2.0.0 BGP高级特性-ASFilter、CommunityFilter、ORF、对等组

Peer Group

BGP对等体组

在网络中出现多台设备配置相近的情况下,使用对等体组可以极大的减少配置命令的输入。

与端口组类似,通过创建一个组,然后将成员添加入其中,可以对组中的成员进行统一的管理。

案例配置1

在这里插入图片描述

以AR2为例,配置IBGP组,将AR6、AR5添加入组中统一管理配置:

# BGP进程中创建IBGP组
[AR2]bgp 100
[AR2-bgp]router-id 2.2.2.2
[AR2-bgp]group IBGP internal 
# 将IBGP成员添加入组中
[AR2-bgp]peer 10.1.26.6 group IBGP
[AR2-bgp]peer 10.1.25.5 group IBGP

此时查看BGP配置,可以看到部分命令自动补全:

bgp 100router-id 2.2.2.2group IBGP internalpeer 10.1.25.5 as-number 100 peer 10.1.25.5 group IBGP peer 10.1.26.6 as-number 100 peer 10.1.26.6 group IBGP #ipv4-family unicastundo synchronizationpeer IBGP enablepeer 10.1.25.5 enablepeer 10.1.25.5 group IBGP peer 10.1.26.6 enablepeer 10.1.26.6 group IBGP 

以AR2为例,配置EBGP组,将AR1添加入组中统一管理配置:

# 将EBGP成员添加入组中,并指定该组属于哪个AS。
# 下次再有该AS的EBGP邻居需要接入,直接添加入组中即可。
[AR2-bgp]peer 10.1.26.6 group IBGP# EBGP组也是同样的
[AR2]bgp 100
[AR2-bgp]router-id 2.2.2.2
[AR2-bgp]group EBGP_200 external 
[AR2-bgp]peer EBGP_200 as-number 200# 将EBGP成员 AR1添加入组中
[AR2-bgp]peer 10.1.12.1 group EBGP_200

Community Filter

Community团体属性是BGP的私有属性属于可选过渡的属性,在BGP对等体之间传播,且不受AS的限制。

利用团体属性可以使多个AS中的某一组BGP设备共享相同的策略,从而简化路由策略的应用和降低维护管理的难度。

BGP设备在发布路由时,新增或者改变路由的团体属性。

个人注解:团体值,类似Tag,因为Tag只能在IGP协议中使用,BGP中没有Tag字段,但有团体属性。

公认团体属性

在所有的BGP路由中,都存在着默认的团体属性,以下是默认的公认团体属性。

团体属性名称团体属性号说明
Internet0(0x00000000)设备在收到具有此属性的路由后,可以向任何BGP对等体发送该路由。缺省情况下,所有的路由都属于Internet团体。
No_Advertise4294967042(0xFFFFFF02)设备收到具有此属性的路由后,将不向任何BGP对等体发送该路由。
No_Export4294967041(0xFFFFFF01)设备收到具有此属性的路由后,将不向AS外发送该路由。
No_Export_Subconfed4294967043(0xFFFFFF03)设备收到具有此属性的路由后,将不向AS外发送该路由。如果使用了联盟,也不向联盟内其他子AS发布此路由。

个人注解:Internet默认,No_Advertise不通告给任何对等体(收到路由后就自己使用),No_Export不外扩(只在自己的AS内传播),NO_Export_Subconfed(不外传的同时也不向内传)。

团体属性格式

一个Community属性值的长度为32 bit,可使用两种形式呈现:

1、十进制整数格式。

2、AA:NN格式,其中AA表示AS号,NN是自定义编号

于路由策略中修改团体属性时,可以看到可选参数:
[AR6-route-policy]apply community ?INTEGER<0-4294967295>  Specify community numberSTRING<3-11>           Specify aa<0-65535>:nn<0-65535>internet               Internet(well-known community attributes)no-advertise           Do not advertise to any peer (well-known community     attributes)no-export              Do not export to external peers(well-known community   attributes)no-export-subconfed    Do not send outside a sub-confederation(well-known     community attributes)none                   No community attribute

案例配置2

以下就做个简单的案例,AR5、AR6都学习到AR9的Loop100路由并引入到IBGP中。

AR2此时会学习到去往AR9环回口开销为2开销为20的BGP路由,但对于AR2来说,还想进一步的区分这些路由就得借助其它手段。

为了方便,可以在AR6、AR5上配置路由策略,将路由引入BGP时打上规定好的Community团体属性,使得AR2可以快速分辩。

在这里插入图片描述

查看路未配置团体属性前的由明细信息

  • 默认的Community属性 Internet 不显示出来。
<AR2>dis bgp routing-table 192.168.100.0BGP local router ID : 2.2.2.2Local AS number : 100Paths:   2 available, 1 best, 1 selectBGP routing table entry information of 192.168.100.0/24:From: 10.1.26.6 (6.6.6.6)Route Duration: 00h05m48s  Relay IP Nexthop: 0.0.0.0Relay IP Out-Interface: GigabitEthernet0/0/0Original nexthop: 10.1.26.6Qos information : 0x0AS-path Nil, origin incomplete, MED 2, localpref 100, pref-val 0, valid, internal, best, select, active, pre 255Not advertised to any peer yetBGP routing table entry information of 192.168.100.0/24:From: 10.1.25.5 (5.5.5.5)Route Duration: 00h05m55s  Relay IP Nexthop: 0.0.0.0Relay IP Out-Interface: GigabitEthernet0/0/2Original nexthop: 10.1.25.5Qos information : 0x0AS-path Nil, origin incomplete, MED 20, localpref 100, pref-val 0, valid, internal, pre 255, not preferred for MEDNot advertised to any peer yet

配置命令

  • (1)创建路由策略,添加团体属性。
[AR6]route-policy Community_ospf_100-1 permit node 10
[AR6-route-policy]apply community 100:1[AR5]route-policy Community_isis_100-2 permit node 10
[AR5-route-policy]apply community 100:2
  • (2)将策略应用于OSPF/ISIS路由引入上,并给制定邻居激活团体属性。
[AR6]bgp 100
[AR6-bgp]import ospf 1 route-policy Community_ospf_100-1 
[AR6-bgp]peer 10.1.26.2 advertise-community[AR5]bgp 100
[AR5-bgp]import isis 1 route-policy Community_isis_100-2
[AR5-bgp]peer 10.1.26.2 advertise-community
  • 完成操作之后再查看路由明细,可以看到 Community:<CC:NN>。
<AR2>dis bgp routing-table 192.168.100.0BGP local router ID : 2.2.2.2Local AS number : 100Paths:   2 available, 1 best, 1 selectBGP routing table entry information of 192.168.100.0/24:From: 10.1.26.6 (6.6.6.6)Route Duration: 00h13m40s  Relay IP Nexthop: 0.0.0.0Relay IP Out-Interface: GigabitEthernet0/0/0Original nexthop: 10.1.26.6Qos information : 0x0Community:<100:1>AS-path Nil, origin incomplete, MED 2, localpref 100, pref-val 0, valid, intern
al, best, select, active, pre 255Not advertised to any peer yetBGP routing table entry information of 192.168.100.0/24:From: 10.1.25.5 (5.5.5.5)Route Duration: 00h13m17s  Relay IP Nexthop: 0.0.0.0Relay IP Out-Interface: GigabitEthernet0/0/2Original nexthop: 10.1.25.5Qos information : 0x0Community:<100:2>AS-path Nil, origin incomplete, MED 20, localpref 100, pref-val 0, valid, inter
nal, pre 255, not preferred for MEDNot advertised to any peer yet

团体属性过滤

以上介绍的是如何设置团体属性,而团体属性过滤 Community-Filter则是像ACL一样,用于匹配团体属性。

与ACL一样Community-Filter也有标准(Basic,序号1~99)和高级(Advanced,序号100-199)。

[AR1]ip community-filter ?INTEGER<1-99>     Community-filter number (basic)INTEGER<100-199>  Community-filter number (advanced)advanced          Advanced community-filterbasic             Basic community-filter# 可使用序号创建
ip community-filter 1 permit ......# 可使用名称创建
ip community-filter basic XXXX permit ......

案例配置3

  • 为了突出团体属性的作用,提出图中的要求,禁止将ISIS路由发布给AR1。
  • 默认情况下所有活动且最优的BGP路由会发布给EBGP邻居,故可以在AR1邻居上配置一个Export的Community-Filter路由策略将ISIS的团体路由给剔除掉。
  • 目前常接触标准的Community-Filter,故以此为主进行配置。

在这里插入图片描述

  • 由于是自己乱画的拓扑并不能直观的看出结果,所以先将AR2-AR6之间的线先断掉,这样网络中只有ISIS的路由了。此时可以看到默认情况下AR1是可以收到ISIS路由的。

在这里插入图片描述
在这里插入图片描述

开始配置过滤ISIS团体属性路由操作:

  • (1)于AR2上创建团体属性过滤
[AR2]ip community-filter basic Filter_ISIS_Community permit 100:2
  • (2)创建路由策略,匹配团体属性并设置相应动作。

先把匹配上团体属性的路由先deny掉,再permit放行其它路由。

[AR2]route-policy Filter_ISIS_Community deny node 10
[AR2-route-policy]if-match community-filter Filter_ISIS_Community
[AR2-route-policy]quit[AR2]route-policy Filter_ISIS_Community permit node 20
[AR2-route-policy]quit
  • (3)将路由策略绑定到EBGP邻居AR1上
[AR2]bgp 100
[AR2-bgp]peer 10.1.12.1 route-policy Filter_ISIS_Community export
  • 最后在AR2再查看BGP路由信息,可以发现没有从AR1上学习到关于ISIS的路由了。

AS_Path Filter

随着网络越来越大,BGP网络中可能会与多个AS互联且业务路由可能与本地相隔多个AS网络。

AS_Path-Filter(AS路径过滤),是将BGP中的AS_Path属性作为匹配条件的过滤器,利用BGP路由携带的AS_Path列表对路由进行过滤。

  • 若网络中某台路由器不希望接收某些AS的路由时,可以利用AS_PathFilter对携带这些AS号的路由进行过滤,从而实现拒绝某些路由。
  • 与其它过滤功能不一样的是,AS路径过滤采用正则表达式匹配。为此对于匹配的范围和灵活程度有了极大的提升。

关于正则表达式的介绍,在此仅使用到简单基础的几个。

^ 1 # 匹配以1开头的AS路径,如100,1111,100 200等。

2$ # 匹配以2为结尾的AS路径,如12,100 102等。

.* # 匹配所有

100 # 直接填写数字,则是匹配所有存在100的AS路径,如100、100 200、300 100 200。

[100] # 方括号内填写数字,表示只匹配AS路径为100。

配置命令

  • 创建AS路径过滤时,与ACL相似以序号名称创建。
[AR2]ip as-path-filter ?INTEGER<1-256>  Specify an access-list numberSTRING<1-51>    Specify an as-path-filter name
  • 创建一个匹配经过100 200的AS路径路由
[AR2]ip as-path-filter 1 deny "100 200"
  • AS路径过滤可以创建多个,默认按照从上至下匹配
# 先放行100 200的,再放行200 300,最后.*拒绝所有
ip as-path-filter 1 permit "100 200"
ip as-path-filter 1 permit "200 300"
[AR2]ip as-path-filter 1 deny .*

案例配置4

  • 如图,AR1与AR3将环回口发布入BGP中,默认情况下AR2可以学习到AR1、AR3的环回口路由。
  • 要求实现过滤来源自AS200的路由(但不过滤AS300的)。

在这里插入图片描述

  • 默认情况下,AR2的BGP路由表信息。
  • 此时可以从Path/Ogn中查看到该路由的AS-Path信息。
[AR2]dis bgp routing-table Total Number of Routes: 4Network            NextHop        MED        LocPrf    PrefVal Path/Ogn*>   192.168.1.0        10.1.12.1       0                     0      200i*>   192.168.3.0        10.1.12.1                             0      200 300i
  • (1)创建AS路径过滤,只匹配源自AS200的路由(只匹配AS200,不匹配AS 200 300)。

^200$的意思是:匹配开头为200的,结尾也为200的,也就是只匹配AS200。

[AR2]ip as-path-filter 1 permit ^200$
  • (2)创建路由策略
[AR2]route-policy Filter_AS200_AS-path deny node 10
[AR2-route-policy]if-match as-path-filter 1
[AR2-route-policy]quit[AR2]route-policy Filter_AS200_AS-path permit node 20
[AR2-route-policy]quit
  • (3)绑定路由策略

因为路由是从AR1进入到AR2中,故绑定的方向为Import。

[AR2-bgp]peer 10.1.12.1 route-policy Filter_AS200_AS-path import 

虽然前面有添加了Export的策略,但方向不冲突就不会出现命令覆盖。

peer 10.1.12.1 route-policy Filter_ISIS_Community export

peer 10.1.12.1 route-policy Filter_AS200_AS-path import

如果方向相同,只能绑定一个策略的话,就需要再创建一个新策略,将两个策略进行合并在一起。

  • 配置完成之后,再查看AR1的BGP路由表信息
[AR2]dis bgp routing-table Total Number of Routes: 7Network            NextHop        MED        LocPrf    PrefVal Path/Ogn*>   192.168.3.0        10.1.12.1                             0      200 300i

ORF

Outbound Route Filtering 输出路由过滤

能将本端设备配置的出口路由策略通过路由刷新报文发送给BGP邻居。

BGP邻居根据本端的出口策略,在路由发送时对路由进行过滤,只发送本端需要的路由。这样不仅避免了本端设备接收大量无用的路由,降低了本端设备的CPU使用率,还有效减少了BGP邻居的配置工作,降低了链路带宽的占用率。

个人注解:通过ORF实现对端发送指定的路由过来,避免发送过多无用的路由。

主要应用于本端设备希望BGP邻居只发送需要的路由,而BGP邻居又不愿意针对不同设备维护不同的出口策略时,可以运用BGP ORF特性(简读:邻居单独为了某个设备创建策略)。

案例配置5

  • 要求AR1通过ORF技术实现只接收来自AR3的192.168.31.0/24路由。

在这里插入图片描述

  • 查看目前AR1的BGP路由情况
<AR1>dis bgp routing-table Total Number of Routes: 6Network            NextHop        MED        LocPrf    PrefVal Path/Ogn*>   192.168.3.0        10.1.13.3       0                     0      300i*>   192.168.31.0       10.1.13.3       0                     0      300i
  • (1)由于ORF采用前缀列表进行过滤路由,故第一步创建前缀列表。
# 例如:匹配192.168.31.0/24的路由
[AR1]ip ip-prefix 1 permit 192.168.31.0 24
  • (2)创建ORF,使允许向该邻居发送ORF报文,绑定前缀列表(序号1)
[AR1]bgp 200
[AR1-bgp]peer 10.1.13.3 ip-prefix 1 import 
[AR1-bgp]peer 10.1.13.3 capability-advertise orf ip-prefix send 

peer 邻居 capability-advertise orf ip-prefix 动作

有三种主要动作:both 双向、send 发送、receive 接收。

给邻居绑定前缀列表之后,需要指定该邻居的ORF动作,如send发送本端的前缀列表策略给对端。

而对端需要具备receive接收才能完成这个ORF功能。

  • 疑惑:都已经绑定了前缀策略了,如果我不配置ORF是什么现象?

绑定策略之后,的确只能接收到指定的路由。

但对端其中是发送了一堆路由过来,而是只是从中过滤出所需的路由,非常占用链路带宽。

  • 此时AR1的BGP路由表:
<AR1>dis bgp routing-tableTotal Number of Routes: 5Network            NextHop        MED        LocPrf    PrefVal Path/Ogn*>   192.168.31.0       10.1.13.3       0                     0      300
  • 但此时AR3所通告给AR1的路由有:
<AR3>display bgp routing-table peer 10.1.13.1 advertised-routes Total Number of Routes: 2Network            NextHop        MED        LocPrf    PrefVal Path/Ogn*>   192.168.3.0        10.1.13.3       0                     0      300i*>   192.168.31.0       10.1.13.3       0                     0      300i

为了减少AR3通告大量无用的路由,故需要开启ORF功能进行辅助

  • (3)邻居路由器上配置接收ORF报文
[AR3]bgp 300
[AR3-bgp]peer 10.1.13.1 capability-advertise orf ip-prefix receive 
  • 此时再查看AR3通告给AR1的路由,发现只通告AR1所需的路由了。
<AR3>display bgp routing-table peer 10.1.13.1 advertised-routes Total Number of Routes: 2Network            NextHop        MED        LocPrf    PrefVal Path/Ogn*>   192.168.31.0       10.1.13.3       0                     0      300i

扩展

由于有些厂商的设备的ORF能力码与RFC规定的能力码不同,因此为了与其他厂商设备互通,可以配置non-standard-compatible参数。

如果不加non-standard-compatible参数,则ORF可能协商失败。

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/news/600228.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

透明OLED屏价格:影响因素与市场趋势

在当今的显示技术领域&#xff0c;透明OLED屏以其独特的透明特性和出色的显示效果&#xff0c;正逐渐成为市场的新宠。然而&#xff0c;对于许多消费者和企业来说&#xff0c;透明OLED屏的价格仍是关注的焦点。作为OLED透明屏市场部总监&#xff0c;我认为了解影响透明OLED屏价…

[足式机器人]Part2 Dr. CAN学习笔记-动态系统建模与分析 Ch02-6频率响应与滤波器

本文仅供学习使用 本文参考&#xff1a; B站&#xff1a;DR_CAN Dr. CAN学习笔记-动态系统建模与分析 Ch02-6频率响应与滤波器 1st order system 一阶系统 低通滤波器——Loss Pass Filter

java: 从HBase中读取数据

一、添加依赖&#xff1a; <dependency><groupId>org.apache.hadoop</groupId><artifactId>hadoop-client</artifactId><version>2.6.0</version></dependency><dependency><groupId>org.apache.hbase</groupI…

借助文档控件Aspose.Words,使用 Java 在 Word 文档中创建表格

Microsoft Word 是一种流行的文字处理应用程序&#xff0c;用于创建各种类型的文档。这些文档可能包含多种类型的元素&#xff0c;包括文本、图像、表格和图表。当涉及到用 Java 自动创建和操作文档时&#xff0c;您可能需要一个轻松的解决方案来在 Word 文档中创建表格。因此&…

Ceph Large omap objects现象及原理分析

Large omap objects现象 以下是真实的问题场景&#xff0c;以此文进行记录并分享。 Q1&#xff1a;集群出现了Large omap objects告警&#xff0c;这是什么问题&#xff1f;有什么影响&#xff1f; Q2&#xff1a;Large omap objects告警的触发条件是什么&#xff1f; Q3&am…

系列十一、(三)Sentinel控制台

一、Sentinel控制台 二、实时监控 2.1、概述 实时监控&#xff0c;顾名思义是用来实时监控的&#xff0c;具体监控的是接口请求通过的QPS和拒绝的QPS&#xff0c;默认情况下没有访问记录&#xff0c;所以看不到任何记录&#xff0c;需要访问接口才会有记录。另外需要注意&…

YOLOv8改进 | 损失篇 | VarifocalLoss密集目标检测专用损失函数 (VFLoss,原论文一比一复现)

一、本文介绍 本文给大家带来的是损失函数改进VFLoss损失函数,VFL是一种为密集目标检测器训练预测IoU-aware Classification Scores(IACS)的损失函数,我经过官方的版本将其集成在我们的YOLOv8的损失函数使用上,其中有很多使用的小细节(否则按照官方的版本使用根本拟合不了…

selenium元素单击不稳定解决方法

selenium自动化测试过程中&#xff0c;经常会发现某一元素单击&#xff0c;很不稳定&#xff0c;有时候执行了点击没有反映。 以下总结两种解决方法&#xff1a;都是通过js注入的方式去点击。 1.F12查一看&#xff0c;要点击的按钮&#xff0c;或连接&#xff0c;有没有οncl…

原生微信小程序AR(扫描指定图片显示glb模型)

效果 ar案例视频 准备&#xff1a;需要准备要扫描的图片地址和扫描成功后显示的模型 1.在components创建组件 index.js文件代码 Component({properties: {title: {type: String,value: ,},intro: {type: String,value: ,},hint: {type: String,value: ,},code: {type: String…

二叉树层次建树

#include <stdio.h> #include <stdlib.h>typedef char BiElemType; typedef struct BiTNode {BiElemType data;struct BiTNode *lChild;struct BiTNode *rChild;//左右节点 } BiTNode, *BiTree; //辅助队列 typedef struct tag {BiTree p;//树的某一个节点&#xf…

Python基础知识总结2——python中的字符串

python字符串 字符串基本特点空字符串和len()函数转义字符字符串拼接字符串复制不换行打印从控制台读取字符串replace() 实现字符串替换str()实现数字转型字符串使用[]提取字符字符串切片slice操作split()分割和join()合并字符串驻留机制和字符串比较字符串比较和同一性成员操作…

如何使用 Python 解决网络抓取中的 reCAPTCHA 问题

在网络抓取的领域&#xff0c;开发人员经常面临 reCAPTCHA 的障碍。为了区分人类和自动化机器人&#xff0c;reCAPTCHA 可能会成为那些试图从网站提取数据的人的沉痛阻碍。然而&#xff0c;借助 Python 和像 Capsolver 这样的工具&#xff0c;可以绕过 reCAPTCHA 并继续抓取有价…

shell 获取主机IP 脚本中使用IP 打印出来IP

目录 查看ip查看网关只查看ens33过滤ip拿到网卡名字对内容进行切片获取第一网卡IP &#xff08;head -1 表示第一个网卡&#xff09;脚本中打印IP 查看ip ip a 查看网关 ip r只查看ens33 ip a show dev ens33过滤ip ip a | grep -oE [0-9]\.[0-9]\.[0-9]\.[0-9] 拿到网卡名…

SQL的联合主键

在SQL中&#xff0c;联合主键是指由多个列组成的主键。联合主键的作用是确保每一行数据的唯一性&#xff0c;即组合列的值必须唯一。可以使用以下语法定义联合主键&#xff1a; CREATE TABLE 表名 (列1 数据类型,列2 数据类型,列3 数据类型,...PRIMARY KEY (列1, 列2, 列3, ..…

扩展 apiserver 连接认证 ip, apiserver证书更新

本文来自我的博客地址 文章目录 问题场景:问题分析:问题解决:查看 apiserver 证书支持的 ip 或 host使用 openssl 生成证书:再次查看 apiserver 证书支持的 ip 或 host 再次尝试将 master 加点加入参考 问题场景: k8s 1.28.1 集群后期新增 vip apiserver 证书不支持 vip 引入…

图像分割实战-系列教程11:U2NET显著性检测实战3

&#x1f341;&#x1f341;&#x1f341;图像分割实战-系列教程 总目录 有任何问题欢迎在下面留言 本篇文章的代码运行界面均在Pycharm中进行 本篇文章配套的代码资源已经上传 U2NET显著性检测实战1 U2NET显著性检测实战2 U2NET显著性检测实战3 6、上采样操作与REBNCONV def…

JS/JQ实现小程序/H5验证码页面

话不多说&#xff0c;先上效果图 核心代码 1、html/css关键代码 <div class"obtain-verification-code"><div class"obtain-verification-code-input-content"><input id"input-0" class"verification-code-input" m…

Spring Data Jpa 使用EntityManager执行SQL操作数据

使用EntityManager执行原生SQL语句可以通过createNativeQuery方法实现。以下是一个简单的例子&#xff0c;演示如何使用EntityManager执行SQL语句进行数据库操作。 import javax.persistence.EntityManager; import javax.persistence.PersistenceContext; import javax.trans…

Java学习笔记(四)——正则表达式

文章目录 正则表达式基本规则字符类(只匹配一个字符)预定义字符(只匹配一个字符)数量词练习正则表达式插件 爬虫利用正则表达式获取想要的内容爬取网络信息练习有条件的爬取贪婪爬取非贪婪爬取正则表达式在字符串中的使用 分组捕获分组正则表达式外部使用非捕获分组正则表达式忽…

MobaXterm SSH 免密登录配置

文章目录 1.简介2.SSH 免密登录配置第一步&#xff1a;点击 Session第二步&#xff1a;选择 SSH第三步&#xff1a;输入服务器地址与用户名第四步&#xff1a;设置会话名称第五步&#xff1a;点击 OK 并输入密码 3.密码管理4.小结参考文献 1.简介 MobaXterm 是一个功能强大的终…