BGP社区黑洞

网络工程 思科 路由 BGP 安全
2022-02-03 11:20:18

我们已经与我们的 ISP 和我的 ISP 发送社区创建了对等点来做回洞,但是我如何配置它并为黑洞流量发送社区字符串。

ISP说64682:0为RTBH使用社区,我做了以下配置但没有用

router bgp 100
 bgp log-neighbor-changes
 redistribute static route-map RTBH
 neighbor 71.xxx.xxx.61 remote-as 200
 neighbor 71.xxx.xxx.61 send-community
 network 70.xx.xx.0 mask 255.255.255.0


route-map RTBH permit 10
 match tag 666
 set community 64682:666

route-map RTBH permit 20

:0在社区中进行了配置,因为我的路由器不接受。

这里我使用路由发送空值。

ip route 71.x.x.100 255.255.255.255 Null0 tag 666

我做错了什么?

编辑:

我正在关注这个文档来设置社区 RTBH http://cenic.org/network/bgp-blackhole-community

更新:

我已经使用以下信息修改了配置,但仍然没有运气,并且no auto-summary在 BGP 中是默认设置

route-map RTBH permit 10
 match tag 666
 set community 64682:0
 set ip next-hop 192.0.2.1
!
route-map RTBH permit 20

调试信息:

当我触发空路由时,我得到了以下调试debug ip routing日志

R1#
*Jun 20 15:38:23.212: RT: updating static 70.xx.xx.1/32 (0x0)  :
    via 0.0.0.0 Nu0  0 1048578

*Jun 20 15:38:23.212: RT: rib update return code: 17
3个回答

Cisco 文档提供了选项的完整说明,以及如何根据 ISP 要求配置路由器的示例。请务必阅读并理解文本。它解释了您需要做什么,以及为什么需要这样做。

这是一个非常好的 Cisco 文档,以及执行此操作的一种方法的示例(您的 ISP 可能不会这样做):

远程触发黑洞过滤——基于目标和基于源

触发路由器

本节提供触发路由器的示例配置列表。在此配置中,使用对等体组是因为它是配置大量具有相似特征的 BGP 对等体的首选方式。您必须为所有这些对等点设置 send-community,以便它们接收 noexport 社区并通过不将此重新分配的路由通告给任何外部对等点来尊重它。

此外,请确保不设置自动汇总,以便特定主机路由可能成为黑洞。否则 BGP 将根据类边界自动汇总路由。在应用黑洞触发路由映射后,静态路由会重新分配到 BGP 中。

trigger#sh run
Building configuration...
version 12.1
!
hostname trigger
!
ip subnet-zero
!
interface Loopback0
 ip address 192.168.255.245 255.255.255.255
!
interface Null0
 no ip unreachables
!
interface Ethernet0/0
 ip address 192.168.4.3 255.255.255.0
 half-duplex
!
router ospf 100
 log-adjacency-changes
 redistribute connected subnets
 network 192.168.4.0 0.0.0.255 area 0
router bgp 740
 no synchronization
 bgp log-neighbor-changes
 redistribute static route-map black-hole-trigger
 neighbor black-hole peer-group
 neighbor black-hole remote-as 740
 neighbor black-hole update-source Loopback0
 neighbor black-hole send-community
 neighbor 192.168.255.246 remote-as 740
 neighbor 192.168.255.246 update-source Loopback0
 neighbor 192.168.255.253 peer-group black-hole
 no auto-summary 
!
ip route 192.0.2.1 255.255.255.255 Null0
route-map black-hole-trigger permit 10
 match tag 66
 set ip next-hop 192.0.2.1
 set local-preference 200
 set origin igp
 set community no-export
!
route-map black-hole-trigger deny 25
!
no scheduler allocate
end

此配置的最后一部分创建一个路线图以匹配路线标签 66 并设置路线特征。选择路由时需要更高的本地优先级值,因此将其设置为 200,大于默认值 100。此外,为确保其他静态路由不受此路由映射的影响,请使用拒绝语句放在最后。

您应该在 BGP 对等体上应用您的路由映射,以通过以下命令向您的 ISP 发送社区属性:

 neighbor {ip-address| group-name} route-map map-name {in | out} 

应用 route-map onredistribute用于过滤路由。

编辑: 寻找其他答案。他们肯定比我的好。:)

除非您配置“邻居发送社区”,否则附加到前缀的社区不会发送给邻居。