VRF

假设PC1与R2这一侧的网络属于一个独立的业务；PC2与R3这一侧的网络属于另一个独立的业务，由于设备资源有限或者其他方面的原因，这两个独立的业务的相关节点连接在R1上，也就是同一台设备上。那么在完成相关配置后，R1的路由表如上图所示。
现在如果PC1要发一个数据包到2.2.2.2，那么这个数据包在到达R1后，R1就会去查看自己的路由表，发现有一条2.2.2.0/24的路由匹配，因此将这个IP包从GE0/0/2口转发给192.168.100.2。这是没有问题的，然而如果PC1要访问3.3.3.0/24网络呢？也是无压力的，因为数据包到达R1后，她照样查找路由表结果发现有匹配的路由，因此将数据包转给R3。但是实际上，从业务的角度考虑，我们禁止PC1访问3.3.3.0/24网络。
那么怎么办？

现在，我们在R1上创建两个VRF：VRF1及VRF2，创建完成后，我们可以理解为，拥有了两台虚拟路由器。当然，现在这两台虚拟路由器上啥也没有。
接下去我们将GE0/0/1口及GE0/0/2口绑定到VRF1；将GE0/0/3及GE0/0/4口绑定到VRF2。如此一来这两台虚拟路由器就各自拥有了两个物理接口。值得注意的是，这两台虚拟路由器是虽然都在同一台物理设备上，但是却是隔离的，他们将有自己的接口，自己的路由表，自己的ARP表等等相关的内容。我们的环境就变成有点像这样：

我们看到，VRF1及VRF2有了自己的接口，也有了自己的路由表。并且相互之间是隔离的。
现在PC1要发送一个数据包到2.2.2.2，R1从接口GE0/0/1收到了这个数据包，由于此时GE0/0/1已经绑定到了VRF1，因此在执行目的IP的路由查找的时候，查的是VRF1的路由表，查找到匹配的路由条目后，间个数据包从其指示的GE0/0/1口转发给下一跳192.168.100.2。

那么如果PC1要访问3.3.3.3呢？数据包发到了R1，R1从接口GE0/0/1收到了这个数据包，于是它在做路由查找的时候，查的仍然是VRF1的路由表。经过查表后，它发现并无匹配的条目，因此将数据包丢弃。

实验

如图，R2属于VPN实例aa，R3属于VPN实例bb，要求pc1可以访问R2，不能访问R3。PC2可以访问R3，不能访问R2.

R1下做单臂路由，创建VPN实例aa和bb，子接口分别绑定相应的VPN实例。g0/0/0绑定vpn实例aa，g0/0/1绑定vpn实例bb。

S1创建vlan，划分接口：略

注意：接口绑定VPN实例后，ip地址的配置会被移除，需要重新配置

创建vpn实例：

ip vpn-instance aa

ipv4-family #使能ipv4地址簇

接口绑定：ip binding vpn-instance aa

查看vpn路由表：dis ip routing-table vpn-instance aa

静态路由：ip route-static vpn-instance aa 2.2.2.2 32 192.168.10.1

ping命令：ping -vpn-instance aa 192.168.10.1

R2上添加回程路由：略

至此，PC1可以ping通R2

R1上创建ospf：ospf 1 router-id 1.1.1.1 vpn-instance bb

宣告网段：略

R3上ospf宣告3.3.3.3

pc2ping通3.3.3.3