内容

概要

前提条件

要件

使用するコンポーネント

表記法

設定

ネットワーク図

サンプル設定

確認

関連情報

概要

このドキュメントでは、インターフェイスNull0を介してIPv6のブラックホール化を設定する方法について説明します。Black Hole Routingは、不正な送信元からのトラフィックやサービス拒否(DoS)攻撃によって生成されたトラフィックを動的にルーティングして、ネットワークへの..

前提条件

要件

この設定を行う前に、以下の要件を満たしていることを確認してください。

- BGP ルーティング プロトコルとその動作

- IPv6 アドレス割り当て方式

使用するコンポーネント

このドキュメントの情報は、Cisco IOS®ソフトウェアリリース15.0(1)が稼働するCisco 7200シリーズルータに基づくものです。

表記法

ドキュメント表記の詳細は、『シスコ テクニカル ティップスの表記法』を参照してください。

設定

このセクションでは、このドキュメントで説明する機能を設定するために必要な情報を提供しています。

注：このドキュメントで使用されるコマンドの詳細を調べるには、Command Lookup Tool(登録ユーザ専用)を使用してください。

ネットワーク図

このドキュメントでは、次のネットワーク セットアップを使用します。

このネットワークでは、ルータの R1 と R2 が相互に eBGP 関係を構築しています。ルータは OSPFv3 を使用して内部的に通信します。ルータR1では、送信元アドレスが20:20::20/128のパケットがNull0に転送されるように、Null0の設定によってブラックホール化が実現されます。つまり、Null0にルーティングされたすべてのトラフィックはドロップされます。

サンプル設定

このドキュメントでは、次の構成を使用します。

- ルータ R1

- ルータ R2

ルータ R1

!

hostname R1

!

no ip domain lookup

ip cef

ipv6 unicast-routing

ipv6 cef

!

!

interface Loopback1

no ip address

ipv6 address AA::1/128

ipv6 enable

ipv6 ospf 10 area 0

!

interface Loopback10

no ip address

ipv6 address AA:10::10/128

ipv6 enable

!

interface FastEthernet1/0

no ip address

speed auto

duplex auto

ipv6 address 2012:AA::1/64

ipv6 enable

ipv6 ospf 10 area 0

!

router bgp 6501

bgp router-id 1.1.1.1

bgp log-neighbor-changes

no bgp default ipv4-unicast

neighbor BB::1 remote-as 6502

neighbor BB::1 ebgp-multihop 2

neighbor BB::1 update-source Loopback1

!

address-family ipv4

exit-address-family

!

address-family ipv6

redistribute static

network AA:10::10/128

neighbor BB::1 activate

exit-address-family

!

ipv6 route 20:20::20/128 Null0

ipv6 router ospf 10

router-id 1.1.1.1

!

end

ルータ R2

!

hostname R2

!

ipv6 unicast-routing

ipv6 cef

!

!

interface Loopback1

no ip address

ipv6 address BB::1/128

ipv6 enable

ipv6 ospf 10 area 0

!

interface Loopback20

no ip address

ipv6 address 20:20::20/128

ipv6 enable

!

interface FastEthernet1/0

no ip address

speed auto

duplex auto

ipv6 address 2012:AA::2/64

ipv6 enable

ipv6 ospf 10 area 0

!

router bgp 6502

bgp router-id 2.2.2.2

bgp log-neighbor-changes

no bgp default ipv4-unicast

neighbor AA::1 remote-as 6501

neighbor AA::1 ebgp-multihop 2

neighbor AA::1 update-source Loopback1

!

address-family ipv4

exit-address-family

!

address-family ipv6

network 20:20::20/128

neighbor AA::1 activate

exit-address-family

!

ipv6 router ospf 10

router-id 2.2.2.2

!

end

確認

ここでは、設定が正常に機能しているかどうかを確認します。

アウトプット インタープリタ ツール（登録ユーザ専用）（OIT）は、特定の show コマンドをサポートします。OIT を使用して、show コマンドの出力の分析を表示します。

eBGP設定を確認するには、ルータR1でshow ipv6 route bgpコマンドとshow bgp ipv6 unicastコマンドを使用します。

ルータ R1

show ipv6 route
R1#show ipv6 route bgp

IPv6 Routing Table - default - 7 entries

Codes: C - Connected, L - Local, S - Static, U - Per-user Static route

B - BGP, HA - Home Agent, MR - Mobile Router, R - RIP

I1 - ISIS L1, I2 - ISIS L2, IA - ISIS interarea, IS - ISIS summary

D - EIGRP, EX - EIGRP external, ND - Neighbor Discovery

O - OSPF Intra, OI - OSPF Inter, OE1 - OSPF ext 1, OE2 - OSPF ext 2

ON1 - OSPF NSSA ext 1, ON2 - OSPF NSSA ext 2

!--- The router R2 advertises the network 20:20::20/128, !--- but still the routing table is empty.

BGP で受信されたルートを確認するには、show bgp ipv6 unicast コマンドを使用します。
R1#show bgp ipv6 unicast

BGP table version is 3, local router ID is 1.1.1.1

Status codes: s suppressed, d damped, h history, * valid, > best, I - internal,

r RIB-failure, S Stale

Origin codes: I - IGP, e - EGP, ? - incomplete

Network          Next Hop            Metric LocPrf Weight Path

*  20:20::20/128    BB::1                    0             0 6502 I

*>                  ::                       0         32768 ?

*> AA:10::10/128    ::                       0         32768 I

!--- Note that the route 20:20::20/128 is received, !--- but it is not installed in the routing table.

送信元をループバック インターフェイス 20 として使用して、ルータ R1 からルータ R2 への ping を試みます。

R2#ping ipv6 AA:10::10 source lo20

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to AA:10::10, timeout is 2 seconds:

Packet sent with a source address of 20:20::20

.....

Success rate is 0 percent (0/5)

!--- The reason is the ICMP packet reaches !--- router R1 with source address as !--- 20:20::20/128 and therefore gets dropped.

送信元としてループバック インターフェイスを使用せずに、ルータ R1 からルータ R2 への ping を試みます。

R2#ping AA:10::10

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to AA:10::10, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 8/61/180 ms

!--- In this case, the ICMP packet has !--- the source address as BB::1.

ルータR1からipv6 route 20:20::20/128 Null0文が削除された場合は、ルータR2によってアドバタイズされたルート20:20::20/128がルータR1のルーティングテーブルにインストールされます。次に出力例を示します。

ルータ R1 内

R1(config)#no ipv6 route 20:20::20/128 Null0

!--- The Null0 command in removed from router R1.

R1#show bgp ipv6 unicast

BGP table version is 7, local router ID is 1.1.1.1

Status codes: s suppressed, d damped, h history, * valid, > best, I - internal,

r RIB-failure, S Stale

Origin codes: I - IGP, e - EGP, ? - incomplete

Network          Next Hop            Metric LocPrf Weight Path

*> 20:20::20/128    ::                       0         32768 ?

*                   BB::1                    0             0 6502 I

*> AA:10::10/128    ::                       0         32768 I

!--- After the removal of the statement, !--- the route 20:20::20/128 is shown as best route.

R1#show ipv6 route bgp

IPv6 Routing Table - default - 7 entries

Codes: C - Connected, L - Local, S - Static, U - Per-user Static route

B - BGP, HA - Home Agent, MR - Mobile Router, R - RIP

I1 - ISIS L1, I2 - ISIS L2, IA - ISIS interarea, IS - ISIS summary

D - EIGRP, EX - EIGRP external, ND - Neighbor Discovery

O - OSPF Intra, OI - OSPF Inter, OE1 - OSPF ext 1, OE2 - OSPF ext 2

ON1 - OSPF NSSA ext 1, ON2 - OSPF NSSA ext 2

B   20:20::20/128 [20/0]

via BB::1

!--- You can see that the route is displayed in routing table.

ここで、送信元としてループバック インターフェイス Lo 20 を使用して、ルータ R1 からルータ R2 への ping を試みます。

R2#ping ipv6  AA:10::10 source lo20

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to AA:10::10, timeout is 2 seconds:

Packet sent with a source address of 20:20::20

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 0/54/140 ms

!--- You can see that the ping is successful.

関連情報

- リモートでトリガーされるブラック ホール フィルタリング

- BGP テクノロジー サポート

- IP バージョン 6 のテクノロジー サポート

- BGP ケース スタディ

- テクニカル サポートとドキュメント – Cisco Systems