BGP Routing Polices
- Principais ferramentas para filtragem de rotas no BGP:
- Distribution lists;
- Prefix-lists;
- AS_Path filter lists;
- Route Maps;
Além do comando #aggreggate-address.
BGP Subcomand Match
Neighbor distribute-list (sACL) Prefixo com Wildcard mask
Neighbor distribute-list (eACL) Prefixo e prefix-length
Neighbor Prefix-list Primeiros bits de um prefixo
Neighbor Filter-list AS_PAth
Route-Map Prefix, prefix length, AS_Path e outras
- Aggreggate-address comand é uma sumarização manual utilizada para filtrar rotas, tem as opções:
- Filtrar todos os componentes da subnet usando o comando #summary-only;
- Propagar todos os componentes da subnet omitindo o comando #summary-only;
- Propagar alguns componentes omitindo o comando #summary-only e usando o comando #Suppress-map;
- Filtrar updates BGP dando match no AS_Path PA:
- Configure o filtro usando o #ip as-path access-list x (permit/deny);
- Habilite o filtro no neighbor usado o comando #neighbor x.x.x.x filter-list(IN/OUT).
- Tipos de AS_Path PA:
-AS-Sequence - Ordem de ASs propagads - sem caracter
- AS-SET -Ordem de ASs propagadas, porém desordenadamente - {}
- AS_CONFED_SEQ1 - idem os de cima, porém para confederation - ()
- AS_CONFED_SET1 - idem os de cima, porém para confederation - {}
- Subcomandos BGP:
-#show ip bgp neighbor "ID" advertised-routes
-#show ip bgp neighbor "ID" received-routes
- Termos e características do BGP PAs:
Mandatory - O PA deve estar em todos os BGP Updates;
Discretionary - Não é necessário em cada BGP Update;
Transitive - O router deve "silenciosamente" encaminhar o PA sem considerar i significado do PA;
Nontransitive - O router deve remover o PA e não propagar para os peers;
- O BGP utiliza alguns critérios para escolha de rota:
1º Next_HOP - O next_hop deve ser alcançável "usado para chegar ao NLRI" - BGP PA = Well-known mandatory;
2º Weight - Propietario Cisco, quanto maior melhor, ex: # neighbor x.x.x.x weight 4;
3º Local_preference, maior melhor, BPG PA = Well-known discretionary, default=100, pode ser usado com route-maps ex:
#route-map 10 test permit
#match ip address 10
#set local_preference 200
4º Rotas localmente injetadas (usando o comando #network, redistribuindo ou sumarizando)
5º Menor AS_Path, observações:
- As_Path prependig- usado para aumentar o tamanho da AS_PAth (manipular tráfego), deve ser usado apenas no proprio AS.
- Aggreggate-address faz ao contrario, ele diminui as entradas no AS_Path sumarizando as redes.
- #neighbor R2 remove-private-as (remove os ASs privados)
6º Melhor Origin PA- Well-known mandatory - Se uma das rotas NLRI tiver o Origin Code "I"(IGP) > "E"(EGP) > "?"(Incomplete).
7º Menor MED (Multi-exit discriminator) - optional nontransitive, tem o proposito de informar ao AS vizinho qual é o melhor mode de encaminhar pacotes para o seu próprio AS, o default é 0, vai de 0 a 4.294,967,295, quanto menor é melhor, pode ser usado com route-maps:
#route-map TESTE
set metric 10
OBS. O MED default 0 pode ser considerado pior com o comando:
#bgp bestpath MED missing-as-worst
OBS2. Por default, roteadores CISCO ignoram o MED quando multiplas rotas de um NLRI lista diferentes ASNs, para evitar isso, usa-se o comando:
#bgp always-compare-med (deve ser feito em todos os routers do mesmo AS, ou pode gerar loop)
OBS3. A CISCO implantou o comando #bgp deterministic-MED para comparar as rotas de cada AS (remove a possibilidade de uma rota ter o MED melhor devido a sua entrada ser mais antiga na tabela de roteamento)
8º Prefere eBGP a iBGP
9º Menor métrica IGP para o next-hop
- Se mesmo após os 9 passos o roteador não encontrar a melhor rota, o BGP considera o uso do #maximum-paths para fazer sua decisão, porém usa os passos de desempate a seguir:
10º Menor Router ID do router que propaga a rota
11º Menor neighbor ID
BGP Communities - Mecanismo que permite um grupo de rotas ou de routing polices possam ser aplicados a roteadores com a mesma community:
- Para utilizar community:
# neighbor send-community (deve ser habilitado)
# ip community-list X permit (deve ser habilitado)
Feature Standard Extended
List numbers 1-99 100-199
Match em várias communities SIM SIM
Match em várias communities PA com REGExp Não SIM
+ que 16 linhas em 1 lista Não SIM
- Para remover uma community-list use o Route-map #set community none
- Pode se filtrar NLRIs usando as communities especiais com os seguintes valores:
No_export FFFF:FF01 - Não propaga para fora do AS
No_Advert FFFF:FF02 - Não propaga para nenhum peers
Local_AS FFFF:FF03 - Não propaga para fora do SUB-AS confederation
- Fast convergence enhancements - IBGP peers recebem updates a cada 5 segundos, já o eBGP de 30 em 30 segundos, para melhorar esses timmers temos algumas soluções:
-Fast external neighbor loss detection - No momento que a subnet entre os peers caem, automaticamente ele da um flush nas rotas BGP e procura por rotas alternativas.
- Internal neighbor loss detection - Igual ao de cima, porém para iBGP, usa-se o comando #neighbor fall-over para a convergencia imediata quando a subnet cai entre os peers.
- eBGP Fast session deactivation - #no bgp fast-external-fall-over
Abraços
Para ajudar o Café com Redes:
Nenhum comentário:
Postar um comentário