2 Бордера, BGP

[supportod]

Не все наты корректно отрабатывают ситуацию, когда траф идет к ним с нескольких аплинков.

Даже свежий PF и PFsync мало помогает...

[KaYot]

Не все наты корректно отрабатывают ситуацию, когда траф идет к ним с нескольких аплинков.

Даже свежий PF и PFsync мало помогает...

Точнее "не все наты под БСД"))

[supportod]

Про линукс уже молчу

[ikoctya]

Приветствую всех. Всем добра)

Проблему идентичную словил, только nat нет и все адреса белые (хотя почти все абоненты через роутеры сидят - а это NAT)

 

Пытаюсь реализовать такую схему. 

 up1                 up2

    |                        |

bgp1   ----------  bgp2

\                           /

   \                    /

       \             /

       L2switch

 

вот конфиг:

hostname gw1
password 12345
enable password 12345
log file /var/log/quagga/bgpd.log
!
router bgp 12345
 bgp router-id 1.2.3.1
 bgp log-neighbor-changes
 network a.b.c.0/22
 network d.e.f.0/22
 neighbor x.x.x.x remote-as XXXX
 neighbor x.x.x.x description UP1
 neighbor x.x.x.x update-source x.x.x.y

neighbor x.x.x.x next-hop-self
 neighbor x.x.x.x soft-reconfiguration inbound
 neighbor x.x.x.x route-map UP1-IN in
 neighbor x.x.x.x route-map UP1-OUT out
 neighbor a.a.a.a remote-as 12345
 neighbor a.a.a.a description iBGP_to_GW2
 neighbor a.a.a.a next-hop-self
 neighbor a.a.a.a soft-reconfiguration inbound
!
ip prefix-list MYNET seq 5 permit a.b.c.0/22
ip prefix-list MYNET seq 10 permit d.e.f.0/22
ip prefix-list bogons description bogus nets
ip prefix-list bogons seq 15 permit 0.0.0.0/8 le 32
ip prefix-list bogons seq 20 permit 127.0.0.0/8 le 32
ip prefix-list bogons seq 25 permit 192.0.2.0/24 le 32
ip prefix-list bogons seq 30 permit 10.0.0.0/8 le 32
ip prefix-list bogons seq 35 permit 172.16.0.0/12 le 32
ip prefix-list bogons seq 40 permit 192.168.0.0/16 le 32
ip prefix-list bogons seq 45 permit 169.254.0.0/16 le 32
ip prefix-list bogons seq 50 permit 192.42.172.0/24 le 32
ip prefix-list bogons seq 55 permit 198.18.0.0/15 le 32
ip prefix-list bogons seq 60 permit 192.88.99.0/24 le 32
ip prefix-list bogons seq 65 permit 224.0.0.0/4 le 32
ip prefix-list bogons seq 70 permit 240.0.0.0/4 le 32
!
ip as-path access-list 1 permit _6451[2-9]_
ip as-path access-list 1 permit _645[2-9][0-9]_
ip as-path access-list 1 permit _64[6-9][0-9][0-9]_
ip as-path access-list 1 permit _65[0-9][0-9][0-9]_
!
route-map UP1-IN deny 100
 description -- filter private ASs
 match as-path 1
!
route-map UP1-IN deny 110
 description -- -- filter bogons
 match ip address prefix-list bogons
!
route-map UP1-IN permit 200

set local-preference 100
!
route-map UP1-OUT permit 20

match ip address prefix-list MYNET
!
route-map iBGP-IN deny 100
 description -- filter private ASs
 match as-path 1
!
route-map iBGP-IN deny 110
 description -- -- filter bogons
 match ip address prefix-list bogons
!
route-map iBGP-IN permit 200
 set local-preference 100
!
route-map iBGP-OUT permit 20
 match ip address prefix-list MYNET
!
line vty

 

Даны два разных аплинка, от которых беру fullview, bgp1 и bgp2 - попытка разделить нагрузку от абонентов на два бордера, каждый из которых анонсирует одинаково аплинкам мою asXXXX и несколько абонетских /22 сетей. между бордерами поднят линк с ibgp сессией.

хочу посадить половину абонентов на один бордер, половину - на другой, притом чтобы связность была хорошей, т.е. траффик шел по наилучшему пути.

Если все настраиваю и поднимаю сессию ibgp сессию между бордерами, они обмениваются полученными от аплинков маршрутами и вроде бы все должно прекрасно работать. Но вот интернет то у абонентов отваливается!(((

Предполагаю, что исходящий траффик идет как надо через родной бордер и первый аплинк, а возвращается через второй и вот на нем уже непонятно что происходит. Может быть он отдает его абоненту, а по сути через линк с первым должен уйти на первый.

В общем вот. 

Наверняка многие делали подобную схему и может быть подскажут как сконфигурировать quagga правильно???

 

Відредаговано 17 липня, 2018 ikoctya

[masters]

6 часов назад, ikoctya сказал:

Наверняка многие делали подобную схему и может быть подскажут как сконфигурировать quagga правильно???

 

У вас одна подсеть /24 ?

Если нет - выкиньте ibgp. Поднимите по 2 сессии на каждого аплинка (по 1й с каждого бордера на аплинка). И анонсируйте с обоих бордеров разные подсети.

Відредаговано 17 липня, 2018 masters

[tkapluk]

6 часов назад, masters сказал:

 

У вас одна подсеть /24 ?

Если нет - выкиньте ibgp. Поднимите по 2 сессии на каждого аплинка (по 1й с каждого бордера на аплинка). И анонсируйте с обоих бордеров разные подсети.

Просто отличное резервирование. ?

[pavlabor]

13 часов назад, ikoctya сказал:

Пытаюсь реализовать такую схему. 

 up1                 up2

    |                        |

bgp1   ----------  bgp2

\                           /

   \                    /

       \             /

       L2switch

А каким образом анонсируются клиентам дефаулт?

[ikoctya]

6 часов назад, masters сказал:

одна

пока все клиенты дефолт получают bgp1, как только налажу ibgp, - половину перекину на bgp2 по подсетям

[pavlabor]

13 часов назад, ikoctya сказал:

Предполагаю, что исходящий траффик идет как надо через родной бордер и первый аплинк, а возвращается через второй и вот на нем уже непонятно что происходит

Может на втором не прописаны маршруты на абонов?

[ikoctya]

он же пока не используется! Маршруты есть, абоненты пингуются. Просто же если абону ответ придет от другово гейтвея, он его отторгнет.

По сути траффик, возвращающийся на второй бордер должен возвращаться по ibgp линку с него сначала на первый, а потом клиенту. Но что-то пошло не так.........

[pavlabor]

 А каким образом анонсируются клиентам дефаулт, DHCP?

Как на твой взгляд должна меняться маршрутизация у абона если один из бордеров поляжет?

 

[tkapluk]

2 минуты назад, ikoctya сказал:

Просто же если абону ответ придет от другово гейтвея, он его отторгнет.

почему? 

[ikoctya]

Да, по dhcp. Да, вы правы, но это уже следующая задача, пока что клиентам всем выдается первый. Планирую потом использовать vrrp

1 минуту назад, tkapluk сказал:

почему? 

Разве нет!!!??? В целях безопасности так у всех ОС! Тем более большинство клиентов за НАТ'ом (Роутеры!)

[pavlabor]

6 минут назад, ikoctya сказал:

Да, по dhcp. Да, вы правы, но это уже следующая задача, пока что клиентам всем выдается первый. Планирую потом использовать vrrp

На самом деле, это первая задача.

Второй задачей станет вопрос - нафига тебе два fullview и что с ними делать.

Подозреваю что внешние линки тебе должны анонсировать дефаулты, при чем не самописные а реальные, также полученный от вышестоящих сетей.

Відредаговано 18 липня, 2018 pavlabor

[ikoctya]

1 минуту назад, pavlabor сказал:

 На самом деле, это первая задача.

Возможно и так. Но мне сейчас нужно, чтобы траффик ходил через оба аплинка в первую очередь, чтобы разгрузить первый аплинк.

[pavlabor]

2 минуты назад, ikoctya сказал:

Возможно и так. Но мне сейчас нужно, чтобы траффик ходил через оба аплинка в первую очередь, чтобы разгрузить первый аплинк.

Нельзя построить сначала пятый этаж, четвертый..., а потом думать какой под это все хозяйство сгородить фундамент.

У тебя нет общего понимания архитектуры, вот ты и городишь кусками, что попроще, а это комплексная задача.

Хочешь vrrp, значит начинай с него, моделируй задачу что у тебя развалились все бордеры кроме одного,

потом буде подсовывать бордеры.

Если же у тебя подозрение что пров не анансирует тебя, то подними второй бордер и проверь.

потому как проблема может оказаться у вышестоящих провов которые зарулили на тебя маршруты ручками.

 

[ikoctya]

5 минут назад, pavlabor сказал:

 Если же у тебя подозрение что пров не анансирует тебя, то подними второй бордер и проверь.

 потому как проблема может оказаться у вышестоящих провов которые зарулили на тебя маршруты ручками.

 

Это вряд ли, может и ошибаюсь, но в таких сервисах как robtex.com четко видно, что моя AS видна через аплинки.

А как это можно проверить?

7 минут назад, pavlabor сказал:

Нельзя построить сначала пятый этаж, четвертый..., а потом думать какой под это все хозяйство сгородить фундамент.

 

Хорошо. Забудем о резервировании. Предположим у нас просто у граничных маршрутизатора, 2 аплинка и 1 AS. Вот что мне сейчас нужно в первую очередь наладить.

[pavlabor]

Только что, ikoctya сказал:

 

Это вряд ли, может и ошибаюсь, но в таких сервисах как robtex.com четко видно, что моя AS видна через аплинки.

А как это можно проверить?

Если у тебя с сети /22 есть свободный блок /24,

проанансируй его второму прову с большим приоритетом чем первому и смотри как ты выглядишь на Looking glass, например отсюда

http://lg.ua-ix.net.ua/

Трейсуй, если маршруты кривые, получишь петли...

[ikoctya]

Кстати вот:

 

gw1# sh ip bg sum
BGP router identifier bgp1, local AS number 12345
RIB entries 1286926, using 128 MiB of memory
Peers 2, using 9024 bytes of memory

Neighbor        V    AS MsgRcvd MsgSent   TblVer  InQ OutQ Up/Down  State/PfxRcd
ibgp_ip    4 61390  226851  100502        0    0    0 00:00:30   354211
up1   4 20485  108820      18        0    0    0 00:13:29   703263

gw2# sh ip bg sum
BGP router identifier bgp2, local AS number 12345
RIB entries 1286917, using 128 MiB of memory
Peers 2, using 9024 bytes of memory

Neighbor        V    AS MsgRcvd MsgSent   TblVer  InQ OutQ Up/Down  State/PfxRcd
up2   4  3216  147924      13        0    0    0 00:08:50   699041
ibgp_ip    4 61390  100460  226845        0    0    0 00:00:12   653395

 

На первом раза меньше префиксов полученых по ibgp

Відредаговано 18 липня, 2018 ikoctya

[pavlabor]

Проверяй трейсом.

Анонсы, это намерение, но эти намерения могут быть перечеркнуты очумелыми ручками.

[ikoctya]

3 минуты назад, pavlabor сказал:

Проверяй трейсом.

 Анонсы, это намерение, но эти намерения могут быть перечеркнуты очумелыми ручками.

 

Видимо все-таки нужно будет проверить))

[KaYot]

4 часа назад, ikoctya сказал:

Разве нет!!!??? В целях безопасности так у всех ОС! Тем более большинство клиентов за НАТ'ом (Роутеры!)

Нет. Так только в линуксе и это отключается ключиком rp_filter в sysctl.

Больше никаких хитростей в этих схемах нет.

[Mystray]

Так а второй бордер знает об абонентах, подключенных к первому? Каким образом? 

[ikoctya]

4 минуты назад, KaYot сказал:

Нет. Так только в линуксе и это отключается ключиком rp_filter в sysctl.

 Больше никаких хитростей в этих схемах нет.

 

А разве большинство роутеров абонентских не на линуксе?

1 минуту назад, Mystray сказал:

Так а второй бордер знает об абонентах, подключенных к первому? Каким образом? 

Вот тут засада. По сути никак, А разве он не должен возвращать траффик обратно первому?

[KaYot]

Только что, ikoctya сказал:

 

А разве большинство роутеров абонентских не на линуксе?

А при чем тут абонентские роутеры? Это касается только случая когда трафик ушел в один интерфейс, а пришел в другой. Считай ваш бордер/НАСы.