Este documento describe cómo configurar Remote Triggered Blackhole (RTBH) en el router de servicios de agregación (ASR) 9000.
No hay requisitos específicos para este documento.
Esta información en este documento se basa en Cisco IOS-XR® y ASR 9000.
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.
Cuando conoce el origen de un ataque (por ejemplo, mediante un análisis de datos de NetFlow), puede aplicar mecanismos de contención, como listas de control de acceso (ACL). Cuando se detecta y clasifica el tráfico de ataque, puede crear e implementar ACL adecuadas en los routers necesarios. Debido a que este proceso manual puede ser lento y complejo, muchas personas utilizan el protocolo de gateway fronterizo (BGP) para propagar la información de caída a todos los routers de forma rápida y eficiente. Esta técnica, RTBH, establece el siguiente salto de la dirección IP de la víctima en la interfaz nula. El tráfico destinado a la víctima se descarta al entrar en la red.
Otra opción es eliminar el tráfico de un origen determinado. Este método es similar al descarte descrito anteriormente, pero se basa en la implementación anterior de Unicast Reverse Path Forwarding (uRPF), que descarta un paquete si su origen es "inválido", que incluye rutas a null0. Con el mismo mecanismo de la caída basada en el destino, se envía una actualización BGP y esta actualización establece el salto siguiente para un origen en null0. Ahora, todo el tráfico que ingresa a una interfaz con uRPF habilitado descarta el tráfico de ese origen.
Cuando la función uRPF está habilitada en el ASR9000, el router no puede realizar una búsqueda recursiva a null0. Esto significa que la configuración de filtrado RTBH basado en el origen utilizada por Cisco IOS no puede ser utilizada directamente por Cisco IOS-XR en ASR9000. Como alternativa, se utiliza la opción Routing Policy Language (RPL) set next-hop discard (introducida en Cisco IOS XR Versión 4.3.0).
Configure una política de redistribución de ruta estática que establezca una comunidad en rutas estáticas marcadas con una etiqueta especial y aplíquela en BGP:
route-policy RTBH-trigger
if tag is 777 then
set community (1234:4321, no-export) additive
pass
else
pass
endif
end-policy
router bgp 65001
address-family ipv4 unicast
redistribute static route-policy RTBH-trigger
!
neighbor 192.168.102.1
remote-as 65001
address-family ipv4 unicast
route-policy bgp_all in
route-policy bgp_all out
Configure una ruta estática con la etiqueta especial para el prefijo de origen que debe estar en espera negra:
router static
address-family ipv4 unicast
10.7.7.7/32 Null0 tag 777
Configure una política de ruta que coincida con la comunidad establecida en el router desencadenador y configure set next-hop discard:
route-policy RTBH
if community matches-any (1234:4321) then
set next-hop discard
else
pass
endif
end-policy
Aplique la política de ruta en los peers iBGP:
router bgp 65001
address-family ipv4 unicast
!
neighbor 192.168.102.2
remote-as 65001
address-family ipv4 unicast
route-policy RTBH in
route-policy bgp_all out
En las interfaces de borde, configure el modo suelto uRPF:
interface TenGigE0/0/2/2
cdp
ipv4 address 192.168.101.2 255.255.255.0
ipv4 verify unicast source reachable-via any
En el router de borde, el prefijo 10.7.7.7/32 se marca como Nexthop-discard:
RP/0/RSP0/CPU0:router#show bgp
BGP router identifier 10.210.0.5, local AS number 65001
BGP generic scan interval 60 secs
BGP table state: Active
Table ID: 0xe0000000 RD version: 12
BGP main routing table version 12
BGP scan interval 60 secs
Status codes: s suppressed, d damped, h history, * valid, > best
i - internal, r RIB-failure, S stale, N Nexthop-discard
Origin codes: i - IGP, e - EGP, ? - incomplete
Network Next Hop Metric LocPrf Weight Path
N>i10.7.7.7/32 192.168.102.2 0 100 0 ?
RP/0/RSP0/CPU0:router#show bgp 10.7.7.7/32
BGP routing table entry for 10.7.7.7/32
Versions:
Process bRIB/RIB SendTblVer
Speaker 12 12
Last Modified: Jul 4 14:37:29.048 for 00:20:52
Paths: (1 available, best #1, not advertised to EBGP peer)
Not advertised to any peer
Path #1: Received by speaker 0
Not advertised to any peer
Local
192.168.102.2 (discarded) from 192.168.102.2 (10.210.0.2)
Origin incomplete, metric 0, localpref 100, valid, internal best, group-best
Received Path ID 0, Local Path ID 1, version 12
Community: 1234:4321 no-export
RP/0/RSP0/CPU0:router#show route 10.7.7.7/32
Routing entry for 10.7.7.7/32
Known via "bgp 65001", distance 200, metric 0, type internal
Installed Jul 4 14:37:29.394 for 01:47:02
Routing Descriptor Blocks
directly connected, via Null0
Route metric is 0
No advertising protos.
Puede verificar en las tarjetas de línea de ingreso que se producen caídas de RPF:
RP/0/RSP0/CPU0:router#show cef drop location 0/0/CPU0
CEF Drop Statistics
Node: 0/0/CPU0
Unresolved drops packets : 0
Unsupported drops packets : 0
Null0 drops packets : 10
No route drops packets : 17
No Adjacency drops packets : 0
Checksum error drops packets : 0
RPF drops packets : 48505 <=====
RPF suppressed drops packets : 0
RP destined drops packets : 0
Discard drops packets : 37
GRE lookup drops packets : 0
GRE processing drops packets : 0
LISP punt drops packets : 0
LISP encap err drops packets : 0
LISP decap err drops packets :
Actualmente, no hay información específica de troubleshooting disponible para esta configuración.
Revisión | Fecha de publicación | Comentarios |
---|---|---|
1.0 |
29-Jul-2013 |
Versión inicial |