BGP: الفلترة بالـ Prefix List وخطر الـ Transit

شركة متصلة بمزوّدين، وبدون فلترة، تعلن مسارات مزوّد للمزوّد الثاني، فتصير طريق عبور بينهم، والترافيك حقهم يمر على خطوطها. نشوف المشكلة، ونطبّق neighbor prefix-list out اللي يعلن شبكاتنا بس، ونتأكد بـ advertised-routes و received-routes.

ضمن مسار ENARSI 300-410 — التوجيه المتقدم وخدمات الشبكات

شرح الدرس مكتوبًا

نص شرح المعلم والكود الذي كتبه ونتيجة تشغيله، بنفس ترتيب الدرس.

enable
configure terminal
hostname R1
no ip domain-lookup
interface g0/0/0
ip address 10.0.12.1 255.255.255.0
no shutdown
interface g0/0/1
ip address 10.0.14.1 255.255.255.0
no shutdown
interface lo0
ip address 1.1.1.1 255.255.255.255
interface lo1
ip address 172.16.1.1 255.255.255.0
ip ospf network point-to-point
end
enable
configure terminal
router ospf 1
router-id 1.1.1.1
network 10.0.12.0 0.0.0.255 area 0
network 1.1.1.1 0.0.0.0 area 0
end
enable
configure terminal
router bgp 65001
bgp router-id 1.1.1.1
neighbor 10.0.14.4 remote-as 65003
neighbor 2.2.2.2 remote-as 65001
neighbor 2.2.2.2 update-source lo0
neighbor 2.2.2.2 next-hop-self
network 172.16.1.0 mask 255.255.255.0
end

enable
configure terminal
hostname R2
no ip domain-lookup
interface g0/0/0
ip address 10.0.12.2 255.255.255.0
no shutdown
interface g0/0/1
ip address 10.0.23.2 255.255.255.0
no shutdown
interface lo0
ip address 2.2.2.2 255.255.255.255
interface lo1
ip address 172.16.2.1 255.255.255.0
ip ospf network point-to-point
end
enable
configure terminal
router ospf 1
router-id 2.2.2.2
network 10.0.12.0 0.0.0.255 area 0
network 2.2.2.2 0.0.0.0 area 0
end
enable
configure terminal
router bgp 65001
bgp router-id 2.2.2.2
neighbor 10.0.23.3 remote-as 65002
neighbor 1.1.1.1 remote-as 65001
neighbor 1.1.1.1 update-source lo0
neighbor 1.1.1.1 next-hop-self
network 172.16.2.0 mask 255.255.255.0
end

enable
configure terminal
hostname R3
no ip domain-lookup
interface g0/0/0
ip address 10.0.23.3 255.255.255.0
no shutdown
interface g0/0/1
ip address 10.0.34.3 255.255.255.0
no shutdown
interface lo0
ip address 3.3.3.3 255.255.255.255
interface lo1
ip address 203.0.113.1 255.255.255.0
end
enable
configure terminal
router bgp 65002
bgp router-id 3.3.3.3
neighbor 10.0.23.2 remote-as 65001
neighbor 10.0.34.4 remote-as 65003
network 203.0.113.0 mask 255.255.255.0
end

enable
configure terminal
hostname R4
no ip domain-lookup
interface g0/0/0
ip address 10.0.34.4 255.255.255.0
no shutdown
interface g0/0/1
ip address 10.0.14.4 255.255.255.0
no shutdown
interface lo0
ip address 4.4.4.4 255.255.255.255
interface lo1
ip address 198.51.100.1 255.255.255.0
end
enable
configure terminal
router bgp 65003
bgp router-id 4.4.4.4
neighbor 10.0.14.1 remote-as 65001
neighbor 10.0.34.3 remote-as 65002
network 198.51.100.0 mask 255.255.255.0
end

حيّاك الله. BGP افتراضياً يعلن لكل جار eBGP كل المسارات الـ best اللي عنده. يعني R1 يعلن لـ ISP-B مسارات تعلّمها من ISP-A. والنتيجة خطيرة: ISP-B ممكن يستخدم شركتنا كطريق عبور لـ ISP-A. يعني ترافيك الناس يمر على خطوطنا اللي ندفع عليها. وهذا اسمه transit AS، والشركات العادية ما تبغاه أبداً. نشوف وش يعلن R1 لـ R4، بالأمر show ip bgp neighbors، وعنوان الجار، و advertised-routes.

show ip bgp neighbors 10.0.14.4 advertised-routes

R1 يعلن شبكاتنا الاثنتين، ومعهم two oh three dot zero dot one thirteen dot zero، شبكة ISP-A، بـ AS path six five zero zero two. يعني نقول لـ ISP-B: عندي طريق لـ ISP-A. الحل: نعلن شبكاتنا بس. نكتب prefix list فيها one seventy two dot sixteen dot one dot zero و one seventy two dot sixteen dot two dot zero، ونطبّقها على الجار باتجاه out.

configure terminal
ip prefix-list OUR-NETS seq 10 permit 172.16.1.0/24
ip prefix-list OUR-NETS seq 20 permit 172.16.2.0/24
router bgp 65001
neighbor 10.0.14.4 prefix-list OUR-NETS out
end
clear ip bgp 10.0.14.4 soft out
show ip bgp neighbors 10.0.14.4 advertised-routes

الحين R1 يعلن شبكاتنا الاثنتين بس. ونتأكد من الجهة الثانية: R4 وش يشوف من R1.

show ip bgp 203.0.113.0

R4 عنده طريق واحد لـ two oh three dot zero dot one thirteen dot zero، مباشر من R3. والطريق عن طريقنا اختفى. وفي BGP، الفلترة تصير بثلاث أدوات: prefix list للشبكات، و filter-list للـ AS path، و route-map لأي شي. وتقدر تجمعهم على نفس الجار. والممارسة الصحيحة مع أي مزوّد: فلتر الطالع، عشان ما تصير transit، وفلتر الداخل، عشان ما تقبل شبكاتك أنت راجعة، ولا شبكات خاصة، ولا default route إذا ما تبغاه. الحين دورك. R2 عنده نفس المشكلة مع ISP-A: يعلن له شبكة ISP-B. طبّق نفس الحل على R2 باتجاه R3، وتأكد بـ advertised-routes. وقّف الفيديو، وجرّب.

تمرين: على R2: نفس الـ prefix list OUR-NETS، و neighbor 10.0.23.3 prefix-list OUR-NETS out، و clear ip bgp 10.0.23.3 soft out. بعدها show ip bgp neighbors 10.0.23.3 advertised-routes.

الحل.

configure terminal
ip prefix-list OUR-NETS seq 10 permit 172.16.1.0/24
ip prefix-list OUR-NETS seq 20 permit 172.16.2.0/24
router bgp 65001
neighbor 10.0.23.3 prefix-list OUR-NETS out
end
clear ip bgp 10.0.23.3 soft out
show ip bgp neighbors 10.0.23.3 advertised-routes

R2 الحين يعلن شبكاتنا بس. وشركتنا ما عادت transit. ولاحظ: الحل بالـ prefix list يحتاج تعدّله كل ما أضفت شبكة. والحل الأذكى بالـ AS path: أعلن بس المسارات اللي الـ AS path حقها فاضي، يعني اللي بدأت عندنا. وهذا الدرس الجاي: الـ regular expressions والـ filter-list.

دروس المسار (74)