可行，但需明确“VPN隔离”的具体实现方式。EVPN本身基于MP-BGP，控制面天然支持多租户隔离，数据面可通过VXLAN或MPLS L3VPN/L2VPN实现。客户要求链路、OSPF、BGP都用VPN隔离，实际上应理解为：新Leaf组与现有EVPN域在控制面和数据面完全独立，不共享路由或转发信息。
推荐方案：新建独立的EVPN实例（或新VPN实例），新Leaf使用独立的RT/RD、独立的VXLAN VNI或MPLS标签空间，底层IGP（OSPF）和BGP会话可通过独立的VPN实例或独立的物理/逻辑链路承载。若客户坚持OSPF/BGP也走VPN，可在新Leaf与Spine之间部署MPLS L3VPN，将OSPF/BGP作为VPN内路由协议，但这会增加复杂度，通常无必要。
关键配置思路：
1. 新Leaf创建新VPN实例，配置独立RD/RT，不与现有EVPN实例互通。
2. 新Leaf与Spine之间建立独立的BGP EVPN邻居（可使用独立Loopback或独立VPN实例下的地址）。
3. 底层IGP若需隔离，可新建OSPF进程或OSPF实例，绑定独立VPN，或使用独立的物理链路。
4. 数据面使用新VNI或新MPLS标签，确保与现有EVPN流量隔离。
排查/验证命令：
display bgp instance vpn-instance <新实例> peer 确认BGP邻居独立。
display ospf <新进程> peer 确认OSPF邻居独立。
display vxlan tunnel 或 display mpls ldp lsp 确认隧道隔离。
display ip routing-table vpn-instance <新实例> 确认路由表无交叉。
注意：若新Leaf与现有Spine共用物理链路，需确保VLAN或子接口隔离；若共用Loopback，需使用不同RT避免路由泄漏。总体可行，但建议与客户确认“VPN隔离”具体指L3VPN还是EVPN多实例，避免过度设计。

已有 EVPN‑VXLAN，新增一组完全隔离 Leaf，IGP/OSPF、BGP 全部跑在 VPN‑instance 内隔离可行性分析

客户诉求：新增一组 Leaf，物理复用现有 Spine 设备；新增 Leaf 与 Spine 之间互联链路、OSPF（Underlay）、BGP‑EVPN（Overlay）全部绑定 VPN‑instance，实现和原有 EVPN 矩阵逻辑完全隔离，两套矩阵不能互相学习路由。

结论：Comware V7 平台，Underlay（OSPF）可以放到 VPN‑instance；但是 BGP 的address‑family l2vpn evpn（EVPN 地址族）只能运行在 BGP 公网实例（default），不能绑定进普通 ip vpn‑instance**。 👉 客户 “OSPF、BGP‑EVPN 全部塞进 VPN 实例做隔离” 的方案原生做不到，该思路不可直接落地。

两种可行实现方案对比

方案 A【推荐】：新增一套独立物理 Spine（真正完全隔离）

• 新增 Leaf 配一套全新独立 Spine；Underlay OSPF、BGP‑EVPN 完全独立一套控制平面。
• 两套 EVPN 矩阵物理链路、控制平面完全隔离，无任何互相泄露风险。
• 优点：架构标准，无特殊限制，排障简单；缺点：需要新增 Spine 硬件。

方案 B【客户坚持复用现有 Spine，逻辑隔离，妥协方案】

复用现有 Spine 硬件，Underlay 互联链路不能用 VPN‑instance 隔离（Underlay VTEP 环回必须公网路由可达）；通过 BGP‑EVPN 层面做严格路由隔离，两套矩阵互不学习对方 EVPN 路由。

1. Underlay 层面：新增 Leaf‑Spine 互联还是公网 OSPF；新增 Leaf 使用全新独立的 Loopback (VTEP) 网段，不和原有矩阵网段重叠。
2. Spine 作为 RR，创建两套独立 BGP 对等体组：一组对接原有老 Leaf，一组对接新增隔离 Leaf。
3. 在 Spine RR 上用路由策略 + community做强隔离：
   • 原有 Leaf EVPN 路由打上 community A，只反射给原有 Leaf；
   • 新增隔离 Leaf EVPN 路由打上 community B，只反射给新增隔离 Leaf；
   • 禁止 A/B 两套路由互相导入、反射。
4. VXLAN VNI、EVI 全部两套矩阵完全错开，不能复用。

⚠️风险：Underlay IP 连通性是打通的，Spine 设备本身公网路由表同时存在两套矩阵 VTEP 环回；靠 BGP 策略做逻辑隔离，配置一旦写错会发生路由泄露。安全等级达不到 “链路 + IGP+BGP 全部 VPN 实例隔离” 的效果。

❌不可行方案（客户原始想法，为什么不行）

1. ip vpn‑instance可以绑定物理子接口，OSPF 进程可以绑定 vpn‑instance，Underlay 可以隔离；
2. 但是 BGP 下address‑family l2vpn evpn这个地址族只属于 bgp default 公网实例，不支持绑定到 ip vpn‑instance 里面，无法把 EVPN 控制平面整个塞进 VRF 内。

vpn‑instance 的 evpn 地址族，是用于DCI 场景 EVPN over MPLS L3VPN，不是用来本地数据中心 VXLAN‑EVPN 整套控制平面隔离，不能实现本地 Leaf‑Spine 之间的 EVPN 对等体跑在 VPN 实例内H3C。