Серые ип для BGP сессий

[LENS 97]

Кто то использует серые ип адреса внутри сети и на внешних BGP стыках?

+ не будет возможности ДОСить конкретно роутер

+ экономия внешних ип

 

Есть у кого то опыт работы на серых?

[KaYot 3 605]

Технически разницы никакой. А практически - на наге постоянно ржут с таких реализаций, это ж трасса к вам будет проходить по серым IP

[kha0s 112]

Трасса элементарно хайдится. Всегда использую такую схему на пирингах локальных. Оба участника равноправны, никто не хочет предоставлять друг-другу свой реальный IP - зачем городить лишний файрвол.

[twg 871]

OSPF?

[Lynx100 90]

OSPF?

а при чем тут OSPF ? 

вопрос о BGP и серых адресах

 

ответ

все работает нормально... используем на пирингах...  технически нет никаких проблем

[supportod 1]

Кто то использует серые ип адреса внутри сети и на внешних BGP стыках?

+ не будет возможности ДОСить конкретно роутер

+ экономия внешних ип

 

Есть у кого то опыт работы на серых?

1) Используя "серые" IP на граничных интефейсах вы ломаете протокол ICMP между вашей сетью и миром.

2) Используя серые сети в глобальной маршрутизации, вы и аплинк явным образом нарушаете RFC на использование серых IP (rfc5735).

3) Для маршрутизации без BGP между двумя корпоративными клиентами допускается использовании сети 100.64.0.0/10 (rfc6598) .

4) Если у вас не стоят входящие и выходящие фильтры, то когда-нибудь к вам прилетит мусор по BGP и положит сеть.

Відредаговано 2015-05-24 10:48:02 supportod

[kha0s 112]

 

 

1) Используя "серые" IP на граничных интефейсах вы ломаете протокол ICMP между вашей сетью и миром.

 

Каким образом? Моя сеть 1.1.1.0/24  отлично коммуницирует с миром по всем протоколам если с аплинком построен линк на сети 10.0.0.2/30.

 

 

 

2) Используя серые сети в глобальной маршрутизации, вы и аплинк явным образом нарушаете RFC на использование серых IP (rfc5735).

 

 

Они никак не общаются с миром. Мой 10.0.0.2 общается исключительно с аплинковым 10.0.0.1. Остальное зафильтровано. И да - на линковом инт-се гарантировано проходят пакеты с mtu 1500, т.е. нинакой коммуникации с миром по icmp мой 10.0.0.2 не осуществляется. Фрагментации нету.

[GOOSE.KM 83]

Укуртелефон давно использует серые ИП на BGP.

[LENS 97]

 

Кто то использует серые ип адреса внутри сети и на внешних BGP стыках?

+ не будет возможности ДОСить конкретно роутер

+ экономия внешних ип

 

Есть у кого то опыт работы на серых?

1) Используя "серые" IP на граничных интефейсах вы ломаете протокол ICMP между вашей сетью и миром.

2) Используя серые сети в глобальной маршрутизации, вы и аплинк явным образом нарушаете RFC на использование серых IP (rfc5735).

3) Для маршрутизации без BGP между двумя корпоративными клиентами допускается использовании сети 100.64.0.0/10 (rfc6598) .

4) Если у вас не стоят входящие и выходящие фильтры, то когда-нибудь к вам прилетит мусор по BGP и положит сеть.

1) не согласен. Я могу выполнять ping x.x.x.x source loopback 1 со своего реального адреса

2) да. Ну то такое...

3) это мы сейчас не обсуждаем

4) это тоже не при чем сейчас

 

Интересно то, что если построить всю свою bgp / ospf сеть на серых ип я получу бонусы в виде экономии адресов и защиты от ддос либо порт сканеров.

 

Вопрос в том, кто это внедрил и какие отзывы.

 

 

Отправлено с моего iPhone используя Tapatalk

[twg 871]

 

 

Интересно то, что если построить всю свою bgp / ospf сеть на серых ип я получу бонусы в виде экономии адресов и защиты от ддос либо порт сканеров.

не очень понятна задача. Если собственная сеть, то OSPF и серые адреса. У меня так. Все на серых и OSPF.  У мнея нет необходимости ходить по сети извне. А если такая необходимость встанет, то можно поднять виртуалку/вдс с РДП. Т.е. вообще не вижу смысла на роутеры и свичи пихать белые.

Для пиринга - bgp лучше. ИМХО. Если пиринг без анонсов наружу чужих сетей, то в серых адресах ваще все ровно. Хотя вот люди используют серые и для пиринга с аплинками, и живы ).

[LENS 97]

 

Интересно то, что если построить всю свою bgp / ospf сеть на серых ип я получу бонусы в виде экономии адресов и защиты от ддос либо порт сканеров.

не очень понятна задача. Если собственная сеть, то OSPF и серые адреса. У меня так. Все на серых и OSPF.  У мнея нет необходимости ходить по сети извне. А если такая необходимость встанет, то можно поднять виртуалку/вдс с РДП. Т.е. вообще не вижу смысла на роутеры и свичи пихать белые.

Для пиринга - bgp лучше. ИМХО. Если пиринг без анонсов наружу чужих сетей, то в серых адресах ваще все ровно. Хотя вот люди используют серые и для пиринга с аплинками, и живы ).

 

Сейчас на iBGP и OSPF стоят внешние интерфейсные ип, а я перевожу все на серые.

Может и eBGP на серые тоже перевести?

[twg 871]

 

 

Может и eBGP на серые тоже перевести?

а что это вам даст? фволом дропнуть все, если боитесь атак, и все, имхо. не?

[LENS 97]

 

Может и eBGP на серые тоже перевести?

а что это вам даст? фволом дропнуть все, если боитесь атак, и все, имхо. не?

 

Я возможно закрыть фволом внешний ип хоп при трассировке?

[twg 871]

 

 

Я возможно закрыть фволом внешний ип хоп при трассировке?

ни чем не грозит.

[supportod 1]

 

 

Кто то использует серые ип адреса внутри сети и на внешних BGP стыках?

+ не будет возможности ДОСить конкретно роутер

+ экономия внешних ип

 

Есть у кого то опыт работы на серых?

1) Используя "серые" IP на граничных интефейсах вы ломаете протокол ICMP между вашей сетью и миром.

2) Используя серые сети в глобальной маршрутизации, вы и аплинк явным образом нарушаете RFC на использование серых IP (rfc5735).

3) Для маршрутизации без BGP между двумя корпоративными клиентами допускается использовании сети 100.64.0.0/10 (rfc6598) .

4) Если у вас не стоят входящие и выходящие фильтры, то когда-нибудь к вам прилетит мусор по BGP и положит сеть.

1) не согласен. Я могу выполнять ping x.x.x.x source loopback 1 со своего реального адреса

 

Если пиринг транзитный, то icmp трасса не пройдет.

[supportod 1]

 

 

Может и eBGP на серые тоже перевести?

а что это вам даст? фволом дропнуть все, если боитесь атак, и все, имхо. не?

 

Я возможно закрыть фволом внешний ип хоп при трассировке?

 

Не будет работать TCP offload engine и соответственно каналы будет значительно нагружены.

[kha0s 112]

 

 

Если пиринг транзитный, то icmp трасса не пройдет.

 

Какая такая "icmp трасса"? Не отрисуется IP транзитного роутера в трейсе? И не обязан. Обязан через себя транзит пропустить без проблем. 

[supportod 1]

 

Если пиринг транзитный, то icmp трасса не пройдет.

 

Какая такая "icmp трасса"? Не отрисуется IP транзитного роутера в трейсе? И не обязан. Обязан через себя транзит пропустить без проблем. 

 

Обязана отрисовываться, почитайте RFC. А вот что, с потерями отображается на маршрутизаторе, это уже другие проблемы.

[mort1k 13]

это затрудняет диагностику не которых проблем, но если на всех положить банан, то можно

[LENS 97]

Вот трасса например от Фрегата

traceroute to local.com.ua (92.249.69.58), 64 hops max, 52 byte packets
 1  10.10.30.30 (10.10.30.30)  5.122 ms  1.556 ms  1.639 ms
 2  lo0.bras-dp-01.fregat.net (212.115.225.241)  2.487 ms  2.691 ms  2.596 ms
 3  10.0.11.5 (10.0.11.5)  2.785 ms  3.823 ms  2.438 ms
 4  10.0.10.34 (10.0.10.34)  11.088 ms  9.516 ms  9.956 ms
 5  synapse-ix.giganet.ua (91.245.221.64)  19.438 ms  10.300 ms  10.821 ms
 6  galactica.synapse.net.ua (195.69.84.174)  10.162 ms  10.053 ms  9.970 ms
 7  zain.local.com.ua (92.249.69.58)  9.318 ms !Z  9.048 ms !Z  8.649 ms !Z

 

И все бегает и +100500 клиентов не жалуются.

[tkapluk 871]

Вот трасса например от Фрегата

traceroute to local.com.ua (92.249.69.58), 64 hops max, 52 byte packets

 1  10.10.30.30 (10.10.30.30)  5.122 ms  1.556 ms  1.639 ms

 2  lo0.bras-dp-01.fregat.net (212.115.225.241)  2.487 ms  2.691 ms  2.596 ms

 3  10.0.11.5 (10.0.11.5)  2.785 ms  3.823 ms  2.438 ms

 4  10.0.10.34 (10.0.10.34)  11.088 ms  9.516 ms  9.956 ms

 5  synapse-ix.giganet.ua (91.245.221.64)  19.438 ms  10.300 ms  10.821 ms

 6  galactica.synapse.net.ua (195.69.84.174)  10.162 ms  10.053 ms  9.970 ms

 7  zain.local.com.ua (92.249.69.58)  9.318 ms !Z  9.048 ms !Z  8.649 ms !Z

 

И все бегает и +100500 клиентов не жалуются.

 

И что ты тут увидел? 10.0.10.34 - это внутренний интерфейс. скорее всего BGP анонсится с 91.245.221.64 и явно не на локальный адрес  

 

У меня другой вопрос. BGP настроен на белом адресе, но потом идет узел с локальным адресом. 

примерно так:

tracert 91.245.5.5

...

91.245.1.1

192.168.15.6

91.245.5.5

 

Это плохо? Варианты? 

[John_Doe 301]

Сам по себе роутер даже имея реальные адреса не обязан никому отвечать,трасса будет чакатса с дохлым хопом в чем проблема?

[ig0r 25]

 

 

1) Используя "серые" IP на граничных интефейсах вы ломаете протокол ICMP между вашей сетью и миром.

 

 

 

1) не согласен. Я могу выполнять ping x.x.x.x source loopback 1 со своего реального адреса

Если невозможность досить роутер это первопричина предложенной схемы, тогда real ip loopback это такая же цель для атаки, ведь ваш первый аргумент "не будет возможности ДОСить конкретно роутер" гарантированно работает только тогда, когда на роутере вообще нет "белых" адресов. При этом эта схема никак не спасает вас от банального флуда на всю доступную полосу пропускания или, по-вашему, это не входит в понятие "досить конкретно роутер"? В итоге, как сказал supportod, сломаете icmp, а всё-равно задосят.

Но скорее всего вся задумка не держать на маршрутизаторе "белых" адресов закончится тем, что кто-то из ваших аплинков или пиринговых партнеров откажется строить линк по этой схеме ссылаясь на нарушения RFC или свои внутренние политики. В итоге на маршрутизаторе всё-равно будут присутствовать "белые" адреса.

Это я к тому, что врядли стоит рассматривать ваш первый аргумент как существенный.

На счет экономии адресов и реализуемости схемы - адреса экономит, реализуемо, "на наге постоянно ржут с таких реализаций"

[John_Doe 301]

На счет экономии адресов и реализуемости схемы - адреса экономит, реализуемо, "на наге постоянно ржут с таких реализаций"

не в ржачке дело,пусть ржут, на IBGP к примеру нету смысла вешать 100500 реалок, по уму вешаетса 1 реальник на лупбек и все пиры строятся на серых адресах

Но даже если у роутера все пиры белые,то теже внутренние политики вполне могут резать ICMP не из своей АС на роутер.

RFC имеет вообще-то рекомендательный характер,как догму его воспринимать ненужно

[tkapluk 871]

Сам по себе роутер даже имея реальные адреса не обязан никому отвечать,трасса будет чакатса с дохлым хопом в чем проблема?

В моем случае два локаьных хопа, и оба чекаются... в сети другого провайдера. Получается дезинформация.