如何利用交换机里的虚拟化路由功能

不仅仅是服务器和电脑平台，如今局域网厂商们也在竭力宣传虚拟化功能。

虚拟化技术应用于服务器或者存储系统，可以让用户放置几十个甚至几百个服务器操作系统实例，或者划分及控制不同磁盘上的存储容量。支持者声称，这项技术降低了运营成本、减少了复杂性。

现在网络厂商们声称，虚拟化技术也可以适用于企业网络核心和边缘的路由。如果把一个企业网络分隔成多个不同的子网络——它们使用不同的规则和控制，用户就可以充分利用交换机的虚拟化路由功能，而不是购买及插入新的机架或者设备来实现这种分隔机制。

虚拟化网络概念并不是什么新概念，因为多年来，虚拟局域网（VLAN）技术作为经实践证明切实可靠的一种方法，历来用于在一个以太网交换上或者跨多个交换机来构建安全、独立的局域网网段。

而核心机架交换机里面的虚拟化路由功能是可以在第三层分隔企业网络、对内外网络流量提供更多安全和控制的一种类似工具。

通过VRF进行隔离

在多协议标记交换（MPLS）运营商网络，虚拟路由和转发（Virtual Routing Forwarding，VRF）被用于把客户流量分割成独立路由转发的几段流量，这步操作有时在同一个设备上进行。

厂商们称，针对企业应用，精简版VRF（一种规模比较小的VRF，不需要MPLS）可以把一个路由器划分成多个虚拟化设备。譬如说，Extreme公司就在其模块化的ExtremeWare XOS交换机操作系统里面添加了虚拟化路由器配置这项功能。

除了其他路由平台外，Juniper公司的ISG系列安全路由器/防火墙也支持虚拟化技术。思科的IOS型号的Catalyst 6500交换机里面添加了支持VRF和精简版VRF的功能。

网捷网络公司的NetIron交换机支持Multi-VRF，这可以让用户在一个设备里面创建多个虚拟化路由选择域。这些路由选择域类似第二层虚拟局域网，可以对流量进行分离。用户可以在该设备外面安装防火墙，也可以安装内部访问控制列表，从而监管虚拟化路由器网段之间共享的那些流量。

通过思科IOS交换机里面的命令，就可以激活及配置VRF和精简版VRF。据思科负责路由器和交换机产品的营销经理Marie Hattar声称，为了在Catalyst 6500上使用虚拟化、经过路由的网段，需要这一步操作。

Hattar说: “这项技术会充分利用VRF的各部分。我们正在试图为企业客户提供设置虚拟化服务的一种方法，而不必使用基于MPLS的实现系统，因为后者比较复杂。”

虚拟化路由器

Amica保险公司使用了其Extreme BlackDiamond 10K的虚拟化路由功能，还使用了Juniper ISG路由器/防火墙; BlackDiamond 10K可以分割成多个虚拟化路由器。

据该公司的IT主管Ron Rivet声称，这种方案可以把负责传送Web、虚拟专用网（VPN）和外联网等流量的复杂边缘基础设施全部收缩到两个物理设备里面。

在Amica公司的网络上，BlackDiamond 10K被分割成了六个虚拟化路由器，每个路由器都有各自的路由表、IP地址、访问控制及规则。一个虚拟化路由器负责处理所有进出的因特网流量，并且使用多路DS-3连接。

Juniper ISG这个路由器连接到Juniper防火墙，也被分割成多个虚拟化路由器。ISG负责对数据包进行过滤，并确定流量是传送到几个非军事区（DMZ）当中的一个——这些DMZ面向外联网的应用软件或者公共网站，还是传送到存放有在公司内部网络上运行的应用软件的VPN网段。

ISG将分段流量发送到第二个虚拟化路由器，该路由器再将流量路由转发到ISG里面的虚拟化路由器网段——在这里，防火墙规则第二次加以运用。流量由此发送到BlackDiamond 10K的其中一个虚拟化路由器。BlackDiamond 10K负责处理不同网段的流量。

Rivet说，如果在Amica的网络安全配置的每个步骤都安装不同厂商的一个个设备来处理流量需要高昂成本——他估计硬件费用至少需要5万到10万美元，管理起来也比较困难。

行业观察人士认为，大多数企业恐怕不会充分利用由思科、网捷及其他厂商提供的这几种虚拟化路由功能。

Yankee集团的分析师Zeus Kerravala说: “这几种网络虚拟化功能其实适用于电信公司和高端企业，因为它们有多个客户或者部署需要服务，也需要这种虚拟化功能进行扩展。”

其他人士则说，就为大型企业网络划分网段而言，在物理设备上添加另外一台路由器、对网络进行分段是比较简单也是比较安全的一种方法。