IPv6 Remote PHY-geactiveerd gat met IPv6 BGP configureren

Downloadopties

  • PDF     (269.7 KB)
    Met Adobe Reader op diverse apparaten bekijken
  • ePub     (143.1 KB)
    Bekijken in diverse apps op iPhone, iPad, Android, Sony Reader of Windows Phone
  • Mobi (Kindle)     (120.9 KB)
    Op Kindle-apparaat of via Kindle-app op meerdere apparaten bekijken
Bijgewerkt:13 juli 2016
Document-id:200157

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

Inleiding

Dit document beschrijft het gedrag dat wordt gezien met IPV6 Remote Trigled Black Hole (RTBH). Het toont een scenario waar het IPv6 verkeer opzettelijk zwart is met een routekaart.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

  • IPv6
  • Border Gateway Protocol (BGP)

Gebruikte componenten

De informatie in dit document is gebaseerd op de versie van Cisco IOS-softwarerelease 15.4.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Achtergrondinformatie

RTBH-filtering is een techniek die meestal wordt gebruikt om aanvallen van 'denial of service' (DoS) te voorkomen. Een algemeen probleem dat bij DoS-aanvallen wordt gezien, is dat het netwerk overstroomd wordt met enorme hoeveelheden ongewenste/kwaadaardige verkeer. Dit leidt tot blokkering van verbindingen en andere problemen zoals een hoge CPU of dergelijke. Dit leidt tot een verlies aan legitiem verkeer en heeft ernstige gevolgen voor het netwerk.

Volgens RFC 2545 zal het link-lokale adres in het veld Volgende hop worden opgenomen indien en alleen als de BGP-spreker een gemeenschappelijk subnet deelt met de entiteit die geïdentificeerd is door het mondiale IPv6-adres dat in het veld Netwerkadres van volgende hop wordt meegevoerd en de peer de route wordt geadverteerd naar. In alle andere gevallen zal een BGP-spreker alleen het globale IPv6-adres van de volgende hop bekendmaken aan zijn peer in het veld Netwerkadres.

Het betekent in feite dat als u een IPv6 EBGP buurrelatie hebt op direct aangesloten netwerk, dan het de Lokale IP van het Koppelen zowel als het Mondiale IPv6 adres als volgende hop draagt. Aanvraag voor Opdracht (RFC) geeft echter niet aan welke opdracht de voorkeur verdient. Cisco geeft de voorkeur aan Lokaal adres koppelen omdat wanneer het pakket wordt verzonden, dit altijd de kortste afstand is. Wanneer u RTBH gebruikt, kan dit een probleem zijn en in dit document wordt uitgelegd hoe u ermee omgaat.

Configureren

Dit document gebruikt een case om het gedrag en de opdrachten te verklaren die gebruikt worden om RTBH te laten werken.

Netwerkdiagram 

Dit beeld wordt gebruikt als een voorbeeldtopologie voor de rest van dit document.

200157-Configure-IPV6-Remote-Triggered-Black-Ho-00.png

  • R1 heeft EBGP-buurrelatie met R2 en R2 heeft EBGP-buurrelatie met R3.
  • Router R1 adverteert zijn loopback 0 (FC00::192:168:1:1/128) via BGP tot R2 en R2 adverteert met R3.
  • R3 gebruikt een route-map om de volgende hop voor R1's loopback prefix in te stellen op een dummy IPv6 adres dat wijst op "NULL 0" in de routingtabel.

Relevante configuratie

Deze configuratie wordt op verschillende routers gebruikt om een situatie te simuleren waarin RTBH wordt gebruikt:

R1

interface Ethernet1/0
 no ip address
 ipv6 address FC00::1/126
end
!
interface Loopback0
 ip address 192.168.1.1 255.255.255.0
 ipv6 address FC00::192:168:1:1/128
 !
 router bgp 65500
 bgp router-id 192.168.1.1
 bgp log-neighbor-changes
 neighbor FC00::2 remote-as 65501
 !
 address-family ipv6
  network FC00::/126
  network FC00::192:168:1:1/128
  neighbor FC00::2 activate
R2

interface Ethernet1/0
 no ip address
 ipv6 address FC00::2/126
end
!
interface Ethernet1/1
 no ip address
 ipv6 address FC00::5/126
! 
router bgp 65501
 bgp router-id 192.168.1.2
 bgp log-neighbor-changes
 neighbor FC00::1 remote-as 65500
 neighbor FC00::6 remote-as 65502
 !
 address-family ipv6
  network FC00::/126
  network FC00::4/126
  neighbor FC00::1 activate
  neighbor FC00::6 activate
R3

interface Ethernet1/1
 no ip address
 ipv6 address FC00::6/126
end
!
ipv6 prefix-list BLACKHOLE-PREFIX seq 5 permit FC00::192:168:1:1/128
!
route-map BLACKHOLE-PBR permit 10
 match ipv6 address prefix-list BLACKHOLE-PREFIX
 set ipv6 next-hop FC00::192:168:1:3
route-map BLACKHOLE-PBR permit 20
!
router bgp 65502
 bgp router-id 192.168.1.3
 bgp log-neighbor-changes
 neighbor FC00::5 remote-as 65501
 !
 address-family ipv6
  network FC00::4/126
  neighbor FC00::5 activate
  neighbor FC00::5 route-map BLACKHOLE-PBR in

Verifiëren

Testcase 1


Wanneer er geen op beleid gebaseerde routing (PBR) is geconfigureerd op R3, in de routingtabel wijst de route naar R1's loopback op R3 naar R2's link Local Address FE80::A8BB:CCFF:FE00:A211.

BGP Configuration

router bgp 65502
 bgp router-id 192.168.1.3
 bgp log-neighbor-changes
 neighbor FC00::5 remote-as 65501
 !
 address-family ipv6
  network FC00::4/126
  neighbor FC00::5 activate


BGP has both next-hops.
        
R3#show bgp ipv6 unicast FC00::192:168:1:1/128
BGP routing table entry for FC00::192:168:1:1/128, version 4
Paths: (1 available, best #1, table default)
  Not advertised to any peer
  Refresh Epoch 1
  65501 65500
    FC00::5 (FE80::A8BB:CCFF:FE00:A211) from FC00::5 (192.168.1.2)        
      Origin IGP, localpref 100, valid, external, best
      rx pathid: 0, tx pathid: 0x0


Routing Table has Link Local address as the next-hop.

R3#show ipv6 route FC00::192:168:1:1
Routing entry for FC00::192:168:1:1/128
  Known via "bgp 65502", distance 20, metric 0, type external
  Route count is 1/1, share count 0
  Routing paths:
    FE80::A8BB:CCFF:FE00:A211, Ethernet1/1                                                
      MPLS label: nolabel
      Last updated 00:02:45 ago


Destination is reachable
      
R3#ping ipv6 FC00::192:168:1:1                
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to FC00::192:168:1:1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

Testcase 2


Wanneer er PBR is ingesteld op basis van route-map BLACKHOLE-PBR op R3, wordt opgemerkt dat voor FC00::192:168:1:1/128 (R1's loopback), next-hop in routing nog points naar R2's link local address FE80: A8BB:CFF:FE00:A211. Daarom is het verkeer nooit zwart en in plaats daarvan routeerd met behulp van lokale adressen.

BGP Configuration

ipv6 prefix-list BLACKHOLE-PREFIX seq 5 permit FC00::192:168:1:1/128
!
route-map BLACKHOLE-PBR permit 10
 match ipv6 address prefix-list BLACKHOLE-PREFIX
 set ipv6 next-hop FC00::192:168:1:3
!
route-map BLACKHOLE-PBR permit 20
!
router bgp 65502
 bgp router-id 192.168.1.3
 bgp log-neighbor-changes
 neighbor FC00::5 remote-as 65501
 !
 address-family ipv4
  no neighbor FC00::5 activate
 exit-address-family
 !
 address-family ipv6
  network FC00::4/126
  neighbor FC00::5 activate
  neighbor FC00::5 route-map BLACKHOLE-PBR in
  

Next-hop in BGP changes to the one defined in route-map.
      
R3#show bgp ipv6 unicast FC00::192:168:1:1/128
BGP routing table entry for FC00::192:168:1:1/128, version 4
Paths: (1 available, best #1, table default)
  Not advertised to any peer
  Refresh Epoch 1
  65501 65500
    FC00::192:168:1:3 (FE80::A8BB:CCFF:FE00:A211) from FC00::5 (192.168.1.2)
      Origin IGP, localpref 100, valid, external, best
      rx pathid: 0, tx pathid: 0x0


New next-hop is not reachable and points to Null 0

R3#show ipv6 route FC00::192:168:1:3
Routing entry for FC00::192:168:1:3/128
  Known via "static", distance 1, metric 0
  Route count is 1/1, share count 0
  Routing paths:
    directly connected via Null0
      Last updated 00:19:23 ago


Routing table still uses Link Local address as next-hop.

R3#show ipv6 route FC00::192:168:1:1                                               
Routing entry for FC00::192:168:1:1/128
  Known via "bgp 65502", distance 20, metric 0, type external
  Route count is 1/1, share count 0
  Routing paths:   
 FE80::A8BB:CCFF:FE00:A211, Ethernet1/1
      MPLS label: nolabel
      Last updated 00:00:41 ago
      

Destination is still reachable.

R3#ping ipv6 FC00::192:168:1:1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to FC00::192:168:1:1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms


Testcase 3


Om dit gedrag te overwinnen, gebruik de configuratie van de buur van BGP om met blokmiddel verbonden-controle op R3 uit te schakelen. Schakel de controle uit om aan te nemen dat het IPv6-adres van de buur slechts één hopmanier is. Het meest gebruikelijke scenario waar deze opdracht wordt gebruikt is wanneer de EBGP buurrelatie op loopbacks voor direct aangesloten routers wordt gevestigd. In dit geval, geeft de opdracht een indruk dat de routers EBGP buurrelatie bouwen en niet op gemeenschappelijk subnet zijn. Nabuurschap is in geval van achteruitgang en dus ook in geval van router, terwijl het het prefix adverteert dat niet het lokale adres van de link draagt, maar alleen het Global IPv6-adres. 

Zodra deze opdracht is toegevoegd, kunt u die route zien voor R1's loopback 192:168:1:1/128 in routingtabel van R3, punten aan de volgende hop in overeenstemming route-map die FC00:192:168:1:3 is.  Sinds FC00::192:168:1:3 heeft een route gericht op Null 0, dus is verkeer zwart, heilig.

BGP Configuration

ipv6 prefix-list BLACKHOLE-PREFIX seq 5 permit FC00::192:168:1:1/128
!
route-map BLACKHOLE-PBR permit 10
 match ipv6 address prefix-list BLACKHOLE-PREFIX
 set ipv6 next-hop FC00::192:168:1:3
!
route-map BLACKHOLE-PBR permit 20
!
router bgp 65502
 bgp router-id 192.168.1.3
 bgp log-neighbor-changes
 neighbor FC00::5 remote-as 65501
 neighbor FC00::5 disable-connected-check
 !
 address-family ipv4
  no neighbor FC00::5 activate
 exit-address-family
 !
 address-family ipv6
  network FC00::4/126
  neighbor FC00::5 activate
  neighbor FC00::5 route-map BLACKHOLE-PBR in


Next-hop in BGP changes to the one defined in route-map. There is no Link Local Address.

R3#show bgp ipv6 unicast FC00::192:168:1:1/128
BGP routing table entry for FC00::192:168:1:1/128, version 4
Paths: (1 available, best #1, table default)
  Not advertised to any peer
  Refresh Epoch 1
  65501 65500
    FC00::192:168:1:3 from FC00::5 (192.168.1.2)
      Origin IGP, localpref 100, valid, external, best
      rx pathid: 0, tx pathid: 0x0
  

Routing table uses the new next-hop.

R3#show ipv6 route FC00::192:168:1:1
Routing entry for FC00::192:168:1:1/128
  Known via "bgp 65502", distance 20, metric 0, type external
  Route count is 1/1, share count 0
  Routing paths:
    FC00::192:168:1:3
      MPLS label: nolabel
      Last updated 00:00:37 ago


New next-hop is pointed to Null 0. Traffic will be dropped.

R3#show ipv6 route FC00::192:168:1:3                      
Routing entry for FC00::192:168:1:3/128
  Known via "static", distance 1, metric 0
  Route count is 1/1, share count 0
  Routing paths:
    directly connected via Null 0
      Last updated 02:18:03 ago


Destination is not reachable

R3#ping ipv6 FC00::192:168:1:1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to FC00::192:168:1:1, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Opmerking: Een nieuwe verbetering CSCuv60686 verandert dit gedrag zodat de routekaart effect heeft zonder de opdracht uit te schakelen-verbonden-controle te gebruiken.

Problemen oplossen

Er is momenteel geen specifieke informatie over probleemoplossing beschikbaar voor dit document.

TAC Authored

Bijgedragen door Cisco-engineers

  • Amandeep Singh
    Cisco TAC-ingenieur
  • Naveen Bansal
    Cisco TAC-ingenieur

Was dit document nuttig?

FeedbackFeedback

Contact Cisco