Como rutear trafico desde una VRF hacia una red global

[albano_911]

Mi duda es la siguiente:

Yo tengo una VRF creada en mi red lllamada "usuarios". No tengo problemas de conectividad para todas las IP que se encuentran dentro la misma VRF. Mi problema es como rutear el trafico generado en la VRF hacia internet. ¿Existe alguna forma de rutear el trafico del interior de una VRF hacia una red global y viceversa?

Saludos

David

[dzalazar2005]

Hola que tal, me sumo a tu pedido. Si tengo  una VRF que se llama Clientes, y en el router hago lo siguiente:

show  ip route vrf Clientes    veo lo siguiente:

Gateway of last resort is not set

160.130.0.0/16 is variably subnetted, 2 subnets, 2 masks
C 160.130.0.128/25 is directly connected, GigabitEthernet0/0.700
L 160.130.0.129/32 is directly connected, GigabitEthernet0/0.700

Ahora si en el router ejecuto show  run | include ip route (en modo global) por ejemplo veo en la tabla de ruteo:

ip route 172.18.23.0 255.255.255.192 172.115.10.1

Como hago para que la Vrf Clientes por ejemplo vea esa ruta de la tabla de ruteo Global, ?

Gracias,

Saludos,

Damian

[Leonardo Pena Davila]

Hola para resolver esto debes utilizar una ruta estatica global, es decir, utilizar el comando de la siguiente manera:

ip route vrf Clientes 172.18.23.0 255.255.255.192 172.115.10.1 global

Espero te ayude 

Saludos

Leonardo

[dzalazar2005]

Hola que tal, muchas gracias por tu respuesta con esto ya veo el destino en la tabla de ruteo de la vrf. Ahora te hago una consulta, estoy probando en un escenario sencillo (Adjunto Imagen). Soy nuevo con el tema de la VRF y no entiendo mucho sobre este tema en particular (Por no decir que no entiendo nada jaja). Con tu ayuda puedo ver en la tabla de ruteo de la vrf., pero si desde la pc le hago un ping no llego al destino.... Puede ser que me esté faltando algun comando para ver la vuelta? En el otro router también debo tener la misma vrf armada?

Gracias,

Saludos,

Damian

[dzalazar2005]

Creo que encontre el problema pero me falta la solución.... El tema es que tengo que exportar las conectadas de la vrf hacia la tabla de ruteo global, pero creo que no debería usar export ya que no tengo implementado BGP. Hay forma de exportar las redes conectadas de la vrf a la global sin usar BGP ?

Gracias Saludos,

Damian

[Leonardo Pena Davila]

Hola, 

No te preocupes no es tan complicado! Solo un poco de practica y lo dominaras facilmente. Sin ver la configuración que tienes aplicada es dificil decirte cual es el problema del ping. Puedo intuir que es probable que la interfaz donde tienes conectada la PC no pertenece a la VRF, por esta razón no logras hacer el ping. Es solo un pronostico, tendria que ver la config para ser mas preciso.

Te dejo unos enlaces espero te ayuden y continua practicando vas muy bien!

http://www.redescisco.net/sitio/2017/02/15/configuracion-basica-de-vrf/

http://www.blog.madnetworks.fr/2013/10/vrfsbasic-concepts/

Saludos

[dzalazar2005]

Hola que tal, el tema es así a ver si puedes darme una mano: Si desde la notebook le hago un ping al gatewy me contesta Ok, pero cuando quiero hacer un ping atras del gateway como que me falta la vuelta.

Tengo una notebook con la ip 160.130.0.150/25 con gateway 160.130.0.129/25.  Mi interface del router: 

show ip vrf CLIENTES01
Name Default RD Interfaces
CLIENTES01 700:1 Gi0/0.700

interface GigabitEthernet0/0.700
encapsulation dot1Q 700
ip vrf forwarding CLIENTES01
ip address 160.130.0.129 255.255.255.128
ip policy route-map CLIENTES01_TO_GLOBAL
end

Cuando desde la notebook le hago ping a 10.1.24 veo que el access list matchea pero no me contesta el destino (que esta en la tabla de ruteo y desde afuera de la vrf anda bien)

Extended IP access list CLIENTES01_TO_GLOBAL
10 permit ip 160.130.0.128 0.0.0.127 host 10.1.24.1 (127 matches)
20 permit ip 160.130.0.128 0.0.0.127 host 0.0.0.0

ip route vrf CLIENTES01 0.0.0.0 0.0.0.0 160.10.0.50 global
ip route vrf CLIENTES01 10.1.24.1 255.255.255.255 172.15.5.1 global

Aclaro que no tengo BGP Activo...

Lo que no entiendo es porque si el access list matchea.... significa que esta bien... porque no llego? Es como que no aplicara el route-map?

Gracias,

Saludos,

Damian

[Julio E. Moisa]

Hola Damian,

Un par de consultas acerca de esta ruta estatica:

ip route vrf CLIENTES01 10.1.24.1 255.255.255.255 172.15.5.1 global

1) Quien es el siguiente salto 172.15.5.1 en la topologia?

2) El argumento global es utilizado para conocer un destino que se encuentra en la tabla de enrutamiento global, es asi como deseas alcanzar la IP 10.1.24.1?

Tu puede asignar la interface que conecta a RTR2, bajo el VRF, la interface de RTR1 que tiene la IP 172.115.10.10 (deberia de estar en el VRF), ahora RTR2 puede seguir utilizando la tabla de enrutamiento global como ha estado funcionando, ya solo seria de agregar una ruta estatica para que conozca la red 160.130.0.128/25 a traves de RTR1 (sin VRF), recuerda que el VRF es solo de importancia local. 

Quedo siempre a tus ordenes.

Saludos 

[dzalazar2005]

Hola que tal, gracias por contestar. Te comento actualmente la red se encuentra andando sin vrf.Tengo la pc de gestion conectada con la ip 160.130.0.150/25 con gateway 160.130.0.129 que es la ip dwl primer router puesto en vrf. Ese router tiene una interface conectada actualmente sin vrf con la ip 172.115.10.10 y en esa red hay otro router sin vrf con la 172.115.10.1 todo sin vrf. Este ultimo router recibe la 10.1.24.1/32 por eigrp desde un router en otra localidad donde esa ip es una loopback, y es donde intento llegar x ping. 

El tema es si la interface del R1 172.115.10.10 no esta en vrf, podria llegar a conocer lo que esta detras de la 172.115.10.1 ?

Esta ruta esta mal: ip route vrf CLIENTES01 10.1.24.1 255.255.255.255 172.15.5.1 global

la que iba era: ip route vrf CLIENTES01 10.1.24.1 255.255.255.255 172.115.10.1 global que es el router que recibe x eigrp la red 10.1.24.1

[Julio E. Moisa]

Buenos dias Damian,

Si, si se puede habilitar la comunicacion, a esto se le llama Filtrado de rutas (Route Leaking), existen varias maneras de hacerlo pero algunas son soportadas solo en ciertos equipos, ahora puedes intentar con la siguiente linea, recomiendo borrar la anterior:

ip route vrf CLIENTES01 10.1.24.1 255.255.255.255 <Interface donde esta la IP 172.115.10.10> 172.115.10.1 global  

Ejemplo

ip route vrf CLIENTES01 10.1.24.1 255.255.255.255 GigaEthernet0/1 172.115.10.1 global  

http://www.ipwithease.com/route-leaking-between-vrf-and-global-routing-table/

Aunque ya lo he implementado utilizando route-maps

ip vrf CLIENTES01
import ipv4 unicast map GLOBAL-A-VRF
export ipv4 unicast map VRF-A-GLOBAL

[dzalazar2005]

Hola que tal, bueno lo voy a probar en la semana y te cuento. Intente hacerlo con route-maps, pero donde lo estoy probando es un router Cisco 1841 pero tiene el comando import ipv4 pero no tiene el export ipv4; solo tiene export map.

Voy a seguir y cualquier cosa te aviso. Muchas gracias por toda la ayuda y toda la data.

Saludos,

Damian

[Julio E. Moisa]

Perfecto Damian, voy a estar pendiente.

Y es correcto en la mayoria de imagenes no aparece como soportado el export map, son ciertos equipos con especificas imagenes quienes lo soportan.

Ten un buen fin de semana y estamos en comunicacion.

Saludos 

[dzalazar2005]

Hola que tal, te vuelvo a molestar lo acabo de probar y no me funciona.... Podra ser el equipo? El Rtr1 (unico que tiene configurado la VRF es un Cisco 1841)

El tema es así, yo estoy en la notebook haciendo un ping a la 10.1.24.1; que es una ip que viene de otra localidad sin vrf. Esta llega al RTR2 por eigrp; y este router está conectada en la misma lan que el RTR1. El unico equipo que tiene vrf configurada es el Rtr1  y la unica interface es la de la 160.130.0.129

En RTR1:

interface GigabitEthernet0/0.601
encapsulation dot1Q 601
ip vrf forwarding CLIENTES01
ip address 160.130.0.129 255.255.255.128
end

interface GigabitEthernet0/1.2
description ***Contra Red  172.18.13.0/24 ***
encapsulation dot1Q 2
ip address 172.18.13.2 255.255.255.0
end

ip route vrf CLIENTES01 10.1.24.1 255.255.255.255 GigabitEthernet0/1.2 172.18.13.20 global

show ip route vrf CLIENTES01 10.1.24.1

Routing Table: CLIENTES01
Routing entry for 10.1.24.1/32
Known via "static", distance 1, metric 0
Routing Descriptor Blocks:
* 172.18.13.20 (default), via GigabitEthernet0/1.2
Route metric is 0, traffic share count is 1

En Rtr2

Routing entry for 10.1.24.1/32
Known via "eigrp 700", distance 170, metric 2241280, type external
Redistributing via eigrp 100, eigrp 700, eigrp 900

Routing entry for 160.130.0.0/16
Known via "static", distance 1, metric 0
Routing Descriptor Blocks:
* 172.18.13.2

[Julio E. Moisa]

Hola,

Si gustas voy hacer el laboratorio y te comparto mi informacion.

Saludos 

[dzalazar2005]

Muchas gracis julio, si puedes te lo agradecería mucho ya que me estoy volviendo loco con este tema... 

Muchas Gracias,

Saludos,

Damian