الـ CoPP: حماية الـ Control Plane

الراوتر نفسه هدف: أي ترافيك موجّه له، زي ping و SSH وبروتوكولات التوجيه، يروح للـ CPU. لو أحد أغرقه، الـ CPU يتعب، والجيران يطيحون. الـ Control Plane Policing يحط حد لكل نوع ترافيك داخل للـ CPU. نبني class-maps و policy-map، ونطبّقها على الـ control-plane، ونقرا العدادات.

ضمن مسار ENARSI 300-410 — التوجيه المتقدم وخدمات الشبكات

شرح الدرس مكتوبًا

نص شرح المعلم والكود الذي كتبه ونتيجة تشغيله، بنفس ترتيب الدرس.

enable
configure terminal
hostname R1
no ip domain-lookup
interface g0/0/0
ip address 10.0.12.1 255.255.255.0
no shutdown
interface lo0
ip address 1.1.1.1 255.255.255.255
interface lo1
ip address 172.16.1.1 255.255.255.0
ip ospf network point-to-point
end
enable
configure terminal
router ospf 1
router-id 1.1.1.1
network 10.0.12.0 0.0.0.255 area 0
network 172.16.1.0 0.0.0.255 area 0
network 1.1.1.1 0.0.0.0 area 0
end

enable
configure terminal
hostname R2
no ip domain-lookup
interface g0/0/0
ip address 10.0.12.2 255.255.255.0
no shutdown
interface g0/0/1
ip address 10.0.23.2 255.255.255.0
no shutdown
interface lo0
ip address 2.2.2.2 255.255.255.255
interface lo1
ip address 172.16.2.1 255.255.255.0
ip ospf network point-to-point
end
enable
configure terminal
router ospf 1
router-id 2.2.2.2
network 10.0.12.0 0.0.0.255 area 0
network 10.0.23.0 0.0.0.255 area 0
network 172.16.2.0 0.0.0.255 area 0
network 2.2.2.2 0.0.0.0 area 0
end

enable
configure terminal
hostname R3
no ip domain-lookup
interface g0/0/0
ip address 10.0.23.3 255.255.255.0
no shutdown
interface lo0
ip address 3.3.3.3 255.255.255.255
interface lo1
ip address 172.16.3.1 255.255.255.0
ip ospf network point-to-point
end
enable
configure terminal
router ospf 1
router-id 3.3.3.3
network 10.0.23.0 0.0.0.255 area 0
network 172.16.3.0 0.0.0.255 area 0
network 3.3.3.3 0.0.0.0 area 0
end

حيّاك الله. الراوتر عنده ثلاث planes. الـ data plane: الترافيك اللي يمر من خلاله، وهذا بالـ hardware وسريع. الـ control plane: بروتوكولات التوجيه، والـ ARP، وأي شي يحتاج الـ CPU. والـ management plane: SSH و SNMP وغيرها. وأي packet موجّهة للراوتر نفسه، تروح للـ CPU. فلو أحد أرسل آلاف الـ packets للراوتر، الـ CPU يتعب، والـ OSPF ما يلحق يرد على الـ hellos، والجيران يطيحون. والشبكة كلها تتأثر.

الـ CoPP يستخدم نفس أدوات الـ QoS. class-map: تحدد نوع الترافيك، عادة بـ ACL. policy-map: لكل class، police بحد معيّن، وأيش تسوي باللي يزيد. و service-policy input تحت control-plane. والقاعدة الذهبية: خلّ بروتوكولات التوجيه في class لحالها بحد كبير، لأنها أهم شي، وحط الحد الصارم على اللي ممكن يُستغل، زي ICMP. المعمل: ثلاث راوترات على OSPF، و R2 في النص. نبني على R2: ACL لـ ICMP، و ACL لـ OSPF، وكل وحدة في class، وبعدها policy-map: الـ OSPF مسموح بحد كبير، والـ ICMP بثمانية آلاف bit في الثانية بس.

configure terminal
ip access-list extended COPP-ICMP
permit icmp any any
ip access-list extended COPP-ROUTING
permit ospf any any
class-map match-all COPP-ICMP
match access-group name COPP-ICMP
class-map match-all COPP-ROUTING
match access-group name COPP-ROUTING
policy-map COPP
class COPP-ROUTING
police 1000000 conform-action transmit exceed-action transmit
class COPP-ICMP
police 8000 conform-action transmit exceed-action drop
end

الحين نطبّقها على الـ control-plane. وبعدها R1 يرسل لـ R2 مِيّة ping كبيرة، زي هجوم بسيط.

configure terminal
control-plane
service-policy input COPP
end

ping 10.0.12.2 repeat 100 size 1500

جزء من الـ pings نجح، وجزء انرمى، بعلامة النقطة. نشوف العدادات في R2.

show policy-map control-plane

لكل class عداد. في COPP-ICMP: الـ conformed هي اللي عدّت في الحد، والـ exceeded هي اللي زادت وانرمت. والأهم: OSPF ما تأثر. نتأكد إن الجيران للحين FULL.

show ip ospf neighbor

الجيران FULL. الحين دورك. فيه نوع ترافيك ثالث موجّه للراوتر ما حطينا له حد: كل شي ثاني يقع في class-default. أضف للـ policy-map class class-default بحد أربعة وستين ألف bit، و drop للزايد. وتأكد إن الـ show يعرضه. وقّف الفيديو، وجرّب.

تمرين: على R2: policy-map COPP ← class class-default ← police 64000 conform-action transmit exceed-action drop. بعدها show policy-map control-plane.

الحل.

configure terminal
policy-map COPP
class class-default
police 64000 conform-action transmit exceed-action drop
end
show policy-map control-plane | include Class-map|police|cir

الـ policy فيها الحين ثلاث classes: التوجيه، و ICMP، و الباقي. وانتبه للغلطة الخطيرة في الشغل الحقيقي: CoPP بحد صغير على كل شي، وأنت متصل بـ SSH، فيقطعك، ويقطع الـ OSPF والـ BGP. ابدأ دايماً بـ exceed-action transmit، وراقب العدادات أيام، وبعدها حوّلها لـ drop. الخلاصة: CoPP يحمي الـ CPU بـ class-maps و policy-map على الـ control-plane، والتوجيه في class لحاله. والدرس الجاي: حماية الـ management plane.

دروس المسار (74)