BGP: حماية الجلسات بالـ Password و TTL Security

جلسة BGP مع المزوّد هي باب الشركة للإنترنت، وأي أحد يقدر يرسل TCP reset مزيّف أو يحاول يفتح جلسة. نطبّق neighbor password اللي يضيف MD5 على كل packet في الـ TCP، ونشوف الجلسة تطيح لما طرف واحد بس مفعّل، وبعدها ttl-security اللي يرفض أي packet جاية من أبعد من hop وحدة.

ضمن مسار ENARSI 300-410 — التوجيه المتقدم وخدمات الشبكات

شرح الدرس مكتوبًا

نص شرح المعلم والكود الذي كتبه ونتيجة تشغيله، بنفس ترتيب الدرس.

enable
configure terminal
hostname R1
no ip domain-lookup
interface g0/0/0
ip address 10.0.12.1 255.255.255.0
no shutdown
interface g0/0/1
ip address 10.0.14.1 255.255.255.0
no shutdown
interface lo0
ip address 1.1.1.1 255.255.255.255
interface lo1
ip address 172.16.1.1 255.255.255.0
ip ospf network point-to-point
end
enable
configure terminal
router ospf 1
router-id 1.1.1.1
network 10.0.12.0 0.0.0.255 area 0
network 1.1.1.1 0.0.0.0 area 0
end
enable
configure terminal
router bgp 65001
bgp router-id 1.1.1.1
neighbor 10.0.14.4 remote-as 65003
neighbor 2.2.2.2 remote-as 65001
neighbor 2.2.2.2 update-source lo0
neighbor 2.2.2.2 next-hop-self
network 172.16.1.0 mask 255.255.255.0
end

enable
configure terminal
hostname R2
no ip domain-lookup
interface g0/0/0
ip address 10.0.12.2 255.255.255.0
no shutdown
interface g0/0/1
ip address 10.0.23.2 255.255.255.0
no shutdown
interface lo0
ip address 2.2.2.2 255.255.255.255
interface lo1
ip address 172.16.2.1 255.255.255.0
ip ospf network point-to-point
end
enable
configure terminal
router ospf 1
router-id 2.2.2.2
network 10.0.12.0 0.0.0.255 area 0
network 2.2.2.2 0.0.0.0 area 0
end
enable
configure terminal
router bgp 65001
bgp router-id 2.2.2.2
neighbor 10.0.23.3 remote-as 65002
neighbor 1.1.1.1 remote-as 65001
neighbor 1.1.1.1 update-source lo0
neighbor 1.1.1.1 next-hop-self
network 172.16.2.0 mask 255.255.255.0
end

enable
configure terminal
hostname R3
no ip domain-lookup
interface g0/0/0
ip address 10.0.23.3 255.255.255.0
no shutdown
interface g0/0/1
ip address 10.0.34.3 255.255.255.0
no shutdown
interface lo0
ip address 3.3.3.3 255.255.255.255
interface lo1
ip address 203.0.113.1 255.255.255.0
end
enable
configure terminal
router bgp 65002
bgp router-id 3.3.3.3
neighbor 10.0.23.2 remote-as 65001
neighbor 10.0.34.4 remote-as 65003
network 203.0.113.0 mask 255.255.255.0
end

enable
configure terminal
hostname R4
no ip domain-lookup
interface g0/0/0
ip address 10.0.34.4 255.255.255.0
no shutdown
interface g0/0/1
ip address 10.0.14.4 255.255.255.0
no shutdown
interface lo0
ip address 4.4.4.4 255.255.255.255
interface lo1
ip address 198.51.100.1 255.255.255.0
end
enable
configure terminal
router bgp 65003
bgp router-id 4.4.4.4
neighbor 10.0.14.1 remote-as 65001
neighbor 10.0.34.3 remote-as 65002
network 198.51.100.0 mask 255.255.255.0
end

حيّاك الله. جلسة BGP هي TCP عادي على البورت one seventy nine. يعني أي هجوم على TCP يقدر يطيّحها: packet reset مزيّفة تقطع الجلسة، وكل المسارات تختفي، والشركة تطلع من الإنترنت. وفي ENARSI أداتين أساسيتين للحماية: الـ password، والـ TTL security.

الأولى: neighbor password. تضيف توقيع MD5 على كل packet TCP في الجلسة. وأي packet بدون توقيع صحيح ينرمى قبل ما يوصل لـ BGP، حتى الـ reset المزيّفة. والثانية: neighbor ttl-security hops واحد. الجار المباشر يرسل الـ packets بـ TTL two fifty five، فتوصل بـ two fifty four بعد hop وحدة. والراوتر يرفض أي packet الـ TTL حقها أقل. يعني مهاجم بعيد ما يقدر يوصل، حتى لو زوّر العنوان. نبدأ بالـ password على R1، للجار R4، وما نكمل الطرف الثاني، ونشوف.

configure terminal
router bgp 65001
neighbor 10.0.14.4 password Basma123
end
clear ip bgp 10.0.14.4
show ip bgp summary | begin Neighbor

الجلسة مع R4 صارت Active، يعني تحاول وتفشل. والراوتر طلّع رسالة: TCP BADAUTH، No MD5 digest. يعني R4 يحاول يفتح TCP بدون توقيع، و R1 يتوقع توقيع، فيرمي الـ packet قبل ما توصل BGP أصلاً. ولو الكلمتين مختلفتين، الرسالة تقول Invalid MD5 digest. نكمل الطرف الثاني على R4، بنفس الكلمة بالضبط.

configure terminal
router bgp 65003
neighbor 10.0.14.1 password Basma123
end

show ip bgp summary | begin Neighbor

الجلسة رجعت Established. وانتبه: تغيير الـ password على جلسة قايمة ما يقطعها فوراً، لأن الـ TCP مفتوح. المشكلة تطلع بعدين، لما الجلسة تنقطع لأي سبب، وما ترجع. وهذا فخ في التشخيص: جلسة طاحت بعد صيانة، والسبب password تغيّر من أسابيع. عشان كذا سوينا clear بعد التغيير. الحين دورك. فعّل ttl-security hops واحد على جلسة R2 مع R3، على الطرفين، وتأكد إن الجلسة للحين Established. وفكّر: ليش لازم الطرفين؟ وقّف الفيديو، وجرّب.

تمرين: على R2: neighbor 10.0.23.3 ttl-security hops 1. وعلى R3: neighbor 10.0.23.2 ttl-security hops 1. بعدها show ip bgp summary على R2.

الحل.

configure terminal
router bgp 65001
neighbor 10.0.23.3 ttl-security hops 1
end
show ip bgp summary | begin Neighbor

configure terminal
router bgp 65002
neighbor 10.0.23.2 ttl-security hops 1
end

الجلسة Established. ولازم الطرفين، لأن كل طرف لازم يرسل بـ TTL two fifty five، عشان الثاني يقبل. لو طرف واحد بس، يرسل بـ TTL واحد الافتراضي حق eBGP، والثاني يرفضه. الخلاصة: password يحمي الـ TCP بـ MD5 على الطرفين، و ttl-security يرفض البعيد، وما يجتمع مع ebgp-multihop. والدرس الجاي: BGP مع IPv6.

دروس المسار (74)