Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Conventies

Configureren

Netwerkdiagram

Configuraties van voorbeelden

Verifiëren

Gerelateerde informatie

Inleiding

Dit document beschrijft hoe u zwart-Holing in IPv6 kunt configureren via interface Null0. Black Hole Routing is een methode die de beheerder toestaat om ongewenst verkeer te blokkeren, zoals verkeer afkomstig van illegale bronnen of verkeer dat gegenereerd is door een aanval van Service (DoS), door het verkeer dynamisch naar een dode interface te routeren of naar een host die is ontworpen om informatie te verzamelen voor onderzoek, waardoor de impact van de aanval op het netwerk wordt beperkt.

Voorwaarden

Vereisten

Zorg ervoor dat u aan deze vereisten voldoet voordat u deze configuratie probeert:

- Heb begrip van BGP het routingprotocol en zijn werking

- Zorg voor een goed begrip van de IPv6-adresseringsregeling

Gebruikte componenten

De informatie in dit document is gebaseerd op Cisco 7200 Series router met Cisco IOS® softwarerelease 15.0(1).

Conventies

Raadpleeg Cisco Technical Tips Conventions (Conventies voor technische tips van Cisco) voor meer informatie over documentconventies.

Configureren

Deze sectie bevat informatie over het configureren van de functies die in dit document worden beschreven.

N.B.: Gebruik het Opdrachtupgereedschap (alleen geregistreerde klanten) om meer informatie te vinden over de opdrachten die in dit document worden gebruikt.

Netwerkdiagram

Het netwerk in dit document is als volgt opgebouwd:

In dit netwerk vormen de routers en R1 en R2 een eBGP-relatie met elkaar. De routers gebruiken OSPFv3 om intern te communiceren. In router R1, wordt het zwart-heiligen bereikt door de configuratie van Null0 op dusdanige wijze dat alle pakketten met bronadres 20:20::20/128 gericht zijn op Null0. Met andere woorden, al het verkeer dat naar Null0 wordt verstuurd, wordt laten vallen.

Configuraties van voorbeelden

Dit document gebruikt deze configuraties:

- router R1

- router R2

router R1

!

hostname R1

!

no ip domain lookup

ip cef

ipv6 unicast-routing

ipv6 cef

!

!

interface Loopback1

no ip address

ipv6 address AA::1/128

ipv6 enable

ipv6 ospf 10 area 0

!

interface Loopback10

no ip address

ipv6 address AA:10::10/128

ipv6 enable

!

interface FastEthernet1/0

no ip address

speed auto

duplex auto

ipv6 address 2012:AA::1/64

ipv6 enable

ipv6 ospf 10 area 0

!

router bgp 6501

bgp router-id 1.1.1.1

bgp log-neighbor-changes

no bgp default ipv4-unicast

neighbor BB::1 remote-as 6502

neighbor BB::1 ebgp-multihop 2

neighbor BB::1 update-source Loopback1

!

address-family ipv4

exit-address-family

!

address-family ipv6

redistribute static

network AA:10::10/128

neighbor BB::1 activate

exit-address-family

!

ipv6 route 20:20::20/128 Null0

ipv6 router ospf 10

router-id 1.1.1.1

!

end

router R2

!

hostname R2

!

ipv6 unicast-routing

ipv6 cef

!

!

interface Loopback1

no ip address

ipv6 address BB::1/128

ipv6 enable

ipv6 ospf 10 area 0

!

interface Loopback20

no ip address

ipv6 address 20:20::20/128

ipv6 enable

!

interface FastEthernet1/0

no ip address

speed auto

duplex auto

ipv6 address 2012:AA::2/64

ipv6 enable

ipv6 ospf 10 area 0

!

router bgp 6502

bgp router-id 2.2.2.2

bgp log-neighbor-changes

no bgp default ipv4-unicast

neighbor AA::1 remote-as 6501

neighbor AA::1 ebgp-multihop 2

neighbor AA::1 update-source Loopback1

!

address-family ipv4

exit-address-family

!

address-family ipv6

network 20:20::20/128

neighbor AA::1 activate

exit-address-family

!

ipv6 router ospf 10

router-id 2.2.2.2

!

end

Verifiëren

Gebruik dit gedeelte om te bevestigen dat de configuratie correct werkt.

Het Uitvoer Tolk (uitsluitend geregistreerde klanten) (OIT) ondersteunt bepaalde show opdrachten. Gebruik de OIT om een analyse van tonen opdrachtoutput te bekijken.

Om de eBGP-configuratie te controleren, gebruikt u de opdrachten ipv6-route en bgp ipv6-unicast in router R1.

router R1

tonen ipv6-route
R1#show ipv6 route bgp

IPv6 Routing Table - default - 7 entries

Codes: C - Connected, L - Local, S - Static, U - Per-user Static route

B - BGP, HA - Home Agent, MR - Mobile Router, R - RIP

I1 - ISIS L1, I2 - ISIS L2, IA - ISIS interarea, IS - ISIS summary

D - EIGRP, EX - EIGRP external, ND - Neighbor Discovery

O - OSPF Intra, OI - OSPF Inter, OE1 - OSPF ext 1, OE2 - OSPF ext 2

ON1 - OSPF NSSA ext 1, ON2 - OSPF NSSA ext 2

!--- The router R2 advertises the network 20:20::20/128, !--- but still the routing table is empty.

Om te controleren wat de routes zijn die door BGP worden ontvangen gebruik de show bgp ipv6 unicast opdracht.
R1#show bgp ipv6 unicast

BGP table version is 3, local router ID is 1.1.1.1

Status codes: s suppressed, d damped, h history, * valid, > best, I - internal,

r RIB-failure, S Stale

Origin codes: I - IGP, e - EGP, ? - incomplete

Network          Next Hop            Metric LocPrf Weight Path

*  20:20::20/128    BB::1                    0             0 6502 I

*>                  ::                       0         32768 ?

*> AA:10::10/128    ::                       0         32768 I

!--- Note that the route 20:20::20/128 is received, !--- but it is not installed in the routing table.

Gebruik de bron als loopback interface 20 om te proberen router R1 van de router R2 te pingelen.

R2#ping ipv6 AA:10::10 source lo20

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to AA:10::10, timeout is 2 seconds:

Packet sent with a source address of 20:20::20

.....

Success rate is 0 percent (0/5)

!--- The reason is the ICMP packet reaches !--- router R1 with source address as !--- 20:20::20/128 and therefore gets dropped.

Probeer router R1 van router R2 zonder het gebruik van de loopback interface als bron te pingelen.

R2#ping AA:10::10

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to AA:10::10, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 8/61/180 ms

!--- In this case, the ICMP packet has !--- the source address as BB::1.

Als de ipv6 route 20:20:20:20/128 Null0 verklaring uit de router R1 wordt verwijderd, wordt de route 20:20:20:20/128 die door router R2 wordt geadverteerd, geïnstalleerd in de routingtabel van router R1. Dit is de steekproefuitvoer:

In router R1

R1(config)#no ipv6 route 20:20::20/128 Null0

!--- The Null0 command in removed from router R1.

R1#show bgp ipv6 unicast

BGP table version is 7, local router ID is 1.1.1.1

Status codes: s suppressed, d damped, h history, * valid, > best, I - internal,

r RIB-failure, S Stale

Origin codes: I - IGP, e - EGP, ? - incomplete

Network          Next Hop            Metric LocPrf Weight Path

*> 20:20::20/128    ::                       0         32768 ?

*                   BB::1                    0             0 6502 I

*> AA:10::10/128    ::                       0         32768 I

!--- After the removal of the statement, !--- the route 20:20::20/128 is shown as best route.

R1#show ipv6 route bgp

IPv6 Routing Table - default - 7 entries

Codes: C - Connected, L - Local, S - Static, U - Per-user Static route

B - BGP, HA - Home Agent, MR - Mobile Router, R - RIP

I1 - ISIS L1, I2 - ISIS L2, IA - ISIS interarea, IS - ISIS summary

D - EIGRP, EX - EIGRP external, ND - Neighbor Discovery

O - OSPF Intra, OI - OSPF Inter, OE1 - OSPF ext 1, OE2 - OSPF ext 2

ON1 - OSPF NSSA ext 1, ON2 - OSPF NSSA ext 2

B   20:20::20/128 [20/0]

via BB::1

!--- You can see that the route is displayed in routing table.

Probeer nu de router R1 van router R2 met de bron te pingelen als loopback interface Lo 20.

R2#ping ipv6  AA:10::10 source lo20

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to AA:10::10, timeout is 2 seconds:

Packet sent with a source address of 20:20::20

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 0/54/140 ms

!--- You can see that the ping is successful.

Gerelateerde informatie

- Afstandsfiltering van zwarte opening

- BGP-technologieondersteuning

- Ondersteuning van IP, versie 6

- BGP-casestudy’s

- Technische ondersteuning en documentatie – Cisco Systems