VRF : Virtual Routing and Forwarding
Réseau
VRF : Virtual Routing and Forwarding. « Routage et acheminement virtuels », par analogie avec un immeuble où chaque locataire dispose de son propre escalier, sans jamais croiser les voisins.
Principe : Un même routeur héberge plusieurs tables de routage indépendantes ; chaque interface est rattachée à une seule. Deux instances peuvent réutiliser les mêmes plages d'adresses sans conflit.
Usages : Réseaux privés virtuels de niveau 3 sur MPLS chez les opérateurs, séparation des clients d'un hébergeur, isolement d'un réseau d'administration. Un seul boîtier, plusieurs mondes étanches : la schizophrénie, quand elle est configurée, devient une architecture.
Fuite de routes : On peut volontairement importer des routes d'une instance à l'autre pour partager un service commun. Chaque exception de ce genre perce une cloison et mérite d'être documentée comme telle.
Limites : Une instance isole le routage, pas le trafic une fois routé ailleurs : elle ne remplace ni le filtrage ni le chiffrement.
Ce qui arrive si on s'en passe
Sans instances de routage séparées, toutes les routes cohabitent dans une seule table : un réseau d'administration, des segments de clients distincts et la production deviennent joignables les uns depuis les autres dès qu'un chemin existe, et seule une liste de filtrage empêche le passage. Une erreur dans cette liste suffit alors à exposer un plan de gestion ou à mélanger le trafic de deux clients. Les plages d'adresses ne peuvent plus se recouvrir, ce qui pousse à des traductions d'adresses bricolées. Isoler le routage par instance, et traiter chaque import de routes entre instances comme une exception contrôlée, limite ce qu'une mauvaise règle ou un équipement compromis permet d'atteindre.
Explication de la marmotte
Imaginons un bâtiment de bureaux partagé par plusieurs entreprises, avec un seul standard téléphonique. Plutôt que d'acheter un standard par entreprise, on règle celui qui existe pour qu'il gère plusieurs annuaires séparés : les appels d'une entreprise ne peuvent jamais atterrir chez une autre, même si elles utilisent les mêmes numéros de poste. Sur un réseau, c'est pareil : un seul appareil chargé d'orienter les données peut faire comme s'il en était plusieurs, chacun avec sa propre carte des chemins, bien séparée des autres.
Où ce terme est utilisé
- Décision de chemin, routes statiques et routage système (8 occurrences)
- MPLS, GMPLS, SD-WAN et overlays opérateurs (4 occurrences)