 9][]

查看FIB表项信息，可以看到已学习到了虚拟机的转发表项信息，都要加VPN实例了。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 10][]

## 2、验证主机 ##

对比组网拓扑，在VM1这台主机（192.168.2.160）上ping测VM2（192.168.10.110）、VM3（192.168.20.200）和VM4（192.168.10.188），结果如下：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 11][]

在VM2（192.168.10.110）这台主机上ping测VM1（192.168.2.160）、VM3（192.168.20.200）和VM4（192.168.10.188），结果如下：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 12][]

在VM3（192.168.20.200）这台主机上ping测VM1（192.168.2.160）、VM2（192.168.10.110）和VM4（192.168.10.188），结果如下：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 13][]

在VM4（192.168.10.188）这台主机上ping测VM1（192.168.2.160）、VM2（192.168.10.110）和VM3（192.168.20.200），结果如下：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 14][]

综上，除VM3和VM4不能互访之外，其余主机全部实现互访。

# 总结 #

设备在发布和接收BGP EVPN路由时，按照如下规则选择RD和RT：

1、IMET路由和仅包含MAC地址信息的MAC/IP路由。

发布该类路由时，携带EVPN实例视图下配置的RD和Export Target；

接收该类路由时，将路由中的Route Target属性与本地EVPN实例视图下配置的Import Target进行比较。

2、包含ARP/ND信息的MAC/IP路由。

发布该类路由时，携带EVPN实例视图下配置的RD，并同时携带EVPN实例视图下配置的Export Target和VPN实例/公网实例下为EVPN配置（VPN实例视图、VPN实例EVPN视图、公网实例视图、公网实例EVPN视图下配置）的Export Target；

接收该类路由时，将路由中的Route Target属性与本地VPN实例/公网实例下为EVPN配置的Import Target进行比较。

3、IP前缀路由。

发布该类路由时，携带VPN实例/公网实例下为IPv4 VPN配置或IPv6 VPN配置的Export Target；

接收该类路由时，将路由中的Route Target属性与本地VPN实例/公网实例下为IPv4 VPN或IPv6 VPN配置的Import Target进行比较。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70]: /images/20221004/783a696786a2443c84049fa9c09ea579.png
[20210713204054121.png]: /images/20221004/06a28c194fa3487b90d9dcaf6f8d543f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 1]: /images/20221004/5557a1b263d143458619ffc728966d62.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 2]: /images/20221004/6fc473570fd84f72a0ae8f4286f3345c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 3]: /images/20221004/e19f8c01995a4860b20f2541b4c37965.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 4]: /images/20221004/10f3f36d00aa43539892587c488a7525.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 5]: /images/20221004/6e86f49f5453448a8e6be5f2d46df7b2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 6]: /images/20221004/42c2c8aac08b45bb9ca34b6f42ab852e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 7]: /images/20221004/f82519e6094d4bc6a801d85a92329827.png
[20210713204145214.png]: /images/20221004/3aef58bd948845b98046876718b55b43.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 8]: /images/20221004/9cceb404b0974c2f8ece09c86da230f0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 9]: /images/20221004/47274c6acef1407ea7ed035c365612d9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 10]: /images/20221004/dbaa19f8d30d4bfa9c8bc6c764a7c209.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 11]: /images/20221004/83ea00655e7c418793545d4c97503de7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 12]: /images/20221004/2f79def5644a482d8074cc6cf7b014e8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 13]: /images/20221004/cf1a59e14f4f444c9747cd0f915645d5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 14]: /images/20221004/ee850e539c7d4272900b0d0377ca119f.png