Cisco 300-410: MPLS、VRF、レイヤー3 VPNサービス — 学習ガイド

By Laurynas Brazys · 16 August 2026 · #cisco #300-410 #certification #exam-prep #study-guide

こちらの一部です： Cisco CCNP Enterprise 300-410 ENARSI — 学習ガイド. 検証済みの解答で練習： Cisco試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

概要

Multiprotocol Label Switching (MPLS) レイヤー3 VPNは、共有プロバイダーコアをトランスポートに使用しつつ、顧客のルーティングを仮想ルーティング＆フォワーディングインスタンス (VRF) に分離します。プロバイダーエッジ (PE) ルーターがラベルスタックを付加・削除することで、プロバイダー (P) ルーターはラベルのみに基づいて転送を行い、スケーラビリティと分離性を維持します。MP-BGPは、一意性を保証するためのルート識別子 (RD) と、インポート/エクスポートポリシーを制御するためのルートターゲット (RT) を用いて、VPNルート (VPNv4/VPNv6) を配布します。適切な設計には、顧客とプロバイダーの役割の明確な分離、慎重なラベル配布、そしてルートリークや共有サービスのための明示的なポリシーが求められます。運用には、予測可能なコントロールプレーンの状態 (IGP, LDP/RSVP, MP-BGP) と決定論的なデータプレーンの動作 (ラベルスタッキング, PHP) が必要であり、CE-PE-コアの境界を越えた厳密な検証と障害分離が不可欠です。

MPLSフォワーディングとラベル配布

ラベルフォーマットとスタック
- MPLS shimヘッダーには、20ビットのラベル、3ビットのトラフィッククラス (TC/EXP)、1ビットのボトムオブスタック (S)、8ビットのTTLが含まれます。
- パケットはスタックを運びます。外側の「トランスポート」ラベルはPE間のLSP用、内側の「VPN」ラベルは出力側PEのVRF (またはサービス) を識別します。
- Penultimate Hop Popping (PHP) は、最後から2番目のPルーターでトップラベルを削除し、出力側PEの負荷を軽減します。explicit-nullを使用すると、トップラベルを保持して出力側へのQoS/TTLセマンティクスを維持できます。
LDPの基礎
- PおよびPEルーターは通常、内部ゲートウェイプロトコル (IGP) を実行して到達可能性を確立し、Label Distribution Protocol (LDP) を使用して転送等価クラス (FEC) をラベルにマッピングします。
- LDPはUDP/646のhelloパケットでネイバーを検出し、TCP/646上でラベルセッションを形成して、信頼性の高いラベルシグナリングを提供します。Targeted LDP (tLDP) は、特定のFECに対してオフリンクのセッションを構築できます。
- ラベル割り当て/伝播の方式:
  - Independent対Ordered制御: ルーターは、ルートを認識するとすぐにFECのラベルを割り当てる (Independent)か、ネクストホップからラベルを受信した場合にのみ割り当てる (Ordered) ことができます。
  - Liberal対Conservativeラベル保持: 受信したすべてのラベルを保持するか、最適なネクストホップからのラベルのみを保持するかを選択し、メモリとコンバージェンスの俊敏性をトレードオフします。
- LDPルーターIDは、ループバックアドレスが存在すればその最大のアドレスに (なければアクティブなインターフェースの最大アドレスに) デフォルトで設定されます。セッションのチャーンを避けるために、これを (トランスポートとともに) 安定させてください。コンバージェンス中のブラックホールを防ぐために、LDP-IGP同期を検討してください。
Pルーターのコントロールプレーンのスコープ
- コアのPルーターはVPNルートを保持しません。アンダーレイ (IGP) とラベルシグナリング (LDPまたはRSVP-TE) のみを実行します。トラフィックエンジニアリングのために、LDPの代わり、またはLDPと並行してRSVP-TEを使用することができます。
データプレーンのパス
- 入力側PEはVPNラベルとトランスポートラベルをプッシュします。Pルーターは外側のラベルのみをスワップします。最後から2番目のPはトランスポートラベルをポップします (explicit-nullが使用されていない場合)。出力側PEはVPNラベルをポップし、VRFを選択して、通常のIPルックアップで転送します。
実用的な設定イネーブラー (IOS/IOS XE)
- コア向けのインターフェースで: mpls ip
- グローバルで: mpls label protocol ldp
- 確認: show mpls ldp neighbor, show mpls ldp bindings, show mpls forwarding-table

L3VPNアーキテクチャ: 役割、VRF、RD、RT、MP-BGP

役割と境界
- CE (Customer Edge): PE向けのプロトコル (スタティック, eBGP, OSPF, EIGRP) を実行し、顧客ルートを保持します。MPLSを意識しません。
- PE (Provider Edge): テナントごとのVRFを保持し、MP-BGP (VPNv4/VPNv6) に参加し、ラベルを付加/削除します。
- P (Provider Core): ラベルスイッチングのみ。VRFの状態は持ちません。
- Customer: CEおよびテナントのルーティングポリシーの管理上の所有者。
VRFとアドレスの重複
- 各テナントはVRF (個別のRIB/FIB) を持ちます。テナント間でIPv4/IPv6アドレス空間が重複することは許容されます。
- ルート識別子 (RD) は、プレフィックスの前に「RD:」を付加してVPNv4/VPNv6 NLRIを形成することで、VRFごとのルートをグローバルに一意にします。RDはセキュリティメカニズムではなく、ポリシーを制御するものではありません。
- ルートターゲット (RT) は、エクスポート時にルートをタグ付けし、VRFがどのルートをインポートするかを選択するために使用されるBGP拡張コミュニティです。RTポリシーが、インポート/エクスポートの権威ある制御手段となります。
MP-BGPアドレスファミリー
- VPNv4: AFI 1, SAFI 128。MP_REACH_NLRIはネクストホップとルートごとのVPNラベルを伝達します。VPNv4ルートはPEノード間 (およびルートリフレクター) でのみ配布されます。
- VPNv6 (6VPE): AFI 2, SAFI 128。IPv4 MPLSコア上でIPv6 VPNを可能にします。BGPネクストホップはIPv4のままでよく、PEはIPv6ルートごとにVPNラベルを割り当てます。
- PE-PE間のBGPセッションで拡張コミュニティを有効にし、RTが伝達されるようにします。
設定パターンの簡略例 (PE)
- VRFとCEアタッチメントの定義:
  - ip vrf CUST-A rd 65000:10 route-target export 65000:10 route-target import 65000:10
  - interface GigabitEthernet0/0 ip vrf forwarding CUST-A ip address 10.0.0.1 255.255.255.252
- VPNv4用のMP-BGP:
  - router bgp 65000 neighbor 192.0.2.2 remote-as 65000 neighbor 192.0.2.2 update-source Loopback0 address-family vpnv4 neighbor 192.0.2.2 activate neighbor 192.0.2.2 send-community extended maximum-paths ibgp 2
- VRFごとのアドレスファミリー:
  - address-family ipv4 vrf CUST-A redistribute connected
  - address-family ipv6 vrf CUST-A redistribute connected
- 6VPEの場合:
  - address-family vpnv6 neighbor 192.0.2.2 activate neighbor 192.0.2.2 send-community extended
確認
- show ip route vrf CUST-A
- show bgp vpnv4 vrf CUST-A
- show bgp vpnv6 vrf CUST-A
- show bgp vpnv4 all summary

ポリシー、ルートリーキング、共有サービス、セグメンテーション

RTのインポート/エクスポートポリシー
- エクスポート: VRFからのルートに1つ以上のRTでタグ付けします。インポート: VRFは、そのインポートリストに一致するRTを持つルートをインポートします。
- プレフィックスに一致させ、RTを設定/操作するVRFごとのルートマップ（エクスポート/インポートマップ）によって、きめ細かな制御が実現されます。これにより、意図しないルートの拡散が制限されます。
ルートリーキングの手法
- RTベースのリーキング（推奨）: 共有サービスVRFを定義し、サービスプレフィックスをRT SVCでエクスポートし、選択したテナントVRFにRT SVCをインポートします。テナントでエクスポートマップを使用して、どのテナントルートがサービスにエクスポートされるかを制限します。
- ローカルVRF間リーキング: 一部のプラットフォームでは、スタティックルートで他のVRFのインターフェイスを指定したり、同じPE上のVRF間でBGPピアを確立したりできます。これはRTポリシーをバイパスし、監査が困難になる可能性があるため、注意して使用してください。
- セキュリティのトレードオフ:
  - 過度に寛容なインポートは、any-to-anyの到達可能性と潜在的なラテラルムーブメント（水平展開）につながります。
  - フィルタなしの対称的なリーキングは、フィードバックループを作成したり、管理/インフラプレフィックスを公開したりする可能性があります。
  - 明示的な許可リスト（ルートマップ）とファイアウォールの連携を備えたハブアンドスポークの共有サービスモデルが推奨されます。
セグメントルーティングの概念と移行
- エンタープライズセグメンテーションは、キャンパスやデータセンター内のVRF-Liteから始まります。MPLS L3VPNは、NATなしでこれらのセグメントをWAN全体に拡張し、重複するIPを維持します。
- 移行アプローチ:
  - 各オンプレミスのVRF-LiteセグメントをプロバイダーのRTペアにマッピングします。
  - CE–PEルーティング（eBGPが推奨）を使用して、セグメントごとのルートを決定論的に交換します。
  - DNS/AD/インターネット出口用の共有サービスVRFを導入し、選択的にインポートします。
- 将来を見据えたアンダーレイ:
  - LDPまたはRSVP-TEベースのLSPは広く展開されています。Segment Routing MPLS (SR-MPLS)は、L3VPNサービスモデルを同一に保ちながら、アンダーレイのLDP/RSVPを置き換えることができます。トランスポートラベルのみがLDP/RSVPではなくSRから提供されます。

オペレーション: コントロールプレーン、データプレーン、検証、および障害分離

エンドツーエンドのパケットフロー
1. CEがプレフィックスをイングレスPEのVRF Xにアドバタイズします。
2. イングレスPEはそれをVRF XのRIB/CEFにインストールし、エクスポートRTでタグ付けし、VPNv4/v6 NLRI (RD:prefix) を作成してVPNラベルを割り当てます。
3. MP-BGPは、ネクストホップ（イングレスPEのループバック）とVPNラベルを付与して、リモートPE（またはルートリフレクタ経由）にルートをアドバタイズします。
4. IGPとLDP/RSVPが、エグレスPEのネクストホップに向けたトランスポートLSPを確立します。
5. データプレーン: イングレスPEはVPNラベル（内部）とトランスポートラベル（外部）をプッシュします。Pルータは外部ラベルをスワップします。ペナルティメットPは外部ラベルをポップします（PHP）。エグレスPEは内部ラベルを使用してVRFを選択し、エグレスCEに転送します。
一般的な障害モードとトレードオフ
- アンダーレイの到達可能性またはLDPのダウン: MP-BGPはアップ状態を維持するかもしれませんが、トランスポートLSPがないとイングレスPEは有効な外部ラベルをプッシュできず、パケットがドロップします。ブラックホール化を防ぐためにLDP-IGP syncを使用します。
- VPNラベルの欠落: VPNv4ルートは存在するがラベルがない（または予期しないセマンティクスを持つラベル3）場合、転送が中断されます。エグレスPEがVRFごとにラベルを割り当てることを確認し、ラベルアドバタイズを抑制する可能性のあるポリシーをチェックします。
- RTのミスマッチ: 送信側VRFにはルートが存在するが、受信側でインポートされていない。RTと、拡張コミュニティが交換されていること（send-community extended）を確認します。
- MTU/フラグメンテーション: ラベルスタックはオーバーヘッドを追加します。コアおよびPEインターフェースがドロップを避けるために十分なMPLS MTUをサポートしていることを確認し、必要に応じてMSSを調整します。
- QoSとPHP: トップラベルがポップされると、エグレスでEXPからQoSへのマッピングが失われる可能性があります。エグレスホップでのQoS透過性を確保するためにexplicit-nullを使用します。
- VPNv4におけるiBGPパス選択: maximum-paths ibgp Nがないと、コアにECMPがあっても1つのパスしか使用されない場合があります。負荷分散のためにマルチパスを有効にします。
検証ワークフロー
- CE-PEエッジ: show ip route vrf TENANT, show bgp ipv4 vrf TENANT, または show ospf/eigrp vrf TENANT
- MP-BGP: show bgp vpnv4 all summary; show bgp vpnv4 vrf TENANT RD:prefix
- ラベル: show mpls ldp neighbor; show mpls ldp bindings; show mpls forwarding-table
- データプレーン: show ip cef vrf TENANT prefix; traceroute mpls ipv4 RD:prefix またはエグレスPEループバックへのtraceroute; QoSが対象範囲の場合はEXP/TCマーキングを検証
- ヘルス: ルーティングセッションを保護するために、CE-PEおよびPE-PE隣接関係でのBFDを検討します。
CE、PE、プロバイダーコアにまたがる障害分離
1. イングレスPE上でCE-PE隣接関係とVRFルートが存在することを確認します。
2. ルートが期待されるRTとともにVPNv4にエクスポートされ、エグレスPEにVPNラベルが存在することを確認します。
3. イングレスPEからエグレスPEへのトランスポートLSPが存在することを確認します（LDP/RSVPネイバーとエグレスPEループバックへのラベル）。
4. PEループバックを送信元としてping/tracerouteを使用してPE-PE間の到達可能性をテストし、ECMPの一貫性を検証します。
5. エグレスPEで、VPNラベルが適切なVRFとCEインターフェースに解決されることを確認します。
6. すべてのコントロールプレーンのチェックがパスした場合、データプレーンのカウンターを取得し、MTUとQoSの動作を検証します。

実践的な問題シナリオ

Contoso Manufacturing社は、VRF-Lite WANからプロバイダーのMPLS L3VPNへの移行を計画しており、同時にインターネットとDNSのための中央共有サービスVRF（Shared-Services VRF）を導入します。テナントAとBは両方とも内部で10.10.0.0/16を使用しており、共有サービスへの選択的なアクセスを除き、互いに分離されている必要があります。

アプローチ

PE上でVRFとRTポリシーを定義する
- 設定:
  - ip vrf TENANT-A rd 64512:10 route-target export 64512:10 route-target import 64512:10
  - ip vrf TENANT-B rd 64512:20 route-target export 64512:20 route-target import 64512:20
  - ip vrf SHARED-SVCS rd 64512:100 route-target export 64512:100 route-target import 64512:100
- 理由: RDは重複する10.10.0.0/16ルート間での一意性を保証します。RTはセグメンテーションの境界を定義します。Shared-Services用の個別のRTは、制御可能なハブを提供します。
CEインターフェースを正しいVRFにアタッチし、CE-PEルーティングを確立する
- 設定例:
  - interface GigabitEthernet0/0 ip vrf forwarding TENANT-A ip address 10.10.0.1 255.255.255.252
  - router bgp 64512 address-family ipv4 vrf TENANT-A neighbor 10.10.0.2 remote-as 65010 neighbor 10.10.0.2 activate
- 理由: CE-PE間のeBGPは、テナント間で属性を漏らすことなく、明確なポリシー境界とテナントごとの制御を提供します。
PE間でMP-BGPを有効にし、RTとVPNラベルを伝播させる
- 設定:
  - router bgp 64512 neighbor 192.0.2.2 remote-as 64512 neighbor 192.0.2.2 update-source Loopback0 address-family vpnv4 neighbor 192.0.2.2 activate neighbor 192.0.2.2 send-community extended maximum-paths ibgp 2
- 理由: VPNv4アドバタイズメントはRTとルートごとのVPNラベルの両方を伝送します。iBGPマルチパスを有効にすることで、複数のRR/PEパスにまたがるECMPに備えます。
コア内でトランスポートLSPを構築し、検証する
- 設定:
  - mpls label protocol ldp
  - interface Bundle10 ip address 198.51.100.1 255.255.255.0 mpls ip
- 理由: LDPは外部ラベル用のPE間LSPを作成します。IGPとLDPにおけるECMPは、スケールと収束をサポートします。show mpls ldp neighborとshow mpls forwarding-tableで検証します。
共有サービスの選択的なルートリークを実装する
- 設定（テナント側）:
  - ip vrf TENANT-A route-target import 64512:100
  - ip vrf TENANT-B route-target import 64512:100
  - ip vrf SHARED-SVCS route-target import 64512:10 route-target import 64512:20 export map SVC-EXPORT-FILTER
  - route-map SVC-EXPORT-FILTER permit 10 match ip address prefix-list SVC-ALLOWED
  - ip prefix-list SVC-ALLOWED permit 203.0.113.0/24
- 理由: テナントは共有サービスのルートのみをインポートします。共有サービスはテナントのルートをインポートしますが、テナントがハブを介して互いのルートを学習するのを防ぐために、承認されたプレフィックスのみをエクスポートします。
コントロール/データプレーンとMTU/QoSを検証する
- コマンド:
  - show ip route vrf TENANT-A
  - show bgp vpnv4 vrf TENANT-A 10.10.5.0/24
  - show mpls ldp bindings
  - show mpls forwarding-table
  - ping vrf TENANT-A 203.0.113.10
- 理由: VRFルーティング、ラベルバインディング、エンドツーエンドの到達可能性を確認します。ラベルスタックに対応し、QoSマーキングを維持するためにインターフェースのMTUをチェックします。エグレスでEXPの可視性が必要な場合は、explicit-nullを有効にします。
6VPEを使用してIPv6 VPNを導入する
- 設定:
  - address-family vpnv6 neighbor 192.0.2.2 activate neighbor 192.0.2.2 send-community extended
  - address-family ipv6 vrf TENANT-A redistribute connected
- 理由: 同じIPv4 MPLSコア上で、ルートごとのVPNラベルとRTベースの同じポリシーモデルを使用して、IPv6セグメンテーションを提供します。

この段階的な計画は、セグメンテーションを維持し、制御された共有アクセスを可能にし、コアでのラベルスイッチングによってスケールし、迅速な障害分離のための明確な検証ポイントを提供します。

← 経路再配送とポリシーベースルーティング · すべてのドメイン · マルチキャストルーティングと配信 →

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →

Pass the whole exam — not just this question

You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.

試験に合格する →