Objectifs de certification

ICND2 200-105

  • 3.6 Configurer et vérifier la connectivité d'un site single-homed branch en utilisant eBGP IPv4 limité au peering et l'annonce de route via la commande network

CCNA R&S 200-125

  • 4.6 Configurer et vérifier la connectivité d'un site single-homed branch en utilisant eBGP IPv4 limité au peering et l'annonce de route via la commande network

BGP Single-Homed

1. Protocole BGP

1.1. Terminologie BGP

  • Routage extérieur : routage entre systèmes autonomes
  • Path Vector (Path Attributes) : vecteur (additions) de chemin (politiques de routage)
  • ASN : Numéro identifiant un système autonome (un ensemble de routeurs appartenant à une organisation comme des FAI), Codés sur 16 bits, on trouve des ASNs publics (de 1 à 65511) et des ASNs privés (de 65512 à 65535)
  • TCP 179 : Port de couche transport utilisé par BGP
  • iBGP / eBGP : iBGP échange des routes au sein d’un AS et eBGP établit des connexions avec des AS tiers
  • Peering : échange gratuit entre pairs
  • Transit : échange commercial de connectivité (de routes) entre un FAI supérieur et un FAI local

1.2. Protocole BGP

Border Gateway Protocol (BGP) est un protocole de routage utilisé notamment sur le réseau Internet. Son objectif est d’échanger des informations de routage et d’accessibilité de réseaux (appelés préfixes) entre Autonomous Systems (AS), c’est-à-dire principalement entre ensemble de réseaux appartenant à des opérateurs concurrents. BGP utilise le port TCP 179.

1.3. Métriques BGP

Contrairement aux protocoles de routage interne, BGP n’utilise pas de métrique classique mais fonde les décisions de routage sur les chemins parcourus, les attributs des préfixes et un ensemble de règles de sélection définies par l’administrateur de l’AS. On le qualifie de protocole à vecteur de chemins (path vector protocol). L’objectif principal de BGP n’est pas la performance (il converge lentement). Son objectif consiste plutôt à répondre à des besoins en évolutivité, en stabilité, en sécurité et à traduire les contraintes des conventions entre opérateurs sur le plan technique.

1.4. Version de BGP

BGP prend en charge le routage sans classe (classless) et utilise l’agrégation de routes afin de limiter la taille de la table de routage. Depuis 1994, la version 4 du protocole est utilisée sur Internet, les précédentes étant considérées comme obsolètes. Ses spécifications sont décrites dans la RFC 4271 A Border Gateway Protocol 4 (BGP-4).

1.5. Support multi-protocoles

Certaines extensions de BGP permettent l’échange de routes IPv6 (RFC 2545) et l’extension multi-protocole (MP-BGP, RFC 4760) qui permet d’utiliser BGP pour convoyer des informations de routage pour d’autres protocoles que IPv4 comme par exemple IPv6.

Source adaptée : https://fr.wikipedia.org/wiki/Border_Gateway_Protocol

1.6. Internet : appairage et transit

  • Appairage (Peering) : connexion entre pairs, en général gratuite et informelle ; le pair n’envoie que ses routes
  • Transit : connexion à un opérateur plus gros, payante : le transitaire envoie toutes les routes
  • Tier 1 : opérateur qui n’achète pas de transit du tout (Tata, Level 3,OpenTransit. . . )

Et c’est ainsi que l’Internet émerge, par ces appairages et transits.

Source : Cours BGP au CNAM de Stéphane Bortzmeyer p.11

Internet Connectivity Distribution and Core.

Source de l’image : Wikimedia

Une page intéressante à lire : https://en.wikipedia.org/wiki/Tier_1_network.

1.7. Routes échangées : préfixes

$ whois 95.182.192.0/20
(...)
% Information related to '95.182.192.0/20AS12392'

route:          95.182.192.0/20
descr:          VOO
origin:         AS12392
mnt-by:         TAC-BRUTELE
created:        2010-02-02T13:55:12Z
last-modified:  2010-02-02T13:55:12Z
source:         RIPE

1.8. ASN (Autonomous System Number)

$ whois AS12392
(...)
aut-num:        AS12392
org:            ORG-BS1-RIPE
as-name:        ASBRUTELE
descr:          VOO
remarks:        VOO
import:         from AS9208 action pref=200; accept AS-WIN
import:         from AS14381 action pref=200; accept AS14381
import:         from AS60650 action pref=200; accept AS60650
import:         from AS3304 action pref=100; accept ANY
import:         from AS5511 action pref=100; accept ANY
import:         from AS2611 action pref=200; accept AS-BELNET
(...)

1.9. iBGP / eBGP

iBGP / eBGP

Les connexions entre deux voisins BGP (neighbors ou peers) sont configurées explicitement entre deux routeurs. Ils communiquent alors entre eux via une session TCP sur le port 179 initiée par l’un des deux routeurs. BGP est le seul protocole de routage à utiliser TCP comme protocole de transport.

Il existe deux versions de BGP : Interior BGP (iBGP) et Exterior BGP (eBGP). iBGP est utilisé à l’intérieur d’un Autonomous System alors que eBGP est utilisé entre deux AS.

En général, les connexions eBGP sont établies sur des connexions point à point ou sur des réseaux locaux (un Internet Exchange Point par exemple), le TTL des paquets de la session BGP est alors fixé à 1. Si la liaison physique est rompue, la session eBGP l’est également, et tous les préfixes appris par celle-ci sont annoncés comme supprimés et retirés de la table de routage.

À l’inverse, les connexions iBGP sont généralement établies entre des adresses logiques, non associées à une interface physique particulière. Ceci permet, en cas de rupture d’un lien physique, de conserver la session iBGP active si un lien alternatif existe et si un protocole de routage interne dynamique (IGP) est employé (par exemple OSPF).

Une fois la connexion entre deux routeurs établie, ceux-ci s’échangent des informations sur les réseaux qu’ils connaissent et pour lesquels ils proposent du transit, ainsi qu’un certain nombre d’attributs associés à ces réseaux qui vont permettre d’éviter des boucles (comme AS Path) et de choisir avec finesse la meilleure route.

Source : https://fr.wikipedia.org/wiki/Border_Gateway_Protocol

1.10. Cas d’usage de BGP

Quand implémenter BGP ?

  • BGP s’implémente principalement (mais pas seulement) dans les réseaux des fournisseurs d’accès Internet (FAI), des les centres de données (data centers) qui concluent des accords commerciaux de connectivité pour joindre certains réseaux.
  • Quand une entreprise désire une connexion Internet redondante.
  • Quand une entreprise veut annoncer elle-même les routes pour joindre son réseau public.

1.11. Processus de décision de BGP

Processus de décision de BGP
  • Le routeur refuse les annonces qui incluent son AS.
  • Ensuite, S’il y a plusieurs possibilités pour un même préfixe,
  • On prend celle ayant la meilleure préférence locale
  • Si égalité, on prend la route ayant le chemin d’AS le plus court,
  • Si égalité, on prend celle émise par le routeur ayant le plus petit identificateur BGP.

(L’algorithme est ici simplifié, il y a d’autres critères.)

  • Le routeur BGP propage ensuite l’annonce à ses voisins,
  • Au bout de quelques minutes, tous les routeurs l’auront reçu (le test de la présence de son AS évite les boucles),
  • Accceptation et propagation sont contrôlés par une politique locale.

BGP est du routage politique, plus que technique.

Source : Cours BGP au CNAM de Stéphane Bortzmeyer p.20-21

1.12. Vecteur de chemin

  • Contrairement aux protocoles à état de lien, les routeurs BGP ne connaissent pas toutes les liaisons pour joindre des réseaux.
  • Aussi, chaque routeur BGP offre sa vision des réseaux accessibles à partir de lui-même.

1.13. Lecture du chemin

  • Le chemin d’AS se lit de droite à gauche,
  • Chaque routeur ajoute son AS avant de propager aux pairs,
  • Le premier AS (tout à droite) est l’origine

Source : Cours BGP au CNAM de Stéphane Bortzmeyer p.19/61

1.14. BGP Looking glasses

1.15. Looking Glass en telnet

$ telnet route-views.routeviews.org
Trying 2001:468:d01:33::80df:3367...
Connected to route-views.routeviews.org.
Escape character is '^]'.

**********************************************************************

                    Oregon Exchange BGP Route Viewer
          route-views.oregon-ix.net / route-views.routeviews.org

 route views data is archived on http://archive.routeviews.org

 This hardware is part of a grant by the NSF.
 Please contact help@routeviews.org if you have questions, or
 if you wish to contribute your view.

 This router has views of full routing tables from several ASes.
 The list of peers is located at http://www.routeviews.org/peers
 in route-views.oregon-ix.net.txt

 NOTE: The hardware was upgraded in August 2014.  If you are seeing
 the error message, "no default Kerberos realm", you may want to
 in Mac OS X add "default unset autologin" to your ~/.telnetrc

 To login, use the username "rviews".

 **********************************************************************


User Access Verification

Username:
route-views>sh ip bgp 95.182.192.0
BGP routing table entry for 95.182.192.0/20, version 838915
Paths: (42 available, best #28, table default)
  Not advertised to any peer
  Refresh Epoch 1
  54728 6939 12392
    140.192.8.16 from 140.192.8.16 (140.192.8.16)
      Origin IGP, localpref 100, valid, external
      rx pathid: 0, tx pathid: 0
  Refresh Epoch 2
  24441 3491 3491 1299 12392
    202.93.8.242 from 202.93.8.242 (202.93.8.242)
      Origin IGP, localpref 100, valid, external
      rx pathid: 0, tx pathid: 0
  Refresh Epoch 1
  200130 1299 12392
    95.85.0.2 from 95.85.0.2 (95.85.0.2)

1.16. Utilisation du serveur whois de Cymru

Trouver le numéro d’AS à partir d’une adresse IP :

whois -h whois.cymru.com 90.90.90.90
AS      | IP               | AS Name
3215    | 90.90.90.90      | AS3215, FR

Source : Cours BGP au CNAM de Stéphane Bortzmeyer p.44/61

1.17. Concepts avancés

  • Communautés (étiquettes attachées aux annonces, format ASN:XXX)
  • Filtrage
  • Annonces (ANNOUNCE et WITHDRAW)
  • Surveillance BGP : https://bgpmon.net/, https://twitter.com/bgpstream
  • Etude sur les données publiques BGP : https://bgp.potaroo.net/, https://labs.ripe.net/
  • Fuites BGP : Un routeur (ré-)annonce des routes qu’il n’aurait pas dû annoncer. Exemple : un client de deux transitaires annonce à un des transitaires. Les routes reçues de l’autre, attirant ainsi tout le trafic.
  • Détournement BGP : attaque ou erreur ?
  • Filtrage IRR (Internet Routing Registry), RPKI

Voir : Cours BGP au CNAM de Stéphane Bortzmeyer

2. Configuration BGP Hello World

2.1. Annonce d’un préfixe public en eBGP

Annonce d'un préfixe public en eBGP

2.2. Annonce d’une route par défaut en eBGP

Annonce d'une route par défaut en eBGP

2.3. Configuration eBGP ISP

hostname R1
!
interface Lo 0
 ip address 8.8.8.8 255.0.0.0
!
interface F0/0
 ip address 11.1.2.1 255.255.255.0
 no shutdown
!
router bgp 1
 network 0.0.0.0
 neighbor 11.1.2.100 remote-as 1001
!
ip route 0.0.0.0 0.0.0.0 Null0
!
end
wr

2.4. Peering eBGP CPE

Etablir le “peering” :

R2(config)#router bgp 1001
R2(config-router)#neighbor 11.1.2.1 remote-as 1

Vérification :

R2#show tcp brief
TCB       Local Address               Foreign Address             (state)
124E5488  11.1.2.100.45952           11.1.2.1.179                ESTAB

2.5. Annoncer un réseau CPE

Simulation d’un réseau :

R2(config)#interface lo1
R2(config-if)#ip address 2.2.2.1 255.255.255.0

Mais ce réseau pourrait être en DMZ et être appris via un protocole de routage dynamique.

Filtrage de l’annonce en eBGP :

R2(config)#router bgp 1001
R2(config-router)#network 2.2.2.0 mask 255.255.255.0

2.6. Vérification sur le routeur CPE

R2#show ip bgp
BGP table version is 3, local router ID is 192.168.33.1
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
              r RIB-failure, S Stale, m multipath, b backup-path, f RT-Filter,
              x best-external, a additional-path, c RIB-compressed,
Origin codes: i - IGP, e - EGP, ? - incomplete
RPKI validation codes: V valid, I invalid, N Not found

     Network          Next Hop            Metric LocPrf Weight Path
 *>  0.0.0.0          11.1.2.1                 0             0 1 i
 *>  2.2.2.0/24       0.0.0.0                  0         32768 i
R2#show ip route bgp | begin Gateway
Gateway of last resort is 11.1.2.1 to network 0.0.0.0

B*    0.0.0.0/0 [20/0] via 11.1.2.1, 00:02:00

2.7. Vérification routeur ISP

R1#show ip bgp
BGP table version is 3, local router ID is 8.8.8.8
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
              r RIB-failure, S Stale
Origin codes: i - IGP, e - EGP, ? - incomplete

   Network          Next Hop            Metric LocPrf Weight Path
*> 0.0.0.0          0.0.0.0                  0         32768 i
*> 2.2.2.0/24       11.1.2.100               0             0 1001 i

Sources

Laisser un commentaire