IP фильтрация (BGP Remote Triggered Black Hole)

Skip to end of metadata
Go to start of metadata
Вы просматриваете старую версию данной страницы. Смотрите текущую версию. Сравнить с текущим  |   просмотр истории страницы

Настройка на Carbon Reductor DPI X

Настройка производится через меню: "menu -> BGP Blackhole -> Настройка BGP Blackhole"

Для включения опции необходимо выбрать "Включить BGP Blackhole", а так же активировать пункт "Отдельная таблица маршрутизации"

Включить BGP Blackhole - опция влияет на запуск самого контейнера BGP Blackhole. Если её выключить - ни один сервис внутри этого контейнера (ни BGP, ни OSPF, ни Zebra) работать не будет.

Отдельная таблица маршрутизации - опция позволяет сформировать отдельный ipset на редукторе, чтобы избежать возможных проблем при падении сессии.

Шаблон конфига Zebra и Шаблон конфига bgpd- менять не требуется в 99% случаев. Оставшийся 1% - когда требуется настроить что-то специфичное, что не будет вноситься в продукт никогда.

Пароль Zebra и Пароль bgpd - рекомендуем установить отличные от стандартных и безопасные.

Router ID (reductor), как правило, совпадает с IP адресом Carbon Reductor.

Номер локальной AS BGP - номер приватной AS, используемой сервером Carbon Reductor. Диапазон возможных значений для приватных AS: 64512 - 65534 включительно.

Список маршрутизаторов - это список соседей по BGP  имеет формат:

IP1:AS1 IP2:AS2

разделитель между записями - пробел.

Делить крупные подсети до префикса - эта опция требуется, если вышестоящий провайдер присылает вам маршруты, пересекающиеся с блокируемыми с меньшим префиксом, в результате чего они получают больший приоритет, чем маршруты анонсируемые Carbon Reductor, из-за чего последние не применяются и подсети не блокируются.

После внесения изменений, необходимо нажать назад, и выбрать "Сохранить и применить настройки":

zebra и bgpd должны перезапуститься без ошибок:

Пример настройки соседа Reductor-а по BGP

Настройка производится именно на маршрутизаторе, не на Reductor-е !

Конфигурация роутеров может отличаться.

Linux роутер с Quagga.

bgpd.conf

Здесь:

  • router bgp 65002 - номер AS маршрутизатора.
  • bgp router-id 10.0.0.2 - его IP, с которым он доступен Carbon Reductor'у
  • 10.0.0.1 - IP адрес Carbon Reductor
  • 192.168.255.255 - это IP-адрес, куда будет направляться запрещённый трафик.
hostname border
password password
log file /var/log/quagga/bgpd.log
!
router bgp 65002
 bgp router-id 10.0.0.2
 redistribute static
 neighbor 10.0.0.1 remote-as 65001
 neighbor 10.0.0.1 ebgp-multihop 8
 neighbor 10.0.0.1 soft-reconfiguration inbound
 neighbor 10.0.0.1 route-map BLACKHOLE in
!
 Это требуется, чтобы запрещённый трафик не шёл на редуктор, а дропался на самом роутере.
!
ip prefix-list ANY permit any
!
route-map BLACKHOLE permit 10
 match ip address prefix-list ANY
 set ip next-hop 192.168.255.255
 set local-preference 10
 set community 65002:666 additive
!
line vty
!

zebra.conf

hostname border
interface lo
 ip address 192.168.255.255/32
!
ip route 192.168.255.255/32 Null0 !Можно заменить Null0 на reject, тогда будет отправляться host unrecheable в ответ
!

Можно настроить доступ к сессию BGP и без создания интерфейса lo и из route-map убрать "set ip next-hop 192.168.255.255". Тогда запрещённый трафик будет идти на редуктор и дропаться уже там.

В примере есть запись 

set local-preference 10

Она требуется для того, чтобы маршрут от редуктора точно попал в таблицу маршрутизации, потому что у него будет высший приоритет, но в зависимости от правил действующих в вашей сети, эта настройка может меняться.

Cisco 3750

Нужно заменить следующие значения:

XXXXX - номер приватной AS Cisco-роутера.

x.x.x.x - IP сервера Carbon Reductor.

65001 - номер приватной AS Carbon Reductor, указанный при настройке BGP Blackhole.

!
interface Null0
 no ip unreachables
!
interface Loopback666
 ip address 192.168.255.255 255.255.255.255
!
ip community-list standard black-hole permit 65001:666
!
router bgp XXXXX
 neighbor x.x.x.x 0 remote-as 65001
 neighbor x.x.x.x description REDUCTOR
 neighbor x.x.x.x route-map BLACK-HOLE in
!
!
ip route 192.168.255.255 255.255.255.255 Null0
!
!
route-map BLACK-HOLE permit 10
 match community black-hole
 set ip next-hop 192.168.255.255
 set origin igp
 set community no-export
!
Интеграции с другими роутерами приведены в статье: https://github.com/carbonsoft/reductor_bgp_rtbh
Введите метки, чтобы добавить к этой странице:
Please wait 
Ищите метку? просто начните печатать.