롤백의 전제. 원본 SVI 설정을 한 글자도 빠짐없이 확보한다. secondary IP, HSRP secondary VIP, ACL, DHCP relay가 붙어 있는지 특히 확인.

CORE-SW-01# show running-config interface Vlan900
CORE-SW-01# show running-config | section "router ospf"
CORE-SW-01# show ip route | include 172.20.
CORE-SW-01# show hsrp brief
CORE-SW-01# copy running-config bootflash:cfg_pre_vrf_YYYYMMDD.cfg

VRF-lite는 별도 feature 활성화가 필요 없다. 컨텍스트만 만들면 즉시 빈 라우팅 테이블이 생성된다.

CORE-SW-01(config)# vrf context LEGACY_ZONE
CORE-SW-01(config-vrf)#   address-family ipv4 unicast
CORE-SW-01(config-vrf-af-ipv4)#   exit

VRF 측 전송 구간. 라우팅 프로토콜을 붙이지 않는다. 정적 디폴트 하나만 쓰는 것이 격리 설계의 원칙.

vlan 910
  name TRANSIT_FW_INSIDE

! ── CORE-SW-01 ──
interface Vlan910
  no shutdown
  vrf member LEGACY_ZONE
  no ip redirects
  ip address 192.168.100.5/29
  no ipv6 redirects
  hsrp version 2
  hsrp 910
    priority 110
    preempt
    timers 1 3
    ip 192.168.100.4

! ── CORE-SW-02 ── (IP와 priority만 상이)
interface Vlan910
  no shutdown
  vrf member LEGACY_ZONE
  no ip redirects
  ip address 192.168.100.6/29
  no ipv6 redirects
  hsrp version 2
  hsrp 910
    priority 100
    preempt
    timers 1 3
    ip 192.168.100.4

백본 측 전송 구간. 방화벽은 OSPF 피어가 아니므로 passive-interface로 광고만 하고 인접성은 맺지 않는다.

vlan 920
  name TRANSIT_FW_OUTSIDE

! ── CORE-SW-01 ──
interface Vlan920
  no shutdown
  no ip redirects
  ip address 192.168.100.10/29
  no ipv6 redirects
  ip ospf passive-interface
  ip router ospf 100 area 0.0.0.1
  hsrp version 2
  hsrp 920
    priority 110
    preempt
    timers 1 3
    ip 192.168.100.9

격리 VRF의 유일한 출구를 방화벽 inside로 못박는다. 이 경로 하나가 “전 트래픽 방화벽 경유” 목표를 물리적으로 강제한다.

vrf context LEGACY_ZONE
  ip route 0.0.0.0/0 192.168.100.1 1

방화벽은 두 개의 L3 레그를 가진다. 라우팅은 단 2줄이지만, 정책은 설계편 체크리스트 기반으로 사전 완성되어 있어야 한다.

[ 인터페이스 ]
port1 (inside , 격리망 측) : 192.168.100.1/29
port6 (outside, 백본 측)   : 192.168.100.12/29

[ 라우팅 ]
Destination        Gateway IP        Interface
0.0.0.0/0          192.168.100.9     port6     ← 백본 HSRP VIP
172.20.10.0/23     192.168.100.4     port1     ← VRF HSRP VIP

[ 정책 (예시) ]
LEGACY→INTERNAL : AD인증(88,389,636,445,135,49152-65535)
                  DNS(53) / NTP(123) / WSUS(8530-8531)
                  Backup Agent / SNMP / Syslog
INTERNAL→LEGACY : 관리 접속(RDP 3389) / 자산관리 에이전트
DEFAULT         : DENY + LOG

Connected(AD 0)가 우선이므로 지금은 대기 상태로만 남는다. STEP 8 직후 자동 활성화된다.

ip route 172.20.10.0/24 192.168.100.12 name ISOLATED_VIA_FW
ip route 172.20.11.0/24 192.168.100.12 name ISOLATED_VIA_FW

SVI가 VRF로 빠지면서 기존 OSPF 광고가 사라진다. 이를 대체할 Static → OSPF External Type-2 재분배를 구성한다. Prefix-list로 범위를 명시 제한해 의도치 않은 경로 유출을 막는다.

ip prefix-list PL_ISOLATED_NETS seq 10 permit 172.20.10.0/24
ip prefix-list PL_ISOLATED_NETS seq 20 permit 172.20.11.0/24

route-map RM_REDIST_STATIC permit 10
  match ip address prefix-list PL_ISOLATED_NETS

router ospf 100
  router-id 10.255.255.1
  redistribute static route-map RM_REDIST_STATIC
  log-adjacency-changes