Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Achtergrondinformatie

Configureren

Netwerkdiagram

Relevante configuratie

Verifiëren

Testcase 1

Testcase 2

Testcase 3

Problemen oplossen

Inleiding

Dit document beschrijft het gedrag dat wordt gezien met IPV6 Remote Trigled Black Hole (RTBH). Het toont een scenario waar het IPv6 verkeer opzettelijk zwart is met een routekaart.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- IPv6

- Border Gateway Protocol (BGP)

Gebruikte componenten

De informatie in dit document is gebaseerd op de versie van Cisco IOS-softwarerelease 15.4.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Achtergrondinformatie

RTBH-filtering is een techniek die meestal wordt gebruikt om aanvallen van 'denial of service' (DoS) te voorkomen. Een algemeen probleem dat bij DoS-aanvallen wordt gezien, is dat het netwerk overstroomd wordt met enorme hoeveelheden ongewenste/kwaadaardige verkeer. Dit leidt tot blokkering van verbindingen en andere problemen zoals een hoge CPU of dergelijke. Dit leidt tot een verlies aan legitiem verkeer en heeft ernstige gevolgen voor het netwerk.

Volgens RFC 2545 zal het link-lokale adres in het veld Volgende hop worden opgenomen indien en alleen als de BGP-spreker een gemeenschappelijk subnet deelt met de entiteit die geïdentificeerd is door het mondiale IPv6-adres dat in het veld Netwerkadres van volgende hop wordt meegevoerd en de peer de route wordt geadverteerd naar. In alle andere gevallen zal een BGP-spreker alleen het globale IPv6-adres van de volgende hop bekendmaken aan zijn peer in het veld Netwerkadres.

Het betekent in feite dat als u een IPv6 EBGP buurrelatie hebt op direct aangesloten netwerk, dan het de Lokale IP van het Koppelen zowel als het Mondiale IPv6 adres als volgende hop draagt. Aanvraag voor Opdracht (RFC) geeft echter niet aan welke opdracht de voorkeur verdient. Cisco geeft de voorkeur aan Lokaal adres koppelen omdat wanneer het pakket wordt verzonden, dit altijd de kortste afstand is. Wanneer u RTBH gebruikt, kan dit een probleem zijn en in dit document wordt uitgelegd hoe u ermee omgaat.

Configureren

Dit document gebruikt een case om het gedrag en de opdrachten te verklaren die gebruikt worden om RTBH te laten werken.

Netwerkdiagram

Dit beeld wordt gebruikt als een voorbeeldtopologie voor de rest van dit document.

- R1 heeft EBGP-buurrelatie met R2 en R2 heeft EBGP-buurrelatie met R3.

- Router R1 adverteert zijn loopback 0 (FC00::192:168:1:1/128) via BGP tot R2 en R2 adverteert met R3.

- R3 gebruikt een route-map om de volgende hop voor R1's loopback prefix in te stellen op een dummy IPv6 adres dat wijst op "NULL 0" in de routingtabel.

Relevante configuratie

Deze configuratie wordt op verschillende routers gebruikt om een situatie te simuleren waarin RTBH wordt gebruikt:

R1

interface Ethernet1/0

no ip address

ipv6 address FC00::1/126

end

!

interface Loopback0

ip address 192.168.1.1 255.255.255.0

ipv6 address FC00::192:168:1:1/128

!

router bgp 65500

bgp router-id 192.168.1.1

bgp log-neighbor-changes

neighbor FC00::2 remote-as 65501

!

address-family ipv6

network FC00::/126

network FC00::192:168:1:1/128

neighbor FC00::2 activate

R2

interface Ethernet1/0

no ip address

ipv6 address FC00::2/126

end

!

interface Ethernet1/1

no ip address

ipv6 address FC00::5/126

!

router bgp 65501

bgp router-id 192.168.1.2

bgp log-neighbor-changes

neighbor FC00::1 remote-as 65500

neighbor FC00::6 remote-as 65502

!

address-family ipv6

network FC00::/126

network FC00::4/126

neighbor FC00::1 activate

neighbor FC00::6 activate

R3

interface Ethernet1/1

no ip address

ipv6 address FC00::6/126

end

!

ipv6 prefix-list BLACKHOLE-PREFIX seq 5 permit FC00::192:168:1:1/128

!

route-map BLACKHOLE-PBR permit 10

match ipv6 address prefix-list BLACKHOLE-PREFIX

set ipv6 next-hop FC00::192:168:1:3

route-map BLACKHOLE-PBR permit 20

!

router bgp 65502

bgp router-id 192.168.1.3

bgp log-neighbor-changes

neighbor FC00::5 remote-as 65501

!

address-family ipv6

network FC00::4/126

neighbor FC00::5 activate

neighbor FC00::5 route-map BLACKHOLE-PBR in

Verifiëren

Testcase 1

Wanneer er geen op beleid gebaseerde routing (PBR) is geconfigureerd op R3, in de routingtabel wijst de route naar R1's loopback op R3 naar R2's link Local Address FE80::A8BB:CCFF:FE00:A211.

BGP Configuration

router bgp 65502

bgp router-id 192.168.1.3

bgp log-neighbor-changes

neighbor FC00::5 remote-as 65501

!

address-family ipv6

network FC00::4/126

neighbor FC00::5 activate

BGP has both next-hops.

R3#show bgp ipv6 unicast FC00::192:168:1:1/128

BGP routing table entry for FC00::192:168:1:1/128, version 4

Paths: (1 available, best #1, table default)

Not advertised to any peer

Refresh Epoch 1

65501 65500

FC00::5 (FE80::A8BB:CCFF:FE00:A211) from FC00::5 (192.168.1.2)

Origin IGP, localpref 100, valid, external, best

rx pathid: 0, tx pathid: 0x0

Routing Table has Link Local address as the next-hop.

R3#show ipv6 route FC00::192:168:1:1

Routing entry for FC00::192:168:1:1/128

Known via "bgp 65502", distance 20, metric 0, type external

Route count is 1/1, share count 0

Routing paths:

FE80::A8BB:CCFF:FE00:A211, Ethernet1/1

MPLS label: nolabel

Last updated 00:02:45 ago

Destination is reachable

R3#ping ipv6 FC00::192:168:1:1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to FC00::192:168:1:1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

Testcase 2

Wanneer er PBR is ingesteld op basis van route-map BLACKHOLE-PBR op R3, wordt opgemerkt dat voor FC00::192:168:1:1/128 (R1's loopback), next-hop in routing nog points naar R2's link local address FE80: A8BB:CFF:FE00:A211. Daarom is het verkeer nooit zwart en in plaats daarvan routeerd met behulp van lokale adressen.

BGP Configuration

ipv6 prefix-list BLACKHOLE-PREFIX seq 5 permit FC00::192:168:1:1/128

!

route-map BLACKHOLE-PBR permit 10

match ipv6 address prefix-list BLACKHOLE-PREFIX

set ipv6 next-hop FC00::192:168:1:3

!

route-map BLACKHOLE-PBR permit 20

!

router bgp 65502

bgp router-id 192.168.1.3

bgp log-neighbor-changes

neighbor FC00::5 remote-as 65501

!

address-family ipv4

no neighbor FC00::5 activate

exit-address-family

!

address-family ipv6

network FC00::4/126

neighbor FC00::5 activate

neighbor FC00::5 route-map BLACKHOLE-PBR in

Next-hop in BGP changes to the one defined in route-map.

R3#show bgp ipv6 unicast FC00::192:168:1:1/128

BGP routing table entry for FC00::192:168:1:1/128, version 4

Paths: (1 available, best #1, table default)

Not advertised to any peer

Refresh Epoch 1

65501 65500

FC00::192:168:1:3 (FE80::A8BB:CCFF:FE00:A211) from FC00::5 (192.168.1.2)

Origin IGP, localpref 100, valid, external, best

rx pathid: 0, tx pathid: 0x0

New next-hop is not reachable and points to Null 0

R3#show ipv6 route FC00::192:168:1:3

Routing entry for FC00::192:168:1:3/128

Known via "static", distance 1, metric 0

Route count is 1/1, share count 0

Routing paths:

directly connected via Null0

Last updated 00:19:23 ago

Routing table still uses Link Local address as next-hop.

R3#show ipv6 route FC00::192:168:1:1

Routing entry for FC00::192:168:1:1/128

Known via "bgp 65502", distance 20, metric 0, type external

Route count is 1/1, share count 0

Routing paths:

FE80::A8BB:CCFF:FE00:A211, Ethernet1/1

MPLS label: nolabel

Last updated 00:00:41 ago

Destination is still reachable.

R3#ping ipv6 FC00::192:168:1:1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to FC00::192:168:1:1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

Testcase 3

Om dit gedrag te overwinnen, gebruik de configuratie van de buur van BGP om met blokmiddel verbonden-controle op R3 uit te schakelen. Schakel de controle uit om aan te nemen dat het IPv6-adres van de buur slechts één hopmanier is. Het meest gebruikelijke scenario waar deze opdracht wordt gebruikt is wanneer de EBGP buurrelatie op loopbacks voor direct aangesloten routers wordt gevestigd. In dit geval, geeft de opdracht een indruk dat de routers EBGP buurrelatie bouwen en niet op gemeenschappelijk subnet zijn. Nabuurschap is in geval van achteruitgang en dus ook in geval van router, terwijl het het prefix adverteert dat niet het lokale adres van de link draagt, maar alleen het Global IPv6-adres.

Zodra deze opdracht is toegevoegd, kunt u die route zien voor R1's loopback 192:168:1:1/128 in routingtabel van R3, punten aan de volgende hop in overeenstemming route-map die FC00:192:168:1:3 is.  Sinds FC00::192:168:1:3 heeft een route gericht op Null 0, dus is verkeer zwart, heilig.

BGP Configuration

ipv6 prefix-list BLACKHOLE-PREFIX seq 5 permit FC00::192:168:1:1/128

!

route-map BLACKHOLE-PBR permit 10

match ipv6 address prefix-list BLACKHOLE-PREFIX

set ipv6 next-hop FC00::192:168:1:3

!

route-map BLACKHOLE-PBR permit 20

!

router bgp 65502

bgp router-id 192.168.1.3

bgp log-neighbor-changes

neighbor FC00::5 remote-as 65501

neighbor FC00::5 disable-connected-check

!

address-family ipv4

no neighbor FC00::5 activate

exit-address-family

!

address-family ipv6

network FC00::4/126

neighbor FC00::5 activate

neighbor FC00::5 route-map BLACKHOLE-PBR in

Next-hop in BGP changes to the one defined in route-map. There is no Link Local Address.

R3#show bgp ipv6 unicast FC00::192:168:1:1/128

BGP routing table entry for FC00::192:168:1:1/128, version 4

Paths: (1 available, best #1, table default)

Not advertised to any peer

Refresh Epoch 1

65501 65500

FC00::192:168:1:3 from FC00::5 (192.168.1.2)

Origin IGP, localpref 100, valid, external, best

rx pathid: 0, tx pathid: 0x0

Routing table uses the new next-hop.

R3#show ipv6 route FC00::192:168:1:1

Routing entry for FC00::192:168:1:1/128

Known via "bgp 65502", distance 20, metric 0, type external

Route count is 1/1, share count 0

Routing paths:

FC00::192:168:1:3

MPLS label: nolabel

Last updated 00:00:37 ago

New next-hop is pointed to Null 0. Traffic will be dropped.

R3#show ipv6 route FC00::192:168:1:3

Routing entry for FC00::192:168:1:3/128

Known via "static", distance 1, metric 0

Route count is 1/1, share count 0

Routing paths:

directly connected via Null 0

Last updated 02:18:03 ago

Destination is not reachable

R3#ping ipv6 FC00::192:168:1:1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to FC00::192:168:1:1, timeout is 2 seconds:

.....

Success rate is 0 percent (0/5)

Opmerking: Een nieuwe verbetering CSCuv60686 verandert dit gedrag zodat de routekaart effect heeft zonder de opdracht uit te schakelen-verbonden-controle te gebruiken.

Problemen oplossen

Er is momenteel geen specifieke informatie over probleemoplossing beschikbaar voor dit document.