ЧЕРНОВИК

В Carbon Reductor 8.00.07 появилась возможность настроить BGP RTBH надёжнее и с меньшим числом усилий.

Теперь достаточно описать два шаблона конфигов bgpd и zebra и добавить две строчки в файл.

Вся логика по добавлению/удалению IP адресов уже реализована, команды тоже доступны из коробки.

Собственно как настроить

Все действия происходят внутри контейнера, так что первое:

chroot /app/reductor/

Указываем список хуков:

дальше прописываем в файл:

/cfg/userinfo/hooks/events.sh.hooks

содержимое:

/usr/local/Reductor/bin/events.sh.bgp
/usr/local/Reductor/bin/events.sh.zebra

Затем создаём шаблоны конфигураций zebra и bgpd.

mkdir -p /cfg/etc/quagga/
touch /cfg/etc/quagga/zebra.conf.tmplt
touch /cfg/etc/quagga/bgpd.conf.tmplt

Настройка zebra

В файл:

/cfg/etc/quagga/zebra.conf.tmplt

Прописываем, указывая свой надёжный пароль и hostname:

hostname reductor
password password
interface lo
!
@@@BLACKHOLE%%%
!
ip forwarding
!
line vty
!

Настройка bgpd.

В файл:

/cfg/etc/quagga/bgpd.conf.tmplt

прописываем:

свой hostname
надёжный пароль:
router bgp id (на редукторе)
remote as (на роутере)
заменяем 10.0.0.1 на IP вашего шлюза
заменяем 10.0.0.2 на IP Carbon Reductor с которого доступен ваш шлюз
не трогаем @@@BLACKHOLE%%%, туда будут добавляться IP адреса при рестарте контейнера

hostname reductor
password password
log file /var/log/quagga/bgpd.log
!
router bgp 65001
 bgp router-id 10.0.0.2
 redistribute static route-map BLACKHOLE
 neighbor 10.0.0.1 remote-as 65002
 neighbor 10.0.0.1 description ROUTER
 neighbor 10.0.0.1 ebgp-multihop 8
 neighbor 10.0.0.1 update-source 10.0.0.2
 neighbor 10.0.0.1 soft-reconfiguration inbound
!
@@@BLACKHOLE%%%
!
ip as-path access-list 1 deny .*
!
route-map BLACKHOLE permit 10
 description blackhole
 match ip address prefix-list BLACKHOLE
 set ip next-hop 192.168.255.255
 set local-preference 10
 set community 65001:666 additive
!
line vty
!

Настройка роутера

Конфигурация роутеров может отличаться. В качестве примера - Linux с Quagga.

bgpd.conf

hostname border
password password
log file /var/log/quagga/bgpd.log
!
router bgp 65002
 bgp router-id 10.0.0.1
 redistribute static route-map BLACKHOLE
 neighbor 10.0.0.2 remote-as 65001
 neighbor 10.0.0.2 description ROUTER
 neighbor 10.0.0.2 ebgp-multihop 8
 neighbor 10.0.0.2 update-source 10.0.0.1
 neighbor 10.0.0.2 soft-reconfiguration inbound
!
ip as-path access-list 1 deny .*
!
route-map BLACKHOLE permit 10
 description blackhole
 match ip address prefix-list BLACKHOLE
 set ip next-hop 192.168.255.255
 set local-preference 10
 set community 65002:666 additive
!
line vty
!

zebra.conf

hostname border

Настройка BGP Remote Triggered Blackhole (блокировка ресурсов по IP целиком)