VRFは、1台のL3機器に独立したルーティングテーブルを複数持たせる仕組みです。VLANが主にL2のブロードキャストドメインを分けるのに対し、VRFはL3の経路空間を分けるため、同じIP帯を別VRFで重複利用できます。
⭕️ネットワークエンジニアが
少し深掘りして理解したいことVRFの基本
同じ機器の中で、
同じIPアドレス帯を使える普通は、
1台のルーターやL3スイッチの中に
192.168.1.0/24
という経路が2つあると、
どっちへ送ればいいのか分からなくなる。極端な例だとVRFを使うと、
同じ機器の中でA社用の… pic.twitter.com/WDJa48LBT7
— けんと＠設計構築チャンネル (@yeiquer12) 2026年6月20日
VRFは同じ機器内でL3経路表を分離し、同じIP帯も別空間として扱えると説明したポスト。
VRFは1台の機器でL3経路空間を分離する
VRF（Virtual ルーティング and Forwarding）ごとに、所属インターフェース、接続経路、スタティック・動的経路、ARPなどを分けて扱います。グローバル経路表に宛先があっても、対象VRFの経路表になければその通信には使われません。
VRF-A VRF-B
PC-A 192.168.1.10 PC-B 192.168.1.10
| VLAN10 | VLAN20
+-- Gi1/0 VRF-A Router Gi2/0 VRF-B --+
経路表A 経路表B
相互通信は明示設計しない限り不可VRFとVLANの違いはL3とL2の分離範囲にある
VLANはEthernetフレームを扱うL2の分離、VRFはIP経路を扱うL3の分離です。複数VLANを同じVRFへ所属させてルーティングすることも、同じIPプレフィックスを別VRFで使うこともできます。
| 比較項目 | VLAN | VRF |
|---|---|---|
| 主なレイヤー | L2 | L3 |
| 分離するもの | ブロードキャストドメイン | ルーティングテーブルとL3到達性 |
| 識別 | VLAN ID | VRF名 |
| 同一機器で同じIP帯 | L3へ上げる際に通常は重複不可 | 別VRFなら重複利用可能 |
| 相互通信 | L3ルーティングが必要 | 経路リークやFW経由などの明示設計が必要 |
同じIP帯を使えるのは経路検索と隣接情報が別だから
192.168.1.0/24がVRF-AとVRF-Bの両方に存在しても、パケットは入力インターフェースにひも付くVRFの経路表だけを参照します。ARPや隣接情報もVRFの文脈で確認するため、同じ宛先IPでも別のインターフェースと次ホップを選べます。
VRF-LiteはMPLSを使わず機器内の経路表を分離する
VRF-Liteは、MPLS VPNのプロバイダー網を構成せず、ルーターやL3スイッチ上でVRFを使って経路空間を分ける構成を指します。拠点内のテナント、業務系と管理系などの分離に使われますが、FWやアクセス制御の代替ではありません。
Cisco IOS XEでVRF-Liteを設定する
VRFを定義し、L3インターフェースを所属させ、そのVRF内のIPアドレスと経路を設定します。以下は検証環境向けの例で、コマンド形式は製品・IOS/IOS XEリリースによって異なります。対象機種の公式資料で確認してから使用してください。
vrf definition CUST-A
address-family ipv4
exit-address-family
!
interface GigabitEthernet1/0
vrf forwarding CUST-A
ip address 192.168.1.1 255.255.255.0
no shutdown
!
ip route vrf CUST-A 203.0.113.0 255.255.255.0 192.168.1.254show vrf・show ip route vrf・ping vrfで確認する
show vrfでVRFと所属インターフェース、show ip route vrfでVRF別の経路、show arp vrfで隣接、ping vrfでそのVRFを使った疎通を確認します。通常のshow ip routeだけを見て別の経路表を誤認しないよう、すべての証跡へVRF名を付けます。
show vrf
show ip interface brief vrf CUST-A
show ip route vrf CUST-A
show arp vrf CUST-A
ping vrf CUST-A 203.0.113.10 source 192.168.1.1VRF間通信は経路リークやFW経由を明示設計する
VRF間は自動的に通信しません。共有サービスへ到達させる場合は、許可するプレフィックスと方向、経路を渡す方法、FW検査、戻り経路、拒否すべき通信を決めます。経路リークは分離を弱める変更なので、許可試験だけでなく別テナントへ届かない拒否試験も行います。
VRF-A -- 許可prefix --> FW / 共有サービス <-- 許可prefix -- VRF-B
| policy・log・復路 |
+------ 意図しないVRF間通信は拒否試験 ------+VRFの通信障害は所属・経路・ARP・制御・復路の順で切り分ける
送信元インターフェースのVRF所属、対象VRFの接続・スタティック・動的経路、ARP、ACL/FW、経路リーク、宛先からの戻り経路を順に確認します。pingやtracerouteでもVRFと送信元を明示し、グローバル経路表の成功結果を対象VRFの結果と混同しないでください。
| STEP | 実施内容 | 完了確認 |
|---|---|---|
| 1 | 入力IF・SVI・サブIFのVRF所属を確認 | 想定VRFに所属している |
| 2 | 対象VRFの経路表と次ホップを確認 | 宛先へ最長一致する経路がある |
| 3 | VRF内のARP・隣接を確認 | 次ホップを解決できる |
| 4 | ACL・FW・経路リークを確認 | 許可条件とヒットログが一致する |
| 5 | 送信元指定pingと復路を確認 | 往復通信が同じVRF設計で成立する |
関連する記事
次の解説を続けて読むと、今回の内容を隣接する工程や確認方法へ広げられます。
まとめ：VRF名を付けて経路・ARP・疎通を確認する
VRFはL3の経路空間、VLANはL2ドメインを分けます。Cisco環境では所属インターフェース、VRF別経路、ARP、疎通を同じVRF名で確認し、VRF間通信を許可する場合はプレフィックス、方向、FW検査、復路、拒否試験まで設計してください。
