+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Фильтрация на основе BGP Community не работает

Фильтрация на основе BGP Community не работает, RouterOS

anishpsla

Guest

08.04.2022 19:57:00

У нас есть подключение к IX, у них есть сообщество 0:peer AS — префикс анонсируется от peer AS. Я хочу отфильтровать все префиксы, анонсируемые FB и Google. Пробую следующий фильтр:

Filter
chain=RS_IN_Filter bgp-communities=0:15169,0:32934 invert-match=no action=discard

BGP Peer
name="rs_ipv4-1" instance=default remote-address=x.x.x.x remote-as=49*** tcp-md5-key="" nexthop-choice=default multihop=no route-reflect=no hold-time=3m ttl=255 in-filter=RS_IN_Filter out-filter=Out_Filter address-families=ip default-originate=never remove-private-as=no as-override=no passive=no use-bfd=no

Этот фильтр не работает. Трафик по-прежнему идёт через конкретный IX.

sindy

Guest

04.06.2022 17:17:00

Если поменять порядок правил, которые сопоставляют по bgp-communities, изменится ли что-нибудь (например, фильтрация маршрутов от FB и отсутствие фильтрации маршрутов от Google)? Если нет, можешь проверить (с помощью сниффинга и Wireshark), действительно ли атрибут COMMUNITIES приходит для маршрутов от FB?

anishpsla Guest	#3 0 01.05.2022 08:11:00 Нет, к сожалению, не работает. Фильтрует только маршруты из Google. Facebook по-прежнему не фильтрует.

anishpsla Guest	#4 0 04.06.2022 17:07:00 Кто-нибудь из экспертов может помочь?

anishpsla Guest	#5 0 04.06.2022 17:44:00 Да, изменение порядка правил изменит то, что они фильтруют. Например, будет работать только первое правило.

sindy

Guest

04.06.2022 19:28:00

Какая у вас архитектура процессора и версия RouterOS? В моей лабораторной CHR с версией 6.48.6 я добавляю bgp-community 0:12345 с помощью out-фильтра на одном пире. На другом пире первое in-фильтр правило отбрасывает маршруты с bgp-community=0:54321, второе — с bgp-community=0:12345, и второе правило срабатывает (что и ожидалось). Если поменять их местами, то срабатывает правило, соответствующее 0:12345, так что порядок их расположения в моём случае не важен. Единственное отличие от вашей ситуации — сами числа после двоеточия и, скорее всего, то, что я тестирую это на igp-пирах. Странность в моём случае в том, что если я отключаю второе правило, маршруты, которые оно фильтровало, не появляются обратно в таблице маршрутизации, пока я не отключу и заново не включу пир на другом роутере.

mrz

Guest

05.06.2022 08:00:00

Фильтры маршрутизации не работают с уже установленными маршрутами, они применяются к входящим BGP-сообщениям, что означает необходимость запрашивать обновление маршрутов после изменения правил входящего фильтра. Смотрите команды «refresh», «resend».

pe1chl Guest	#8 0 05.06.2022 09:27:00 Да, а потом сталкиваешься с тем, что эти команды в RouterOS v7 не работают как надо. Поэтому часто приходится просто отключать и заново подключать пира.

mrz Guest	#9 0 05.06.2022 10:35:00 Не сообщается о каких-либо проблемах или известных случаях, когда эти команды не работают в ROSv7.

pe1chl

Guest

#10

05.06.2022 10:47:00

При использовании этих команд между v6 и v7 возникает, по крайней мере, одна проблема, и я не знаю, на чьей стороне ошибка — v6 или v7. Когда на стороне v6 вызывают refresh, на стороне v7 в логах появляется сообщение: route,bgp,warning RECV RouteRefresh with invalid subtype: 0, и ничего не происходит. Чтобы заставить v7 сделать refresh, v6 нужно отключиться и подключиться заново. И прежде чем скажете «это не было зафиксировано»: я сообщал об этом 21 декабря 2021 года в теме релиза v7.1: http://forum.mikrotik.com/t/v7-1-is-released/153754/593. Ещё раньше это было зафиксировано в отдельной теме пользователем mhugo: http://forum.mikrotik.com/t/7-1rc5-recv-routerefresh-with-invalid-subtype-0/153165/1

sindy

Guest

#11

05.06.2022 11:22:00

Для справки, в моём случае это не вопрос взаимодействия ROS v6 и ROS v7. Я просто не предполагал, что обновление будет нужно вообще, учитывая, что для action=reject обновление не требуется, чтобы изменить список маршрутов после включения или отключения правил фильтрации маршрутов, и что особенно важно — включение правила action=discard даёт мгновенный эффект, что, кажется, не совместимо с идеей обработки маршрута только во время его получения от пира. Так что моё предположение было в том, что маршруты, полученные от каждого пира, хранятся постоянно, а фильтр просто контролирует, какие из них проходят дальше к распространению и в таблицу маршрутизации ядра, поэтому обновление фильтра повторно обрабатывает сохранённый список без необходимости просить пир снова прислать список маршрутов.

nichky Guest	#12 0 06.06.2022 06:26:00 Те же правила, что использует anishpsla, у меня в лаборатории работают не так хорошо.

sindy

Guest

#13

06.06.2022 06:31:00

igp или egp? Как именно они «не работают», так же, как с @anishpla, то есть только первый работает, а второй нет? Можешь показать свои цепочки фильтров маршрутов и на источнике (который присваивает метки сообщества), и на получателе (который фильтрует по ним)?

nichky Guest	#14 0 06.06.2022 08:02:00 Но версия 7 BGP — только для игр в лаборатории, в реальной эксплуатации пока не используется.

anishpsla

Guest

#15

22.06.2022 15:34:00

0 ;;; Отбрасывать FB
chain=RS_IN_Filter protocol=bgp bgp-communities=0:32934 invert-match=no action=discard set-bgp-prepend-path=""
1 ;;; Отбрасывать Google
chain=RS_IN_Filter protocol=bgp bgp-communities=0:15169 invert-match=no action=discard set-bgp-prepend-path=""
2 ;;; Принимать все остальные
chain=RS_IN_Filter protocol=bgp bgp-communities="" invert-match=no action=accept set-bgp-weight=3 set-bgp-prepend-path="" Community 0:peer AS => Префикс анонсируется от peer AS

anishpsla Guest	#16 0 25.06.2022 06:46:00 Кто-нибудь из экспертов здесь?..

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры