De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.
Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.
Dit document beschrijft het gedrag dat wordt gezien met IPV6 Remote Trigled Black Hole (RTBH). Het toont een scenario waar het IPv6 verkeer opzettelijk zwart is met een routekaart.
Cisco raadt kennis van de volgende onderwerpen aan:
De informatie in dit document is gebaseerd op de versie van Cisco IOS-softwarerelease 15.4.
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.
RTBH-filtering is een techniek die meestal wordt gebruikt om aanvallen van 'denial of service' (DoS) te voorkomen. Een algemeen probleem dat bij DoS-aanvallen wordt gezien, is dat het netwerk overstroomd wordt met enorme hoeveelheden ongewenste/kwaadaardige verkeer. Dit leidt tot blokkering van verbindingen en andere problemen zoals een hoge CPU of dergelijke. Dit leidt tot een verlies aan legitiem verkeer en heeft ernstige gevolgen voor het netwerk.
Volgens RFC 2545 zal het link-lokale adres in het veld Volgende hop worden opgenomen indien en alleen als de BGP-spreker een gemeenschappelijk subnet deelt met de entiteit die geïdentificeerd is door het mondiale IPv6-adres dat in het veld Netwerkadres van volgende hop wordt meegevoerd en de peer de route wordt geadverteerd naar. In alle andere gevallen zal een BGP-spreker alleen het globale IPv6-adres van de volgende hop bekendmaken aan zijn peer in het veld Netwerkadres.
Het betekent in feite dat als u een IPv6 EBGP buurrelatie hebt op direct aangesloten netwerk, dan het de Lokale IP van het Koppelen zowel als het Mondiale IPv6 adres als volgende hop draagt. Aanvraag voor Opdracht (RFC) geeft echter niet aan welke opdracht de voorkeur verdient. Cisco geeft de voorkeur aan Lokaal adres koppelen omdat wanneer het pakket wordt verzonden, dit altijd de kortste afstand is. Wanneer u RTBH gebruikt, kan dit een probleem zijn en in dit document wordt uitgelegd hoe u ermee omgaat.
Dit document gebruikt een case om het gedrag en de opdrachten te verklaren die gebruikt worden om RTBH te laten werken.
Dit beeld wordt gebruikt als een voorbeeldtopologie voor de rest van dit document.
Deze configuratie wordt op verschillende routers gebruikt om een situatie te simuleren waarin RTBH wordt gebruikt:
R1
interface Ethernet1/0
no ip address
ipv6 address FC00::1/126
end
!
interface Loopback0
ip address 192.168.1.1 255.255.255.0
ipv6 address FC00::192:168:1:1/128
!
router bgp 65500
bgp router-id 192.168.1.1
bgp log-neighbor-changes
neighbor FC00::2 remote-as 65501
!
address-family ipv6
network FC00::/126
network FC00::192:168:1:1/128
neighbor FC00::2 activate
R2
interface Ethernet1/0
no ip address
ipv6 address FC00::2/126
end
!
interface Ethernet1/1
no ip address
ipv6 address FC00::5/126
!
router bgp 65501
bgp router-id 192.168.1.2
bgp log-neighbor-changes
neighbor FC00::1 remote-as 65500
neighbor FC00::6 remote-as 65502
!
address-family ipv6
network FC00::/126
network FC00::4/126
neighbor FC00::1 activate
neighbor FC00::6 activate
R3
interface Ethernet1/1
no ip address
ipv6 address FC00::6/126
end
!
ipv6 prefix-list BLACKHOLE-PREFIX seq 5 permit FC00::192:168:1:1/128
!
route-map BLACKHOLE-PBR permit 10
match ipv6 address prefix-list BLACKHOLE-PREFIX
set ipv6 next-hop FC00::192:168:1:3
route-map BLACKHOLE-PBR permit 20
!
router bgp 65502
bgp router-id 192.168.1.3
bgp log-neighbor-changes
neighbor FC00::5 remote-as 65501
!
address-family ipv6
network FC00::4/126
neighbor FC00::5 activate
neighbor FC00::5 route-map BLACKHOLE-PBR in
Wanneer er geen op beleid gebaseerde routing (PBR) is geconfigureerd op R3, in de routingtabel wijst de route naar R1's loopback op R3 naar R2's link Local Address FE80::A8BB:CCFF:FE00:A211.
BGP Configuration
router bgp 65502
bgp router-id 192.168.1.3
bgp log-neighbor-changes
neighbor FC00::5 remote-as 65501
!
address-family ipv6
network FC00::4/126
neighbor FC00::5 activate
BGP has both next-hops.
R3#show bgp ipv6 unicast FC00::192:168:1:1/128
BGP routing table entry for FC00::192:168:1:1/128, version 4
Paths: (1 available, best #1, table default)
Not advertised to any peer
Refresh Epoch 1
65501 65500
FC00::5 (FE80::A8BB:CCFF:FE00:A211) from FC00::5 (192.168.1.2)
Origin IGP, localpref 100, valid, external, best
rx pathid: 0, tx pathid: 0x0
Routing Table has Link Local address as the next-hop.
R3#show ipv6 route FC00::192:168:1:1
Routing entry for FC00::192:168:1:1/128
Known via "bgp 65502", distance 20, metric 0, type external
Route count is 1/1, share count 0
Routing paths:
FE80::A8BB:CCFF:FE00:A211, Ethernet1/1
MPLS label: nolabel
Last updated 00:02:45 ago
Destination is reachable
R3#ping ipv6 FC00::192:168:1:1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to FC00::192:168:1:1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Wanneer er PBR is ingesteld op basis van route-map BLACKHOLE-PBR op R3, wordt opgemerkt dat voor FC00::192:168:1:1/128 (R1's loopback), next-hop in routing nog points naar R2's link local address FE80: A8BB:CFF:FE00:A211. Daarom is het verkeer nooit zwart en in plaats daarvan routeerd met behulp van lokale adressen.
BGP Configuration
ipv6 prefix-list BLACKHOLE-PREFIX seq 5 permit FC00::192:168:1:1/128
!
route-map BLACKHOLE-PBR permit 10
match ipv6 address prefix-list BLACKHOLE-PREFIX
set ipv6 next-hop FC00::192:168:1:3
!
route-map BLACKHOLE-PBR permit 20
!
router bgp 65502
bgp router-id 192.168.1.3
bgp log-neighbor-changes
neighbor FC00::5 remote-as 65501
!
address-family ipv4
no neighbor FC00::5 activate
exit-address-family
!
address-family ipv6
network FC00::4/126
neighbor FC00::5 activate
neighbor FC00::5 route-map BLACKHOLE-PBR in
Next-hop in BGP changes to the one defined in route-map.
R3#show bgp ipv6 unicast FC00::192:168:1:1/128
BGP routing table entry for FC00::192:168:1:1/128, version 4
Paths: (1 available, best #1, table default)
Not advertised to any peer
Refresh Epoch 1
65501 65500
FC00::192:168:1:3 (FE80::A8BB:CCFF:FE00:A211) from FC00::5 (192.168.1.2)
Origin IGP, localpref 100, valid, external, best
rx pathid: 0, tx pathid: 0x0
New next-hop is not reachable and points to Null 0
R3#show ipv6 route FC00::192:168:1:3
Routing entry for FC00::192:168:1:3/128
Known via "static", distance 1, metric 0
Route count is 1/1, share count 0
Routing paths:
directly connected via Null0
Last updated 00:19:23 ago
Routing table still uses Link Local address as next-hop.
R3#show ipv6 route FC00::192:168:1:1
Routing entry for FC00::192:168:1:1/128
Known via "bgp 65502", distance 20, metric 0, type external
Route count is 1/1, share count 0
Routing paths:
FE80::A8BB:CCFF:FE00:A211, Ethernet1/1
MPLS label: nolabel
Last updated 00:00:41 ago
Destination is still reachable.
R3#ping ipv6 FC00::192:168:1:1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to FC00::192:168:1:1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Om dit gedrag te overwinnen, gebruik de configuratie van de buur van BGP om met blokmiddel verbonden-controle op R3 uit te schakelen. Schakel de controle uit om aan te nemen dat het IPv6-adres van de buur slechts één hopmanier is. Het meest gebruikelijke scenario waar deze opdracht wordt gebruikt is wanneer de EBGP buurrelatie op loopbacks voor direct aangesloten routers wordt gevestigd. In dit geval, geeft de opdracht een indruk dat de routers EBGP buurrelatie bouwen en niet op gemeenschappelijk subnet zijn. Nabuurschap is in geval van achteruitgang en dus ook in geval van router, terwijl het het prefix adverteert dat niet het lokale adres van de link draagt, maar alleen het Global IPv6-adres.
Zodra deze opdracht is toegevoegd, kunt u die route zien voor R1's loopback 192:168:1:1/128 in routingtabel van R3, punten aan de volgende hop in overeenstemming route-map die FC00:192:168:1:3 is. Sinds FC00::192:168:1:3 heeft een route gericht op Null 0, dus is verkeer zwart, heilig.
BGP Configuration
ipv6 prefix-list BLACKHOLE-PREFIX seq 5 permit FC00::192:168:1:1/128
!
route-map BLACKHOLE-PBR permit 10
match ipv6 address prefix-list BLACKHOLE-PREFIX
set ipv6 next-hop FC00::192:168:1:3
!
route-map BLACKHOLE-PBR permit 20
!
router bgp 65502
bgp router-id 192.168.1.3
bgp log-neighbor-changes
neighbor FC00::5 remote-as 65501
neighbor FC00::5 disable-connected-check
!
address-family ipv4
no neighbor FC00::5 activate
exit-address-family
!
address-family ipv6
network FC00::4/126
neighbor FC00::5 activate
neighbor FC00::5 route-map BLACKHOLE-PBR in
Next-hop in BGP changes to the one defined in route-map. There is no Link Local Address.
R3#show bgp ipv6 unicast FC00::192:168:1:1/128
BGP routing table entry for FC00::192:168:1:1/128, version 4
Paths: (1 available, best #1, table default)
Not advertised to any peer
Refresh Epoch 1
65501 65500
FC00::192:168:1:3 from FC00::5 (192.168.1.2)
Origin IGP, localpref 100, valid, external, best
rx pathid: 0, tx pathid: 0x0
Routing table uses the new next-hop.
R3#show ipv6 route FC00::192:168:1:1
Routing entry for FC00::192:168:1:1/128
Known via "bgp 65502", distance 20, metric 0, type external
Route count is 1/1, share count 0
Routing paths:
FC00::192:168:1:3
MPLS label: nolabel
Last updated 00:00:37 ago
New next-hop is pointed to Null 0. Traffic will be dropped.
R3#show ipv6 route FC00::192:168:1:3
Routing entry for FC00::192:168:1:3/128
Known via "static", distance 1, metric 0
Route count is 1/1, share count 0
Routing paths:
directly connected via Null 0
Last updated 02:18:03 ago
Destination is not reachable
R3#ping ipv6 FC00::192:168:1:1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to FC00::192:168:1:1, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Opmerking: Een nieuwe verbetering CSCuv60686 verandert dit gedrag zodat de routekaart effect heeft zonder de opdracht uit te schakelen-verbonden-controle te gebruiken.
Er is momenteel geen specifieke informatie over probleemoplossing beschikbaar voor dit document.