Как удалить частный номер AS при пересылке маршрутов BGP в публичную сеть

Рубрики:

Метки:

AS, BGP, Cisco, Cisco CLI, Cisco IOS, Cisco IOS CLI, eBGP, iBGP, IP, IPV4, Routing, команды, сетевые технологии

Команды LINUX «от A до Z» — настольная книга с примерами

Рассмотрим, как удалить частный номер AS при пересылке маршрутов BGP в публичную сеть. Приватные номера AS (64512 — 65535) не должны использоваться в Интернете, поскольку они не уникальны, в отличие от публичных номеров AS.

В некоторых случаях приватные номера AS можно присвоить сетям клиентов, которые находятся в одном провайдере. Преимущество этого метода заключается в том, что появляется возможность сохранить диапазон публичных номеров AS. Тогда как недостатком является то, что при необходимости подключения к другому интернет-провайдеру, потребуется переключиться на публичный номер AS.

Когда провайдер пересылает маршруты, которые узнает из частной AS, он удаляет приватный номер AS, прежде чем переадресует маршрут в другие AS.

Маршрутизаторы Cisco IOS поддерживают команду remove-private-as для достижения этой цели. Однако есть некоторые ограничения:

используется только для соседей eBGP;
частные номера AS удаляются из исходящих обновлений;
можно использовать только частные номера AS в AS path (описывает через какие AS надо пройти, чтобы достичь сети назначения). Если имеется совокупность публичных и частных номеров AS, тогда маршрутизатор ничего не удалит;
если AS path содержит номер AS соседа eBGP, он не будет удален;
если используется BGP Route Confederation, BGP удаляет только приватные номера AS после конфедерации AS path.

Содержание:

Топология
Задачи
Remove-Private-AS
Remove-Private-AS All
Remove-Private-AS All Replace
Выводы

Топология

Исследуемая топология состоит из трех маршрутизаторов (Cisco 1941 с образом Cisco IOS Release 15.4 IP Base). Допускается использование маршрутизаторов других моделей, а также других версий операционной системы Cisco IOS. В зависимости от модели устройства и версии Cisco IOS, доступные команды и результаты их выполнения могут отличаться от тех, которые показаны в этой статье.

Схема топологии следующая:

Курсы Python с нуля до DevOps на практике за 1,5 часа

Задачи

Базовые настройки и применение BGP.
Применение нескольких вариантов параметра BGP remove-private-as.
Использование команд show для проверки работы параметра.

Настройки маршрутизатора R1

hostname R1
no ip domain-lookup
line con 0
logging synchronous
exec-timeout 0 0

interface GigabitEthernet0/0
ip address 192.168.10.1 255.255.255.0
no shutdown
exit

interface Loopback0
ip address 1.1.1.1 255.255.255.0
exit

router bgp 64512
network 1.1.1.0 mask 255.255.255.0
neighbor 192.168.10.2 remote-as 2

Настройки маршрутизатора R2

hostname R2
no ip domain-lookup
line con 0
logging synchronous
exec-timeout 0 0

interface GigabitEthernet0/0
ip address 192.168.10.2 255.255.255.0
no shutdown
exit

interface GigabitEthernet0/1
ip address 192.168.20.2 255.255.255.0
no shutdown
exit

router bgp 2
neighbor 192.168.10.1 remote-as 64512
neighbor 192.168.20.3 remote-as 3

Настройки маршрутизатора R3

hostname R3
no ip domain-lookup
line con 0
logging synchronous
exec-timeout 0 0

interface GigabitEthernet0/0
ip address 192.168.20.3 255.255.255.0
no shutdown
exit

router bgp 3
neighbor 192.168.20.2 remote-as 2

Remove-Private-AS

Маршрутизатор R1 находится в приватной AS, в то время как R2 и R3 используют публичные номера AS. Будем рассылать сеть loopback с R1 в eBGP, чтобы R2 и R3 могли её узнать. Давайте посмотрим на R2 и R3, они должны были узнать о сети 1.1.1.0/24:

Маршрутизатор R2:

show ip bgp

BGP table version is 2, local router ID is 192.168.20.2
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
r RIB-failure, S Stale, m multipath, b backup-path, f RT-Filter,
x best-external, a additional-path, c RIB-compressed,
t secondary path,
Origin codes: i - IGP, e - EGP, ? - incomplete
RPKI validation codes: V valid, I invalid, N Not found

Network Next Hop Metric LocPrf Weight Path
*> 1.1.1.0/24 192.168.10.1 0 0 64512 i

Маршрутизатор R3:

show ip bgp

BGP table version is 2, local router ID is 192.168.20.3
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
r RIB-failure, S Stale, m multipath, b backup-path, f RT-Filter,
x best-external, a additional-path, c RIB-compressed,
t secondary path,
Origin codes: i - IGP, e - EGP, ? - incomplete
RPKI validation codes: V valid, I invalid, N Not found

Network Next Hop Metric LocPrf Weight Path
*> 1.1.1.0/24 192.168.20.2 0 2 64512 i

Курсы Git за час: руководство для начинающих DevOps / DevNet инженеров

Как и ожидалось, в AS path видна AS 2 и 64512. Теперь настроим R2, чтобы удалить приватный номер AS. Для этого используем команду remove-private-as:

router bgp 2
neighbor 192.168.20.3 remove-private-as

Очистим BGP, чтобы ускорить применение команды на R2:

clear ip bgp *

Посмотрим таблицу BGP маршрутизатора R3:

show ip bgp

BGP table version is 3, local router ID is 192.168.20.3
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
r RIB-failure, S Stale, m multipath, b backup-path, f RT-Filter,
x best-external, a additional-path, c RIB-compressed,
t secondary path,
Origin codes: i - IGP, e - EGP, ? - incomplete
RPKI validation codes: V valid, I invalid, N Not found

Network Next Hop Metric LocPrf Weight Path
*> 1.1.1.0/24 192.168.20.2 0 2 i

В маршруте видна только AS 2, номер приватной AS был удален.

Remove-Private-AS All

Удаление приватных номеров AS будет выполняться только в том случае, если в пути AS нет публичных номеров AS. Чтобы понять принцип работы данного параметра, на R1 добавим дополнительные номера AS для обновления:

route-map AS_PREPEND permit 10
set as-path prepend 1 64513 11 64514 111

Использовали сочетание публичных и приватных номеров AS. Давайте добавим их к обновлениям R2 на R1:

router bgp 64512
neighbor 192.168.10.2 route-map AS_PREPEND out

Перезапустим работу BGP на R2:

clear ip bgp *

И теперь проверим таблицы BGP на R2 и R3:

Маршрутизатор R2:

show ip bgp

BGP table version is 2, local router ID is 192.168.20.2
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
r RIB-failure, S Stale, m multipath, b backup-path, f RT-Filter,
x best-external, a additional-path, c RIB-compressed,
t secondary path,
Origin codes: i - IGP, e - EGP, ? - incomplete
RPKI validation codes: V valid, I invalid, N Not found

Network Next Hop Metric LocPrf Weight Path
*> 1.1.1.0/24 192.168.10.1 0 0 64512 1 64513 11 64514 111 i

Маршрутизатор R3:

show ip bgp

BGP table version is 9, local router ID is 192.168.20.3
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
r RIB-failure, S Stale, m multipath, b backup-path, f RT-Filter,
x best-external, a additional-path, c RIB-compressed,
t secondary path,
Origin codes: i - IGP, e - EGP, ? - incomplete
RPKI validation codes: V valid, I invalid, N Not found

Network Next Hop Metric LocPrf Weight Path
*> 1.1.1.0/24 192.168.20.2 0 2 64512 1 64513 11 64514 111 i

Обратите внимание, путь AS не изменился. Никакие приватные номера AS не были удалены, поскольку в пути AS есть некоторые публичные номера AS. Cisco IOS считает это неправильной конфигурацией, поэтому ничего не сделает. Но на R2 это можно изменить командой remove-private-as all:

router bgp 2
neighbor 192.168.20.3 remove-private-as all

Снова перезапустим работу BGP на R2:

clear ip bgp *

IOS 15.1T и более поздние версии поддерживают все параметры. Это приведет к удалению всех приватных номеров AS, независимо от того, что находится в пути AS. Давайте ещё раз посмотрим на таблицу BGP R3:

show ip bgp

BGP table version is 11, local router ID is 192.168.20.3
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
r RIB-failure, S Stale, m multipath, b backup-path, f RT-Filter,
x best-external, a additional-path, c RIB-compressed,
t secondary path,
Origin codes: i - IGP, e - EGP, ? - incomplete
RPKI validation codes: V valid, I invalid, N Not found

Network Next Hop Metric LocPrf Weight Path
*> 1.1.1.0/24 192.168.20.2 0 2 1 11 111 i

Все приватные номера AS теперь удалены из таблицы BGP, остаются только публичные номера AS.

Remove-Private-AS All Replace

В предыдущем примере были удалены все приватные номера AS, также их можно заменить на локальный номер AS. Это можно выполнить, добавив параметр replace-as к команде remove-private-all на R2:

router bgp 2
neighbor 192.168.20.3 remove-private-as all replace-as

Очистим BGP, чтобы ускорить применение команды на R2:

clear ip bgp *

Вот как выглядит таблица BGP R3:

show ip bgp

BGP table version is 13, local router ID is 192.168.20.3
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
r RIB-failure, S Stale, m multipath, b backup-path, f RT-Filter,
x best-external, a additional-path, c RIB-compressed,
t secondary path,
Origin codes: i - IGP, e - EGP, ? - incomplete
RPKI validation codes: V valid, I invalid, N Not found

Network Next Hop Metric LocPrf Weight Path
*> 1.1.1.0/24 192.168.20.2 0 2 2 1 2 11 2 111 i

Все приватные номера AS были заменены на AS 2.

Выводы

Спасибо за уделенное время на прочтение статьи. Теперь Вы знаете, как удалить частный номер AS при пересылке маршрутов BGP на маршрутизаторе Cisco.

Если возникли вопросы, задавайте их в комментариях.

Подписывайтесь на обновления нашего блога и оставайтесь в курсе новостей мира инфокоммуникаций!

Чтобы знать больше и выделяться знаниями среди толпы IT-шников, записывайтесь на курсы Cisco, курсы по кибербезопасности, полный курс по кибербезопасности, курсы DevNet / DevOps (программируемые системы) от Академии Cisco, курсы Linux от Linux Professional Institute на платформе SEDICOMM University (Университет СЭДИКОММ).

Курсы Cisco, Linux, кибербезопасность, DevOps / DevNet, Python с трудоустройством!

Спешите подать заявку! Группы стартуют 25 января, 26 февраля, 22 марта, 26 апреля, 24 мая, 21 июня, 26 июля, 23 августа, 20 сентября, 25 октября, 22 ноября, 20 декабря.

Что Вы получите?

Поможем стать экспертом по сетевой инженерии, кибербезопасности, программируемым сетям и системам и получить международные сертификаты Cisco, Linux LPI, Python Institute.
Предлагаем проверенную программу с лучшими учебниками от экспертов из Cisco Networking Academy, Linux Professional Institute и Python Institute, помощь сертифицированных инструкторов и личного куратора.
Поможем с трудоустройством и стартом карьеры в сфере IT — 100% наших выпускников трудоустраиваются.

Как проходит обучение?

Проведем вечерние онлайн-лекции на нашей платформе.
Согласуем с вами удобное время для практик.
Если хотите индивидуальный график — обсудим и реализуем.
Личный куратор будет на связи, чтобы ответить на вопросы, проконсультировать и мотивировать придерживаться сроков сдачи экзаменов.
Всем, кто боится потерять мотивацию и не закончить обучение, предложим общение с профессиональным коучем.

А еще поможем Вам:

отредактировать или создать с нуля резюме;
подготовиться к техническим интервью;
подготовиться к конкурсу на понравившуюся вакансию;
устроиться на работу в Cisco по специальной программе. Наши студенты, которые уже работают там: жмите на #НашиВCisco Вконтакте, #НашиВCisco Facebook.

Чтобы учиться на курсах Cisco, Linux LPI, кибербезопасность, DevOps / DevNet, Python, подайте заявку или получите бесплатную консультацию.

Опубликовано: 11:50, 15 декабря, 2023.Обновлено: 17:45, 7 сентября, 2024.

Рубрики:

BGP, Routing & Switching

Метки:

AS, BGP, Cisco, Cisco CLI, Cisco IOS, Cisco IOS CLI, eBGP, iBGP, IP, IPV4, Routing, команды, сетевые технологии

Даша Дротеночка

58 записей

https://edu-cisco.org

Маленький фиксик, лихо умеющий настраивать стойку с оборудованием Cisco.

Больше похожих постов

5 команд для управления системным временем в Linux

2 комментария. Оставить новый

Константин
16 декабря 2023 16:14

Добрый день!
Может ли это как то быть использовано злоумышленниками? И если да, то как защититься?
Спасибо!

Ответить
Елена Старкова
31 января 2024 21:44

Злоумышленник может использовать все что угодно для взлома, в том числе и особенности маршрутизации. Поэтому в протоколах маршрутизации желательно настраивать аутентификацию, а на маршрутизаторах device hardening.

Ответить