华为 VPN 实例是什么
华为 VRP 用 ip vpn-instance 定义一张独立的路由表与转发表，作用与 Cisco 的 VRF 一致。实例内用 route-distinguisher 保证地址空间唯一，用 vpn-target 声明导入导出的 RT；接口执行 ip binding vpn-instance 后归入该实例，其流量只按实例内的路由转发，是实现 MPLS L3VPN 的 PE 侧隔离单元。
基本信息
| 定义实例 | system-view 下 ip vpn-instance <名字> |
|---|---|
| 唯一化 | route-distinguisher <AS>:<编号>，同一 PE 上唯一 |
| 收发关系 | vpn-target <值> export-extcommunity / import-extcommunity，可配多条 |
| 接口绑定 | 接口下 ip binding vpn-instance <名字> |
| BGP 承载 | bgp 视图下 ipv4-family vpn-instance <名字> 配置引入与发布 |
典型使用场景
- MPLS L3VPN：同一 PE 承载多个客户，客户地址段可以完全重叠
- 政企专线隔离：不同单位共用同一台 PE 但互不可见
- 管理平面与业务平面分离：带外管理单独走一个实例
- 与防火墙联动时把不同安全域放在不同实例里，用策略控制互访
- 多实例下做统一出口：通过 extcommunity 或路由策略决定哪些实例能访问互联网
完整配置示例
完整配置示例
system-view
# 1) 定义实例、RD 与 RT
ip vpn-instance CUST-A
ipv4-family
route-distinguisher 65001:1
vpn-target 65001:1 export-extcommunity
vpn-target 65001:1 import-extcommunity
#
# 2) 接口绑定实例，注意绑定会清除接口已有 IP，需重新配置
interface GigabitEthernet0/0/2.100
ip binding vpn-instance CUST-A
ip address 10.10.2.1 255.255.255.0
#
# 3) 在实例地址族内引入路由并与对端 PE 互联
bgp 65001
ipv4-family vpn-instance CUST-A
import-route direct
import-route static
peer 2.2.2.2 as-number 65001
ipv4-family vpnv4
peer 2.2.2.2 enable
peer 2.2.2.2 advertise-ext-community
#
display ip vpn-instance CUST-A verbose核查命令读法
| 命令 | 观察点 | 异常提示 |
|---|---|---|
| display ip vpn-instance verbose | RD、RT 与接口列表 | RT 为空或无接口说明配置未落地 |
| display ip routing-table vpn-instance CUST-A | 实例内路由 | 只有直连说明引入或对端未生效 |
| display bgp vpnv4 all routing-table | VPNv4 前缀与扩展团体 | 无 Ext-Community 说明发社区未开 |
| display bgp vpn-instance CUST-A peer | 实例内邻居状态 | 空闲或未建立需回到 vpnv4 会话侧核对 |
验证与抓错
验证与抓错
# 实例内业务连通性验证
ping -vpn-instance CUST-A 10.10.2.2
#
# 查实例路由的详细来源与标签
display ip routing-table vpn-instance CUST-A 10.10.2.0 verbose
#
# 查本端发出的 RT 是否符合对端导入策略
display bgp vpnv4 all routing-table 10.10.2.0接口执行 ip binding vpn-instance 之后，接口上原有的 IP 地址会被清除，这是设备行为而不是命令报错。生产环境建议先在接口下记录原地址，绑定后立即重新配置，并确认该接口不在远程管理路径上。