Как администратору AS1 убрать нежелательный трафик, который приходит напрямую от AS3?

Inter-AS Option C

 

Схема на которой мы рассмотрим технологию взаимодействия различных AS между собой.

Необходимо, чтобы была связность между VPN A из AS 100 и VPN A из AS 200.
Между  CE-1 и PE-1 устанавливаем eBGP сессию с передачей MPLS метки. Данная сессия называется IPv4+Labeled unicast сессией.
В этой сессии мы будем передавать только лупбеки необходимых нам коробок это 10.5.0.2, 10.5.0.1, 10.10.250.250, 10.11.250.250, а принимать будем 10.1.1.1, 10.1.1.2.
После установки labeled сессии с CE-1 и принятия необходимых лупов, PE-1 передает эти  лупбеки по аналогичной сессии RR. 
Если все проходит правильно, то от RR должен проходить пинг до CE-2 с указанием адреса source,  в данном случае это 10.10.250.250 или 10.11.250.250.
Теперь необходимо установить VPNv4 сессию между CE-1 и обеими RR. 
Учтите, что на RR надо установить опция multihop, которая позволит установить сессию с CE-1 через n-ое количество хопов, чаще всего ставят 255.
В VPNv4 сессии будет передаваться маршрутная информация VPN A т.е. после установки VPNv4 сессии с CE-1 RR в AS 100 раздаст полученную информацию своим PE, в данном случае PE-2 где терминируется VPN A.
Теперь можно будет проверить связность между 172.16.0.0./24 и 192.168.0.0/24.

На интерфейсах со стороны CE-1 и со стороны PE-1 надо обязательно выполнить команду mpls bgp forwarding создающая своего рода BGP туннель.

Пример конфигурации PE-1:

interface GigabitEthernet0/1
 description CE-1<->PE-1 Option C
 mtu 1532
 ip address 1.1.1.1 255.255.255.252
 mpls bgp forwarding

router bgp 100
 bgp router-id 10.5.0.1
 bgp log-neighbor-changes
 neighbor RR-VPNv4 peer-group
 neighbor RR-VPNv4 remote-as 100
 neighbor RR-VPNv4 update-source Loopback0
 neighbor 1.1.1.2 remote-as 200
 neighbor 1.1.1.2 description CE-1<->PE-1
 neighbor 1.1.1.2 timers 60 180
 neighbor 10.10.250.250 peer-group RR-VPNv4
 neighbor 10.11.250.250 peer-group RR-VPNv4

 address-family ipv4
  no synchronization
  redistribute isis IGP level-2 route-map ISIS-to-BGP
  neighbor RR-VPNv4 send-community both
  neighbor RR-VPNv4 next-hop-self
  neighbor RR-VPNv4 route-map TO-RR-LABELED-IPv4 out
  neighbor RR-VPNv4 send-label
  neighbor 1.1.1.2 activate
  neighbor 1.1.1.2 route-map FROM-CE-ASBR in
  neighbor 1.1.1.2 route-map TO-CE-ASBR out
  neighbor 1.1.1.2 send-label
  neighbor 10.10.250.250 activate
  neighbor 10.11.250.250 activate
  no auto-summary
 exit-address-family

 address-family vpnv4
  neighbor RR-VPNv4 send-community both
  neighbor 10.10.250.250 activate
  neighbor 10.11.250.250 activate
 exit-address-family


route-map TO-RR-LABELED-IPv4 permit 10
 match ip address prefix-list CE-VPNv4-LOOPBACKS
 set mpls-label

route-map FROM-CE-ASBR permit 10
 match ip address prefix-list CE-VPNv4-LOOPBACKS
 set community <ASN>:<Number>

route-map TO-CE-ASBR permit 10
 match ip address prefix-list LOOPBACKS
 set mpls-label

route-map ISIS-to-BGP permit 10
 match ip address prefix-list LOOPBACKS

ip prefix-list CE-VPNv4-LOOPBACKS seq 10 permit 10.1.1.1/32
ip prefix-list CE-VPNv4-LOOPBACKS seq 15 permit 10.1.1.2/32
ip prefix-list CE-VPNv4-LOOPBACKS seq 999 deny 0.0.0.0/0

ip prefix-list LOOPBACKS seq 10 permit 10.5.0.1/32
ip prefix-list LOOPBACKS seq 15 permit 10.5.0.2/32
ip prefix-list LOOPBACKS seq 20 permit 10.10.250.250/32
ip prefix-list LOOPBACKS seq 25 permit 10.11.250.250/32
ip prefix-list LOOPBACKS seq 999 deny 0.0.0.0/0



оригинал:http://alexvancasper.livejournal.com/2377.html

RT Constrained Route Distribution

Данная фича называется RT Constrained Route Distribution. Она была представлена в 15.1(1)S.

Идея совершенно проста. По умолчанию RR отправит на PE все VPNv4 маршруты, т.е. даже маршруты тех VPN, которые не настроены на этой PE. PE получает их и далее выбирает только те, которые нужны. На это тратятся ресурсы. Если используется функционал RT CRD, то RR перед отправкой маршрутной информации на PE согласует список route-target, которые нужны на этой PE.

Настраивает очень просто. В BGP добавляется новая address-family rtfilter unicast (указанные нейборы в идеале должны повторять настройки address-family vpnv4 unicast):

Для PE:

ip vrf BLUE
 rd 3:3
 route-target export 1:100
 route-target import 1:100
!
router bgp 65000
 bgp log-neighbor-changes
 neighbor 192.168.2.2 remote-as 65000
 neighbor 192.168.2.2 update-source Loopback0
 no auto-summary
 !
 address-family vpnv4
  neighbor 192.168.2.2 activate
  neighbor 192.168.2.2 send-community extended
 exit-address-family
 !
 address-family rtfilter unicast
  neighbor 192.168.2.2 activate
  neighbor 192.168.2.2 send-community extended
 exit-address-family


Для RR:

router bgp 65000
 bgp log-neighbor-changes
 neighbor 192.168.6.6 remote-as 65000
 neighbor 192.168.6.6 update-source Loopback0
 !
 address-family vpnv4
  neighbor 192.168.6.6 activate
  neighbor 192.168.6.6 send-community extended
  neighbor 192.168.6.6 route-reflector-client
 exit-address-family
 !
 address-family rtfilter unicast
  neighbor 192.168.6.6 activate
  neighbor 192.168.6.6 send-community extended
  neighbor 192.168.6.6 route-reflector-client
  neighbor 192.168.6.6 default-originate
 exit-address-family


Команда default-originate добавляется в настройки RR автоматически и означает, что RR запрашивает у PE все ее RT. Также эту команду можно применить и на PE, если по каким-то причинам необходимо принять все RT.

Подробно тут: http://www.cisco.com/en/US/docs/ios-xml/ios/iproute_bgp/configuration/xe-3s/irg-rt-filter.html
или правильнее тут: http://tools.ietf.org/html/rfc4684

BGP Selective Route Download

BGP Selective Route Download — еще один функционал, крайне полезный при внедрении out of forwarding path route-reflector.
Важно, что этот функционал может быть использован только в случае, если RR не форвардит трафик.

Смысл такой: маршрутизатору, выполняющему роль RR и не стоящему на forwarding path, в RIB/FIB не нужны внешние по отношению к AS маршруты.
Для определения, какие маршруты инсталлируются в RIB/FIB, а какие нет, необходимо создать критерий выборки. Проще всего метить все локальные маршруты каким-нибудь community например при редистрибьюции connected и static.

Настройки ASBR (установка community):

router bgp 65510
 address-family ipv4 unicast
 redistribute connected route-map CONNECTED-TO-BGP
  redistribute static route-map STATIC-TO-BGP
!
route-map CONNECTED-TO-BGP permit 10
 set community 65510:1000
route-map STATIC-TO-BGP permit 10
 set community 65510:1000
!
Настройки RR:

ip community-list 100 permit 65510:1000
!
route-map BGP-TO-RIB permit 10
 match community 100
!
router bgp 65510
 address-family ipv4 unicast
 table-map BGP-TO-RIB filter

Выборочная инсталляция маршрутов в RIB/FIB на RR позволяет существенно сократить время сходимости BGP! Удивишься, но BGP будет сходиться несколько секунд.

Облачные Технологии в сетевых делах

Довелось мне как то помогать одному клиенту заниматься сексом с его собственной сетью:) По другому не могу это назвать. Условия:
1. ВСЯ СЕТЬ КЛИЕНТА БЕЗ ТВОЕГО УПРАВЛЕНИЯ!!!!!!!
2. Клиент хочет цепляться с тобой исключительно по iBGP, где его маршрутизатор(Mikrotik) выступает в качестве RR, но с реальной автономкой и своим блоком адресов. Для Стыка он выделяет свой адрес с маской 255.255.252.0.

Задача:
1. Запустить эту порнографию
2. Сделать это все еще и управляемым, те с нормальным автоматическим переключением маршрутов основной-резервный. Да еще и управлять этим самому по желанию.

Это примерная схема, где AS100 - автономка клиента, AS1 - ISP1, AS2 - ISP2.
Схема изобретена примерна такая(показано со стороны ISP1):
AS1 - MPLS сеть, AS1-1 и AS1-2 - Cisco 7606S c RSP720-3CXL.

vrf definition INET:AS100
 rd 1:1
 !
 address-family ipv4
 route-target export 1:1
 route-target import 1:1
 exit-address-family
!
!
interface Vlan 100
 description "AS100 LAN"
 vrf forwarding INET:AS100
 mtu 1600
 ip address 1.0.0.1 255.255.252.0
!
router bgp 1
 !
 address-family ipv4 vrf INET:AS100
  no synchronization
  no redestibute connected - основное условие для работы всей схемы.
  neighbor 1.0.0.254 remote-as 100
  neighbor 1.0.0.254 update-source Vlan100
  neighbor 1.0.0.254 activate
  neighbor 1.0.0.254 default-originate
  neighbor 1.0.0.254 soft-reconfiguration inbound
  neighbor 1.0.0.254 prefix-list AS100_IN in
 exit-address-family
!
ip prefix-list AS100_IN seq 10 permit 1.0.0.0/22 le 24
!
end

Router AS1-2 смотрит в сторону Public Internet, предположим AS65535

vrf definition INET:AS100

 rd 1:1

 !

 address-family ipv4

 route-target export 1:1

 route-target import 1:1

 exit-address-family

!

!

interface Vlan101

 description AS100-World

 vrf forwarding INET:AS100

 mtu 1600

 ip address 10.0.0.1 255.255.255.254

!

router bgp 1

 !

 address-family ipv4 vrf INET:AS100

  no synchronization

  network 1.0.0.0 mask 255.255.252.0

  neighbor 10.0.0.0 remote-as 65535

  neighbor 10.0.0.0 local-as 100 no-prepend replace-as - Это тоже фишка с заменой номера AS

  neighbor 10.0.0.0 transport path-mtu-discovery disable

  neighbor 10.0.0.0 update-source Vlan101

  neighbor 10.0.0.0 activate

 exit-address-family

После такого, если оператор AS2 сможет все реализовать и не будет редестрибютеть connected сеть в таблицу маршрутизации, то все может срастить банальными препендами.