边界网关协议BGP（七）

最新推荐文章于 2023-04-04 09:29:46 发布

Goallegoal

最新推荐文章于 2023-04-04 09:29:46 发布

阅读量251

点赞数 2

分类专栏：网络安全架构与部署文章标签：网络安全

本文链接：https://blog.csdn.net/qq_40644809/article/details/105096836

版权

网络安全架构与部署专栏收录该内容

29 篇文章 5 订阅

订阅专栏

边界网关协议BGP（七）

继续学习 BGP，上接边界网关协议BGP（六）

对等体组

定义

peer-group，对等体组，是一些具有某些相同属性的对等体的集合,当一个对等体加入对等体组中时,此对等体将获得与所在对等体组相同的配置，用于简化配置。

原理

一个路由器对另外几个对等体设备的设置极为相似时，就可以给这几个设备配置一个组策略，使得原本需要重复配置多次的命令简化为只需在组中配置一次即可。

部署

在这里插入图片描述
第一步，创建对等体组
router bgp 2345
neighbor IBGP-GROUP peer-group

第二步，针对对等体组做策略
neighbor IBGP-GROUP remote-as 2345
neighbor IBGP-GROUP update-source Loopback1
neighbor IBGP-GROUP next-hop-self

第三步，将邻居放入对等体组
neighbor 3.3.3.3 peer-group IBGP-GROUP
neighbor 4.4.4.4 peer-group IBGP-GROUP
neighbor 5.5.5.5 peer-group IBGP-GROUP
neighbor 55.5.5.5 peer-group IBGP-GROUP

BGP 邻居认证

BGP 的邻居认证和 OSPF 的认证很像，但 BGP 对认证的安全性更高，直接删除了明文认证。其部署更加简单：
router bgp 100
neighbor 2.2.2.2 password mima123

注意：1、BGP 只支持 MD5 认证；
2、BGP 的认证信息放置在 TCP 头部中。

BGP 默认路由

原理

之前指默认路由，是企业网路指向运行商网络，现在运营商也要指默认路由？
实际的网络结构是多级的、多层的，不是所有的 BGP 网络都需要全网的路由，所以使用默认路由还是有意义的。

部署

方法一：
router bgp 100
neighbor 2.2.2.2 default-originate

方法二：
ip route 0.0.0.0 0.0.0.0 Serial0/0
router bgp 2345
network 0.0.0.0

路由汇总

原理

在多层多级的实际网络中，路由条目密集，如果不做汇总，核心网络的路由条目将运转困难。

部署

方式一：
第一步，通过手工方式将精细路由汇总到 NULL 0
ip route 172.16.0.0 255.255.252.0 Null 0 //将精细路由在本地汇总，并指向 Null 口，防止环路。
第二步，通过 network 将汇总路由通告出去
router bgp 100
network 172.16.0.0 mask 255.255.252.0

方式二：专业方法
第一步，通过 network 通告精细路由；
router bgp 100
network 172.16.0.0 mask 255.255.255.0
network 172.16.1.0 mask 255.255.255.0
network 172.16.2.0 mask 255.255.255.0
network 172.16.3.0 mask 255.255.255.0
第二步，部署路由聚合（原子聚合 atom aggregate）；
aggregate-address 172.16.0.0 255.255.252.0 summary-only
//该命令只把汇总路由发出去，可以在 R1 上部署，也可以在 R2上部署
aggregate-address 172.16.0.0 255.255.252.0 summary-only as-set
// 补全AS属性：R1 为原通告者，若 R2 进行汇总。 R3 和 R4 学到后分发给 R6，此时会发现，路由是从 AS 100 发出来，R2 做汇总时，默认情况下会把源头的 AS 信息丢掉。如果需要补全，则可使用 as-set 参数。

抑制列表

原理

抑制列表，每次增加路由并进行汇总时，会把原始的精细路由隐藏掉，只留下最终的汇总结果发出去。存在这样一种应用场景，某汇总路由背后的单独的一条精细路由非常重要，希望把这条精细路由保存下来并通告出去，使得其他路由器可以匹配到该精细路由。此时就可以通过抑制列表来实现，该技术和 EIGRP 中的泄露路由刚好相反。