Фильтр маршрутизации для отбраковки маршрутов

Спасибо за ответы, ребята. Могу подтвердить, что передача списка префиксов в ’Accept Input NLRI’ действительно удаляет нежелательные префиксы из памяти.

Привет, тебе нужно использовать input.accept-nlri для BGP-соединения или шаблона (или другие опции input.accept-*, если они лучше подходят под твой конкретный случай). Никакими фильтрами нельзя запретить им появляться в таблице маршрутизации.

Это результат переписывания движков протокола маршрутизации, в результате чего фильтрация теперь перенесена в отдельный процесс. Это было сделано, чтобы можно было использовать больше одного ядра CPU. Во времена IPv6 жаловались, что даже при наличии роутера с 72 ядрами, вся обработка BGP всё равно выполнялась на одном ядре. Новый движок маршрутизации это исправляет, потому что теперь есть возможность обрабатывать каждое соединение с пирами на отдельном ядре, а некоторые задачи маршрутизации — на другом. Но, по всей видимости (по крайней мере, в текущей архитектуре), это значит, что фильтрация больше не может выполняться во время приёма маршрутов. Все принятые маршруты сначала сохраняются в таблице, затем другой процесс помечает их как принятые или отфильтрованные, и, разумеется, ещё один процесс решает, какие маршруты активны и используются для маршрутизации. Функция «accept NLRI» немного неполная, потому что список адресов содержит записи только для (под)сетей, а не для длины префикса. Частый случай — «я хочу принять только маршрут 0.0.0.0/0 и маршруты к этим подсетям», но как только вы добавляете 0.0.0.0/0 в список accept NLRI, принимается ВСЁ, поскольку все сети совпадают с 0.0.0.0/0. Это нужно исправить, например, добавив опцию «Input accept default route», которую можно включать вместе с «Input accept NLRI». Или, может быть, сделав опцию «not» («!»), которая не будет принимать, а наоборот — отбрасывать всё из списка адресов.

Да, было бы здорово, если бы «фильтр» в Winbox обрабатывался прямо на роутере, а не в самой программе winbox.exe! Это же касается и других списков.

Ребята, я запускаю лабораторку (eve-ng), чтобы проверить параметр “input.accept-nlri”. Я настроил “input.accept-nlri=!filtered” в иерархии “/routing/bgp/connection”, потому что даже при правиле, совпадающем только с default-route (0.0.0.0/0), все остальные префиксы в памяти (“/routing/route print detail where bgp”) классифицируются как filtered. После настройки этого параметра и перезапуска BGP-сессии ни фильтрованные префиксы, ни default-route не попадают в таблицу маршрутизации. У кого-нибудь есть пример синтаксиса фильтра для параметра “input.accept-nlri”?

[admin@MikroTik] > /routing/route/print where bgp
Flags: F - FILTERED, A - ACTIVE; b - BGP  
Columns: DST-ADDRESS, GATEWAY, AFI, DISTANCE, SCOPE, TARGET-SCOPE, IMMEDIATE-GW  

  DST-ADDRESS       GATEWAY         AFI  DIS  SC  TA  IMMEDIATE-GW           >  
Ab 0.0.0.0/0         X.X.X.X              ip4   20  40  10  PEER1  
b 0.0.0.0/0          Y.Y.Y.Y                ip4   20  40  10  PEER2  
Fb 1.1.1.0/24        X.X.X.X              ip4   20  40  10  PEER1  
Fb 2.2.2.0/24        X.X.X.X              ip4   20  40  10  PEER1  
Fb 2.2.2.0/24        Y.Y.Y.Y                ip4   20  40  10  PEER2  
Fb 3.3.3.0/24        X.X.X.X              ip4   20  40  10  PEER1  
Fb 4.4.4.0/24        X.X.X.X              ip4   20  40  10  PEER1  
Fb 5.5.5.0/24        Y.Y.Y.Y               ip4   20  40  10  PEER2  
Fb 6.6.6.0/24        Y.Y.Y.Y               ip4   20  40  10  PEER2  
Fb 7.7.7.0/24        Y.Y.Y.Y               ip4   20  40  10  PEER2  

[admin@MikroTik] > /routing/bgp/connection/print detail where name=PEER1
Flags: D - dynamic, X - disabled, I - inactive  
0   name="PEER1"  
    remote.address=X.X.X.X .as=1234  
    local.address=1.2.3.4 .role=ebgp-peer  
    routing-table=main router-id=1.2.3.4 templates=default as=1111  
    output.redistribute=connected,static,vpn,dhcp  
    .filter-chain=EBGP-PEER1-OUT  
    input.filter=EBGP-PEER1-IN .accept-nlri=!filtered  

[admin@MikroTik] > /routing/bgp/connection/print detail where name=PEER2
Flags: D - dynamic, X - disabled, I - inactive  
1   name="PEER2"  
    remote.address=Y.Y.Y.Y .as=567  
    local.address=1.2.3.4 .role=ebgp-peer  
    routing-table=main router-id=1.2.3.4 templates=default as=1111  
    output.redistribute=connected,static,vpn,dhcp  
    .filter-chain=EBGP-PEER2-OUT  
    input.filter=EBGP-PEER2-IN .accept-nlri=!filtered

Отлично! Думаю, это должно было быть частью v7 с самого начала… Было бы ещё лучше, если бы он просто принимал синтаксис v6 (экспортированные фильтры), то есть «/routing filter add».