Inhalt

Einleitung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Hintergrundinformationen

Quellbasierte RTBH-Filterung auf dem ASR9000

Konfigurieren

Konfiguration auf dem Trigger-Router

Konfiguration auf dem Border Router

Überprüfung

Fehlerbehebung

Zugehörige Informationen

Einleitung

In diesem Dokument wird die Konfiguration eines remote ausgelösten Blackholes (RTBH) auf dem Aggregation Services Router (ASR) 9000 beschrieben.

Voraussetzungen

Anforderungen

Es gibt keine spezifischen Anforderungen für dieses Dokument.

Verwendete Komponenten

Diese Informationen in diesem Dokument basieren auf Cisco IOS-XR® und ASR 9000.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netz Live ist, überprüfen Sie, ob Sie die mögliche Auswirkung jedes möglichen Befehls verstehen.

Hintergrundinformationen

Wenn Sie den Ursprung eines Angriffs kennen (z. B. durch eine Analyse von NetFlow-Daten), können Sie Eindämmungsmechanismen wie Zugriffskontrolllisten (Access Control Lists, ACLs) anwenden. Wenn Angriffsverkehr erkannt und klassifiziert wird, können Sie entsprechende ACLs erstellen und auf den erforderlichen Routern bereitstellen. Da dieser manuelle Prozess zeitaufwendig und komplex sein kann, verwenden viele Benutzer das Border Gateway Protocol (BGP), um Verwerfungsinformationen schnell und effizient an alle Router weiterzugeben. Diese Technik, RTBH, setzt den nächsten Hop der IP-Adresse des Opfers auf die Null-Schnittstelle. Der an das Opfer gerichtete Datenverkehr wird beim Eintritt in das Netzwerk verworfen.

Eine weitere Option besteht darin, Datenverkehr von einer bestimmten Quelle zu verwerfen. Diese Methode ähnelt der zuvor beschriebenen Verwerfung, basiert jedoch auf der vorherigen Bereitstellung von Unicast Reverse Path Forwarding (uRPF), bei der ein Paket verworfen wird, wenn seine Quelle "ungültig" ist. Dies umfasst Routen zu null0. Mit dem gleichen Mechanismus des zielbasierten Löschens wird ein BGP-Update gesendet, und dieses Update setzt den nächsten Hop für eine Quelle auf null0. Nun verwirft der gesamte Datenverkehr, der an eine Schnittstelle mit aktivierter uRPF gelangt, den Datenverkehr von dieser Quelle.

Quellbasierte RTBH-Filterung auf dem ASR9000

Wenn die Funktion uRPF auf dem ASR9000 aktiviert ist, kann der Router keine rekursive Suche nach null0 durchführen. Das bedeutet, dass die von Cisco IOS verwendete quellenbasierte RTBH-Filterkonfiguration nicht direkt von Cisco IOS-XR auf dem ASR9000 verwendet werden kann. Alternativ wird die Option Next-Hop Discard (Next-Hop Discard) der Routing Policy Language (RPL) (eingeführt in Cisco IOS XR Version 4.3.0) verwendet.

Konfigurieren

Konfiguration auf dem Trigger-Router

Konfigurieren Sie eine Richtlinie für die Umverteilung statischer Routen, die eine Community für statische Routen mit einem speziellen Tag festlegt, und wenden Sie diese im BGP an:

route-policy RTBH-trigger

if tag is 777 then

set community (1234:4321, no-export) additive

pass

else

pass

endif

end-policy

router bgp 65001

address-family ipv4 unicast

redistribute static route-policy RTBH-trigger

!

neighbor 192.168.102.1

remote-as 65001

address-family ipv4 unicast

route-policy bgp_all in

route-policy bgp_all out

Konfigurieren Sie eine statische Route mit dem speziellen Tag für das Quell-Präfix, das schwarz gehalten werden muss:

router static

address-family ipv4 unicast

10.7.7.7/32 Null0 tag 777

Konfiguration auf dem Border Router

Konfigurieren Sie eine Routenrichtlinie, die mit dem Community-Set auf dem Trigger-Router übereinstimmt, und konfigurieren Sie set next-hop discard:

route-policy RTBH

if community matches-any (1234:4321) then

set next-hop discard

else

pass

endif

end-policy

Wenden Sie die Routenrichtlinie auf die iBGP-Peers an:

router bgp 65001

address-family ipv4 unicast

!

neighbor 192.168.102.2

remote-as 65001

address-family ipv4 unicast

route-policy RTBH in

route-policy bgp_all out

Konfigurieren Sie an den Grenzschnittstellen den losen uRPF-Modus:

interface TenGigE0/0/2/2

cdp

ipv4 address 192.168.101.2 255.255.255.0

ipv4 verify unicast source reachable-via any

Hinweis: Diese uRPF-Konfiguration gilt für den gesamten Datenverkehr auf dieser Schnittstelle.

Überprüfung

Auf dem Border Router wird das Präfix 10.7.7.7/32 als Nexthop-discard markiert:

RP/0/RSP0/CPU0:router#show bgp

BGP router identifier 10.210.0.5, local AS number 65001

BGP generic scan interval 60 secs

BGP table state: Active

Table ID: 0xe0000000   RD version: 12

BGP main routing table version 12

BGP scan interval 60 secs

Status codes: s suppressed, d damped, h history, * valid, > best

i - internal, r RIB-failure, S stale, N Nexthop-discard

Origin codes: i - IGP, e - EGP, ? - incomplete

Network            Next Hop            Metric LocPrf Weight Path

N>i10.7.7.7/32        192.168.102.2            0    100      0 ?

RP/0/RSP0/CPU0:router#show bgp 10.7.7.7/32

BGP routing table entry for 10.7.7.7/32

Versions:

Process           bRIB/RIB  SendTblVer

Speaker                 12          12

Last Modified: Jul  4 14:37:29.048 for 00:20:52

Paths: (1 available, best #1, not advertised to EBGP peer)

Not advertised to any peer

Path #1: Received by speaker 0

Not advertised to any peer

Local

192.168.102.2 (discarded) from 192.168.102.2 (10.210.0.2)

Origin incomplete, metric 0, localpref 100, valid, internal best, group-best

Received Path ID 0, Local Path ID 1, version 12

Community: 1234:4321 no-export

RP/0/RSP0/CPU0:router#show route 10.7.7.7/32

Routing entry for 10.7.7.7/32

Known via "bgp 65001", distance 200, metric 0, type internal

Installed Jul 4 14:37:29.394 for 01:47:02

Routing Descriptor Blocks

directly connected, via Null0

Route metric is 0

No advertising protos.

Auf den Eingangs-Linecards können Sie überprüfen, ob RPF-Ausfälle auftreten:

RP/0/RSP0/CPU0:router#show cef drop location 0/0/CPU0

CEF Drop Statistics

Node: 0/0/CPU0

Unresolved drops     packets :               0

Unsupported drops    packets :               0

Null0 drops          packets :              10

No route drops       packets :              17

No Adjacency drops   packets :               0

Checksum error drops packets :               0

RPF drops            packets :           48505   <=====

RPF suppressed drops packets :               0

RP destined drops    packets :               0

Discard drops        packets :              37

GRE lookup drops     packets :               0

GRE processing drops packets :               0

LISP punt drops      packets :               0

LISP encap err drops packets :               0

LISP decap err drops packets :

Fehlerbehebung

Für diese Konfiguration sind derzeit keine spezifischen Informationen zur Fehlerbehebung verfügbar.

Zugehörige Informationen

- FERNGESTEUERTE SCHWARZLOCHFILTERUNG - ZIEL- UND QUELLENBASIERT

- Technischer Support und Dokumentation für Cisco Systeme