Tổng quan về BGP (Phần 2)

[Tín Phan]

Xác định tuyến trong BGP

BGP dựa trên giá trị của các thuộc tính để quyết định chọn tuyến. Khi gặp nhiều route đến cùng một đích, thì BGP sẻ chọn route tốt nhất để truyền tải đến đích. Quá trình chọn route như sau:
Next Hop không đến được thì route sẻ bị loại bỏ. Bở vì điều này mà ta biết tại sao phải có một IGP route đến next hop.

BGP router sẻ chọn path nào có weight lớn nhất.
Nếu các route có weight đều giống nhau thì BGP router sẻ chọn route có Local Preference lớn nhất.
Nếu Local Preference có gía trị bằng nhau cho tất cả các route thì BGP sẻ chọn route mà được khởi tạo bởi nội bộ router

Nếu Local Preference có giá trị như nhau thì BGP router sẻ chọn route có AS_path ngắn nhất.
Nếu AS_path có chiều dài bằng nhau, thì router BGP sẻ chọn route có loại origin thấp nhất. Tưc là IGP thấp hơn EGP, và EGP thấp hơn Incomplete.

Nếu loại origin giống nhau, BGP router sẻ chọn route có MED nhỏ nhất.
Nếu MED có giá trị gống nhau thì BGP sẻ chọn route theo cách sau. External(EBGP) sẻ được ưu tiên hơn confederation external, nó lại được ưu tiên hơn so với IBGP.

Nếu tất cả những thuộc tính đã xét đến đều giống nhau, thì BGP sẻ chọn route mà có thể đến được theo đường của IGP láng giềng gần nhất. Tức bây giờ sẻ xét đến path để đến đích theo path ngắn nhất đến next hop.
Nếu tất cả cũng đều giống nhau thì BGP sẻ chọn route đến từ router có ID nhỏ nhất. Router ID thường là địa chỉ IP cao nhất của router hay là địa chỉ của cổng loopback

Lọc tuyến và chính sách định tuyến

1. Lọc tuyến

Lọc tuyến cho phép router chọn route nào sẻ được trao đổi vởi BGP peer nào. Lọc tuyến là một phần của chính sách định tuyến. Một AS có thê kiểm soát route nào sẻ được chấp nhận tử láng giềng EBGP

Các chính sách có thể được định nghĩa bằng việc lọc các route. BGP route truyền qua các bộ phận lọc có thể gồm có các thuộc tính của nó và được vận dụng vào trong việc quyết định chọn route.

Cả hai việc lọc tải inbound và outbound đều được chấp nhận giữa các peer và cả giao thức định tuyến chạy trên cùng một router. Lọc inbound chỉ ra rằng BGP lọc cập nhật định tuyến đến từ một peer khác. Còn Lọc outbound thì để hạn chế việc cập nhật định tuyến từ router này đến các Peer khác.

Ở cấp độ giao thức thì : lọc inbound có tác dụng hạn chế cập nhật định tuyến được redistribution vào trong một giao thức. Còn lọc utbound hạn chế việc cập nhật định tuyến chèn vào từ giao thức này.Với BGP thì ta có một ví dụ sau : lọc inbound nghĩa là hạn chế cập nhật định tuyến được redistribution từ một giao thức định tuyến khác vào trong BGP, còn lọc outbound thì hạn chế cập nhật được redistribution từ BGP vào một giao thức khác (IGP)

2. Sử dụng distribute-list để lọc route

- Để hạn chế thông tin định tuyến mà router hoc hay quảng cáo. Áp dụng lọc tuyến từ hay đến một láng giềng nào đó sử dụng lệnh distribute-list. Như minh hoạ dưới đây:

Ta thấy RTD trong AS2 khởi tạo mạng 192.68.10.0 và truyền đến RTF. RTF sẻ truyền cập nhật đến RTA bởi IBGP, và từ đó nó sẻ truyền cập nhật đến AS1. Như vậy AS3 sẻ trở thành transit AS quảng cáo rằng nó có thể đến được mạng 192.68.10.0/24

Để ngăn tình trường hợp này xảy ra thì ta cấu hình trên RTA:

RTA(config)#[B]router bgp 3[/B]
RTA(config-router)#[B]neighbor 172.16.1.1 remote-as 3[/B]
RTA(config-router)#[B]neighbor 172.16.20.1 remote-as 1[/B]
RTA(config-router)#[B]neighbor 172.16.20.1 distribute-list 1 out[/B]

[FONT=Tahoma]RTA(config)#[B]access-list 1 permit ip 172.16.0.0 0.0.255.255 [/B][/FONT]

Ta thấy distribute-list, được sử dụng là một phần của lệnh neighbor, nó ngăn RTA không quảng cáo mạng 192.68.10.0/24 đến RTC. Access list được sử dụng để nhận ra prefix để thực hiện lọc và distribute-list out áp dụng để lọc cập nhật ra bên ngoài.

Nhận thấy rằng khi cấu hình distribute lít dựa trên một access list . Nếu sử dụng standard access list thì sẻ có một số chức năng bị hạn chế. RTA kết nối đến nhiều subnet trong mạng 172.16.0.0/16. Mục đích của việc quảng cáo một địa chỉ mạng tóm tắt 172.16.0.0/16, nhưng khônng quảng cáo bất kỳ subnet riêng nào của nó cả. Một standard access list sẻ không làm được điều này bởi vì nó sẻ cho phép (permit) nhiều hơn mong đợi. Nó sẻ lọc dự trên địa chỉ mạng. đây là một ví dụ về một access list mà nó sẻ permit không chỉ mạng 172.16.0.0/16 mà là tất cả các thành phần khác thuộc tóm tắt route này.

access-list 1 permit 172.16.0.0 0.0.255.255

Để hạn chế cập nhật chỉ 172.16.0.0/16 ta sử dụng extended access list. Thông thường thì một extended access list gồm cả source và destination. Trong trường hợp lọc route BGP , thì một extended access list chỉ gồm có network, tiếp theo là subnet mask. Cả network và mask đều chứa wildcard bitmask của nó, có cú pháp như sau:

router(config)#[B]access-list[/B] [I]number[/I] [B]permit|deny[/B] [I]network network-wildcard mask mask-wildcard[/I]

Để cho phép route tóm tắt như trong ví dụ trên thì ta cấu hình một extended access list để filter network và 16 bit mask của prefĩ. Với cấu hình này thì RTA sẻ không truyền subnet route như 172.16.0.0/17 hay 172.16.10/24 trong cập nhật của nó đến AS1.

RTA(config)#[B]access-list 101 permit ip 172.16.0.0 0.0.255.255 255.255.0.0 0.0.0.0[/B]

- Ta có thể sử dụng ip prefix-list thay cho extended access list.

3. Lênh ip prefix-list:
sử dụng lệnh ip prefix-list có một số thuận lợi hơn so với việc sử dụng access-list là:

- Hiệu suất được cải thiện khi loading và tìm route trong một danh sách lớn.
- Hỗ trợ cập nhật từng phần increment update. Lọc route với extended access list không hỗ trợ cho việc cập nhật từng phần.
- Dòng lệnh than thiện hơn
- Tính uyển chuyển cao
- Cú pháp của lệnh như sau :

router(config)#[B]ip prefix-list[/B] list-name [[B]seq[/B] seq-value] [B]deny[/B]/[B]permit[/B] [B]network[/B]/len [[B]ge[/B] ge-value] [[B]le[/B] le-value]

Ví dụ về cấu hình bằng lênh ip prefix-list

RTA(config)#[B]ip prefix-list GROVER permit 192.0.0.0/8 le 24[/B]
RTA(config)#[B]ip prefix-list GROVER deny 192.0.0.0/8 ge 25[/B]

Theo ví dụ này thì ở câu lệnh đầu tiên chấp nhận tất cả các route có các chiều dài mask lên đến 24 bit với prefix 192.0.0.0/8, và từ chối (deny) tấ cả các route cụ thể hơn.

Ở câu lệnh thứ hai thì nó sẻ kiểm tra prefix bắt đầu với 192 ở octet đầu tiên. Sau đó quan tâm đến chỉ các route cụ thể hơn bằng cách kiểm tra chiều dài của mask. Vì thế cả 192.168.32.0/19 và 192.168.1.0/24 đều được ở trạng thái cho phép(permit), nhưng mạng prefix 192.168.1.32/27 thì không bởi vì chiều dài mask của nó lớn hơn 25.
cả ge và le có thể được sử dụng chung theo lệnh sau:

RTA(config)#[B]ip prefix-list OSCAR permit 10.0.0.0/8 ge 16 le 24[/B]

Lệnh này permit tất cả prefix trong mạng 10.0.0.0/8 với chiều dài mask tử 16 cho đến 24 bits.

Mỗi prefix list được gán cho một số thứ tự, số này được gán mặc định hoặc được gán bằng tay. Bằng cách đánh số, một entry có thể đựơc chèn vào tại bất kỳ điểm nào của list. Điều này quan trọng vì router kiểm tra prefix list từ tuần tự từ nhỏ đến lớn. Khi có một match xảy ra thì router sẻ không tiếp tục tét đến các entry của các tuần tự sau nữa. Ta có thể sử dụng lênh show ip prefix-list để kiểm tra.

Số tuần tự này sẻ tự đọng được tạo ra và tăng dần từng bậc +5. giá trị đầu tiên được tạo ra trong prefix list là 5 tiếp theo là 10, 15….. Nếu cấu hình bằng tay một giá trị và tiếp theo không xác định các giá trị thì số thứ tứ cho entry sẻ tự động tăng lên theo bâc +5. Ví dụ giá trị đầu tiên được xác định là 3. và sau đó thì không có tuần tự được chỉ định cho các entry khác thì số tuần tự sẻ được tao ra là 8, 13, 18….ví du:

RTA(config)#[B]ip prefix-list ELMO seq 12 deny 192.168.1.0/24[/B]

Cuối cùng khi sử dụng prefix list thì ta phải theo một số luật sau
Một prefix list trống sẻ mặc đinh là permit tất cả prefix
Có một ngầm định deny được đưa ra nếu prefix không match bất kỳ entry nào của prefix.
Khi có nhiều entry của prefix list match, thì tuần tự của entry nào nhỏ nhất sẻ được match thật sự


Redistribute trong BGP

1. Tổng quan về redistribute

- Khi sử dụng giao thức BGP, vấn đề đảm bảo route chính xác là rất quan trọng. Có một mối quan hệ gần giữa các route đúng trên internet và cách thức để chèn route vào BGP. Thông tin có thể chèn và BGP theo cách động hoặc tĩnh. Bằng cách chèn route bằng cách động thì route đến hay truyền đi từ bảng định tuyến BGP, phụ thuộc vào trạng thái của từng mạng một. Bằng cách chèn route theo cách tĩnh thì nó được bảo toàn trong bảng định tuyến của BGP, và nó không quan tâm đến trạng thái của các mạng mà nó nhận ra trong cấu hình. Vì thế trong khi quảng cáo động sẻ kết thúc nếu mạng được quảng cáo không còn tồn tại nữa. Còn đối với quảng tĩnh thì sẻ không bị như vậy mà nó sẻ luôn không thay đổi.

- Bằng cách chèn tuyến động thì tất cả các tuyến trong IGP được phân phối lại vào trong BGP sử dụng lệnh redistribution. Ta có thể sử dụng lệnh network để phân phối nửa động(semi-dynamic)

- Thông tin được chèn động và BGP bằng cách cho phép IGP route như RIP, OSPF, EIGRP… có thể phân phối lại vào trong BGP. bằng cách phân phối lại động thì dể cấu hình. Toàn bộ IGP route đều được chèn vào BGP, mà không quan tâm đến giao thức đạng được sử dụng.

- Đối với semi-dynamic thì thông tin được sử dụng để chèn vào BGP được xác định là tập con của IGP route thôi. Bằng cách này để quảng cáo từng route riêng vào trong BGP với lệnh network. Tuy nhiên khi sử dụng lệnh network thì phải cần thiết cho mỗi prefix. Do đó khi số lượng mạng quá lớn thì việc sử dụng semi-dynamic sẻ không thực tế.

- Bằng cách sử dụng lệnh network để quảng cáo mạng trong IGP domain. Với cách này thì nếu IGP không học được route nội bộ thì BGP sẻ không quảng cáo mạng này cho các BGP router khác. Tuy nhiên ta có thể sử dụng lệnh no synchronization để disable sự kiểm tra này. Lúc này thì BGP có thể quảng cáo network mà nó không thể đến được.

2. Việc chèn những thông tin lỗi hay không mong muốn.

- Việc chèn route vào BGP bằng lệnh network không phải luôn luôn thực tế, hoặc khả thi. Còn đối với việc chèn route bằng cách phẩn phối lại thì có thể mang lại kết quả là gây ra bất lợi cho AS khác như những thông tin không được chấp nhận, sai, hay không mọng đợi. Phân phối lại toàn bộ IGP có thể dẫn đến là toàn bộ địa chỉ private, hay địa chỉ không hợp le (illegal ) được quảng cáo ra bên ngoài AS.

- Việc phân phối lại thông tin qua lại giữa IGP và BGP có thể gây nên kết qua là quảng cáo những thông tin định tuyến bị tổn hại. Trong trường hợp này thì các route mà BGP được chèn vào từ bên ngoài có thể truyền ngược trở lại vào BGP bằng IGP. Điều này xảy ra làm cho route này được khởi tạo chính tại trong AS chứ không còn từ AS khác đưa tới nữa.

ví dụ :

- Trong trường hợp này thì ta thấy AS100 quảng cáo mạng NetA sang AS200 theo BGP và RTC chèn thông tin này vào IGP, và nó học được thông tin này. RTC được cấu hình để redistribute thông tin IGP vào trong BGP. Lúc này thì NetA sẻ kết thúc quảng cáo bởi AS100 và nó được xem như được khởi tạo và được quảng cáo đi tại AS200. Lúc này thì NetA có hai nguồn một từ AS100, và một từ AS200.

- Để giải quyết vấn đề này thì ta có thể sử dụng lọc các route, để xác định được là chỉ những route nào mới được chèn vào BGP từ IGP thôi.

3.ví dụ về cấu hinh phân phối lại(redistribution)

Ta sẽ cấu hình trên RTB để redistribute từ OSPF vào BGP bằng cách động

RTB(config)#[B]router bgp 200[/B]
RTB(config-router)#[B]neighbor 10.1.1.2 remote-as 100[/B]
RTB(config-router)#[B]neighbor 10.1.1.2 route-map BLOCK-BAD-ADDRESSES out[/B]
RTB(config-router)#[B]redistribute ospf 1 match internal metric 50[/B]
RTB(config-router)#[B]redistribute static[/B]

Ta có thể cấu hình cho RTB chỉ chèn một số mạng vào BGP thôi. Còn tất cả các route khác sẻ không được chèn vào BGP nên không đựoc quảng cáo ra ben ngoài khỏi AS.

RTB(config)#[B]router bgp 200[/B]
RTB(config-router)#[B]neighbor 10.1.1.2 remote-as 100[/B]
RTB(config-router)#[B]network 192.168.1.0[/B]
RTB(config-router)#[B]network 192.168.2.0[/B]

- Trong trường hợp này chỉ có mạng 192.168.1.0 và 192.168.2.0 là được chèn vào BGP thôi.